ディープマインドのAI、旧式RSA-1024に弱点2件

グーグル・ディープマインドは2026年11月6日（現地時間）、人間の監督下で動くAIエージェントが、旧式の1024ビットRSA暗号に新たな弱点を2件見つけたと発表した。電子署名の偽造と、多数の鍵をまとめて素因数分解する際の計算量を従来の想定より減らせるという。ディープマインドのプッシュミート・コーリ副社長がXへの投稿で明らかにし、2048ビット以上の鍵を使う現行の暗号は安全だと強調した。

ポイント

• 攻撃者が署名ブロックのおよそ半分以上を制御できれば、パディングはRSA-1024署名の偽造を全く防げない。
• 32バイトの指紋（ダイジェスト）のように制御範囲が小さくても、新たな偽造アルゴリズムは従来の最良手法より約1600倍優れる。ただし理論上の推定値で、実測ではCPU時間が3.5分の1になった。
• 多数の鍵を一括で解く新たなバッチ素因数分解アルゴリズムは、鍵を1つ追加するごとの平均コストを約30分の1に下げた。

RSA電子署名の「パディング」はどこまで守るか

多くの署名規格は、署名の前にメッセージへ「パディング」と呼ぶ決まったデータを加え、固定長のブロックにする。コーリ氏によると、パディングが偽造を防ぐことは知られていたが、攻撃者が署名装置に任意の入力を与えられる場合にどこまで守れるかは分かっていなかった。

エージェントが導いた答えは、攻撃者が署名ブロックをどれだけ制御できるかが決め手になるというものだ。およそ半分以上を制御されると「パディングは何の保護にもならない」という。実システムから切り離したサンドボックスで、エージェントの実装は過去の学術研究で既に解かれた1024ビットのベンチマーク鍵を使って偽造を再現した。CPU時間は3.5分の1で済み、鍵そのものを破るのに必要な計算量の1000分の1にも満たなかった。

制御できる部分が32バイトの指紋程度と小さければ、偽造はより難しくなる。それでもディープマインドは、1024ビット鍵で従来の最良手法より約1600倍優れたアルゴリズムを見つけたとしている。これは実測ではなく理論上の推定である。

RSA鍵の一括素因数分解、コスト約30分の1に

RSA鍵は1024ビットや2048ビットのように長さが標準化されているため、攻撃者は一度の大規模な事前計算を多数の鍵に振り分けられる。ディープマインドによると、エージェントは従来のバッチ手法より漸近的な計算量が小さいアルゴリズムを見つけ、1024ビット鍵を1つ追加で素因数分解する平均コストを約30分の1にした。

研究はディープマインドのDJ・ドビジョサム氏とアブラディープ・タクルタ氏が率い、米カリフォルニア大学サンディエゴ校（UCSD）と仏国立情報学自動制御研究所（Inria）のナディア・ヘニンガー氏、Inriaのエマニュエル・トメ氏が加わった。技術論文2本を公開したが、コードの公開には触れておらず、第三者による再現もまだない。

背景：引退済みのRSA-1024に新たな圧力

RSA-1024は既に引退した規格で、安全な実験場として使われてきた。ヘニンガー氏とトメ氏は9月、UCSDの研究者らと国際暗号学会（IACR）のプレプリントサーバーに投稿した論文で、ハードウェアセキュリティモジュールを署名オラクルとして1024ビットRSA署名を偽造している。この攻撃には5カ月で1380CPUコア年と約43億回（2の32乗）の問い合わせを要し、研究チームはこの条件でのRSAの実際の安全性が素因数分解に基づく推定より15〜30ビット低いと結論づけた。

コーリ氏は「歴史的に、この種の研究の大きな進展には数年から数十年かかってきた」とし、AIは今やその前提をはるかに速く検証できると述べた。そのうえで「暗号の困難性を固定された前提として扱うことはできない」と付け加えた。

今後の焦点

現実のリスクは、いまだに1024ビット鍵を使う古い機器やファームウェアにある。ディープマインドはそうしたシステムがどれだけ残っているかは示していない。今回の成果は、米国立標準技術研究所（NIST）が10月27日に確定した耐量子暗号への移行計画「IR 8547」の必要性も裏付ける。外部の暗号研究者が1600倍、30倍という推定を確認できるかが次の焦点となる。

よくある質問

2048ビットのRSA鍵も危ないのか

ディープマインドは否定している。今回の成果は引退済みの1024ビットRSAにのみ当てはまり、2048ビット以上の鍵を使う現行プロトコルは安全だという。

セキュリティ担当者は何をすべきか

署名装置や古いファームウェアを中心に残っている1024ビットRSA鍵を洗い出して置き換え、耐量子暗号への移行計画を着実に進めることが望ましい。

参考資料

• Advancing the frontier of cryptanalysis — Pushmeet Kohli, Google DeepMind, X（2026年11月6日）
• Forging 1024-bit RSA signatures in nearly SNFS time — IACR Cryptology ePrint Archive（2026年9月）
• NIST IR 8547, Transition to Post-Quantum Cryptography Standards — NIST（2026年10月27日）
• Google DeepMind finds 1,600x faster way to expose encryption flaws — Interesting Engineering（2026年11月6日）