Au début des années 1790, la France révolutionnaire commande à l’ingénieur Gaspard de Prony des tables de logarithmes d’une précision inédite. Prony organise le chantier comme la manufacture d’épingles d’Adam Smith : quelques mathématiciens choisissent les formules, une poignée de calculateurs les traduisent en procédures, des dizaines d’exécutants, qui ne savent guère qu’additionner, remplissent les colonnes.
En 1832, Charles Babbage en tire une leçon dans son traité sur l’économie des manufactures : le travail intellectuel se divise comme l’autre, et son étage le plus bas peut revenir à une machine. Or la cryptographie parie sur la lenteur des mathématiciens : une longueur de clé se calibre sur le meilleur algorithme connu et sur le rythme, compté en années, auquel on l’améliore.
Ce pari a été mis à l’épreuve le vendredi 6 novembre 2026. Selon Google DeepMind, des agents d’IA encadrés par des cryptographes ont décelé deux faiblesses du RSA à clés de 1024 bits, un format retiré : des signatures contrefaites à moindres frais sous conditions, des clés moins chères à factoriser en série. Le 2048 bits des déploiements actuels reste hors d’atteinte. Suivent l’annonce, les deux résultats, l’attaquant qui en profite, la migration post-quantique, le rôle des agents et ce qui reste à vérifier.
Une annonce mesurée, des chiffres déclarés
Laboratoire d’IA de Google (groupe Alphabet) basé à Londres, auteur d’AlphaFold et d’AlphaEvolve, DeepMind présente des travaux de Krishnamurthy (Dj) Dvijotham et Abhradeep Thakurta, de la maison, menés avec Nadia Heninger, de l’UC San Diego et d’Inria, l’institut français des sciences du numérique, et Emmanuel Thomé, d’Inria. Pushmeet Kohli, vice-président chargé de la science, a expliqué sur X que ces avancées ont pris quelques semaines, quand la cryptanalyse, l’art de mettre les chiffrements à l’épreuve, compte d’ordinaire en années.
Le message officiel décrit des modèles qui, « guidés par des humains », ont découvert deux faiblesses majeures dans des systèmes RSA 1024 bits hérités, preuve selon DeepMind que des agents peuvent accélérer la cryptanalyse. Recherche assistée donc, conduite par des cryptographes, non machine qui ferait seule tomber le chiffrement. L’une touche les signatures, l’autre le coût de factorisations groupées ; aucune ne permet de casser une clé de 1024 bits isolée plus vite que le GNFS, le crible algébrique général qui sert de mesure à la sécurité du RSA, note Data Studios après lecture du working paper.
Né en 1977 des travaux de Ronald Rivest, Adi Shamir et Leonard Adleman, le RSA protège signatures de logiciels, certificats de sites et échanges de clés dans HTTPS ou SSH ; plus sa clé est longue, 1024 ou 2048 bits, plus l’attaque coûte. RSA-1024, le nombre du défi de factorisation, n’a jamais été factorisé publiquement.
Des signatures moins bien gardées
Le seuil de la moitié du bloc
En RSA, on ne signe pas telle quelle l’empreinte du message, son hachage : on l’insère d’abord dans un gabarit fixe, le bourrage (padding), dont la forme imposée semblait faire barrage à la contrefaçon. Les agents ont éprouvé ce barrage. Tout se joue sur la fraction du bloc que l’attaquant choisit : vers la moitié ou au-delà, le bourrage cesse de jouer son rôle, propriété du format lui-même et non d’un logiciel. Le problème remonte à un article de 2007 d’Antoine Joux, David Naccache et Emmanuel Thomé.
Reste la configuration la plus défavorable à l’attaquant, qui ne choisit qu’une petite part du bloc, telle une empreinte de 32 octets. Là, d’après les calculs théoriques de DeepMind, l’algorithme trouvé par les agents ferait environ 1 600 fois mieux que la meilleure technique connue sur 1024 bits. Ce cas n’a donné lieu à aucun calcul en taille réelle, et l’annonce ne disait pas à quels formats de bourrage il s’applique.
La cible de septembre, forcée une seconde fois
L’expérience s’est déroulée en environnement isolé, sur une clé d’essai de 1024 bits déjà prise pour cible. Dans un preprint mis en ligne le 22 septembre, fruit d’un travail humain, Laura Shea, Miro Haller, Adam Suhl, Nadia Heninger et Emmanuel Thomé avaient obtenu des signatures valides au nom d’une clé gardée par un module matériel de sécurité (HSM), sans l’en sortir, pour 1 380 années-cœur sur cinq mois et quelque 4,3 milliards de requêtes. Avec leur propre code, les agents ont reproduit la contrefaçon pour 3,5 fois moins de temps processeur, soit moins d’un millième du coût de factorisation de la clé.
L’usine de Coppersmith, revue en éventail
Le second résultat prolonge une idée de Don Coppersmith, l’usine à factorisations de 1993 : pour casser en série des nombres d’une même taille, on amortit un unique et lourd travail préparatoire, puis chaque nombre revient moins cher. Avec un précalcul du prix d’une seule factorisation, l’usine ne rapporte rien, et le MNFS, autre idée de Coppersmith, restait depuis 1993 la meilleure méthode en série. Le working paper « Fan Factories », du 5 novembre, attribue à chaque nombre visé sa propre famille de corps de nombres, un éventail que nourrit le calcul partagé.
Trente fois moins cher que le MNFS
Si le calcul partagé équivaut à factoriser une clé de 1024 bits par le GNFS, chaque clé ajoutée ne coûte plus qu’environ un cinquante-huitième de cette somme, soit quelque 30 fois moins qu’avec le MNFS. En prenant cette factorisation pour unité, précalcul compris, une clé revient à 1,02 avec l’éventail contre 0,52 avec le MNFS, trois à 1,05 contre 1,55, dix à 1,17 contre 5,17, cent à 2,72 contre 51,7 : l’éventail l’emporte dès trois clés, puis creuse l’écart. Ce sont des ordres de grandeur calculés, non des temps mesurés.
Sans limite de précalcul, rien ne bat l’usine d’origine de Coppersmith : l’éventail ne fait pas descendre le plancher théorique, il rend rentables les petits budgets. Les auteurs ne tranchent pas la question de la taille de clé où il l’emporterait concrètement sur un crible bien réglé, et voient dans la mémoire nécessaire un second frein.
Un avantage pour qui vise un stock de clés
Le gain va à l’attaquant qui vise un stock plutôt qu’une cible, parc d’équipements dotés en usine de clés de 1024 bits, archive de certificats anciens ; contre un objectif isolé, il s’évanouit. Cette économie fondait déjà Logjam en 2015, attaque mise au jour notamment par Heninger et Thomé : un précalcul sur le nombre premier Diffie-Hellman de 1024 bits le plus répandu, à la portée d’un État, aurait ouvert à l’écoute passive environ 18 % des domaines HTTPS du premier million.
Des clés de 1024 bits sans inventaire
Une lecture alarmiste circule : routeurs et objets domotiques se retrouveraient par millions sans défense. Or DeepMind ne désigne aucun type d’appareil, et le parc concerné n’a fait l’objet d’aucun décompte publié ; les analyses ciblent plutôt des systèmes restés sans mise à jour, équipements embarqués à micrologiciel ancien, premières générations de cartes à puce, racines de signature de code prévues pour durer, certificats archivés, ce qui n’exclut ni routeurs ni objets domestiques. En 2024, un relevé de Hanno Böck trouvait encore en RSA 1024 bits la majorité des clés DKIM, qui signent les courriels.
Contrôler la longueur d’une clé de certificat ou SSH prend quelques secondes avec les outils courants. Une clé de 1024 bits doit céder la place à l’Ed25519 côté SSH, au RSA de 3072 bits ou aux courbes elliptiques côté certificats ; quand l’appareil est fermé et sa clé illisible, c’est au fabricant qu’il faut s’adresser.
Le 2048 bits épargné, la sortie du RSA confortée
Le RSA de 2048 bits et au-delà sort indemne des deux résultats, comme l’affirment l’annonce et le résumé du working paper. Les clés visées sont celles que le NIST a cessé d’admettre fin 2013 pour générer des signatures ; s’en prendre à une seule clé récente coûte toujours autant. Bitcoin et Ethereum, qui signent avec l’ECDSA sur courbes elliptiques, ne sont pas concernés ; pour le portefeuille de Satoshi, la vulnérabilité tiendrait à la clé privée, non au procédé. L’algorithme de Shor casserait le RSA à toute longueur, mais sur de grands ordinateurs quantiques encore inexistants ; DeepMind calcule sur machines classiques et s’arrête au 1024 bits.
Un calendrier écrit pour la menace quantique
Le preprint de septembre apporte la mise en garde la plus sérieuse : qu’un attaquant puisse un temps faire signer des blocs bruts, et le RSA perd de 15 à 30 bits de sécurité par rapport à ce que prédit la factorisation ; dans ce cadre, même une clé de 4096 bits reste sous la barre des 128 bits. Ses auteurs y voient une raison de quitter peu à peu le RSA à la faveur de la migration post-quantique ; administrations et entreprises détentrices de clés de signature ont intérêt à en planifier le remplacement.
Ce calendrier existe, justifié jusqu’ici par la menace quantique, qu’IonQ a évaluée pour Bitcoin : la version finale du rapport IR 8547 du NIST, publiée le 27 octobre, déprécie le RSA après 2030 et l’interdit après 2035. S’y ajoute une recherche algorithmique qui accélère, sans toucher non plus de système en service : le 28 juillet, Anthropic attribuait à Claude Mythos Preview deux faiblesses, dans le schéma post-quantique HAWK et dans l’AES réduit à sept tours ; le récit de l’origine des courbes de l’ECDSA et l’avertissement de Justin Drake pour les portefeuilles relèvent du même mouvement.
Le chercheur décide, les agents exécutent
Une vingtaine de messages humains
Selon le papier sur les signatures, un agent superviseur a conçu le plan, fixé les budgets et audité chaque résultat ; un agent exécutant a écrit le code, lancé les calculs et réparé les pannes, dont un dépassement d’entier qui avait faussé la première signature obtenue. De la conception à la signature vérifiée : trois jours et vingt-deux heures, 33 500 lignes de code, 336 expériences. Le chercheur a choisi le problème et approuvé les étapes irréversibles en une vingtaine de messages, surtout des « continue », sans écrire de code.
Des cryptographes aux commandes
L’apport des agents est d’abord la cadence : ils parcourent vite des pistes qu’une équipe aurait mis des mois à explorer. Mais parmi douze signataires, les quatre auteurs mis en avant comptent deux cryptographes du monde académique réputés pour leurs attaques contre la cryptographie à clé publique ; Thomé cosigne l’algorithme de 2007 repris par les agents, et CADO-NFS, le crible qu’ils ont optimisé, sort d’Inria.
Une science publiée, encore à vérifier
Publier la science, réserver l’outil
Pourquoi publier une attaque ? Pour éprouver les normes avant d’autres, sur des systèmes retirés, banc d’essai sans risque ; selon OfficeChai, DeepMind y voit un apport aux cryptanalystes plutôt qu’une mise en garde. Son fil d’annonce en conclut pourtant que la difficulté supposée des problèmes mathématiques qui portent le chiffrement ne va plus de soi. Les modèles de cybersécurité, eux, restent sous clé : GPT-6 Cyber, lancé par OpenAI le 5 novembre et classé critique sur sa propre échelle, est réservé à quelques clients, et Gemini 4 Carbon, présenté par Google le 28 octobre, aux cyberdéfenseurs.
Ce qui reste à établir
Les gains de 1 600 et de 30 relèvent de l’estimation théorique, sans implémentation complète ni reproduction indépendante. La version complète du papier sur les signatures, avec ses preuves, n’était pas publique à l’annonce, note Data Studios ; tant qu’elle ne l’est pas, personne hors de l’équipe ne peut vérifier l’estimation de 1 600. Le 3,5, gain d’implémentation plus que d’algorithme selon le papier, porte sur une clé déjà forcée via une interface de signature brute, et n’établit rien pour les signatures réellement déployées. Aucune réaction de cryptographe extérieur n’apparaissait encore dans la presse ; publication intégrale, reproductions et relecture par les pairs diront ce qui tient.
Deux résultats pour l’essentiel théoriques, sur un format écarté de la signature depuis 2013, ne changent rien à la sécurité d’une clé de 2048 bits. Ce qui change, c’est l’horloge : une méthode de 1993 et un problème posé en 2007 ont bougé en quelques semaines. Babbage voulait confier à une machine l’étage des additions ; les agents occupent désormais celui qui traduit une idée en calcul, et le chercheur garde le choix de la question.
L’avantage va aux attaquants patients, qui visent un parc de clés de même taille plutôt qu’une cible isolée. Tout devient affaire d’inventaire : combien des clés de 1024 bits enfouies dans des micrologiciels seront remplacées avant que leur factorisation en série ne devienne rentable, quand nul ne sait au juste combien il en reste ?
La migration post-quantique gagne un second argument. Pensée contre une machine encore hypothétique, elle se justifie aussi par une accélération déjà mesurable, qui éprouvera de la même façon les schémas appelés à remplacer le RSA. Que de tels résultats soient publiés plutôt que réservés décidera en partie si cette vitesse profite d’abord aux défenseurs.
Aller plus loin
Le résultat sur les signatures se lit dans le working paper Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation, mis en ligne avec l’annonce, avant sa version complète : outre le seuil de la moitié du bloc et la revue des interfaces de signature, il consacre une section au dispositif à deux agents, à ses pannes et aux messages du chercheur.
La factorisation en lot est exposée dans Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS, qui compare les constantes du GNFS, du MNFS, de l’usine de Coppersmith et de l’éventail, et décrit son duo de modèles, l’un écrivant les preuves, l’autre les vérifiant, avec un contrôle des identités en Lean 4.
Le point de comparaison humain se trouve dans Forging 1024-bit RSA signatures in nearly SNFS time, le preprint de septembre où cinq chercheurs relatent cinq mois de calcul contre un module matériel de sécurité et estiment de 15 à 30 bits la sécurité que perd le RSA face à une interface de signature brute, de 1024 à 4096 bits.
La théorie du lot a sa généalogie, dont l’article Batch NFS, de Daniel Bernstein et Tanja Lange, marque l’étape de 2014 : un circuit qui factorise d’un coup de nombreuses clés de même taille pour un coût par clé très inférieur à celui de l’attaque isolée, et des heuristiques d’abandon précoce que le papier sur les signatures pousse à leur optimum.
Le précalcul partagé a déjà fait ses preuves, et le site Weak Diffie-Hellman and the Logjam Attack conserve la démonstration de 2015, primée à ACM CCS, avec la part des serveurs HTTPS, des VPN et des serveurs SSH qu’un ou deux nombres premiers de 1024 bits précalculés auraient exposée à l’écoute.
Le stock restant se devine dans Surveying public keys used on the Internet, où SandboxAQ passe en revue, en janvier 2025, quelque 20 millions de clés publiques, du DNSSEC aux journaux de certificats, et y compte environ 11,5 millions de clés RSA, en majorité de 2048 bits, dont quelque 120 000 de 1024 bits ou moins.
L’ordre de grandeur d’une factorisation se lit dans Factoring RSA-260, où Eric Lu, de Cognition, raconte le premier record depuis 2020, obtenu avec des agents Devin qui ont porté le crible sur GPU, pour environ 400 000 dollars, et estime RSA-1024 à quelque 1 050 années-GPU, environ 30 millions de dollars, sans revendiquer d’avancée algorithmique.
Le calendrier américain figure dans la version finale du rapport NIST IR 8547, Transition to Post-Quantum Cryptography Standards, publiée le 27 octobre, qui programme la dépréciation du RSA après 2030 puis son interdiction après 2035, signatures comprises, au nom de la menace quantique.
La doctrine française tient dans le Guide de sélection d’algorithmes cryptographiques de l’ANSSI, publié en 2021, qui recommande des modules RSA d’au moins 3072 bits, en impose 2048 au minimum et rappelle qu’un RSA sans bourrage ne constitue jamais un schéma de signature valide.
Le rythme se juge aussi hors des annonces d’entreprise grâce à CryptanalysisBench: Can LLMs do Cryptanalysis?, banc d’essai pensé pour repérer si, et quand, la cryptanalyse par IA deviendra un facteur sérieux : sur 191 tâches tirées surtout de concours du NIST, cinq modèles de pointe cassent 65 à 86 % des schémas déjà cassés en pratique et livrent deux résultats inédits, contre SpoC et dans la preuve de sécurité de KINDI.
Mis bout à bout, ces textes montrent que ni la cible ni la méthode ne sont neuves : précalcul partagé, interfaces de signature trop dociles et clés de 1024 bits oubliées sont documentés par trois décennies de travaux humains. La nouveauté tient à la cadence, et à l’écart qu’elle creuse avec la relecture indépendante comme avec l’inventaire des clés, seuls capables de dire qui est exposé.