要点
- 工作论文标题：Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation。作者含 Dvijotham、Heninger、Kohli、Thomé 等，署名为 Google DeepMind。
- 三类结果：仿射 oracle 在可变部分约达 √N 时可用两次查询模拟无限制 oracle；仿射问题单根摊销代价从 L[1.8171] 降到 L[1.5803]；在与 Shea 等人相同的 1024 位实例上，首根耗时 391 CPU 核年，约为原报告 1,380 的 1/3.5。
- AI 角色可核对：两名协作 agent（监督者 Model A、执行者 Model B）设计、实现、优化、运行并调试；人类研究者约二十条短消息，多为批准；新代码约 33,500 行，336 次分布式实验；自首次全规模筛选起日历时间 3.2 天。
- 作者 Important 框写明：结果不威胁今日基于 2048 位及以上 RSA 的已部署系统。可证伪点是这些测量与自我限定，不是「现代 RSA 已被攻破」。
Google DeepMind 工作论文把问题写得很窄：在临时拿到「e 次根」oracle 之后，再算模 N 的 e 次根会容易多少；仿射 oracle 只接受固定格式里的一小段可变偏移，用来模拟常见签名接口。论文同时交出更快的仿射算法，以及一次完整的 1024 位无限制 oracle 复现。
Google DeepMind 在 X 上的说明帖（2026-11-06）把新闻点说成：在人类指导下，模型在遗留 1024 位 RSA 密码体制上发现两类弱点，并写明现代 2048 位系统不受这些具体利用影响。检验对象应是 PDF 里的测量与 Important 框，而不是把「AI 加速密码分析」读成「现行 RSA 已倒」。
[1]硬事实（PDF：https://storage.googleapis.com/deepmind-media/papers/Faster_Affine_Root_and_a_1024bit%20Computation.pdf；CreationDate 2026-11-06；Working Paper；访问于上海时区当日）：
- 模型：离线阶段可查询 e 次根 oracle，随后撤回；在线阶段对随机目标输出 t^(1/e) mod N。查询在目标已知前完成，故为非自适应。无限制 oracle 接受任意剩余；仿射 oracle 只接受 c+z 且 |z|≤Z。
- 格式阈值：对每个固定 c，当可变窗口大约到 √N 量级偏移时，仿射 oracle 可用每次目标两次查询模拟无限制 oracle。映射到 PKCS#11：CKM_RSA_PKCS 在数据较长（1024 位下超过约半块，或 64 字节摘要恰在阈值）时问题难度不高于无限制情形；32 字节摘要仍更难，属仿射情形；设备内哈希的机制落在两种模型之外。
- 仿射算法：单根（含离线）代价从 L_N[1/3, 1.8171] 降到 L_N[1/3, 1.5803]；更大离线相 L[1.6373] 后，在线每根可接近 L[1.3867]。增益来自最优多阶段 early abort，以及只用可接受输入的因子基扩展。
- 1024 位复现：在 Shea, Haller, Suhl, Heninger, Thomé [SHS+26] 的同一模数、多项式与因子基边界上，首根 391 CPU 核年（离线 318 + 在线 73），对照原报告 1,380（1,200 + 180），约 3.5 倍更省。因数分解该模数估计 50 万至 100 万核年。作者写明 3.5 倍来自实现与执行，不是换算法。
- Agent 设置（第 6 节）：监督者 Model A 写设计、设检查点、审计结果；执行者 Model B 写代码、跑分布式任务、修故障。人类选问题与实例、批准不可逆步骤，不写代码、不启任务、不诊断故障。约 33,500 行新代码、19 次代码变更、336 次分布式实验；峰值至约 30 万 CPU 核与 16 GPU；自首次全规模筛选起 3.2 天完成（对照原工作约五个月，作者称日历差主要来自并行）。
- Important 框原意：结果不威胁今日基于 2048 位及以上 RSA 的已部署密码系统；主要意义是把旧签名标准能抗什么、以及 AI 辅助研究能以多快速度推进，说得更清楚。
证据强度：阈值定理对每个固定 c 的证明部分是无条件的；1024 位上恰好半比特窗口的成功概率依赖测量（文中 Figure 4）；AMR 代价依赖数域筛法标准启发式。1024 位核年数字与 agent 行数、实验次数写在论文正文与表格中，可对照 PDF。
可检验路径：核对 Table 2 的 391 对 1,380；读 Important 框与 Discussion 中「不改变现代 RSA 部署安全性」段落；核对 PKCS#11 机制分类是否仍按可变比特数划分。若独立团队在相同实例上无法接近 391 核年级实现，或作者撤回「2048+ 不受影响」限定，应改写外推。
钢人：把「格式留下多少调用者可选比特」写成标准层面的安全属性，比只查实现是否跟规范一致更硬。用 agent 把同一算法跑完整并挖出 32 位索引溢出等故障，说明复现本身也能暴露实现风险。
[1]最强钢人：遗留 1024 位与旧填充格式仍在部分环境存活；把它们的真实代价测清楚，有助于排迁移优先级。作者自己把设备内哈希签出两种 oracle 模型，避免把实验室接口误当成所有部署。
钢人风险：工作论文，非经同行评审的最终版。攻击模型要求目标已知前约 4×10^9 次可选自选输入的查询；许多真实签名接口做不到这种离线批查询。3.2 天日历时间主要反映并行度，不能单读成「算法突然容易了三个数量级」。半窗口以下的 AMR 仍未在密码学尺寸跑通，作者列为开放问题。
[1]对密码工程与标准维护者，未来六个月可观察的是：是否出现对仍存活的 1024 位与 PKCS#1 v1.5 长数据接口的加速迁移；其他团队能否复现同实例核年量级；AMR 在 θ<1/2 窗口是否出现任何密码学尺寸实验。对读者，验收应是 391 对 1,380、agent 过程描述与 Important 框，而不是「AI 已破解现代 RSA」。
[1]这篇工作论文的检验对象应是仿射阈值、更快的 AMR 代价，以及同实例 391 对 1,380 核年的复现，加上作者写明的限度：不威胁今日 2048 位及以上 RSA；不是「AI 已经打倒现行加密」。两名受监督 agent 把完整计算跑通，是可核对的过程事实；把它读成现代公钥体系失效，就离开了原文。
【No.2】
[1]