딥마인드 AI 에이전트, RSA-1024 약점 2개 찾았다 — 서명 위조 계산 3.5배 줄여, 2048비트는 안전
Google DeepMind said on November 6, 2026 that AI agents working under the direction of researchers and outside cryptographers found two weaknesses in legacy 1024-bit RSA. One is a faster way to forge RSA signatures when an attacker controls part of the signed data: in a sandboxed reproduction of a recent academic attack on a 1024-bit key, it used about 3.5 times less CPU time, and DeepMind estimates a theoretical gain of about 1,600 times for a 32-byte controlled digest. The other, 'fan factories', lowers the per-key cost of factoring many 1024-bit keys after one large precomputation to about 1/58 of a standard factorization, roughly 30 times cheaper than the best prior batch method. DeepMind and the papers say 2048-bit and larger keys are not affected; NIST has barred keys under 2048 bits for new signatures since 2013.
구글 딥마인드가 2026년 11월 6일, 연구자 지휘를 받은 AI 에이전트들이 구형 1024비트 RSA 암호에서 약점 두 가지를 찾았다고 발표했다. 하나는 공격자가 서명할 데이터 일부를 고를 수 있을 때 RSA 서명을 더 빨리 위조하는 방법으로, 최근 학계가 한 1024비트 공격을 가상 환경에서 재현했더니 CPU 시간이 약 3.5배 줄었다. 다른 하나는 1024비트 키 여러 개를 한꺼번에 소인수분해하는 비용을 기존 최선 방법보다 약 30배 낮추는 알고리즘이다. 딥마인드와 논문은 2048비트 이상 키는 영향이 없다고 밝혔다. 미국 표준기술연구소(NIST)는 2013년 말부터 새 서명에 2048비트 미만 키를 쓰지 못하게 했다
3줄 요약
- 발견 — 부분 통제 서명 위조 CPU 3.5배 절감, 대량 소인수분해 키당 비용 약 30배 절감
- 방식 — AI 에이전트가 증명을 쓰고 다른 에이전트가 검증, 사람 암호학자가 지휘
- 범위 — 2048비트 이상은 영향 없음, 구형 스마트카드·HSM·임베디드가 점검 대상
핵심 질문
- 딥마인드 RSA 1024 약점
- **서명 위조와 대량 소인수분해, 두 가지다. 둘 다 1024비트 키에 해당하고 2048비트 이상은 영향이 없다.** | 발견 | 내용 | 숫자 | |---|---|---| | 서명 위조 | 공격자가 서명 데이터 일부를 고를 수 있을 때 위조 가속 | 실측 CPU 시간 약 3.5배 절감, 32바이트 조건 이론상 약 1,600배 | | 팬 팩토리 | 키 여러 개를 한꺼번에 소인수분해 | 사전 계산 뒤 키당 일반 분해의 약 1/58, 기존 최선 대비 약 30배 저렴 |
- RSA 2048 안전한가
- **이번 발견으로는 안전하다. 딥마인드와 두 논문 모두 2048비트 이상 RSA는 위협받지 않는다고 밝혔다. 다만 양자컴퓨터 대비 전환 일정은 따로 있다.** | 키 길이 | 이번 발견 영향 | NIST 기준 | |---|---|---| | 1024비트 | 해당 | 2013년 말부터 새 서명 금지 | | 2048비트 | 없음 | 2030년 이후 권장 중단, 2035년 이후 금지(양자 대비) | | 3072비트 이상 | 없음 | 같은 일정 |
- RSA 1024 아직 쓰는 곳
- **웹 인증서에서는 사라졌지만 오래된 장비에 남아 있을 수 있다.** | 남아 있을 수 있는 곳 | 왜 위험한가 | |---|---| | 구형 스마트카드·임베디드 기기 | 키 교체가 어렵다 | | 수명이 긴 코드 서명 루트 인증서 | 위조 서명이 정상 소프트웨어로 보인다 | | HSM·서명 서비스 API | 이번 위조 공격이 노리는 '서명 창구' | | 보관된 옛 인증서 | 과거 서명의 신뢰성 문제 |
AI가 수십 년 다듬어진 암호 공격을 몇 주 만에 한 단계 밀어붙였다. 다행히 대상은 이미 은퇴한 키 길이다. 구글 딥마인드는 2026년 11월 6일, 연구자들의 지휘를 받은 AI 에이전트가 구형 1024비트 RSA에서 약점 두 가지를 찾았다고 발표했다. 딥마인드 과학 담당 부사장 푸시밋 콜리는 최고 수준의 암호 해독 전문가들과 협업해 "몇 주 만에" 결과를 냈다고 밝혔다.
RSA는 인터넷 보안의 오래된 기둥이다. 큰 수 두 개를 곱하기는 쉽지만, 곱한 결과를 다시 두 수로 쪼개기(소인수분해)는 극도로 어렵다는 사실에 기대는 암호다. 웹사이트 인증서, 소프트웨어 서명, 스마트카드에 두루 쓰인다. 이번 발표는 그 기둥의 가장 오래된 층을 건드렸다.
1. 무엇을 찾았나 — 위조 하나, 대량 분해 하나
| 구분 | 서명 위조 | 팬 팩토리(대량 소인수분해) |
|---|---|---|
| 공격 조건 | 공격자가 서명할 데이터 일부를 고를 수 있고, 서명 창구를 쓸 수 있음 | 1024비트 키 여러 개를 한꺼번에 노림 |
| 핵심 결과 | 공격자가 블록의 절반가량 이상을 통제하면 패딩이 사실상 보호 못 함 | 한 번 큰 사전 계산 뒤 키 하나당 비용이 일반 분해의 약 1/58 |
| 실측·추정 | 기존 공격 재현에서 CPU 시간 약 3.5배 절감, 키 분해 계산량의 1/1000 미만 | 기존 최선 대량 분해(MNFS) 대비 약 30배 저렴(이론) |
| 이론상 최대 | 32바이트 다이제스트 통제 시 약 1,600배 | 키 100개면 기존 방법 대비 약 19배 |
| 구현 여부 | 가상 환경(샌드박스)에서 재현 | 구현 없음 |
첫 번째는 '서명 위조'다. 개인키를 알아내지 않고도 그 키로 서명한 것처럼 보이는 문서를 만드는 공격이다. 기준점은 9월 UC샌디에이고·프랑스 국립연구소 인리아 연구진(셰아·할러·줄·헤닝거·토메)이 발표한 논문이다. 이들은 1024비트 키를 가진 보안 장비(HSM)의 서명 기능을 외부에서 반복 호출해 서명을 위조했다. CPU 코어 1,380년치 계산을 다섯 달 동안 돌렸고, 서명 요청을 2^32번(약 43억 번) 보냈다. 딥마인드 에이전트는 같은 공격을 가상 환경에서 약 3.5배 적은 CPU 시간으로 재현했다. 단순 계산하면 약 390코어년이다.
두 번째는 '팬 팩토리(Fan Factories)'라는 대량 소인수분해 알고리즘이다. 1993년 돈 코퍼스미스가 제안한 '분해 공장' 아이디어를 발전시켰다. 공장을 한 번 짓는 비용(일반 분해 1회분)을 치르면, 그 뒤로는 키 하나를 일반 분해의 약 58분의 1 비용으로 쪼갤 수 있다는 이론 결과다. 키 1개만 노리면 오히려 손해지만, 3개면 1.5배, 10개면 4.4배, 100개면 19배 유리해진다.
2. 어떻게 찾았나 — 증명하는 AI, 검증하는 AI, 지휘하는 사람
딥마인드 쪽 연구는 크리슈나무르티(DJ) 드비조탐과 아브라딥 타쿠르타가 이끌었다. 외부에서 RSA 공격의 대가로 꼽히는 나디아 헤닝거(UC샌디에이고)와 에마뉘엘 토메(인리아)가 합류했다. 두 사람은 9월 위조 논문의 저자이기도 하다.
| 역할 | 누가·무엇이 |
|---|---|
| 문제 설정·지휘 | 딥마인드 연구자 + 외부 암호학자 |
| 증명 생성 | AI 에이전트 1 |
| 증명 검증 | AI 에이전트 2 |
| 대수 등식 확인 | 증명 보조 언어 린(Lean) 4로 기계 검증 |
| 미적분 단계 | 수치 계산으로 확인(형식 검증은 아님) |
대량 분해 논문은 에이전트 두 개를 짝지은 방식을 썼다. 한 모델이 증명을 만들면 다른 모델이 검증한다. 대수적 등식은 수학 증명 검증 언어 '린 4'로 기계가 확인했다. AI가 낸 결과를 사람이 그냥 믿지 않고 기계로 한 번 더 걸러 낸 구조다. AI의 수학을 믿을 수 있게 만드는 방법은 「형식 증명이란」에서 다뤘다.
이 사례가 의미 있는 이유는 AI가 '알려진 취약점을 찾는' 수준을 넘어 암호 해독 알고리즘 자체를 개선했기 때문이다. 지금까지 AI 보안 뉴스는 대부분 코드 속 버그 찾기였다. 10월에는 클로드가 NIST 타원곡선 시드의 비밀을 30분 만에 풀었다는 연구가 나왔다. 수학 쪽 암호 연구에서도 AI가 실제 기여를 하기 시작했다.
3. 남은 것 — 2048비트는 괜찮다, 그럼 무엇을 점검해야 하나
딥마인드와 두 논문은 모두 2048비트 이상 RSA는 이번 결과로 위협받지 않는다고 밝혔다. 1024비트 RSA는 대략 80비트 보안 수준으로 평가되는데, NIST는 이미 2013년 말부터 새 서명에 2048비트 미만 키를 쓰지 못하게 했다. 주요 웹 인증서도 1024비트 발급을 오래전에 멈췄다.
| 점검 대상 | 이유 |
|---|---|
| 구형 하드웨어·임베디드 기기 | 펌웨어에 1024비트 키가 박혀 교체가 어렵다 |
| 오래된 스마트카드 | 발급 당시 키 길이 그대로 쓰인다 |
| 수명이 긴 코드 서명 루트 | 위조되면 악성 코드가 정상 소프트웨어로 보인다 |
| 1024비트 서명 API를 연 HSM·서명 서비스 | 이번 위조 공격이 정확히 노리는 '서명 창구' |
| 블라인드 RSA 방식 | 원본 서명 인터페이스를 노출하는 구조(9월 논문 지적) |
그렇다고 2048비트가 영원히 안전하다는 뜻은 아니다. 위협의 축이 다를 뿐이다. 미국 NIST는 10월 27일 확정한 지침에서 양자컴퓨터를 대비해 RSA를 키 길이와 상관없이 2030년 이후 권장 중단, 2035년 이후 금지하기로 했다. 이 일정과 대체 암호는 「양자내성암호(PQC)란」에서 정리했다. RSA를 짧은 키로 대신하는 타원곡선 암호는 「타원곡선 암호(ECC)란」에서 다뤘다.
딥마인드의 두 기술 논문은 발표 당일 공개 논문 저장소에서 확인되지 않았다는 보도가 있다. 숫자 상당수는 이론 추정이고, 대량 분해 알고리즘은 구현도 없다. 정식 논문이 올라오면 다른 암호학자들의 재현 검증이 이어질 것이다.
출처
- 크립토브리핑 — Google DeepMind's AI agents expose two weaknesses in legacy 1024-bit RSA (2026-11-06)
- 데이터스튜디오스 — Google DeepMind AI agents find two weaknesses in legacy 1024-bit RSA (2026-11)
- IACR ePrint 2026/2131 — Forging 1024-bit RSA signatures in nearly SNFS time (Shea·Haller·Suhl·Heninger·Thomé)
- 포웍MBA — DeepMind AI Agents Find 2 Weaknesses in Legacy 1024-Bit RSA (2026-11)
- 런타임와이어 — Google DeepMind says AI agents found two weaknesses in legacy 1024-bit RSA (2026-11)