Claude ha aiutato a fattorizzare RSA-896: le chiavi a 2048 bit della banca sono al sicuro

Un ingegnere di Anthropic ha usato Claude per aiutare a violare un numero challenge RSA da 270 cifre, portando il record pubblico di fattorizzazione da 829 bit a 896 bit. Steve Weis ha pubblicato il risultato il 19 settembre 2026, descrivendo come Claude abbia adattato CADO-NFS — un'implementazione esistente del classico algoritmo General Number Field Sieve — per funzionare in modo efficiente su GPU, e abbia poi orchestrato il lavoro su una flotta fino a 2.048 GPU sfruttando capacità altrimenti inattiva presso Anthropic. Il calcolo è durato circa 10 giorni e ha consumato all'incirca 30 GPU-anno di potenza di calcolo.

Cosa è successo davvero

Non si tratta di un nuovo attacco a RSA. GNFS è lo stesso algoritmo classico che i crittografi usano per la fattorizzazione da decenni; nulla della sua matematica è cambiato. Il contributo di Claude è stato un lavoro di ingegneria — adattare un codebase esistente a nuovo hardware, eseguire grandi esperimenti distribuiti e intervenire sui colli di bottiglia prestazionali — il tipo di lavoro di sistema specializzato e dispendioso in termini di tempo che in precedenza limitava la dimensione del record di fattorizzazione che un dato team poteva tentare. Weis ha pubblicato l'intero originale insieme ai suoi due fattori primi, quindi il risultato può essere verificato matematicamente anziché preso per fede.

Perché 896 bit non sono 2.048 bit

Il salto conta per il primato nella ricerca, non per l'online banking di nessuno. RSA-2048, la dimensione di chiave usata nei moderni sistemi TLS, email e bancari, è stimato essere circa un miliardo di volte più difficile da fattorizzare rispetto a RSA-1024 — e RSA-896 si colloca ben al di sotto persino di quello. Il precedente record pubblico di fattorizzazione, RSA-250 a 829 bit, è rimasto in piedi per sei anni dopo essere stato stabilito a febbraio 2020; questo risultato e una fattorizzazione separata di RSA-260 usando un diverso sistema AI due settimane prima hanno entrambi spostato la frontiera, ma nessuno dei due si avvicina alla dimensione effettivamente impiegata nella crittografia in produzione.

L'unico elemento pratico da cogliere

Il vero segnale qui è che l'assistenza dell'AI ha abbassato la barriera ingegneristica alla crittoanalisi classica su larga scala — cosa che vale la pena tenere d'occhio per chiunque stia ancora usando RSA-1024, ormai ampiamente alla portata di una flotta GPU ben fornita. Non è un motivo per migrare in preda al panico da RSA-2048. La mossa sensata per gli acquirenti IT è quella noiosa: chiedere ai fornitori roadmap di crypto-agility, rotazione delle chiavi e preparazione post-quantistica secondo i loro tempi, non in reazione a una demo di ricerca quattro ordini di grandezza più piccola di ciò che effettivamente eseguono.

Fonti: postquantum.com, Steve Weis.