2026 年 9 月 3 日，RSA 分解挑战录得最新里程碑：RSA-260，这个 260 位（862 位）半素数被分解为两个 130 位的素数。埃里克·卢 (Eric Lu) 和 Cognition 研究团队使用新一代 GPU 加速的通用数域筛（GNFS）完成了这次分解，这是已知效率最高的大整数分解算法。之前的公开纪录 RSA-250（250 位，829 位）是在 2020 年 2 月由一支国际学术合作团体创立的。
The image depicts the outcome of factoring RSA-260, highlighting the successful decomposition of the 260-digit semiprime into its prime factors, which aligns with the article's discussion of the milestone.
## 分解是如何实现的
通用数域筛按照三个主要顺序阶段进行：多项式选择、格筛和线性系统求解。多项式选择决定代数数域，从而最大化筛选过程中有用关系的产出。格筛是最计算密集的阶段，它通过在数十亿个“特使 q”格点上评估多项式，寻找光滑数（即完全分解为小素数的整数）。每个工作单元对大数组中的伪随机位置进行大量读写，这是一种 historically difficult to optimize on GPUs 的内存访问模式。所得关系被组装成一个巨大的 GF(2) 稀疏矩阵，块 Wiedemann 算法通过寻找线性依赖找到平方同余，从中推导出因数。
Cognition 团队的实现基于修改开源的 CADO-NFS 套件，几乎替换了所有组件：
- GPU 适配的阶段 1 多项式选择 (gps1)，纳入 msieve 的内核 - 全新 GPU 格筛 (glas)，取代 CADO 原 CPU 专用 las
仅有的未改动部分为 cado-nfs.py 本身、阶段 2 多项式选择 (polyselect_ropt)、makefb 和 dup1。
该项目声称并未取得算法上的突破；收益来自于“靠枭坐的是老牌性能工程”，即利用现代 GPU 的高内存带宽。格筛是主要技术难题：在大规模高效处理伪随机内存访问模式需要 extensive kernel optimization and memory-system tuning。
## 算力与成本
该分解耗时约 4900 GPU 日（13.5 GPU 年），详情如下：
- 多项式选择耗时 643 GPU 日（因操作失误异常偏高） - 格筛耗时 3813 GPU 日 - 线性系统求解耗时 467 GPU 日（约 7% 于崩溃或抢占中损失）
按当前 GPU 市价，这相当于约 40 万美元。值得注意的是，这次计算以 no marginal cost，在 Cognition LLM 训练集群的闲置碎片化算力上进行。这些集群使用 NVL72 机架，每个机架内含 18 台通过 NVLink 互联的计算机，且作业调度器必须将工作负载装填进机架，以利用快速互联。这种装填会使单数百分比的节点处于闲置或利用率低下（例如，17 台而非 18 台活动节点，或留作故障转移用的节点）。团队改造调度器以低优先级、可抢占式的格筛作业填补这些空隙，这些作业具有良好可并行性、安全可即时抢占，并且占据 GNFS 工作的大多数部分。
## 对 RSA 密钥长度的影响
RSA-1024（309 位十进制，1024 位二进制）在标准 GNFS 缩放下估计需要比 RSA-260 多约 78 倍的运算量。按 GPU 市价计，这相当于约三千万美元，而墙上时钟时间可以通过增加 GPU 数量在成本和时间之间权衡。作者指出，当前的实现仍然远不够优化，预计进行更多工作后有可能再降低 2 倍以上。
RSA-1024 不再安全并不是个新闻：关于国家级行能以经济成本分解 RSA-1024 的猜想可追溯至 2000 年中叶（例如 TWIRL 和 Bernstein 矩阵机方案）。是什么改变了呢？这份工作影响了三个因素：(1) 可能降低的美元和时间成本；(2)更多使用大众化 GPU 而非专用硬件的组织能完成这项计算；(3)非密码学专家现在能借助 AI 辅助工程轻松优化分解代码。
相比之下，RSA-2048（617 位十进制，2048 位二进制）在 GNFS 下比 RSA-1024 难约十亿倍。此次所示的效率提升几乎无法影响其可行性。
## 背景：RSA 分解挑战
RSA 分解挑战由 RSA 实验室于 1991 年发起，旨在鼓励对整数分解的研究并测试 RSA 密钥长度的实践安全性。该挑战发布了一系列半素数（恰好有两个素数因数的数）列表，并为其中一些提供现金奖励。自 2007 年结束以来，随着密码分析强度认识的深入，该挑战已停止。截至此时，仅从 2001 年扩展版挑战中退选的 RSA-576 和 RSA-640 已被分解。 RSA-260 作为挑战结束后完成，遵续了十进制数字标记数列（RSA-100 至 RSA-500），并代表迄今为止最大的已公开解决实例。
## 未解问题与限制
40 万美元的市场成本估计基于当前 GPU 定价和所取得的特定实现。有关该声明的评论指出，自 2017 年 Skylake Xeon 基线（用于 RSA-250 成本比较）以来，现代 CPU 硬件（例如 96 核 AMD EPYC）的整数性能已有显著提升，可能会缩小 CPU 与 GPU 成本的差距。该分解还依赖于一大批 GPU 集群，这些集群具有显著的闲置容量——一种多数主体无法获得的资源。拥有僋联网或窃取云凭据的攻击者可以在不同方式下分摊格筛阶段的成本，但线性代数阶段要求高带宽互联（InfiniBand/NVLink），这在异构或不可信基础设施上难以复制。
未发现 GNFS 的算法改进；这项工作展示了当引导能够迭代实验、测量和集群编排的自主代理时，性能工程的威力。作者自称并非底层数论专家，将 Devin 高层交办任务——设定优先事项、建立基准并察觉偏离轨道——而代理则负责测量、优化和贯穿三周、最多同时运行 3 至 18 个会话的端到端流程执行。
该结果凸显出，若具备充足 GPU 算力和能够自动完成工程循环的工具，即可大幅降低大规模计算数学及科学计算研究的入门门槛。