Dia 3 de setembro, Eric Lu da Cognition fatorou o RSA-260 (862 bits) usando agentes Devin. Dezesseis dias depois, Stephen Weis fez o mesmo com o RSA-896 (896 bits), só que com o Claude. Dois recordes de criptografia quebrados em menos de três semanas. E o protagonista não foi um matemático com décadas de carreira, foi uma IA com acesso a GPUs.

Se você trabalha com segurança, criptografia ou simplesmente usa chaves RSA no dia a dia (spoiler: todo mundo usa), vale prestar atenção no que aconteceu.

O que é o RSA Factoring Challenge

O RSA Factoring Challenge foi uma competição criada pela RSA Laboratories em 1991. A ideia era simples: publicar números semiprimos gigantes (produto de dois primos) e desafiar o mundo a fatorá-los. Quem conseguisse provar que fatorou, ganhava um prêmio em dinheiro.

O desafio funcionava como termômetro da segurança do RSA. Se alguém conseguia fatorar um número de N bits, ficava claro que chaves daquele tamanho já não eram seguras. A competição encerrou oficialmente em 2007, mas os números continuam lá, como troféus esperando serem conquistados.

Repare no salto: de 2020 até setembro de 2026, ninguém bateu o recorde público. Aí, em menos de um mês, dois recordes caíram. O que mudou?

Eric Lu e o RSA-260: o primeiro dominó

No dia 3 de setembro, Eric Lu, engenheiro da Cognition (a empresa por trás do Devin), anunciou que havia fatorado o RSA-260, um número de 260 dígitos decimais e 862 bits. Ele usou agentes Devin para orquestrar o processo e o algoritmo General Number Field Sieve (GNFS), que é o estado da arte para fatoração de números grandes desde os anos 90.

Os números do RSA-260:

• Aproximadamente 4.900 GPU-dias de computação
• Custo estimado: US$ 400 mil
• Equivalente a 13,5 GPU-anos

Para contextualizar: o RSA-260 oferece apenas 74 bits de segurança efetiva. Isso significa que quebrá-lo é equivalente, em termos de esforço computacional, a força-bruta de uma chave simétrica de 74 bits. Não é muito.

Mas o que chamou atenção não foi o resultado em si. Foi o método. Lu não montou um cluster acadêmico nem coordenou uma equipe de criptógrafos. Ele usou agentes de IA para configurar, otimizar e rodar o pipeline inteiro.

Stephen Weis e o RSA-896: Claude entra no jogo

Dezesseis dias. Esse foi o intervalo entre o recorde de Lu e o novo recorde de Stephen Weis, que fatorou o RSA-896, um número de 270 dígitos e 896 bits. Weis é engenheiro da Anthropic, a empresa que criou o Claude.

O que Weis fez:

1. Usou o Claude para portar o CADO-NFS (a implementação open source mais usada do GNFS) para rodar em GPUs
2. Claude otimizou os parâmetros do sieve, um processo que normalmente exige semanas de trabalho manual de especialistas em teoria dos números
3. Orquestrou uma frota de até 2.048 GPUs simultaneamente
4. O cálculo inteiro levou aproximadamente 10 dias
5. Consumiu cerca de 30 GPU-anos de computação total

O papel do Claude não foi “pressionar um botão e esperar”. Ele atuou como colaborador técnico: navegou o espaço de parâmetros, portou código para arquiteturas diferentes, e coordenou o workload distribuído. Basicamente, fez em dias o que um time pequeno de matemáticos levaria meses para configurar.

GNFS: o algoritmo por trás dos recordes

Tanto Lu quanto Weis usaram o General Number Field Sieve. Não existe nenhum algoritmo novo aqui, nenhum atalho mágico. O GNFS é conhecido desde 1993 e continua sendo o método mais eficiente para fatorar números com mais de ~100 dígitos.

O processo funciona, de forma simplificada, em quatro etapas:

1. Seleção de polinômios: escolher polinômios que definem os “number fields” usados no sieve. A qualidade dessa escolha afeta drasticamente a performance.
2. Sieving (peneiramento): buscar relações entre elementos dos number fields. Essa é a parte que consome mais computação, e é paralelizável.
3. Álgebra linear: montar e resolver um sistema linear massivo sobre GF(2) (campo finito com dois elementos). Aqui é onde a memória vira gargalo.
4. Raiz quadrada: combinar os resultados para obter os fatores primos.

A parte 1 é onde a IA brilhou. Escolher bons polinômios e configurar os parâmetros do sieve requer experiência profunda em teoria dos números. É o tipo de tarefa que um PhD em criptografia levaria semanas ajustando manualmente, testando combinações, analisando resultados parciais e recalibrando. Claude essencialmente automatizou essa expertise: explorou o espaço de parâmetros sistematicamente, avaliou os resultados e convergiu para configurações ótimas numa fração do tempo.

A parte 2, o sieving, é computação bruta. É aqui que as 2.048 GPUs entraram em cena, rodando em paralelo por dias. Claude não apenas configurou o cálculo, mas portou o CADO-NFS (que foi originalmente escrito para CPUs) para rodar eficientemente em GPUs. Isso por si só é um feito de engenharia: adaptar um codebase acadêmico complexo para uma arquitetura completamente diferente.

A corrida IA vs. IA na criptografia

O que torna essa história fascinante não é que um número grande foi fatorado. Isso é esperado: computadores ficam mais rápidos, e eventualmente números maiores caem. O que surpreende é a dinâmica.

Temos duas empresas de IA, Cognition e Anthropic, usando seus próprios modelos para competir em quem quebra recordes de criptografia mais rápido. Devin contra Claude. E os dois estão ganhando.

Olha a progressão:

De 11 anos entre recordes para 16 dias. A IA não inventou matemática nova, mas comprimiu brutalmente o tempo de engenharia.

Sua chave RSA está segura?

A resposta curta: se você usa RSA-2048 ou maior, sim. Pode respirar.

A resposta longa: cada bit adicional no tamanho da chave roughly dobra a dificuldade de fatoração. Ir de 896 bits para 2048 bits não é “um pouco mais difícil”. É astronomicamente mais difícil. Para ter uma ideia:

• RSA-896 (896 bits): fatorado com ~30 GPU-anos
• RSA-2048 (2048 bits): estimativa de 2^34 (aproximadamente 10 trilhões) vezes mais esforço que RSA-260

Ninguém vai fatorar RSA-2048 com GPUs convencionais tão cedo. Nem com IA. O algoritmo simplesmente não escala assim.

Mas tem um porém: chaves de 1024 bits estão na zona de perigo. A comunidade criptográfica já considerava 1024 bits potencialmente vulnerável a adversários com recursos estatais. Agora, com IA acelerando o pipeline, esse “potencialmente” ficou mais concreto.

Recomendação prática:
- RSA-2048: seguro para uso geral
- RSA-4096: recomendado para dados sensíveis de longo prazo
- RSA-1024: migre AGORA se ainda estiver usando
- RSA abaixo de 1024: você já deveria ter migrado ontem

O que muda com IA na criptografia

O impacto real não é no algoritmo. É na engenharia. Veja o que a IA fez nesse caso:

Antes (sem IA):

• Time de 5 a 10 pesquisadores
• Meses para selecionar parâmetros
• Código otimizado manualmente para cada hardware
• Coordenação manual de clusters
• Resultado: um paper acadêmico 2 anos depois

Agora (com IA):

• Um engenheiro + um modelo de IA
• Parâmetros otimizados automaticamente
• Código portado para GPUs pelo próprio modelo
• Orquestração automatizada
• Resultado: recorde em 10 dias

Isso não significa que RSA “morreu”. Significa que a barreira de entrada para fatoração caiu. Antes, você precisava de um departamento de matemática de uma universidade top. Agora, um engenheiro com acesso a GPUs e um bom modelo de IA consegue competir.

E isso tem implicações além do RSA. Qualquer problema computacional que depende de “é difícil demais para alguém se dar ao trabalho” precisa ser reavaliado. A IA está mudando o cálculo de custo-benefício de ataques.

Pense em logs de criptografia, certificados auto-assinados em dispositivos embarcados, VPNs corporativas com configurações legadas. Muitos desses sistemas foram projetados numa época em que “ninguém teria recursos para fatorar isso” era uma premissa válida. Essa premissa está expirando mais rápido do que os próprios certificados.

“The AI assistance accelerated and optimized the classical approach rather than replacing it with something exotic.” (CryptoBriefing)

Ou seja: não precisamos de uma revolução algorítmica para ter problemas. Basta que a IA continue otimizando o que já existe.

O prêmio que nunca será pago

O RSA Factoring Challenge oferecia US$ 75 mil para quem fatorasse o RSA-896. Mas a competição encerrou em 2007, então Weis não vai ver esse dinheiro.

É irônico: o prêmio existia como incentivo porque ninguém achava que seria fatorado tão cedo. Em 2007, quando encerraram o desafio, RSA-896 parecia impossível para os próximos 20 anos. Em 2026, bastou um modelo de linguagem, 2.048 GPUs e pouco mais de uma semana.

Aliás, o prêmio para o RSA-1024 era US$ 100 mil, e para o RSA-2048 era US$ 200 mil. Se a competição ainda estivesse ativa, teríamos startups de IA competindo para faturar esses valores. O ROI seria absurdo considerando que o custo de computação para o RSA-896 provavelmente ficou abaixo do prêmio original.

O custo de fatoração do RSA-260 foi estimado em US$ 400 mil. Weis não divulgou quanto gastou no RSA-896, mas assumindo proporcionalidade (o que é uma simplificação), provavelmente ficou na casa de US$ 500 mil a US$ 1 milhão. Dinheiro de startup, não de estado-nação.

Pós-quantum: a sombra que ninguém ignora

Se IA clássica já está acelerando a fatoração assim, imagina o que acontece quando computadores quânticos entrarem no jogo.

O algoritmo de Shor, executado em um computador quântico com qubits suficientes, fatoraria RSA-2048 em horas. Não estamos lá ainda (os melhores computadores quânticos em 2026 têm milhares de qubits ruidosos, longe dos milhões necessários), mas a tendência é clara.

Por isso o NIST já padronizou algoritmos pós-quânticos:

• ML-KEM (antigo CRYSTALS-Kyber): para troca de chaves
• ML-DSA (antigo CRYSTALS-Dilithium): para assinaturas digitais
• SLH-DSA (antigo SPHINCS+): assinaturas baseadas em hash

Se você está projetando sistemas novos em 2026, deveria estar usando criptografia pós-quântica (técnicas como a criptografia homomórfica do Google HEIR também ajudam) ou, no mínimo, um esquema híbrido. O Chrome e o Firefox já suportam ML-KEM em TLS 1.3. A migração já começou.

O próximo alvo: RSA-1024

Com RSA-896 fatorado, o próximo marco simbólico é o RSA-1024 (309 dígitos). Historicamente, a comunidade criptográfica tratava 1024 bits como “teoricamente vulnerável mas praticamente seguro”. Essa narrativa está erodindo rápido.

Quanto custaria fatorar RSA-1024 hoje? Estimativas variam, mas considerando a curva de aceleração que vimos:

• Em 2020, fatorar RSA-250 (829 bits) foi um projeto multi-anual
• Em 2026, RSA-896 levou 10 dias
• RSA-1024 provavelmente exigiria 100x a 1000x mais computação que RSA-896

Com GPUs ficando mais baratas e IA otimizando o pipeline, RSA-1024 pode cair antes de 2030. Se a sua infraestrutura ainda depende de chaves de 1024 bits, o relógio está correndo.

O que fazer agora

Para quem trabalha com segurança, a lista é simples:

1. Audite suas chaves RSA: procure qualquer coisa abaixo de 2048 bits. Servidores antigos, certificados legados, dispositivos IoT
2. Migre para RSA-2048 no mínimo: RSA-4096 se o cenário exigir proteção de longo prazo
3. Avalie criptografia pós-quântica: especialmente para dados que precisam ficar seguros por 10+ anos (harvest now, decrypt later)
4. Monitore os recordes de fatoração: a velocidade com que eles estão caindo é um indicador direto da saúde das suas chaves

A IA não quebrou a criptografia (embora já tenha decifrado códigos de 370 anos em 44 minutos). Mas ela mostrou que a distância entre “teoricamente possível” e “praticamente viável” está encolhendo mais rápido do que qualquer um previa. E quando esse gap fecha, a gente descobre que muita infraestrutura crítica dependia dele pra funcionar.

Dois recordes em 16 dias. Se a tendência continuar nesse ritmo, daqui a 2 anos essa conversa vai ser sobre RSA-1024. E aí, sim, muita gente vai precisar trocar chaves às pressas.

—

Fonte de inspiração: RSA-896 (saweis.net) e RSA-896 factored with AI assistance (CryptoBriefing)