Un défi mathématique vieux de 35 ans vient de tomber. Le 3 septembre 2026, l’ingénieur Eric Lu, qui travaille chez la start-up américaine d’IA Cognition, a publié sur X un facteur premier de 130 chiffres qui divise RSA-260, un nombre de 260 chiffres (862 bits) resté intact depuis le lancement du RSA Factoring Challenge en 1991. Six jours plus tard, Cognition détaillait la méthode sur son blog technique : environ 4 900 GPU-jours de calcul, trois semaines d’exécution, et une facture estimée à 400 000 dollars. Ce record bat celui de RSA-250, qui tenait depuis février 2020.
L’événement relance un débat que les cryptographes connaissent bien : la frontière entre un exploit de calcul classique et une vraie menace pour le chiffrement RSA tel qu’il est déployé aujourd’hui. Sur le papier, RSA-260 reste loin de RSA-2048, la taille de clé qui protège encore la majorité du trafic HTTPS, des cartes bancaires et de nombreuses infrastructures publiques en France. Mais l’écart se resserre plus vite que prévu, et l’implication d’un agent de codage IA dans le pipeline de calcul ajoute une dimension nouvelle à l’histoire.
Le RSA Factoring Challenge, un défi vieux de 35 ans
Le RSA Factoring Challenge a été lancé en 1991 par RSA Security pour inciter la communauté scientifique à mesurer la résistance réelle de l’algorithme RSA face au calcul distribué. Le principe est simple à énoncer : publier un grand nombre entier, produit de deux nombres premiers inconnus, et laisser le monde entier tenter de retrouver ces deux facteurs. Chaque succès donne une mesure concrète de ce qu’il faut de temps, de machines et d’argent pour casser une taille de clé donnée.
Le premier numéro tombé, RSA-100, a cédé en avril 1991 grâce à un crible quadratique à plusieurs polynômes tournant sur un supercalculateur parallèle MasPar, sous la direction du mathématicien Arjen Lenstra. Trois ans plus tard, RSA-129 tombait à son tour après une campagne de calcul distribué mobilisant environ 600 volontaires et 1 600 machines connectées à Internet pendant huit mois. Depuis, chaque record a demandé une génération d’algorithmes plus efficaces, notamment le crible général sur corps de nombres (GNFS), qui reste la méthode de référence pour factoriser de grands nombres composés de deux facteurs premiers proches en taille.
Cognition et Eric Lu : qui a réalisé cet exploit
Cognition n’est pas un laboratoire de cryptographie académique. La start-up californienne s’est fait connaître pour Devin, présenté comme l’un des premiers agents de codage IA capables de mener des tâches d’ingénierie de bout en bout de façon autonome. C’est dans ce contexte que l’ingénieur Eric Lu, identifié sous le pseudonyme @penlume sur X, a mené le calcul qui a abouti à la factorisation de RSA-260.
Le facteur de 130 chiffres publié le 3 septembre a été vérifié presque immédiatement par la communauté : diviser RSA-260 par ce nombre donne exactement un second facteur premier, lui aussi long de 130 chiffres. Le produit des deux reconstitue bien le nombre original. Les registres publics de records de factorisation d’entiers, ainsi que la page Wikipédia consacrée aux nombres RSA, ont enregistré la performance avec la date du 3 septembre 2026 et l’attribution à Eric Lu chez Cognition.
Le rôle de Devin, l’agent de codage IA, dans le pipeline de calcul
Ce qui distingue RSA-260 des records précédents, c’est la présence d’un agent de codage IA dans la chaîne d’outillage. Plusieurs comptes-rendus techniques indiquent que Devin a participé à l’orchestration du pipeline de calcul, notamment à l’adaptation et au réglage fin du logiciel de crible utilisé pour la phase la plus lourde du calcul. Le blog technique de Cognition présente cet aspect comme une démonstration que l’automatisation logicielle assistée par IA peut désormais accélérer des tâches d’ingénierie numérique très spécialisées, jusqu’ici réservées à des équipes de cryptographes chevronnés.
Cette dimension change la lecture de l’événement. Un record de factorisation n’est plus seulement une question de puissance de calcul brute. Il devient aussi une question de vitesse d’itération logicielle, un domaine où les outils d’IA générative progressent vite. Reste à savoir si cette accélération se généralise à d’autres calculs cryptographiques ou si elle reste circonscrite à un cas d’usage précis, bien balisé par des décennies de littérature sur le GNFS.
GNFS et CADO-NFS : la mécanique derrière le record
Le calcul a mobilisé une version fortement modifiée et accélérée par GPU du logiciel libre CADO-NFS, une implémentation de référence du crible général sur corps de nombres. Le GNFS fonctionne en deux grandes étapes. D’abord une phase de crible, qui cherche des relations numériques exploitables parmi des millions de candidats, puis une phase d’algèbre linéaire à très grande échelle, qui résout un système creux comportant des centaines de millions d’inconnues pour en extraire les facteurs premiers.
Historiquement, cette seconde étape tournait sur des clusters de CPU pendant des mois. L’apport principal de l’équipe de Cognition a consisté à porter une bonne partie de ces calculs sur GPU, un choix qui paie sur le plan du temps mais aussi du coût, dans un contexte où le marché du calcul GPU est très liquide et facilement loué à la demande auprès des fournisseurs cloud.
Les chiffres de l’exploit : 4 900 GPU-jours et environ 400 000 dollars
Le calcul complet a consommé environ 4 900 GPU-jours, soit à peu près 13,5 GPU-années ramenées à une seule machine. Étalé sur du matériel loué en parallèle, ce volume de calcul a tenu en trois semaines de temps réel. Une estimation évoque un coût de l’ordre de 400 000 dollars aux tarifs actuels du marché GPU, ce qui reste très inférieur aux budgets historiquement associés aux grands records de factorisation, portés par des consortiums universitaires internationaux étalés sur plusieurs mois.
C’est ce ratio coût/résultat qui inquiète une partie de la communauté. RSA-260 ne casse aucune clé utilisée en production, mais il montre qu’un budget à six chiffres et une poignée de semaines suffisent désormais à repousser la limite publique de la factorisation classique, sans passer par un laboratoire national ou un supercalculateur dédié.
RSA-260 face à RSA-250 : pourquoi dix chiffres changent tout
RSA-250 avait cédé en février 2020, avec ses 250 chiffres décimaux et 829 bits. RSA-260 n’ajoute que dix chiffres décimaux et 33 bits supplémentaires. La différence paraît anecdotique, elle ne l’est pas. La difficulté du GNFS croît de façon super-polynomiale avec la taille du nombre à factoriser, ce qui veut dire que chaque bit supplémentaire alourdit le calcul de façon disproportionnée par rapport à l’ajout précédent.
Le tableau ci-dessous replace RSA-260 dans la chronologie des grands records du RSA Factoring Challenge, du premier numéro tombé en 1991 jusqu’à aujourd’hui.
| Numéro RSA | Chiffres décimaux | Taille en bits | Année de factorisation | Méthode |
|---|---|---|---|---|
| RSA-100 | 100 | 330 bits | 1991 | Crible quadratique (MasPar) |
| RSA-129 | 129 | 426 bits | 1994 | Crible quadratique distribué |
| RSA-200 | 200 | 663 bits | 2005 | GNFS |
| RSA-768 | 232 | 768 bits | 2009 | GNFS (équipe menée par Thorsten Kleinjung) |
| RSA-250 | 250 | 829 bits | 2020 | GNFS |
| RSA-260 | 260 | 862 bits | 2026 | GNFS + CADO-NFS accéléré par GPU |
Cette chronologie montre un rythme d’à peu près un record tous les cinq à quinze ans depuis 1991, avec une accélération nette portée par le calcul GPU sur la dernière décennie. Pour comparaison avec les autres briques du chiffrement asymétrique, notre comparatif RSA/ECC face à la cryptographie post-quantique détaille où se situent aujourd’hui les tailles de clés réellement déployées.
RSA-2048 reste-t-il sûr après ce record ?
La réponse tient en une phrase répétée par la quasi-totalité des commentateurs techniques depuis le 3 septembre : factoriser RSA-260 ne signifie pas que RSA-2048 est en danger. RSA-2048 correspond à environ 617 chiffres décimaux, soit plus du double de RSA-260. Compte tenu de la croissance super-polynomiale du coût de calcul du GNFS, l’écart entre 862 bits et 2 048 bits représente plusieurs ordres de grandeur de puissance de calcul supplémentaire, hors de portée de toute infrastructure GPU commerciale actuelle.
Ce qui inquiète davantage les experts, c’est la trajectoire. RSA-260 confirme que la marge de sécurité offerte par les tailles de clés RSA les plus anciennes s’érode plus vite que le calendrier de migration de nombreuses organisations. Une architecture qui utilise encore du RSA-1024, une taille abandonnée par les standards depuis plus de dix ans, ou même du RSA-2048 mal configuré, se rapproche mécaniquement de la zone de danger à mesure que les records classiques progressent. Notre analyse de la faille RSA Bleichenbacher dans Libgcrypt, corrigée neuf ans après sa découverte, illustre à quel point les implémentations RSA vieillissantes restent un point faible concret, indépendamment des records de factorisation.
Ce que recommandent l’ANSSI et le NIST pour la taille des clés RSA
Les référentiels officiels n’ont pas attendu RSA-260 pour fixer un calendrier de sortie progressive des petites tailles de clés RSA. En France, l’ANSSI précise dans ses recommandations de sécurité que la taille minimale des clés RSA est fixée à 2 048 bits jusqu’à fin 2030, avec un passage obligatoire à 3 072 bits à partir de 2031 pour les produits évalués. Le NIST américain, via le document SP 800-57 Part 1 Revision 5, associe RSA-2048 à un niveau de sécurité d’environ 112 bits, jugé acceptable jusqu’en 2030 mais déjà considéré comme un strict minimum pour les nouveaux déploiements, qui devraient viser RSA-3072 ou plus.
| Période | Taille RSA minimale ANSSI | Niveau NIST équivalent | Statut |
|---|---|---|---|
| Jusqu’à 2030 | 2 048 bits | ~112 bits de sécurité | Accepté, mais déconseillé pour les nouveaux systèmes |
| 2031 – 2034 | 3 072 bits | ~128 bits de sécurité | Minimum imposé pour les produits évalués |
| Après 2035 | RSA en phase de retrait | Migration post-quantique attendue | RSA classique déconseillé pour les nouveaux systèmes fédéraux américains |
Le message des deux autorités converge : RSA-2048 tient encore la route à court terme, mais il n’est plus recommandé pour un système que l’on conçoit aujourd’hui pour durer une décennie. Les entreprises qui gèrent des certificats de longue durée de vie, des infrastructures à clé publique internes ou des systèmes embarqués difficiles à mettre à jour ont tout intérêt à basculer vers RSA-3072 ou vers des courbes elliptiques équivalentes dès maintenant plutôt que d’attendre l’échéance réglementaire.
La menace quantique : Shor, Craig Gidney et les nouvelles estimations de qubits
RSA-260 est un record de calcul classique, obtenu sans le moindre ordinateur quantique. Mais il relance mécaniquement la question de l’autre menace qui pèse sur RSA : l’algorithme de Shor, capable en théorie de factoriser de grands nombres en temps polynomial sur un ordinateur quantique suffisamment grand et suffisamment stable. En mai 2025, le chercheur Craig Gidney, de Google Quantum AI, a publié un article de référence estimant qu’un ordinateur quantique doté de moins d’un million de qubits physiques bruités pourrait factoriser RSA-2048 en moins d’une semaine, une division par plus de dix du besoin en qubits estimé quelques années plus tôt.
Des travaux plus récents, publiés en 2026 et s’appuyant sur des codes correcteurs d’erreurs de type LDPC ou sur des architectures à atomes neutres reconfigurables, avancent des besoins encore plus bas, de l’ordre de 10 000 à 13 000 qubits physiques dans certaines configurations, au prix d’un temps de calcul allongé à plusieurs centaines de jours. Sur le plan des qubits logiques, la fourchette la plus citée se situe entre 1 400 et 1 700 qubits logiques pour casser RSA-2048, selon les optimisations de circuit retenues.
Ces chiffres restent des projections théoriques. Aucun ordinateur quantique en service en 2026 n’approche ces volumes de qubits stables et corrigés d’erreurs. Mais la tendance est claire : les estimations baissent d’année en année, à mesure que les architectures matérielles et les optimisations algorithmiques progressent en parallèle. Notre article sur la percée de Google sur la cryptographie à courbes elliptiques détaille un phénomène comparable côté ECC, l’autre pilier du chiffrement asymétrique moderne.
Calcul classique contre ordinateur quantique : deux menaces, deux calendriers
Il est utile de séparer clairement les deux fronts, car ils avancent à des vitesses différentes et appellent des réponses différentes. Le front classique, illustré par RSA-260, progresse essentiellement grâce à des gains d’ingénierie logicielle et à la baisse du coût du calcul GPU. Il menace en priorité les tailles de clés déjà jugées faibles, RSA-1024 et en-dessous, ainsi que les implémentations mal configurées de RSA-2048.
Le front quantique, lui, menace potentiellement l’ensemble du chiffrement RSA et ECC tel qu’il est déployé aujourd’hui, y compris RSA-3072 ou RSA-4096, dès lors qu’un ordinateur quantique suffisamment stable existera. C’est justement parce que ce second front avance plus vite que prévu sur le papier, sans encore se matérialiser en pratique, que les autorités poussent une migration anticipée vers la cryptographie post-quantique plutôt que d’attendre une preuve de faisabilité opérationnelle. Notre tutoriel sur le chiffrement RSA hybride montre comment combiner RSA classique et mécanismes post-quantiques en attendant une transition complète.
Impact pour les entreprises européennes : TLS, VPN, cartes à puce et blockchain
Concrètement, RSA-260 n’oblige aucune entreprise européenne à changer ses certificats TLS du jour au lendemain. La quasi-totalité des sites web, VPN d’entreprise et cartes bancaires à puce reposent sur RSA-2048 ou RSA-3072, très loin de la zone atteinte par ce record. En revanche, l’événement remet en lumière trois catégories de systèmes à risque réel : les équipements industriels ou embarqués figés sur du RSA-1024 faute de mise à jour possible, les infrastructures à clé publique internes héritées des années 2000, et certains portefeuilles de cryptomonnaies anciens qui utilisent encore des schémas de signature affaiblis.
Pour les responsables sécurité, le signal le plus utile de RSA-260 n’est pas technique mais organisationnel : le rythme des records de factorisation, classique comme quantique, s’accélère plus vite que la plupart des feuilles de route de migration internes. Un inventaire cryptographique à jour, mesurant précisément où et comment RSA est utilisé dans le système d’information, devient un prérequis avant même de discuter du calendrier de bascule vers des algorithmes post-quantiques comme ML-KEM.
Ce que dit la communauté des chercheurs en cryptographie
Les analystes qui ont commenté l’annonce depuis le 3 septembre insistent tous sur le même point : il s’agit d’un jalon psychologique plutôt que d’une rupture technique. La barre publique de factorisation passe de 829 à 862 bits en une seule campagne de calcul relativement courte, portée par un seul ingénieur et une start-up qui n’est pas un laboratoire de cryptographie traditionnel. Plusieurs commentateurs y voient un signal que la disponibilité massive de calcul GPU loué à la demande, combinée à des outils d’automatisation logicielle plus performants, réduit la barrière d’entrée pour repousser ce type de record, même si la difficulté mathématique sous-jacente reste, elle, inchangée.
Prédictions : ce qui va probablement changer d’ici 2030
- Un nouveau record de factorisation classique, RSA-270 ou au-delà, est probable avant 2030, porté par la poursuite de la baisse du coût du calcul GPU et par l’amélioration des logiciels de crible.
- La pression réglementaire va s’intensifier avant l’échéance ANSSI de 2031 pour le passage à RSA-3072, avec une multiplication attendue des audits d’inventaire cryptographique dans les grandes entreprises françaises et européennes.
- Les estimations de ressources quantiques nécessaires pour casser RSA-2048 devraient continuer de baisser à mesure que de nouvelles architectures de correction d’erreurs, comme les codes LDPC, sont publiées et affinées.
- Les outils d’IA générative et les agents de codage autonomes devraient être de plus en plus associés à des tâches de calcul scientifique lourd, brouillant la frontière entre performance logicielle et performance purement algorithmique dans ce type de records.
- Les fournisseurs de certificats et les grands opérateurs cloud devraient accélérer leurs offres de certificats hybrides RSA/post-quantique pour anticiper à la fois la menace classique et la menace quantique.
Comment vérifier l’exposition de votre organisation
Un audit rapide d’exposition passe généralement par un inventaire des certificats et clés RSA actifs. La commande suivante, exécutable avec OpenSSL, permet de lire la taille de clé d’un certificat existant :
openssl x509 -in certificat.pem -noout -text | grep "Public-Key"Toute sortie affichant “Public-Key: (1024 bit)” signale une clé à remplacer en priorité absolue, indépendamment de tout calendrier réglementaire. Une sortie à 2048 bits reste acceptable à court terme selon l’ANSSI, mais doit figurer sur la feuille de route de migration vers 3072 bits avant 2031. Pour un panorama plus large des tailles de clés et de leur résistance comparée, notre bilan des recommandations ENISA sur RSA sous 3000 bits détaille les seuils retenus à l’échelle européenne.
Foire aux questions
RSA-260 a-t-il été factorisé avec un ordinateur quantique ?
Non. Le calcul repose entièrement sur des méthodes classiques, le crible général sur corps de nombres (GNFS), exécutées sur des GPU commerciaux via une version modifiée du logiciel CADO-NFS. Aucun ordinateur quantique n’est intervenu dans cette factorisation.
Est-ce que RSA-2048 est désormais menacé ?
Non, pas directement. RSA-2048 correspond à environ 617 chiffres décimaux, contre 260 pour le record qui vient de tomber. L’écart en puissance de calcul nécessaire reste de plusieurs ordres de grandeur, hors de portée du calcul classique commercial actuel.
Qui a réalisé la factorisation de RSA-260 ?
L’ingénieur Eric Lu, employé de la start-up américaine Cognition, connue pour son agent de codage IA Devin. Le facteur premier a été publié le 3 septembre 2026 sur X, avec un compte-rendu technique complet sur le blog de Cognition le 9 septembre 2026.
Combien a coûté ce calcul ?
Les estimations disponibles évoquent environ 400 000 dollars de calcul GPU loué, pour un total d’environ 4 900 GPU-jours répartis sur trois semaines de calcul en parallèle.
Quelle taille de clé RSA dois-je utiliser en 2026 ?
L’ANSSI autorise RSA-2048 jusqu’à fin 2030 pour les usages existants, mais recommande RSA-3072 pour tout nouveau système. Le NIST tient une position équivalente, avec un passage obligatoire à des équivalents 128 bits de sécurité après 2030.
Qu’est-ce que le GNFS ?
Le crible général sur corps de nombres (General Number Field Sieve) est l’algorithme le plus efficace connu à ce jour pour factoriser de grands nombres composés de deux facteurs premiers de taille comparable, comme les modules RSA. Il combine une phase de crible et une phase d’algèbre linéaire à grande échelle.
Un agent de codage IA peut-il casser du chiffrement tout seul ?
Pas directement. Dans le cas de RSA-260, l’agent Devin a servi à orchestrer et optimiser le pipeline logiciel de calcul, pas à concevoir une nouvelle méthode mathématique de factorisation. La difficulté mathématique du GNFS reste inchangée, seule la vitesse d’ingénierie logicielle a progressé.
Faut-il migrer vers la cryptographie post-quantique dès maintenant ?
Pour les systèmes à durée de vie longue ou difficiles à mettre à jour, oui, une évaluation s’impose sans attendre les échéances réglementaires de 2027-2030. Pour les systèmes courants déjà en RSA-2048 ou RSA-3072, une migration planifiée d’ici 2030-2031 reste suffisante selon les recommandations actuelles de l’ANSSI et du NIST.
