Devin fatora RSA-260 em GPUs por $400 mil, 10 vezes mais barato que recorde anterior

Um pesquisador da Cognition utilizou agentes Devin para fatorar em números primos o RSA-260, composto por 260 dígitos decimais. Trata-se de um novo recorde entre os problemas resolvidos publicamente no RSA Factoring Challenge: o marco anterior, o RSA-250, havia sido estabelecido em fevereiro de 2020. Os cálculos consumiram cerca de 4 900 GPU-dias (13,5 GPU-anos) e custaram por volta de $400 mil a preços de mercado. Segundo o autor, o custo ficou 10 vezes abaixo do nível de referência público anterior.

O autor ressalta que não houve avanços algorítmicos inéditos. Foi empregado o General Number Field Sieve (GNFS), método mais eficiente conhecido para números com mais de aproximadamente 100 dígitos. A base foi o CADO-NFS, profundamente reestruturado. O ganho veio, segundo ele, da "boa e velha engenharia de desempenho" voltada à arquitetura de memória das GPUs. Não houve uso de computadores quânticos, nem tentativas de adivinhar primos de 130 dígitos manualmente.

De onde veio a capacidade computacional

Os clusters da Cognition para treinamento e inferência de LLMs são formados por racks NVL72, cada um nominalmente equipado com 18 computadores interligados por NVLink de alta velocidade. O orquestrador distribui as tarefas nos racks e frequentemente deixa nós ociosos: reservas para tolerância a falhas, tarefas pares distribuídas em números ímpares de máquinas ou 17 nós alocados em vez de 18. No total, essa folga representa uma porcentagem de um dígito de toda a capacidade.

O pesquisador configurou o orquestrador para preencher essas lacunas com jobs de nó único e prioridade mínima. Faltava apenas uma carga de trabalho que pudesse ser interrompida a qualquer instante. O crivo de reticulados se encaixou perfeitamente: ele se divide em bilhões de pequenas unidades de trabalho e tolera desalocação imediata sem perda de integridade. Todos os recordes públicos anteriores de GNFS rodavam essa etapa exclusivamente em CPUs, já que desvios condicionais e acessos desordenados à memória costumavam inviabilizar o uso eficiente de GPUs.

Como o Devin operou

O prompt inicial foi enviado em 13 de agosto, às 0:11:58 no horário do Pacífico. A tarefa: criar um substituto direto em GPU para o crivo de CPU las, do CADO-NFS, superando o desempenho original. Duas horas depois, o autor acrescentou o requisito de suportar parâmetros do RSA-250 e foi dormir. Pela manhã, após mais sete horas de iterações, o Devin concluiu a implementação.

A partir daí, os agentes otimizaram o restante do pipeline. Ao longo de três semanas, a média foi de 3 sessões simultâneas, atingindo um pico de 18. O autor intervinha a cada duas horas. O Devin formulou experimentos por conta própria, calibrou parâmetros do crivo e da álgebra linear, corrigiu bugs no código e disparou as execuções no cluster. O autor admite não dominar a matemática avançada por trás do processo e descreve seu papel como direcionamento de prioridades, condução de benchmarks e correção de desvios estratégicos.

Quase todos os componentes foram reescritos: uma versão em GPU para a primeira etapa de seleção de polinômios, o crivo em GPU glas, rotinas aceleradas de dup/purge e merge/replay, uma nova implementação em GPU do algoritmo de Wiedemann em blocos e uma rotina GPU-sqrt. Apenas cado-nfs.py, polyselect_ropt, makefb e dup1 permaneceram inalterados.

Os números do projeto

• Cerca de 4 900 GPU-dias no total, somando aproximadamente $400 mil.
• Seleção de polinômios: 643 GPU-dias (número atipicamente alto devido a erros operacionais).
• Crivo: 3 813 GPU-dias.
• Álgebra linear: 467 GPU-dias, com cerca de 7% perdidos por falhas e interrupções por tarefas prioritárias.
• Obtenção de 8,3 bilhões de relações lineares sobre GF(2).
• Processamento executado usando frações percentuais mínimas da capacidade do cluster, sem gerar custo marginal.

O impacto nas chaves reais

Pela escala padrão do GNFS, o RSA-1024 exige apenas 78 vezes mais poder computacional do que o RSA-260. O autor estima o custo em cerca de $30 milhões por chave e admite que refinamentos adicionais possam cortar essa cifra pela metade. Provedores de hiperescala e grandes laboratórios de AI teriam capacidade teórica para executar tal esforço. No entanto, o RSA de 1024 bits foi classificado como obsoleto ainda em 2013, e suspeitas sobre o domínio dessa capacidade por agências de inteligência circulam desde meados dos anos 2000.

Já o RSA-2048, padrão atual da indústria, segue cerca de 1 bilhão de vezes mais complexo que o RSA-1024 e não foi afetado pelo estudo. Três fatores mudaram: o custo, o perfil de quem pode executar o ataque (GPUs comuns substituem hardware dedicado) e a constatação de que otimizações de fatoração deixaram de exigir equipes exclusivas de criptógrafos.

O que as equipes devem fazer

Equipes de segurança devem auditar sistemas para garantir que chaves e certificados de 1024 bits não permaneçam em produção, incluindo dispositivos embarcados e serviços legados internos. Nesses casos, a migração já está atrasada há anos. Para chaves de 2048 bits não há urgência imediata, mas o resultado deve ser incorporado aos modelos de ameaça que envolvem dados com longo ciclo de retenção.

Para times de engenharia e pesquisa, a lição é mais ampla. Tarefas desalocáveis de nó único conseguem monetizar sobras fragmentadas de infraestrutura. Ao mesmo tempo, agentes de codificação autônomos demonstraram aptidão para unir teoria matemática densa e otimização pesada em GPU — combinação que antes exigia equipes inteiras de especialistas dedicadas por meses.