OpenAI vient de publier une collection hors norme de manuscrits mathématiques produits par un modèle interne. Parmi eux figurent des résultats sur la factorisation quantique, les courbes elliptiques, les nombres premiers et la théorie de la complexité. Faut-il y voir une menace immédiate pour RSA, les PKI ou le Zero Trust ? Non. Mais ce serait une erreur tout aussi grave de n’y voir qu’une curiosité académique.
| Avant toute chose : il s’agit de préprints. La collection de référence utilisée pour cet article comptait 722 manuscrits répartis en 372 familles de résultats. OpenAI précise que leur niveau de vérification est variable et que tous ne disposent pas d’une formalisation Lean. Le nombre de manuscrits peut évoluer avec les révisions du dépôt. Ces textes doivent donc être lus comme des résultats annoncés, à examiner par la communauté, et non comme 722 théorèmes déjà validés par les pairs. |
Instantané du dépôt annonçant 722 manuscrits
1. Ce qu’OpenAI a réellement publié
Le dépôt openai/math ne contient pas 722 variantes d’un même article. Il regroupe des manuscrits dans 372 « familles de résultats », chaque famille pouvant réunir un résultat principal, des démonstrations alternatives, des conséquences ou des artefacts de vérification. Les domaines couverts vont de la théorie des nombres à la géométrie algébrique, en passant par la logique, la combinatoire, l’analyse et l’informatique théorique.
Pour la cybersécurité, six familles méritent une attention particulière :
| Famille | Résultat annoncé | Lien avec la cyber | Impact direct |
| 279 | Factorisation quantique exacte sur un jeu fini de portes | RSA et mécanismes fondés sur la factorisation | À surveiller |
| 002 / 006 | Résultats autour de Birch–Swinnerton-Dyer et des rangs de courbes elliptiques | Proximité avec l’ECC, mais problème différent | Aucun cassage |
| 029 | Conjecture d’Artin sur les racines primitives | Structure multiplicative des corps finis | Indirect |
| 011 | Statistique des facteurs premiers de p − 1 | Choix de groupes et Pohlig–Hellman | Indirect |
| 103 | L = RL = BPL | Place de l’aléa en mémoire logarithmique | Théorique |
| 112 / 274 | Bornes de circuits classiques et quantiques | Capacités de modèles restreints | Théorique |
La bonne question n’est donc pas « OpenAI a-t-il cassé la cryptographie ? », mais plutôt : ces résultats abaissent-ils le coût d’une attaque, invalident-ils une hypothèse de sécurité, ou accélèrent-ils le passage d’une idée mathématique à un outil exploitable ?
| La grille de lecture à conserver Un théorème n’est pas automatiquement un algorithme ; un algorithme n’est pas automatiquement une implémentation ; une implémentation n’est pas automatiquement une attaque économiquement réaliste. Pour produire un risque cyber, il faut franchir toute cette chaîne — et parfois disposer d’un matériel qui n’existe pas encore. |
2. Factorisation quantique exacte : RSA tombe-t-il davantage ?
Le résultat le plus directement lié à la cryptographie est la famille 279, intitulée Exact quantum factoring over a fixed finite gate set. Le manuscrit annonce une famille uniforme de circuits quantiques, de taille et de nombre de qubits polynomiaux, produisant avec probabilité 1 la décomposition complète d’un entier en facteurs premiers, en utilisant un jeu fini de portes fixé une fois pour toutes.
Ce que signifie « exact »
L’algorithme de Shor a déjà établi que la factorisation peut être effectuée en temps polynomial sur un ordinateur quantique. Dans sa présentation habituelle, certaines étapes sont probabilistes : une exécution peut ne pas fournir l’information recherchée, mais la répétition permet d’amplifier la probabilité de succès. Le nouveau manuscrit prétend fermer cet écart en obtenant un résultat exact — succès avec probabilité 1 — tout en restant polynomial et en se limitant à un jeu fini de portes.
Sur le plan de la théorie de la complexité, c’est une clarification importante. Elle rapproche la description mathématique d’un modèle de circuit standardisé et supprime la petite probabilité résiduelle d’échec. Sur le plan de la sécurité opérationnelle, en revanche, cela ne change pas encore l’ordre de grandeur du problème.
RSA n’est pas nouvellement vulnérable : il était déjà vulnérable à un ordinateur quantique cryptographiquement pertinent. Le préprint renforce la propreté théorique de l’attaque, pas la disponibilité de la machine.
Ce que le résultat ne fournit pas
- Il ne fournit pas un algorithme classique polynomial capable de factoriser RSA-2048.
- Il ne démontre pas qu’un ordinateur quantique tolérant aux fautes, de taille suffisante, existe aujourd’hui.
- Il ne supprime pas le coût de la correction d’erreurs, de la synthèse de portes, du routage des qubits et de l’exécution physique.
- Il ne donne pas, à lui seul, une date de péremption plus précise pour RSA ou Diffie–Hellman.
Le point crucial pour un responsable cyber est donc inchangé : la migration post-quantique ne doit pas attendre l’apparition de l’ordinateur quantique capable de casser une clé. Les standards NIST sont déjà disponibles : FIPS 203 définit ML-KEM pour l’établissement de secrets, tandis que FIPS 204 et FIPS 205 définissent ML-DSA et SLH-DSA pour la signature.
| Verdict cyber Impact cryptographique direct : important sur le plan théorique, faible à court terme sur le plan opérationnel. Impact stratégique : il enlève une raison supplémentaire de repousser l’inventaire cryptographique et la migration PQC. |
3. Courbes elliptiques : le piège d’une proximité trompeuse
Plusieurs manuscrits portent sur les courbes elliptiques, notamment la formule de Birch–Swinnerton-Dyer dans certains cas de faible corang de Selmer et la conjecture de Goldfeld pour les tordues quadratiques. Pour un lecteur cyber, les mots « courbe elliptique » déclenchent immédiatement une alerte : ECDSA, ECDH, certificats X.509, portefeuilles de cryptomonnaies. Mais cette association est ici trompeuse.
Même objet général, problèmes différents
Les travaux autour de Birch–Swinnerton-Dyer étudient principalement des courbes elliptiques sur les rationnels, leurs points rationnels, leur rang, leurs groupes de Selmer et des fonctions L. La cryptographie sur courbes elliptiques travaille le plus souvent dans un groupe fini de points d’une courbe définie sur un corps fini. Sa sécurité repose sur la difficulté du logarithme discret elliptique : connaissant des points P et Q = kP, retrouver le scalaire secret k.
Connaître davantage la structure arithmétique d’une courbe sur les rationnels ne fournit donc pas mécaniquement un algorithme efficace de logarithme discret sur les courbes normalisées utilisées par ECDSA ou ECDH. Le préprint sur BSD ne casse ni P-256, ni Curve25519, ni secp256k1.
| Arithmétique / BSD | Cryptographie ECC | |
| Cadre typique | Courbes sur les rationnels | Courbes sur un corps fini |
| Question centrale | Rang, points rationnels, fonction L, groupe de Selmer | Logarithme discret dans un groupe fini |
| Secret recherché | Pas de clé secrète opérationnelle | Scalaire privé k |
| Conséquence immédiate | Progrès potentiel en théorie des nombres | Aucun cassage annoncé |
Pourquoi ces travaux restent pertinents
L’absence de cassage direct ne signifie pas absence d’intérêt cyber. La cryptographie moderne s’appuie sur une cartographie fine de problèmes réputés difficiles. Une accélération de la recherche mathématique assistée par IA peut révéler des liens inattendus, améliorer des algorithmes spécialisés ou explorer rapidement des familles de paramètres. Le signal stratégique n’est donc pas « ECC est cassée », mais « le rythme de production et d’examen des résultats fondamentaux pourrait augmenter ».
| Verdict cyber Aucun impact démontré sur ECDSA ou ECDH. Le risque serait de confondre proximité terminologique et rupture cryptanalytique — ou, à l’inverse, d’ignorer que l’IA peut accélérer l’exploration des fondations mathématiques dont dépendent les primitives. |
4. Nombres premiers et groupes : des résultats adjacents, pas des attaques
Deux autres familles se situent près de thèmes utilisés en cryptographie : la conjecture d’Artin sur les racines primitives et la statistique des facteurs premiers de p − 1.
Racines primitives et conjecture d’Artin
Le manuscrit Primitive roots for every admissible integer base annonce l’infinitude des nombres premiers pour lesquels un entier admissible donné est une racine primitive. Une racine primitive engendre le groupe multiplicatif modulo p : ses puissances parcourent tous les éléments non nuls.
Cette notion est familière aux protocoles fondés sur des groupes multiplicatifs finis. Pourtant, prouver qu’un générateur existe pour une infinité de nombres premiers ne donne pas un algorithme efficace de logarithme discret. Cela décrit la distribution de groupes intéressants ; cela ne fournit pas la clé permettant d’inverser l’exponentiation.
Les facteurs premiers de p − 1
La famille 011 étudie la distribution des facteurs premiers de p − 1. Or la factorisation de l’ordre d’un groupe compte en cryptographie : si cet ordre se décompose uniquement en petits facteurs, l’algorithme de Pohlig–Hellman ramène un grand logarithme discret à plusieurs problèmes plus petits. C’est précisément pour éviter ce type de faiblesse que les paramètres cryptographiques sérieux imposent de grands sous-groupes d’ordre premier et des validations strictes.
Le résultat annoncé est statistique et asymptotique. Il ne révèle pas une faiblesse cachée dans les groupes normalisés couramment déployés et ne remplace pas l’analyse paramètre par paramètre. Son intérêt est surtout méthodologique : il rappelle que la sécurité d’un groupe ne dépend pas seulement de la taille de p, mais aussi de la structure factorisée de son ordre, de la validation des éléments reçus et de la résistance aux attaques de sous-groupes.
| Conséquence pratique Ces préprints ne justifient pas une rotation d’urgence des paramètres Diffie–Hellman. Ils justifient en revanche de vérifier que les implémentations n’acceptent pas des groupes arbitraires, valident les clés publiques, utilisent des groupes standardisés et empêchent les attaques de petits sous-groupes. |
5. Complexité et circuits : ce que l’attaquant peut ou ne peut pas calculer
La cryptographie repose profondément sur des asymétries de calcul : une opération facile dans un sens, difficile à inverser sans secret. Les résultats de complexité sont donc importants, même lorsqu’ils ne mentionnent aucune primitive.
L = RL = BPL : l’aléa ne donne pas plus de mémoire
La famille 103, Exact derandomization of logarithmic space, annonce que les classes déterministes et randomisées considérées coïncident lorsque l’espace mémoire est logarithmique. Une formalisation Lean associée décrit explicitement le périmètre du résultat pour des langages binaires et un modèle de machine donné.
Il ne faut surtout pas traduire ce résultat par « le hasard n’est plus utile en cryptographie ». La génération de clés, les nonces, les sels, le chiffrement probabiliste et de nombreuses preuves de sécurité continuent d’exiger un aléa de haute qualité. Le théorème porte sur la possibilité de décider certains langages avec très peu de mémoire ; il ne permet pas de prédire les sorties d’un CSPRNG, de reconstruire une clé ou de rendre déterministes tous les protocoles cryptographiques.
Bornes de circuits classiques et quantiques
La famille 112 annonce une nouvelle borne inférieure pour des circuits booléens de profondeur trois ; la famille 274 affirme que des circuits quantiques de profondeur constante du type QAC⁰ ne peuvent pas calculer la parité avec un avantage positif constant dans le modèle étudié. Ces résultats bornent les capacités de modèles très restreints. Ils peuvent nourrir la compréhension des séparations de complexité, mais ils ne décrivent pas les capacités d’un ordinateur général, classique ou quantique, ni celles d’un attaquant sans contrainte de profondeur.
Pour la cyber, le principal enseignement est négatif : une avancée en complexité ne se convertit en rupture cryptographique que si elle s’applique au bon modèle, au bon problème et avec une complexité exploitable. Les mots « quantique », « circuit » ou « dérandomisation » ne suffisent pas.
| Verdict cyber Pas d’attaque opérationnelle connue. Ces résultats comptent comme signaux de capacité scientifique et comme pièces potentielles d’un futur raisonnement, non comme vulnérabilités immédiatement actionnables. |
6. Le véritable risque cyber dépasse la cryptographie
La question la plus importante n’est pas de savoir si un préprint casse aujourd’hui une primitive. Elle est de comprendre comment une rupture mathématique future se propagerait dans les architectures. La cryptographie asymétrique n’est pas une bibliothèque isolée : elle porte l’identité, l’authenticité des logiciels, l’établissement des sessions et la confiance entre machines.
PKI : le multiplicateur de risque
Une PKI lie une identité à une clé publique par une chaîne de certificats et de signatures. Si l’algorithme de signature devient forgeable, le risque ne se limite pas à « lire du trafic » : un attaquant peut tenter d’usurper un service, signer un certificat, imiter un équipement, fabriquer une mise à jour ou contourner une relation de confiance.
La migration d’une PKI ne consiste pas à changer une ligne de configuration. Elle touche les autorités racines et intermédiaires, les profils X.509, les HSM, les CSR, les protocoles d’enrôlement, les listes de révocation, OCSP, les agents, les load balancers, les appliances, les équipements OT et IoT, les chaînes de certificats ainsi que les logiciels qui font des hypothèses implicites sur la taille des clés ou des signatures.
Zero Trust : sans cryptographie fiable, pas de confiance explicite
Le Zero Trust ne signifie pas « ne faire confiance à personne », mais prendre des décisions d’accès explicites et contextualisées pour chaque ressource. Le NIST SP 800-207 place l’identité des utilisateurs, des équipements et des services au cœur du modèle, et cite la PKI parmi les composants de support. Son extension cloud-native insiste sur les identités de services vérifiables, fréquemment portées par des certificats X.509.
En pratique, un service mesh en mTLS, un poste enrôlé par certificat, une identité de workload de type SPIFFE/SVID ou une authentification forte fondée sur une clé publique dépendent tous de primitives cryptographiques. Si ces primitives sont compromises, le moteur de politique peut prendre une décision parfaitement conforme… à partir d’une identité forgée.
Le Zero Trust réduit la confiance implicite, mais il augmente la dépendance à une identité cryptographiquement vérifiable. Une PKI fragile devient alors un point de défaillance systémique.
Signature de code et chaîne logicielle
La signature de code protège les systèmes d’exploitation, les firmwares, les conteneurs, les packages, les applications mobiles et les pipelines CI/CD. Une signature qui reste valide pendant dix ou quinze ans peut survivre bien plus longtemps qu’une session TLS. Les environnements industriels et embarqués aggravent encore le problème : cycles de vie longs, mécanismes de mise à jour rigides, composants hors support et racines de confiance gravées dans le matériel.
Le risque post-quantique sur la signature est souvent moins urgent que le « collecter aujourd’hui, déchiffrer demain » qui vise la confidentialité, car une falsification doit généralement être réalisée au moment de l’attaque. Mais la migration des signatures est plus complexe : elle nécessite parfois de remplacer la chaîne de boot, les formats, les HSM ou les mécanismes de validation. Le temps de préparation est donc considérable.
IAM, fédération et jetons
Les architectures IAM utilisent des signatures pour les jetons, les assertions, les échanges fédérés, les authentificateurs matériels et les preuves de possession. Une rupture d’algorithme peut affecter plusieurs plans simultanément : authentification des utilisateurs, identités machines, administration, API et automatisation. L’algorithme n’est qu’un maillon ; l’exposition réelle dépend aussi des durées de validité, de la rotation des clés, de la capacité de révocation, de la journalisation et de la séparation des domaines de confiance.
« Harvest now, decrypt later »
Un adversaire peut collecter dès aujourd’hui des communications chiffrées et attendre qu’une capacité future permette de casser l’échange de clés historique. Les données à longue durée de sensibilité — secrets industriels, données de santé, informations souveraines, R&D, communications stratégiques — sont donc déjà exposées au facteur temps. C’est pourquoi la migration vers des mécanismes d’établissement de clés post-quantiques est prioritaire pour les flux dont la confidentialité doit survivre longtemps.
| Couche | Rupture possible | Conséquence cyber |
| Primitive | Factorisation ou logarithme discret efficace | RSA, DH ou ECC ne fournissent plus la sécurité attendue |
| Protocole | Échange de clés ou signature compromis | Déchiffrement, usurpation, homme du milieu |
| PKI | Certificats ou chaînes forgeables | Fausse identité de service, utilisateur ou équipement |
| Zero Trust | Identité cryptographique contrefaite | Décision légitime appliquée au mauvais sujet |
| Supply chain | Signature de code falsifiée | Mises à jour malveillantes réputées authentiques |
| Gouvernance | Absence d’inventaire et d’agilité | Migration lente et angles morts |
7. Ce qu’il faut faire maintenant
Ces préprints ne justifient ni panique ni remplacement précipité de tous les systèmes. Ils renforcent toutefois une conclusion déjà établie par le NIST : la migration post-quantique est un programme de transformation, pas un simple changement d’algorithme. Le projet de migration du NCCoE place d’ailleurs en premier la visibilité cryptographique et la gestion du risque, avant l’interopérabilité et le benchmarking.
- Construire l’inventaire cryptographique. Recenser algorithmes, tailles de clés, certificats, bibliothèques, HSM, protocoles, données protégées, propriétaires, dépendances et dates de fin de support. Inclure cloud, SaaS, appliances, OT, IoT et embarqué.
- Cartographier les dépendances de confiance. Relier chaque usage crypto à une fonction métier : authentification, mTLS, signature de code, accès administrateur, VPN, sauvegarde, échange B2B, fédération d’identité.
- Prioriser par durée de sensibilité. Pour la confidentialité, comparer la durée pendant laquelle la donnée doit rester secrète, le temps nécessaire à la migration et l’horizon plausible de la menace.
- Tester ML-KEM et les signatures PQC. Mesurer tailles, latence, consommation, compatibilité HSM, MTU, chaînes X.509, OCSP, load balancers, terminaux, service meshes et enrôlement.
- Préparer des modes hybrides. Lorsque les standards et protocoles le permettent, combiner une primitive classique et une primitive post-quantique réduit le risque de dépendre prématurément d’une seule famille.
- Exiger la crypto-agilité. Les applications doivent pouvoir changer d’algorithme, de fournisseur et de paramétrage sans refonte complète. Cela concerne formats, négociation, gestion des clés, tests, télémétrie et rollback.
- Traiter la PKI comme une infrastructure critique. Prévoir coexistence des chaînes, rotation des autorités, compatibilité des agents, mise à jour des trust stores et révocation.
- Inclure le Zero Trust dans le périmètre PQC. Inventorier identités de workloads, certificats mTLS, clés de signature de jetons, preuves d’attestation et racines de confiance des équipements.
- Renforcer la veille mathématique. Appliquer une grille stricte : validation indépendante, modèle de calcul, complexité, constantes, besoins matériels, applicabilité aux paramètres normalisés et implémentation reproductible.
| Le bon réflexe pour un RSSI Ne pas demander seulement « sommes-nous compatibles PQC ? ». Demander : « savons-nous où se trouve notre cryptographie, à quelles décisions de confiance elle contribue, combien de temps il nous faudrait pour la remplacer et comment détecter une transition défaillante ? » |
Conclusion : pas de crypto-apocalypse, mais un changement de rythme
À ce stade, rien dans cette collection ne démontre une attaque classique pratique contre RSA, ECDSA, ECDH, AES ou les standards post-quantiques du NIST. Le résultat sur la factorisation quantique est le plus proche d’une conséquence cryptographique directe, mais il ne fournit pas le matériel quantique nécessaire à son exploitation. Les travaux sur les courbes elliptiques, les racines primitives et la complexité sont intellectuellement voisins des fondations de la cryptographie sans constituer, en eux-mêmes, des cassages.
Le véritable événement est peut-être ailleurs : un modèle d’IA semble désormais capable de produire à grande échelle des arguments mathématiques de haut niveau, accompagnés dans certains cas d’artefacts formels. Même si une fraction seulement résiste à l’examen, cela pourrait accélérer la recherche, multiplier les pistes et réduire le temps entre conjecture, preuve, algorithme et implémentation.
Pour la cybersécurité, la réponse raisonnable n’est donc ni l’alarmisme ni l’attentisme. Elle tient en trois mots : visibilité, agilité, migration. Les organisations qui connaissent leurs dépendances cryptographiques pourront absorber une rupture. Celles qui découvrent encore des certificats oubliés, des clés statiques et des équipements impossibles à mettre à jour subiront le calendrier des autres.
Références prioritaires
Les références marquées « PRIORITAIRE » permettent de vérifier les affirmations centrales. Les titres sont cliquables.
- PRIORITAIRE — OpenAI Math : instantané annonçant 722 manuscrits et 372 familles
- OpenAI Math : catalogue détaillé
- PRIORITAIRE — Exact quantum factoring over a fixed finite gate set
- Exact Birch–Swinnerton-Dyer Formula from Low Selmer Corank
- Goldfeld’s analytic density conjecture and the 2-converse
- Primitive roots for every admissible integer base
- The Poisson–Dirichlet law for prime predecessors
- Exact derandomization of logarithmic space
- Périmètre de la formalisation Lean de L = RL = BPL
- Beyond the Square-Root Exponent for Depth-Three Boolean Circuits
- Product-projection localization and the QAC⁰ parity lower bound
- PRIORITAIRE — NIST : standardisation post-quantique
- NIST FIPS 203 — ML-KEM
- NIST FIPS 204 — ML-DSA
- NIST FIPS 205 — SLH-DSA
- PRIORITAIRE — NIST NCCoE : migration vers la PQC
- PRIORITAIRE — NIST SP 800-207 : Zero Trust Architecture
- NIST SP 800-207A : identités applicatives et Zero Trust cloud-native
