นักวิจัย Cognition ใช้ Devin 233 เซสชันแยกตัวประกอบ RSA-260 ได้สำเร็จ ทำลายสถิติที่ค้างมาตั้งแต่ปี 2020 — ต้นทุนราว $400k บน GPU ที่เหลือใช้ และประเมินว่า RSA-1024 ตกราว $30 ล้าน

วันที่ 9 กันยายน 2026 Eric Lu จากทีมวิจัยของ Cognition (บริษัทผู้สร้าง Devin) เผยแพร่ตัวประกอบของ RSA-260 เลข 260 หลัก (862 บิต) จากโจทย์ RSA Factoring Challenge ซึ่งโพสต์ระบุว่าเป็นสถิติใหม่ของโจทย์ในชุดนี้ที่ใหญ่ที่สุดที่แก้ได้แบบสาธารณะ ต่อจาก RSA-250 ที่ทำไว้เมื่อกุมภาพันธ์ 2020 ตัวเลขนี้ไม่ใช่คำกล่าวอ้างที่ต้องเชื่อตามคนเขียน เราเอาจำนวนเฉพาะ 130 หลักสองตัวในโพสต์มาคูณกันแล้วได้ตัวเลข 260 หลักตรงกับที่ประกาศทุกหลัก และ openssl prime ยืนยันว่าทั้งสองตัวเป็นจำนวนเฉพาะ ใครก็ตรวจซ้ำได้ในไม่กี่วินาที

สิ่งที่ทำให้เรื่องนี้เป็นข่าว AI ไม่ใช่ตัวสถิติ แต่คือวิธีที่ได้มา Lu ให้ Devin หลายเซสชันพอร์ตเกือบทั้งไปป์ไลน์ของ CADO-NFS (ซอฟต์แวร์โอเพนซอร์สที่ใช้ทำสถิติเดิมแทบทุกครั้ง) ขึ้น GPU ภายในราวสามสัปดาห์ และเขาบอกเองว่าไม่ได้เข้าใจคณิตศาสตร์เบื้องหลังมากนัก

ไม่มีอัลกอริทึมใหม่ มีแต่ GNFS บน GPU ที่เอเจนต์เขียน

โพสต์ย้ำตรง ๆ ว่า “I report essentially no algorithmic advancements” งานนี้ใช้ General Number Field Sieve (GNFS) ตัวเดิมที่เป็นอัลกอริทึมแยกตัวประกอบที่ดีที่สุดสำหรับเลขเกินราว 100 หลัก สิ่งที่เปลี่ยนคือ performance engineering เพื่อให้ใช้ memory system ของ GPU ได้เต็มที่

ไทม์ไลน์เริ่มเวลา 00:11:58 (เวลาแปซิฟิก) วันที่ 13 ส.ค. เมื่อ Lu สั่ง Devin ให้เขียน GPU lattice siever มาแทน las ซึ่งเป็น siever แบบ CPU ของ CADO-NFS โดยให้สิทธิ์เปิดเครื่อง GPU หนึ่งเครื่องบน Modal เพื่อวัดความเร็วเท่านั้น สองชั่วโมงต่อมาเขาเพิ่มเงื่อนไขว่าต้องรับพารามิเตอร์ของ RSA-250 ได้ แล้วเข้านอน ตื่นมาพบว่าหลังวนแก้อีก 7 ชั่วโมง Devin ทำสำเร็จ ตัวที่ได้ชื่อว่า glas (GPU las)

หลังจากนั้นเอเจนต์แก้แทบทุกขั้นในไปป์ไลน์ ได้แก่ polynomial selection ขั้นแรกบน GPU (ยืมเคอร์เนลบางส่วนจาก msieve), lattice siever บน GPU, ตัว head ของ CADO ที่ต้องรับงานปริมาณมหาศาล, โปรแกรม dup/purge และ merge/replay ที่ขนานกันได้, block Wiedemann เวอร์ชัน GPU และ sqrt ที่เร่งด้วย GPU ส่วนที่ไม่ได้แตะเลยมีแค่ cado-nfs.py, polyselect_ropt, makefb และ dup1 ขั้นซีฟผลิตความสัมพันธ์เชิงเส้นได้ 8.3 พันล้านรายการ

ก่อนลงมือกับตัวจริง ทีมไต่บันไดขนาดเป็นเวลาห้าวัน จนเลข 190 หลักใช้เวลาพอ ๆ กับที่เลข 157 หลักใช้ตอนเริ่ม (ราวสามชั่วโมง) และแยก C311 = (179^139 − 1)/178 ได้ ซึ่งยากเทียบเท่า GNFS บนเลขราว 216 หลัก Lu ยอมรับว่าตามหลักควรลองขั้น 230 หลักก่อน แต่เขาประเมินว่า RSA-260 น่าจะเสร็จในเดือนเดียวจึงข้ามไป

ตัวเลขต้นทุน และที่มาของคำว่า “ถูกกว่า 10 เท่า”

รอบ RSA-260 เริ่ม 12:14:19 UTC วันที่ 18 ส.ค. และได้ตัวประกอบเวลา 01:48:57 UTC วันที่ 3 ก.ย. รวม 1,344,878 วินาที หรือราว 15.6 วัน ใช้ไปประมาณ 4,900 GPU-days (13.5 GPU-years) แยกเป็น

• polynomial selection 643 GPU-days ซึ่งผู้เขียนบอกว่าสูงผิดปกติเพราะ “operator incompetence” (น่าจะเสร็จได้ใน 1 วันแทน 2.5 วัน)
• sieving 3,813 GPU-days
• linear algebra 467 GPU-days ซึ่งราว 7% สูญไปกับเครื่องล่มหรือถูกงานสำคัญกว่าแย่งเครื่อง

ถ้าคิดที่ราคาตลาด $3.50 ต่อ GPU-hour จะตกราว $400,000 แต่งานนี้รันบนคอมพิวต์ที่เหลือจากการแพ็กงาน แร็ก NVL72 ในคลัสเตอร์เทรนและเสิร์ฟ LLM มักเหลือโหนดว่างหนึ่งหรือสองโหนดที่งาน LLM ใช้ไม่ได้ ซึ่งรวมกันแล้วเป็นหลักหน่วยเปอร์เซ็นต์ของคลัสเตอร์ lattice sieving เหมาะกับช่องนี้พอดี เพราะแบ่งเป็นงานเล็กหลายพันล้านชิ้น รันบนโหนดเดียวได้ และหยุดกลางคันได้ทันที โพสต์จึงระบุว่าไม่มีต้นทุนส่วนเพิ่ม

ส่วนคำว่า “ถูกกว่าสถิติสาธารณะเดิม 10 เท่า” มาจากตารางในภาคผนวกที่ใช้สมมติฐานราคา $0.08 ต่อ CPU core-hour เทียบกับ $3.50 ต่อ GPU-hour โดยเลข CPU ของ RSA-260 ประมาณ 7,010 core-years หรือ $4.91M เทียบกับ GPU $414k คิดเป็นราว 12 เท่า ต้องอ่านว่าตัวเลขฝั่ง CPU เป็นการประมาณจากสเกลของ RSA-250 (ที่ใช้จริง 2,700 core-years) ไม่ใช่การรันเทียบกันจริง

สำหรับเลขที่ใหญ่กว่า RSA-1024 (309 หลัก) ต้องใช้คอมพิวต์ราว 77.9 เท่า ของ RSA-260 ตามสเกลมาตรฐานของ GNFS ประเมินว่าตก ราว $30 ล้านต่อหนึ่งเลข ($32.3M ในตาราง) และ Lu คิดว่าอาจลดได้อีกครึ่งถ้าปรับต่อ ส่วน RSA-2048 ยากกว่า RSA-260 ถึง 91.2 พันล้านเท่า จึง “does not appear to be meaningfully affected by this work”

Devin ยังต้องการมนุษย์แค่ไหน

ส่วนที่ซื่อสัตย์ที่สุดของโพสต์คือตัวเลขการใช้งาน ตลอดสามสัปดาห์มี Devin รันพร้อมกันเฉลี่ย 3 เซสชัน สูงสุด 18 เซสชัน ใช้ไปทั้งหมด 233 เซสชัน (14,450 ACUs) โดย Lu ส่งข้อความ 3,328 ข้อความ รวม 82,702 คำ เข้าไปใน 192 เซสชัน มี 101 เซสชันที่ Devin เปิดเองเป็น child session และมีแค่ 36 เซสชันที่ไม่มีมนุษย์แตะเลย

เขาสรุปว่า Devin ต้องการเขาในฐานะ “executive function” ได้แก่ ตั้งลำดับเป้าหมาย ดึงกลับเมื่อออกนอกทาง (“you don’t need to take that measurement”) ชี้ความไม่มีประสิทธิภาพที่วนซ้ำ เสนอทิศทางที่ยังไม่ได้ลอง (เช่น ให้ GPU ไม่ต้องรอ CPU หรือใช้ NVLink SHARP) และจับได้เมื่อเอเจนต์ยอมแพ้เร็วเกินไป ส่วนงานที่เขาคิดว่าสำคัญที่สุดคือการสร้างชุดวัดผลและตัวประเมินประสิทธิภาพที่เป็นมาตรฐานเดียว ซึ่ง “evidently were not otherwise going to self-assemble”

อีกข้อสังเกตที่มีค่าคือ “the further the codebase got from upstream CADO-NFS, the more confused the agents became” เขาตั้งข้อสงสัยว่าอาจเป็นเพราะความซับซ้อนที่สะสมขึ้น หรือเพราะ CADO-NFS อยู่ในข้อมูล pre-training ของโมเดลอยู่แล้ว

สิ่งที่โพสต์ไม่ได้ให้

• ไม่มีโค้ด เท่าที่เราอ่านทั้งโพสต์ ไม่มีลิงก์หรือคำประกาศว่าจะเปิด glas หรือไปป์ไลน์ที่แก้แล้ว สิ่งที่แนบมามีแค่ polynomial 22 ตัวที่ใช้ trial sieve ตัวเลข “เร็วกว่า 10 เท่า” จึงยังตรวจซ้ำจากภายนอกไม่ได้ ต่างจากตัวประกอบที่ตรวจได้ทันที
• ตัวเลขเงินส่วนใหญ่เป็นการประมาณ (มีเครื่องหมายดอกจันกำกับในตาราง) และไม่ได้แปลง 14,450 ACUs เป็นเงิน
• เป็นโพสต์ของบริษัทที่ขาย Devin ผลลัพธ์จริงและตรวจได้ แต่การเล่าเรื่องย่อมเน้นว่าเอเจนต์ทำอะไรได้ ผู้เขียนเองก็ถ่วงไว้ด้วยการเปิดตัวเลขข้อความของมนุษย์ออกมาให้เห็น

มุมมอง AI Curator

เมื่อวานเราเขียนถึงข้อพิพาทเรื่องพิสูจน์ Navier-Stokes ของ OpenAI ซึ่งทุกฝ่ายยังเถียงกันเรื่องเครดิตโดยที่ยังไม่มีใครเห็นพิสูจน์ฉบับเต็ม RSA-260 อยู่อีกขั้วหนึ่งเลย เพราะเป็นผลงานที่ AI มีส่วนร่วมซึ่งตรวจสอบง่ายที่สุดเท่าที่เป็นไปได้ คือคูณเลขสองตัวแล้วเทียบ ไม่ต้องมี peer review ไม่ต้องเชื่อใคร ในยุคที่ข่าว “AI ทำเรื่องยากสำเร็จ” ออกมาทุกสัปดาห์ นี่คือมาตรฐานที่ควรใช้ถามทุกข่าว ว่าผลลัพธ์ตรวจได้ด้วยตัวเองหรือเปล่า

สำหรับนักพัฒนา บทเรียนที่นำไปใช้ได้จริงคือรูปทรงของงานที่เอเจนต์ทำได้ดี Lu ไม่ได้สั่งให้ Devin “แยกตัวประกอบ RSA” แต่สั่งให้ “เขียนตัวแทนแบบ drop-in ของโปรแกรมที่มีอยู่แล้ว ให้เร็วกว่าตัวเดิม” มีโค้ดอ้างอิงให้เทียบผลลัพธ์ มีอินเทอร์เฟซตายตัว และมีเบนช์มาร์กชัดเจน โจทย์แบบนี้มีอยู่ในทุกองค์กร เช่น งานประมวลผลแบตช์บน CPU ที่เก่าแต่ถูกต้อง ซึ่งสามารถพอร์ตขึ้น GPU หรือเขียนใหม่ด้วยภาษาที่เร็วกว่าได้ ทีมไทยที่มีระบบแบบนี้ควรลองโจทย์ทรงนี้ก่อนโจทย์ปลายเปิด และควรลงแรงแบบที่ Lu บอกว่าเป็นส่วนที่สำคัญที่สุด คือชุดวัดผลที่เป็นมาตรฐานเดียว เพราะเอเจนต์จะไม่สร้างมันขึ้นมาเอง

ฝั่งความปลอดภัย ข่าวนี้ไม่ได้บอกว่า RSA-1024 เพิ่งไม่ปลอดภัย เพราะมันเลิกใช้ตั้งแต่ปี 2013 แล้ว สิ่งที่เปลี่ยนคือราคาและจำนวนผู้ที่ทำได้ $30 ล้านต่อหนึ่งคีย์ยังแพงเกินกว่าจะใช้โจมตีทั่วไป แต่ถูกพอสำหรับเป้าหมายมูลค่าสูงระดับรัฐ และไม่ต้องใช้ฮาร์ดแวร์พิเศษอีกต่อไป ใช้แค่ GPU ที่มีเยอะขึ้นทุกไตรมาส องค์กรไทยควรใช้จังหวะนี้สำรวจว่ายังมีคีย์ต่ำกว่า 2048 บิตหลงเหลืออยู่ที่ไหน เช่น PKI ภายในรุ่นเก่า อุปกรณ์ IoT หรือ HSM ที่ไม่เคยเปลี่ยนคีย์ และคีย์ DKIM ของอีเมลบางโดเมน แล้วเริ่มวางแผนย้ายไปสู่ post-quantum ควบคู่กันไป เพราะเส้นต้นทุนของการโจมตีมีแต่จะลดลง

ข้อสุดท้ายเป็นข้อที่ผู้เขียนตั้งไว้เอง และเราคิดว่าสำคัญที่สุด เขาเขียนว่า “I did not learn as much about NFS or GPU programming as I could have expected to had I done this on my own” สถิติโลกได้มาภายในสามสัปดาห์โดยคนที่ไม่เข้าใจคณิตศาสตร์ของมันเต็มที่ นี่คือพลังจริงของเอเจนต์ และก็คือคำถามที่วงการยังไม่มีคำตอบ ว่าเมื่อผลลัพธ์มาเร็วกว่าความเข้าใจ ใครจะเป็นคนที่เข้าใจระบบพวกนี้ในอีกสิบปีข้างหน้า

แหล่งข่าว

• Factoring RSA-260 — Cognition (Eric Lu, 9 ก.ย. 2026)
• Boudot et al., “Comparing the Difficulty of Factorization and Discrete Logarithm: A 240-Digit Experiment” — arXiv:2006.06197
• CADO-NFS — An Implementation of the Number Field Sieve Algorithm
• Hacker News discussion: Factoring RSA 260