La start-up française Alice & Bob a publié le 29 octobre 2026 une nouvelle estimation selon laquelle un ordinateur quantique de 22 593 qubits physiques suffirait pour casser une clé de chiffrement RSA-2048 en 3,14 jours. C’est environ 40 fois moins que le million de qubits avancé par Google en 2025 pour le même objectif. Les clés à courbes elliptiques utilisées par Bitcoin seraient, elles, à portée de moins de 30 000 qubits.
Que révèle l’étude d’Alice & Bob sur RSA-2048 ?
L’étude d’Alice & Bob conclut qu’environ 23 000 qubits de chat suffiraient pour factoriser un nombre RSA-2048 en un peu plus de trois jours de calcul. Le travail a été déposé sous forme de prépublication sur ePrint, l’archive de l’IACR (Association internationale pour la recherche en cryptologie), sous un titre qui résume le résultat : l’algorithme de Shor compilé sur qubits de chat, 22 593 qubits pour RSA-2048 en 3,14 jours.
RSA-2048 désigne un système de chiffrement à clé publique de 2 048 bits. Sa sécurité repose sur la difficulté de décomposer un très grand nombre en facteurs premiers, une tâche hors de portée des ordinateurs classiques mais que l’algorithme de Shor, conçu en 1994, permet en théorie de résoudre sur une machine quantique suffisamment puissante. RSA protège encore une large part des échanges sur Internet, des connexions bancaires aux signatures numériques.
Il s’agit d’une estimation de ressources, pas d’une attaque réalisée. Aucun ordinateur quantique actuel n’approche ce nombre de qubits fiables, et l’étude décrit ce qu’il faudrait construire, pas ce qui existe.
Combien de qubits faut-il pour casser RSA-2048 ?
Les estimations ont fortement baissé en quelques années, à mesure que les algorithmes et les techniques de correction d’erreurs progressaient. En 2025, Craig Gidney, chercheur chez Google Quantum AI, avait calculé qu’environ un million de qubits physiques « bruités » fonctionnant pendant environ une semaine pouvaient venir à bout d’une clé RSA-2048. Alice & Bob ramène ce chiffre à environ 23 000, sur une architecture différente.
| Estimation | Type de qubits | Qubits physiques | Durée du calcul |
|---|---|---|---|
| Alice & Bob (2023) | Qubits de chat | 49 649 | Non précisée |
| Google, Craig Gidney (2025) | Transmons (supraconducteurs classiques) | Environ 1 million | Environ une semaine |
| Alice & Bob (octobre 2026) | Qubits de chat | 22 593 | 3,14 jours |
Par rapport à sa propre estimation de 2023, la start-up divise donc le nombre de qubits nécessaires par plus de deux. Les deux familles de qubits n’étant pas identiques, la comparaison avec Google porte sur des hypothèses matérielles distinctes.
Qu’est-ce qu’un qubit de chat et pourquoi en faut-il moins ?
Un qubit de chat est un qubit supraconducteur dont l’état est encodé dans un oscillateur électromagnétique, en référence à l’expérience de pensée du chat de Schrödinger. Sa particularité est de supprimer physiquement l’une des deux grandes familles d’erreurs quantiques, les inversions de bit (bit-flips). La correction d’erreurs n’a alors à traiter que les inversions de phase (phase-flips), ce qui réduit le nombre de qubits nécessaires pour protéger chaque qubit logique.
Plusieurs améliorations expliquent la baisse par rapport à 2023 :
- le remplacement du code de répétition utilisé jusqu’ici par des codes LDPC-cat, une famille de codes correcteurs plus économes présentée par la start-up en 2024 ;
- un circuit d’addition repensé, qui fonctionne à cadence constante sans s’interrompre pour la correction d’erreurs ;
- des avancées algorithmiques issues de travaux d’Inria et de Google ;
- une modélisation fine du rôle de chaque qubit physique, avec plans de puce et ordonnancement des opérations, au lieu d’un simple coût moyen par qubit logique.
Bitcoin et les courbes elliptiques sont-ils menacés ?
L’étude s’intéresse aussi au problème du logarithme discret sur courbe elliptique de 256 bits (ECDLP-256), sur lequel reposent les signatures ECDSA de Bitcoin et d’Ethereum, ainsi que l’échange de clés ECDH utilisé pour sécuriser de nombreuses connexions web. Selon Alice & Bob, 29 588 qubits de chat permettraient de le résoudre en environ 62 minutes.
Cette durée reste supérieure au temps moyen de validation d’un bloc Bitcoin, d’environ 10 minutes. Une transaction en cours serait donc confirmée avant la fin du calcul. En revanche, les adresses dont la clé publique est déjà exposée sur la blockchain pourraient être visées par une machine de cette taille, sans contrainte de temps.
Quand un ordinateur quantique pourra-t-il casser RSA ?
Alice & Bob estime que les progrès du matériel et la baisse des ressources nécessaires devraient se rejoindre au début des années 2030. La start-up recommande donc aux entreprises et aux administrations d’engager dès maintenant la migration vers la cryptographie post-quantique, c’est-à-dire des algorithmes conçus pour résister aux attaques d’ordinateurs quantiques.
Plusieurs spécialistes du secteur, dont le cryptanalyste Antoine Joux et le dirigeant de PQShield, Ali El Kaafarani, ont souligné l’importance de ces travaux pour évaluer le calendrier de la menace. Le patron de PQShield rappelle que des standards post-quantiques existent déjà et plaide pour des systèmes « crypto-agiles », capables de changer rapidement d’algorithme.
Ce que prévoient les autorités
Les recommandations publiées aux États-Unis et au Royaume-Uni fixent à 2035 l’échéance d’une transition complète vers la cryptographie post-quantique pour les systèmes sensibles. Le NIST, l’agence américaine de normalisation, a déjà publié ses premiers standards dans ce domaine. La prépublication d’Alice & Bob doit désormais être examinée par la communauté des cryptographes, qui évaluera ses hypothèses matérielles et ses choix d’architecture.
