編輯｜冷貓

如果有人告訴你，你的比特幣私鑰可能在十分鐘內(nèi)被一臺(tái)計(jì)算機(jī)破解，你大概會(huì)一笑置之。

但谷歌沒(méi)有笑。這家搜索巨頭，在五天前把后量子密碼遷移的內(nèi)部截止日期提前到了 2029 年

• 新聞鏈接：https://blog.google/innovation-and-ai/technology/safety-security/cryptography-migration-timeline/

上個(gè)月，谷歌呼吁在未來(lái)的量子計(jì)算機(jī)破解現(xiàn)有加密技術(shù)之前，搶先保障量子時(shí)代的安全。

這一全新的時(shí)間表反映了后量子密碼學(xué)時(shí)代的遷移需求，并綜合考量了量子計(jì)算硬件開發(fā)、量子糾錯(cuò)以及量子分解資源評(píng)估方面的進(jìn)展。

問(wèn)題來(lái)了，為什么？

我們知道，谷歌一直是量子計(jì)算領(lǐng)域的先驅(qū)者之一。后量子密碼學(xué)時(shí)代的遷移時(shí)間愈發(fā)緊張，谷歌到底發(fā)現(xiàn)了什么？

兩篇論文，一個(gè)方向

不得不提那個(gè)自 1994 年以來(lái)就懸在所有公鑰密碼體系頭頂?shù)摹噶孔舆_(dá)摩克利斯之劍」，Shor 算法

Shor 算法的核心能力很簡(jiǎn)單：它能在多項(xiàng)式時(shí)間內(nèi)完成大整數(shù)分解（破解 RSA）和橢圓曲線離散對(duì)數(shù)求解（破解 ECC）。這兩類問(wèn)題正是當(dāng)今互聯(lián)網(wǎng)安全的根基 —— 銀行轉(zhuǎn)賬、HTTPS 加密、數(shù)字簽名、區(qū)塊鏈，無(wú)一不建立在其計(jì)算困難性之上。

過(guò)去二十多年里，學(xué)術(shù)界對(duì)「運(yùn)行 Shor 算法需要多少資源」的估計(jì)一直在下降，但幅度是漸進(jìn)的。直到這一次，兩篇論文從不同層面優(yōu)化了 Shor 算法 ——

第一篇論文（白皮書）由Google Quantum AI發(fā)表。他們針對(duì)邏輯層面的 Shor 算法進(jìn)行了優(yōu)化，專門用于破解比特幣和以太坊的簽名。該算法在針對(duì) 256 位橢圓曲線 secp256k1 時(shí)，僅需約 1000 個(gè)邏輯量子比特即可運(yùn)行。由于電路深度較低，一臺(tái)快速的超導(dǎo)量子計(jì)算機(jī)可以在幾分鐘內(nèi)恢復(fù)私鑰。

• 博客鏈接：https://research.google/blog/safeguarding-cryptocurrency-by-disclosing-quantum-vulnerabilities-responsibly/

• 論文鏈接：https://quantumai.google/static/site-assets/downloads/cryptocurrency-whitepaper.pdf

第二篇論文來(lái)自一家名為Oratomic 的神秘初創(chuàng)公司，其成員包括前谷歌員工和加州理工學(xué)院的知名教授。他們的研究起點(diǎn)是谷歌對(duì)邏輯量子電路的改進(jìn)，隨后在物理層應(yīng)用了針對(duì)中性原子量子計(jì)算機(jī)的特殊技巧。結(jié)果評(píng)估顯示，26,000 個(gè)原子量子比特就足以破解 256 位橢圓曲線簽名。與之前的頂級(jí)技術(shù)相比，這在物理量子比特?cái)?shù)量上實(shí)現(xiàn)了約 40 倍的優(yōu)化

• 論文鏈接：https://arxiv.org/pdf/2603.28627

正如比特幣安全研究員 Justin Drake 在社交媒體上所總結(jié)的：「這兩項(xiàng)成果分別優(yōu)化了量子堆棧的不同層，結(jié)果令人震驚?！?/p>

這兩篇論文共同指向一個(gè)令人不安的結(jié)論：量子計(jì)算機(jī)破解現(xiàn)有密碼體系所需資源，比任何人預(yù)想的都要少得多。

谷歌白皮書：加密貨幣警鐘

這篇白皮書標(biāo)志著量子密碼分析與去中心化金融系統(tǒng)安全之間的一次「歷史性碰撞」。

隨著資源估算的斷崖式下降，量子計(jì)算機(jī)威脅不再是遙遠(yuǎn)的理論設(shè)想，而是迫在眉睫的工程挑戰(zhàn)。

算法優(yōu)化：Shor 算法的資源斷崖式下降

在過(guò)去，業(yè)內(nèi)普遍認(rèn)為破解現(xiàn)代公鑰加密需要數(shù)百萬(wàn)到上千萬(wàn)的物理量子比特。但該研究展示了驚人的算法優(yōu)化：

• 核心資源數(shù)據(jù)：針對(duì)現(xiàn)代區(qū)塊鏈密碼學(xué)核心的 secp256k1 曲線，破解 256-bit 橢圓曲線離散對(duì)數(shù)問(wèn)題 (ECDLP) 現(xiàn)僅需少于 1200 個(gè)邏輯量子比特與 9000 萬(wàn)個(gè) Toffoli 門，或者調(diào)整為少于 1450 個(gè)邏輯量子比特與 7000 萬(wàn)個(gè) Toffoli 門 。
• 物理層門檻：如果在具備平面連接性、物理錯(cuò)誤率為 0.1% 的超導(dǎo)架構(gòu)（采用表面碼糾錯(cuò)）上運(yùn)行，上述電路僅需不到 50 萬(wàn)個(gè)物理量子比特即可在幾分鐘內(nèi)執(zhí)行完畢 。
• 「快時(shí)鐘」與「慢時(shí)鐘」的區(qū)別：該研究創(chuàng)造性地引入了硬件架構(gòu)層面的分類。超導(dǎo)、硅自旋或光子架構(gòu)等「快時(shí)鐘」 (Fast-clock) 設(shè)備擁有極短的糾錯(cuò)周期，能在幾分鐘內(nèi)破解私鑰 。而中性原子或離子阱等「慢時(shí)鐘」 (Slow-clock) 架構(gòu)的基礎(chǔ)運(yùn)算速度慢了兩到三個(gè)數(shù)量級(jí) 。

硬件門檻的不同直接決定了量子計(jì)算機(jī)能對(duì)區(qū)塊鏈發(fā)動(dòng)哪種級(jí)別的攻擊：

以太坊的系統(tǒng)性危機(jī) vs. 比特幣的局部隱患

盡管比特幣和以太坊都使用 secp256k1 曲線，但以太坊的架構(gòu)設(shè)計(jì)使其面臨更廣闊的攻擊面：

以太坊的漏洞矩陣：

• 賬戶漏洞 (Account Vulnerability)：以太坊使用賬戶模型（而非比特幣的 UTXO），賬戶一旦發(fā)送過(guò)首筆交易，其 ECDSA 公鑰便會(huì)永遠(yuǎn)暴露在鏈上，且無(wú)法輕易輪換密鑰 。
• 管理員漏洞 (Admin Vulnerability)：控制大量真實(shí)世界資產(chǎn) (RWA)、穩(wěn)定幣和跨鏈橋的智能合約往往依賴少數(shù)幾個(gè)高權(quán)限的管理員密鑰（多簽機(jī)制）。破解這些暴露的密鑰可導(dǎo)致全網(wǎng) DeFi 系統(tǒng)級(jí)清算和穩(wěn)定幣脫錨 。
• 共識(shí)漏洞 (Consensus Vulnerability)：以太坊 PoS 驗(yàn)證者使用極易受量子攻擊的 BLS12-381 曲線進(jìn)行簽名聚合 。若攻擊者掌控超過(guò) 1/3 的節(jié)點(diǎn)可中斷網(wǎng)絡(luò)確定性；掌控 2/3 以上則可執(zhí)行深度重組，重寫區(qū)塊鏈歷史。
• 數(shù)據(jù)可用性漏洞 (Data Availability Vulnerability)：支持 Layer 2 擴(kuò)容的 DAS 機(jī)制依賴 KZG 多項(xiàng)式承諾 。其容易受到 On-Setup 攻擊，攻擊者可偽造證明，癱瘓 L2 排序器以實(shí)施勒索 。

比特幣的韌性與挑戰(zhàn)：

• 量子挖礦（利用 Grover 算法破解 PoW）在幾十甚至上百年內(nèi)都不具備現(xiàn)實(shí)威脅，因?yàn)槠涠畏郊铀倌芰ν耆涣孔蛹m錯(cuò)的巨大開銷所抵消 。
• 比特幣的危機(jī)集中在通過(guò) P2PK 腳本鎖定的 170 萬(wàn)枚早期比特幣（包含大量「中本聰時(shí)代」的挖礦獎(jiǎng)勵(lì)），以及因地址重用暴露公鑰的現(xiàn)代地址 。

Oratomic：一萬(wàn)量子比特就夠了

Oratomic 這篇論文給出的結(jié)論堪稱顛覆：

• 運(yùn)行密碼學(xué)規(guī)模的 Shor 算法，僅需約 10,000 個(gè)物理量子比特
• 針對(duì) ECC-256（比特幣使用的橢圓曲線標(biāo)準(zhǔn)），使用約 12,000 個(gè)量子比特可在約 10 天內(nèi)完成
• 針對(duì) RSA-2048（廣泛用于銀行和政府），約 102,000 個(gè)量子比特可在約 97 天內(nèi)完成

這是什么概念？就在幾年前，主流估算還認(rèn)為需要 100 萬(wàn)個(gè)量子比特。短短幾年間，需求量級(jí)縮水了兩個(gè)數(shù)量級(jí)

論文采用的量子低密度校驗(yàn)碼（Quantum LDPC Codes）是一種完全不同的糾錯(cuò)碼族。其關(guān)鍵特性是利用非局域連接（Nonlocal Connectivity）來(lái)大幅提升編碼率。具體來(lái)說(shuō)，論文使用的是準(zhǔn)循環(huán)提升積碼（Quasi-Cyclic Lifted-Product Codes）

對(duì)比一下：

• 表面碼編碼率：~1%
• 小規(guī)模準(zhǔn)局域 LDPC 碼：~4%
• 本文高碼率 LP 碼：~28%

這意味著在相同的物理資源下，高碼率 LP 碼可以承載約30 倍的邏輯信息量。或者反過(guò)來(lái)說(shuō)，達(dá)到同樣的邏輯容量，所需的物理量子比特?cái)?shù)減少了一個(gè)數(shù)量級(jí)以上。

論文還指出，在物理錯(cuò)誤率 p=0.1% 的條件下，每執(zhí)行 10^11 個(gè)周期（約 3 年，假設(shè) 1ms / 周期），才預(yù)期出現(xiàn)一次不可糾正的錯(cuò)誤。對(duì)于運(yùn)行時(shí)間以天計(jì)的 Shor 算法來(lái)說(shuō)，這已經(jīng)足夠可靠。

有了好碼，還需要能跑這種碼的硬件。量子計(jì)算的硬件路線之爭(zhēng)由來(lái)已久。超導(dǎo)量子比特（谷歌、IBM 的主攻方向）速度快但相干時(shí)間短，且需要極端低溫；離子阱保真度高但擴(kuò)展困難。Oratomic 選擇了一條不同的路：可重配置中性原子陣列（Reconfigurable Neutral-Atom Arrays）

傳統(tǒng)超導(dǎo)芯片中，量子比特之間的連接是固定的 —— 設(shè)計(jì)好電路時(shí)物理耦合關(guān)系就確定了，無(wú)法在運(yùn)行中改變。而中性原子方案中，每個(gè)量子比特是一個(gè)被光學(xué)鑷子囚禁的單個(gè)原子，鑷子可以在三維空間中自由移動(dòng)。這意味著：

• 計(jì)算過(guò)程中可以隨時(shí)重新排列量子比特的空間位置
• 任意兩個(gè)原子都可以被拉到一起執(zhí)行高保真糾纏門操作
• 天然支持大規(guī)模非局域連接 —— 這正是高碼率 LDPC 碼所需要的

基于上述硬件特性，論文提出了一套完整的容錯(cuò)量子計(jì)算機(jī)架構(gòu)，將整個(gè)系統(tǒng)劃分為四個(gè)功能區(qū)域：存儲(chǔ)區(qū)（Memory Zone）、處理區(qū)（Processor Zone）、操作區(qū)（Operation Zone）和資源區(qū)（Resource Zone）。

邏輯碼性能與架構(gòu)

好碼 + 好硬件還不夠 —— 還需要一種高效的編譯方法把 Shor 算法映射上去。論文提出了一套基于 Pauli 基計(jì)算（Pauli-Based Computation）和代碼手術(shù)（Code Surgery）的完整編譯流程

論文描述的編譯策略如下：

1. 電路分解：將完整的 Shor 算法電路拆分為多個(gè)子電路 {Ci}，每個(gè)子電路包含若干 Toffoli 門、Clifford 門和中途 Pauli 測(cè)量，確保能裝入處理區(qū)

2. 傳送至處理區(qū)：通過(guò) 2m 個(gè) Pauli 乘積測(cè)量（PPM），將 m 個(gè)邏輯量子比特從存儲(chǔ)區(qū)隱形傳態(tài)到處理區(qū)

3. Pauli 基計(jì)算：在處理區(qū)上執(zhí)行實(shí)際計(jì)算，Clifford 門被吸收進(jìn) PPM 操作，Toffoli 門通過(guò) teleportation 注入 CCZ 魔術(shù)態(tài)

4. 傳回存儲(chǔ)區(qū)：再通過(guò) 2m 個(gè) PPM 將結(jié)果傳回存儲(chǔ)區(qū)

論文背后是一家名為 Oratomic 的量子計(jì)算公司。這家總部位于加州帕薩迪納的團(tuán)隊(duì) —— 與加州理工學(xué)院深度合作 —— 正專注于一個(gè)明確目標(biāo)：打造世界上第一臺(tái)容錯(cuò)量子計(jì)算機(jī)

論文第一作者 Madelyn Cain 和共同一作 Qian Xu 均來(lái)自 Oratomic，合作者包括加州理工學(xué)院的著名量子計(jì)算學(xué)者 John Preskill（量子優(yōu)越性概念的提出者之一）、Manuel Endres（中性原子量子計(jì)算領(lǐng)域的領(lǐng)軍人物）、以及 Hsin-Yuan (Robert) Huang（量子機(jī)器學(xué)習(xí)與量子算法專家）。通訊作者 Dolev Bluvstein 則是 Oratomic 的聯(lián)合創(chuàng)始人，此前在哈佛大學(xué) Mikhail Lukin 實(shí)驗(yàn)室做出了多項(xiàng)中性原子量子計(jì)算的開創(chuàng)性工作。

他們的官方定位是：「整合量子糾錯(cuò)、中性原子系統(tǒng)、人工智能和光學(xué)工程領(lǐng)域的世界級(jí)專業(yè)知識(shí)，共同使容錯(cuò)量子計(jì)算成為現(xiàn)實(shí)?！?/p>

從實(shí)驗(yàn)到理論的距離，正在以前所未有的速度縮短。

谷歌為什么急了？

在網(wǎng)絡(luò)安全領(lǐng)域，存在一個(gè)幽靈般的術(shù)語(yǔ) ——「Q-Day」。它指代量子計(jì)算機(jī)強(qiáng)大到足以瓦解現(xiàn)行互聯(lián)網(wǎng)加密體系的那一天。為了規(guī)范，行業(yè)內(nèi)已經(jīng)在進(jìn)行一些相關(guān)工作：

• NIST 標(biāo)準(zhǔn)化進(jìn)程：美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）經(jīng)過(guò)多年篩選，已于 2024 年正式發(fā)布首批后量子密碼標(biāo)準(zhǔn)（FIPS 203/204/205），包括基于格密碼的 ML-KEM 和 ML-DSA 等
• 行業(yè)遷移周期：從舊密碼體系切換到新體系不是簡(jiǎn)單的軟件更新 —— 涉及協(xié)議重設(shè)計(jì)、硬件兼容性、互操作性測(cè)試、合規(guī)審計(jì)，大型機(jī)構(gòu)的遷移周期通常以年計(jì)
• 「先 harvest 后 decrypt」攻擊：即使量子計(jì)算機(jī)尚未成熟，攻擊者現(xiàn)在就可以開始截獲并存儲(chǔ)加密通信，等到未來(lái)量子算力足夠時(shí)再解密 —— 這意味著遷移必須在量子計(jì)算機(jī)實(shí)用化之前完成

谷歌作為全球最大的互聯(lián)網(wǎng)服務(wù)提供商之一，掌握著海量用戶數(shù)據(jù)和核心基礎(chǔ)設(shè)施。它選擇 2029 年作為內(nèi)部截止日期，意味著其內(nèi)部的威脅評(píng)估模型已經(jīng)將量子破解風(fēng)險(xiǎn)的時(shí)間窗口收斂到了這個(gè)范圍。

事實(shí)上，谷歌在后量子密碼領(lǐng)域一直是積極的推動(dòng)者：

• 自 2023 年起，Chrome 瀏覽器開始實(shí)驗(yàn)性集成 X25519Kyber768 混合密鑰交換
• 谷歌云平臺(tái)率先支持后量子 TLS 連接
• 谷歌內(nèi)部安全團(tuán)隊(duì)持續(xù)發(fā)布 PQC 遷移指南

但當(dāng)一家公司的內(nèi)部截止日期從「待定」變成一個(gè)具體的年份時(shí)，性質(zhì)就變了。

回顧 Shor 算法資源估計(jì)的歷史，可以看到一條清晰的下降曲線：

驅(qū)動(dòng)這一趨勢(shì)的是多重因素的共振：

• 量子糾錯(cuò)理論的突破：從表面碼到 LDPC 碼，編碼效率的提升是最直接的驅(qū)動(dòng)力。高碼率碼利用非局域連接特性，在單個(gè)碼塊中密集打包大量邏輯量子比特，從根本上改變了資源計(jì)算的公式。
• 新型硬件平臺(tái)的成熟：中性原子、離子阱、超導(dǎo)等不同技術(shù)路線各有優(yōu)勢(shì)。中性原子陣列的可重配置性使其天然適合實(shí)現(xiàn)高碼率碼所需的非局域連接，形成了「硬件 - 編碼」協(xié)同優(yōu)化的良性循環(huán)。
• 算法和編譯技術(shù)的進(jìn)步：更低深度的量子電路、更高效的算術(shù)模塊（如并行進(jìn)位加法器替代行波進(jìn)位加法器）、魔術(shù)態(tài)蒸餾流水線的優(yōu)化 —— 每一層都在削減最終的資源需求。

關(guān)鍵問(wèn)題是，這條曲線還會(huì)繼續(xù)下降。

1994 年 Peter Shor 發(fā)表他的算法時(shí)，量子計(jì)算機(jī)還只是一個(gè)理論玩具。32 年后，我們正在認(rèn)真討論用一萬(wàn)臺(tái)量子設(shè)備在幾分鐘內(nèi)破解世界上最廣泛使用的密碼系統(tǒng)。

科技發(fā)展的非線性特征在這里體現(xiàn)得淋漓盡致：漫長(zhǎng)的積累期之后，突破往往接踵而至。

量子計(jì)算不會(huì)等我們準(zhǔn)備好。但現(xiàn)在至少我們知道，它離我們有多近了。