过去半年，"密码5年内失效"这类标题你多半刷到过：谷歌把量子解密的时间表写进官方博客，白宫连签两道量子行政令，仿佛所有加密随时作废。真正让这场讨论换焦点的，是7月底的一件事：Anthropic的AI模型Claude Mythos Preview盯上了密码算法本身的数学缺陷，其中一个目标是后量子签名候选方案HAWK。Mythos花了60小时，直接把它的有效密钥强度砍掉一半。36氪
而HAWK不是无名之辈，它已经扛过两年两轮的全球顶级密码学专家审查。另一边，造量子计算机的人自己也在收紧时间表：Google 在官方博客里，把自家的 Q-Day 准备死线定在了 2029 年，比 NIST 的官方弃用时间还早一年。知乎
先把边界说清楚，免得被标题党带节奏：HAWK只是候选方案，还没有部署在任何地方。AES攻的是砍到7轮的简化版，完整的10轮AES-128毫发无伤——你的银行卡密码、HTTPS连接、加密硬盘都安全。36氪
所以这件事和普通人的关系，不在"明天密码作废"，而在于两重加速同时发生：AI在压缩算法审查的时间，量子硬件在压缩解密的时间表。恐慌没必要，但"换锁"这件事，确实提前了。
一、第一重加速：AI开始替人类"审锁"
先看Mythos把HAWK砍到了什么程度。最小的HAWK-256参数集，原本以为完整密钥恢复要2^64的代价——也就是大约1800亿亿次运算。Mythos证明只需要2^38，大约2700亿次。36氪换算下来降了约4.4万亿倍：HAWK想维持原来的安全等级就得把密钥翻倍，而密钥一翻倍，它"轻量级"的核心优势也就没了。
为什么审了两年的方案会被AI找到裂缝？HAWK的安全性建立在格（lattice）问题上：密钥相当于藏在一个巨大的高维格子里，破解等于在格子里找到一条隐藏路径，下图这种二维格子和它的基向量是最简化的示意，真实方案是几百维。
有用户从数学结构上给出了一种解释：HAWK的底层困难问题是ZLIP，但是它不是直接归约到ZLIP上的，而是MLIP。知乎底层难题和实际构造之间留了一道缝，AI恰好是那种能在缝里找出路的选手。
Mythos的胃口也不止HAWK。它顺手攻了写进ISO标准的轻量级加密算法LEA：13轮LEA的密钥恢复，此前需要2^98组明文对和2^86次计算，Mythos把它压到了不到2^30组明文，在普通电脑上一个小时就能跑完。36氪再加上它对简化版AES那种提速200到800倍的"莫比乌斯之桥"攻击，前两项成果各烧掉约10万美元API费用。
更值得记住的是时间对比：AI用一周做出发现，人类研究员花了一个月、读了几百个小时的密码学文献才敢确认它是对的。36氪发现不再是瓶颈，验证才是。这意味着候选方案的淘汰和迭代都会提速，押注单一"完美算法"的风险变大了，多条技术路线并行、传统加后量子的混合方案，才是更稳的姿势。
二、第二重加速：量子硬件在压缩时间表
再看量子计算这边。破解RSA-2048需要多少量子比特，学界估了一路：2012 年，约 10 亿。2019 年，2000 万。2025 年 5 月，Google 的研究员 Gidney 压到 100 万以内。今年 2 月，一篇叫 Pinnacle 的论文给出了 9.8 万。14 年，跌了四个数量级。知乎成本曲线的走法，像极了摩尔定律。
政策层面也在踩油门。美国今年6月签署的两项量子行政令里，第一项启动"国家量子计算冲刺计划"，目标5年内造出可完成重要科学运算的量子计算机。微博第二项则要求联邦系统在2031年前完成向量子安全体系的迁移。
但丑话要说在前面：9.8万这个数字附带苛刻的硬件假设，谷歌研究员Gidney本人就公开质疑过；微软的拓扑芯片Majorana 2同期也伴随学术争议。这个领域真突破和炒作混在一起，任何"量子计算机明年就来"的说法都值得打个折。不过方向已经很难怀疑：上半年IBM和芝加哥大学演示了70个逻辑比特层面的量子优势，QuEra把已验证逻辑比特的世界纪录推到96个。
两重加速放在一起看，结论其实一致：量子硬件压缩的是"解密日"的到来时间，AI压缩的是"锁本身靠不靠谱"的验证周期。两者都不指向"世界末日"，而是指向同一件事——换锁要趁早，而且别只换一把。
三、真正该警惕的，是"先偷后解"
对大多数人来说，量子威胁的正确打开方式不是"哪天开机当场破解"，而是另一个更现实的词：真正的威胁，不是量子计算机哪天开机、当场破解你的密码。是「先窃取，后解密」，行话叫 HNDL。知乎今天打不开你保险柜的人，可以把整个保险柜先搬走，等几年后买到切割机再开。医疗记录、基因数据、外交电报这类保密期超过十年的数据，今天被截获就等于未来被公开。
判断自己要不要急，有个密码学界常用的"莫卡不等式"（Mosca）：数据的保密期加上迁移耗时，一旦超过Q-Day倒计时，就没有拖延的余地。对普通人，基因报告、医疗档案这类长寿命数据，值得留意持有机构有没有迁移计划；对企业和机构，答案是把加密资产盘点和迁移提上日程，而不是等量子计算机亮相那天再说。
加密货币是当前被讨论最多的靶子。冷静看数字：破解比特币签名估计需要约 1150 个逻辑比特，目前的世界纪录是 96 个，还差一个数量级。知乎但链上已经暴露公钥的老地址是最脆弱的标的，包括中本聪时代留下的约百万枚比特币。对持币者，现阶段不重复使用地址、用持续维护的钱包，就足够应对。
哪类地址最危险？有社区作者按地址类型整理过一张量子风险对照表，把五类常见地址按公钥暴露条件、链上存量占比划分了威胁等级：P2PK这类早期地址公钥直接挂在链上，排在最危险一档；而不重复使用的新式地址，公钥还没有上链暴露，风险暂时靠后。
为什么有的地址更危险？以比特币的Taproot地址为例，它的密钥结构可以拆成三部分：顶端的聚合公钥，加上密钥路径公钥和脚本路径的默克尔根，见下图。问题在于，Taproot地址收款时公钥就直接暴露在链上，不像老式地址那样藏在哈希后面，所以一旦量子破解到来，暴露面更大。
四、换锁其实已经悄悄开始
好消息是，迁移不是纸上谈兵。Cloudflare 上已经有超过三分之二的浏览器流量，跑在抗量子加密上。知乎你现在打开一个大网站，链路大概率已经是"传统+抗量子"的混合模式，只是没人通知你。
芯片层面也在跟进。恩智浦8月发布的MCX A5系列MCU，把后量子加密直接做进了工业芯片：全新MCX A5 MCU集成10BASE-T1S以太网数字PHY、后量子加密与拓扑发现能力，将工业节点转变为互联端点。微博
国内节奏也不慢。8月12日，中国电信牵头的PQMagic后量子密码开源社区正式发布，并给出了一句很关键的行业判断：当前，全球后量子密码发展正由算法研究和标准制定迈向工程实现、系统适配与迁移应用。知乎标准话语权上，我国也在卡位：目前，国际标准化组织（ISO）和国际电工委员会（IEC）已发布的3项量子技术国际标准均由我国牵头制定，还有5项国际标准正在牵头研制中。新华网
消费端同样在动：Apple的iMessage从2024年就换成了抗量子协议，Signal也完成了迁移，Android把抗量子算法写进了新一代系统的硬件信任根，国密SM2与国际抗量子算法的混合协议去年底拿到了正式分配号。
想亲眼验证也不难。打开Chrome的网络日志（NetLog）访问支持混合密钥交换的网站，看TLS握手的key_exchange_group字段：Chrome 和 Cloudflare 的一次 TLS 握手里，已经藏着 X25519MLKEM768。知乎其中4588这个编号对应的就是X25519MLKEM768——一半传统X25519、一半后量子ML-KEM-768的混合密钥交换。看到它，说明你这次连接的密钥协商已经上了抗量子保险，虽然证书签名可能还是传统算法。
五、不同人现在该做什么
把这些信息折叠成行动清单，大致是这样：
普通人：不需要恐慌，高强度独立密码、两步验证这些基本功不变；对基因、医疗这类长寿命数据，留意持有机构的迁移动向；
企业或系统管理员：先做加密资产盘点，实际要换的锁通常是预估的3到5倍；优先迁移密钥交换环节，因为"先窃取后解密"是今天就成立的威胁，签名可以稍后；
加密货币持有者：不重复使用地址、避免公钥过早暴露、使用持续维护的钱包，现阶段足够。
最后给两个提醒。一是警惕「量子安全」恐慌营销。已经有人在卖量子焦虑课了。知乎任何让你"赶紧付费避险"的量子话题，都值得先冷静一天。
二是保持怀疑：后量子密码产业显然乐于见到炒作量子威胁的玩意，无论真假。知乎卖锁的人天然有动机喊狼来了，这也是本文把反证信号单独列出来的原因。
值得持续盯的几个信号：NIST后量子签名后续轮次的候选评审进展（HAWK之后谁补位）、逻辑比特的世界纪录（目前是96个，离破解比特币签名所需的约1150个还差一个数量级）、谷歌的2029死线是否再提前，以及国密SM2混合标准的落地节奏。
至于 Quantum 到底哪年到来，诚实讲，没人知道。但换锁的表已经排下了，这是过去三十年没有过的事。知乎量子计算未必按表到来，密码学的换锁却必须按表完成——这中间的错位，就是接下来几年整个数字世界都要付的工程税。
