AI 可能终结现有公钥加密体系

过去几个月里，AI 模型开始解决重大数学问题，其中一些曾让人类数十年的努力无功而返。Claude Fable 推翻了三维情形下的雅可比猜想，OpenAI 宣布了一份清单，列出其 Astra 模型解决或取得重大进展的 10 个问题。更近一些时候，一个尚未发布的 OpenAI 模型解决了纳维-斯托克斯千禧年大奖难题，这是数学中最著名的未解问题之一。

这些是了不起的成就，但我们的日常生活几乎不会因此发生什么实际变化。这是因为大多数著名的未解数学问题与实际应用相对隔绝。然而，有少数未解数学问题确实具有重大的现实影响。其中首要的是公钥加密是否从根本上安全：也就是说，两个陌生人能否通过互联网等公开渠道共享一条秘密消息，而窃听者没有高效的方法将其破译。

我们每天都依赖公钥加密，用于端到端加密通讯应用、虚拟专用网络（VPN），甚至你此刻很可能正在用来阅读本文的 HTTPS 协议。但这一切都建立在一个未经证明的假设之上：某些数学运算本质上比其逆运算更容易完成。事实上，这个假设已经被推翻过一次：如今使用的大多数公钥加密都容易受到一种量子计算机能够高效执行的攻击。这促使人们紧急转向“后量子”密码学，而后者所用的方法也可能被证明并不安全。

随着 AI 模型的进步，它们不仅在纯数学领域取得进展，在密码分析领域也是如此：Anthropic 最近发布的研究显示，Claude Mythos Preview 发现了针对两种不同密码算法的新攻击，其中包括一种正在被美国国家标准与技术研究院（NIST）评估的后量子技术。

攻破某个特定算法，比证明所有相关算法都可被攻破要容易得多。但鉴于近期在密码分析和数学两方面的惊人进展，AI 似乎真的有机会实现后者。

其实际影响将是巨大的，而且很大程度上是有害的：那将意味着端到端加密的终结，并标志着政府监控权力的大幅扩张。此外，这类成果很可能不会向公众公开，而是被情报机构作为严密保守的秘密。

公钥加密简史

公钥（也称非对称）密码学构成了互联网安全通信的基础。每当你通过 HTTPS 与某个网站通信时，该网站会向你发送它的公钥。仅凭这个公钥，你就能验证由该网站签名的消息，并建立一个共享密钥，用于加密你发送的其他所有内容，即使信道正被窃听也无妨。我们只关注第二个方面：那个共享密钥是如何建立的。我们将用“公钥加密”作为这一过程的简称。

一种重要的早期公钥加密方法依赖于质因数分解的难度。 从历史上看，从古罗马的凯撒密码开始，几乎所有加密都是对称的：双方需要使用相同的密钥来加密和解密消息。这种情况在1977年发生了变化，当时计算机科学家 Ron Rivest、Adi Shamir 和 Leonard Adleman 推出了 RSA（Rivest-Shamir-Adleman）密码系统，这是第一个向公众开放的实用公钥加密算法。RSA 的安全性基于质因数分解的难度。将两个质数相乘很容易，但要找出是哪两个数相乘却非常困难。

‍量子计算机可以高效地破解 RSA 加密。 互联网的兴起使公钥加密比以往任何时候都更有用。陌生人无需私下会面来共享秘密，而是可以通过互联网使用公钥来做到这一点，甚至不必离开家。然而，1994年，计算机科学家 Peter Shor 发现了一种在量子计算机上高效分解大数的方法。使用标准计算机的人类需要数万亿年才能处理这些数字并破解 RSA 加密，而拥有量子计算机的攻击者则可以相对轻松地撤销乘法并发现密钥。

研究人员正试图使加密方法能够抵抗量子计算机。 尽管1994年还不存在可行的量子计算机，但密码学家意识到 Shor 算法的存在构成了不可容忍的威胁。原因是“先收集，后解密”：一个持续存在的对手可以收集今天用易受攻击的方法加密的数据，并在量子计算技术发展之后稍后解密。事实上，人们普遍认为情报机构已经在为此目的收集加密信息。由于这一威胁，几乎立即开始了对“后量子密码学”的研究，这是一种基于即使强大的量子计算机也无法在实用时间内解决的难题的密码算法。

开发稳健的新型加密方法已被证明充满挑战。迄今为止，对后量子公钥加密算法的研究一直集中在少数几个数学结构上，这些结构目前仍没有高效的量子解法。但即便在这些领域内，该领域也充斥着已被攻破的算法。例如，人们曾投入大量精力研究 SIKE，这是一种据称能抵抗量子攻击的技术，基于被称为同源的数学函数。然而在 2022 年，SIKE 在最初通过 NIST 测试后，被证明容易受到一种攻击，该攻击在标准 PC 上仅需一小时计算。这些问题并不限于基于同源的算法。最古老的后量子加密方案 McEliece 基于被称为纠错码的数学结构。由于其在近 50 年里经受住密码分析攻击而毫发无损的悠久历史，它也被推进到 NIST 评估流程的最后一轮。但在 2026 年 8 月，一篇攻击论文发表，其初步估计将找到密钥的成本降到了 NIST 设定的安全阈值以下。该攻击论文的作者承认在证明中使用了 AI 辅助。

/inline-pitch-cta

后量子公钥加密算法处于一个不确定的位置：它们旨在防御的量子计算机尚未构成威胁，而提出的算法往往最终被证明不安全。

密码狂躁还是迷你密码？

这些看似无关的失败或许最终揭示了我们世界的一个性质：任何足够简洁、能让陌生人在公开信道上就秘密达成一致的数学结构，也同样足够简洁，能让窃听者破译。

强密码学需要没有高效算法可解的困难数学问题。在公开信道上建立密钥的安全机制根本不可能，这一想法最早由复杂性理论家 Russell Impagliazzo 提出。在他 1995 年那篇著名的文章《平均情况复杂性的个人观点》中，他介绍了我们可能生活的五个世界，每个世界因其可访问的算法而不同：Algorithmica、Heuristica、Pessiland、Minicrypt 和 Cryptomania。我们生活在哪个世界取决于复杂性理论中尚未解决问题的答案。这些世界代表了安全等级：相关数学问题越难解，安全密码学的空间就越大。

在 Algorithmica、Heuristica 和 Pessiland 中，加密是不可能的：一般来说，任何你能作为密码学挑战提出的数学谜题，都有相应的算法能让窃听者高效求解。

另一方面，Minicrypt 提供了真正的密码学。在这个世界里，我们获得了单向函数：易于计算，但给定输出后难以逆向的函数。这给了我们对称加密、密码学哈希和数字签名。但在这里，仍然不可能在公开场合建立秘密，因为用于加密消息的同一密钥也可用于解密。

在Cryptomania的世界里，情况有所不同，因为与Minicrypt不同，公钥加密是存在的。Cryptomania代表了所有世界中最安全的一种，其中相关的数学问题难以求解，且大多数形式的密码学都是可能的。

可能存在尚未发现的破解加密方法的算法。目前，我们的现实世界似乎类似于Cryptomania，因为我们拥有一些数学结构，尚无已知算法能高效求解它们。这使得公钥加密成为可能。然而，我们所认为的安全性可能很容易是虚幻的。我们没有根本理由说明明天不会发现一种算法，能够解决我们今天用于加密的数学问题，从而瞬间破解所有基于这些问题的加密方案。

公钥加密比对称加密更容易受到新算法的威胁。密码学家和复杂性理论家普遍认为，我们很可能并不生活在前三个世界中，在那里现代密码学是不可能的。我们对至少拥有某种密码学（使我们处于Minicrypt或Cryptomania）的信心，来自于数学家们能够如此轻易地找到看似难以逆转的函数。一般来说，任何彻底打乱其输入的函数——有很多方法可以做到这一点——似乎都远比正向运行更难逆向运行。由于单向函数如此多样，如果每一个都能被某种技巧逆转，那将非常令人惊讶。不幸的是，公钥加密的情况并非如此，只有少数高度结构化的计算操作满足所需属性。其中一些操作，正如我们之前在素数分解中看到的，已经沦陷了。密码学家Bruce Schneier指出了这一区别：

正如一个聪明的密码学家有可能找到一种新技巧，使破解特定算法变得更容易一样，我们可以想象拥有足够数学理论的外星人能够破解所有加密算法。……公钥密码学全是数论，可能更容易受到数学倾向更强的外星人的攻击。对称密码学是如此多的非线性混乱，如此容易使其更复杂，如此容易增加密钥长度，以至于这种未来难以想象。

AI与密码分析

这些“拥有足够数学理论的外星人”是否已经在路上了？随着AI不断解决长期未决的数学猜想，我认为我们不应低估这种可能性。

AI 可能在密码分析上取得成功，原因与它在编程和数学上取得成功相同。 怀疑者可能会说，用于加密的数学问题已经经受了几十年来由极有动力寻找漏洞的人进行的审视，因此 AI 很可能也会发现它们难以攻克。作为回应，我首先要论证，AI 可能在密码分析上表现出色，原因与它在数学和编程上表现出色相同：解很容易验证。要么模型的攻击成功恢复了密钥，要么没有。这意味着存在明确的成功或失败信号——这正是 AI 实验室已经部署的强化学习（RL）算法所需要的，用以训练出更好的 AI 数学家和程序员。换句话说，那些在提升其他 AI 能力方面行之有效的训练技术，将自然地延伸到密码分析领域。

/odw-inline-subscribe-cta

AI 模型的能力可以通过逐步加难的问题得到提升。 此外，实验室可以开发出难度适当的“弱化”密码算法，用以训练下一代模型。例如，Claude Mythos Preview 成功攻击的两种加密方法之一，就是无处不在的高级加密标准（AES）的简化版本。然后，每一代模型都可以被给予稍微更难的问题，从而培养出更好的 AI 密码分析者。

AI 模型可以大幅扩展投入密码分析的有效人力。 此外，尽管后量子密码算法背后的数学结构已经经受了大量审视，AI 模型可能带来比以往任何时候都高得多的审视强度。Cryptology ePrint Archive（分享密码学和密码分析研究的主要平台）在 2025 年收到了约 2,300 份投稿，这表明其活跃研究者群体只有几千人。但对于后量子密码学的任何一个给定子领域，只有其中一小部分研究者会从事相关工作，也许只有几百人。虽然 AI 工具可能不如该领域的顶尖研究者聪明，但 AI 模型远更愿意做苦工，逐一钻研每一条可能的线索。它们能够投入的集体人时远超研究界愿意花费的数量。

当一种加密方法被攻破时，实施新的方法需要时间。 即使没有证据表明公钥加密在根本上不可能，它在实践中也可能变得不可用。对密码算法的大多数攻击并非来自根本性突破，而是来自被分析算法特有的缺陷。虽然把一个糟糕的算法换成一个尚未被攻破的算法看起来很容易，但历史上新算法的整合需要很长时间（根据 NIST，为 10 到 20 年，参见）。在此期间，有漏洞的算法仍将是实际使用中的算法。因此，如果针对特定算法的攻击变得足够频繁，我们最终可能陷入与公钥加密完全不可能时实际上相同的情况。

生活在迷你密码界

即便在 Minicrypt 中，我们的许多密码学工具仍将幸存，包括对称加密、密码学哈希和数字签名。这意味着我们仍然可以对代码签名、安全地更新软件，甚至使用加密货币。我们的大多数软件将像今天一样运作。然而，陌生人之间的端到端加密将不复存在。

安全消息应用将要求通信双方亲自建立密钥。一个后果是，像 Signal 和 WhatsApp 这样的安全消息应用将失去其基于数学的隐私保证，这种保证不要求用户信任消息服务提供商本身。如今，安全消息应用需要公钥加密来为对话建立共享密钥。当你在 Signal 上通过用户名给某人发消息时，该对话的第一步就是利用你和对方的公钥构建一个安全的共享密钥。这完全不需要你信任 Signal 这家公司。但是，在 Minicrypt 中，这将变得不可能。为了建立安全对话，你首先就需要已经拥有一条安全信道。对于消息传递而言，这可能要求只能亲自建立连接（也许由一个人扫描另一个人手机上的二维码）。然而，你将无法仅凭用户名或电话号码就安全地给他人发消息，而不依赖于应用开发者的诚信。缺乏这种保证将大大降低这些应用的隐私价值。

在线环境下，安全的信息交换将需要一个可信的中介服务。消息应用或许能够承受亲自验证初次接触的要求，但开放网络则不能。通过使用中介，你无需与每个网站都建立可信信道，而只需建立一个：与中介本身建立。当你想访问某个网站时，中介会向你与该网站发送密钥以加密流量。浏览器或许能够实现这一协议，而用户不会觉得有太大不同。URL 栏角落的锁形图标仍会存在，协议甚至可能仍被称为“https”。

中介可能需要以物理形式分发密钥，类似于 SIM 卡。这一变化最明显的后果将是你如何上网。除了向蜂窝服务提供商或互联网服务提供商注册外，你还需要向可信中介注册。使这第一条信道安全仍然很困难，而在实践中，这很可能需要物理分发。SIM 卡本质上已经以这种方式运作。该卡的存在只是为了保存与移动运营商预先共享的密钥，从而允许你使用其网络。

中间人能够解密消息，而政府可能会要求他们这样做。虽然 Minicrypt 会要求我们的通信系统发生改变，但政治后果比技术后果更为重要。首先，在这个世界里，所有安全通信都源于你与可信中间人之间的账户，这使其成为了解你的客户系统、去平台化和年龄验证的天然瓶颈。其次，可信中间人可以窥探你所有的加密通信，甚至可以伪造来自你的加密消息。

20 世纪 90 年代，美国政府提出了Clipper 芯片，这是一种用于电话的加密芯片，其密钥由政府持有。凭借法院命令，执法部门可以解密该芯片曾经加密过的一切内容。然而，该芯片并未被广泛采用，而开源公钥加密方法的普及意味着存在不允许政府监控的替代加密方法。公钥加密的崩溃将意味着中间人可以解密消息，而政府可以要求他们这样做，实际上让 Clipper 芯片卷土重来。

如果公钥加密被攻破，政府可能会对此保密。上述所有适应措施只有在社会得知公钥加密已被攻破并能够开发新架构时才会发生。但是，从历史上看，当各个情报机构发现某个特定加密算法被攻破时，他们往往会将这一信息秘而不宣。这类机密是政府掌握的最受严密保护的信息之一。如果某家前沿 AI 实验室最终发现公钥加密被攻破，它可能会被要求保密，而公众可能永远不会知道。

要点与缓解措施

现在或许就值得构建替代系统。最好的缓解措施可能是在我们需要之前，现在就构建好支持 Minicrypt 的基础设施。这将涉及标准化密钥分发协议、在浏览器和操作系统中构建支持，以及决定如何治理可信中间人。通过尽早建立这一基础设施，我们可以纳入比仓促推出所能期望的更好的隐私保护措施。如果一切顺利，而我们确实生活在 Cryptomania 中，那么我们永远都不需要使用这一基础设施。然而，如果我们获得的信息暗示我们的未来是 Minicrypt——例如 AI 模型发现了我们此前认为困难的问题的高效算法——那么这一基础设施将准备好供我们切换使用。

在不同国家设置多个中间机构可以缓解政府的过度干预。其中最重要的隐私保护措施是设计系统时将可信中间机构的角色分散到不同机构。利用不依赖公钥加密的秘密共享技术，你可以设计一个系统，要求比如五家提供商中的三家合作才能构建会话密钥。这样，单个腐败、被入侵或被传唤的提供商就无法独自解密你的通信。这有助于避免权力集中在政府手中；如果这些提供商位于不同司法管辖区，那么任何一国政府的法院命令都无法强制它们全部配合解密消息的请求。这仍然弱于当今的端到端加密，在那种情况下我们无需信任任何提供商。尽管如此，这仍是对单一政府过度干预的有意义防护。

我们目前所处的境况与1994年Shor算法被发现后密码学家所面临的情况有些类似。在该算法被发明时，量子计算机尚不存在。然而研究人员认识到，它们出现可能只是时间问题。随着AI辅助数学能力不断增强，我们面临类似的挑战：设计出能够抵御可能在数学能力上远超我们的对手的密码协议。正如研究人员在原则上理解量子解密风险后便立即开始应对，我们也应在超人类AI数学家带来的密码学风险出现之前就开始着手解决。

‍

有不同看法？AI Frontiers欢迎专家见解、深入批评和新颖观点。向我们投稿。