密码分析投入如何量化：一项基于文献的估算

引言

每一个已部署的公钥方案都建立在某个问题难以求解的猜想之上。我们很少追问究竟有人实际尝试过多少。本页报告了一项基于文献的估计，针对标准化加密背后各假设类别的公开密码分析工作量：椭圆曲线离散对数（ECDLP）、结构化与普通格（MLWE、LWE）以及伴随式译码，并以因数分解、同源和多变量系统作为对照。所有数字仅统计公开工作。涉密工作在第6节讨论。

目标是给出一种可辩护的数量级比较，形式为X类所受到的审视约为Y类的N倍，而非安全级别。计算记录和基于模型的工作量估计另作单独追踪。

一个研究分配年（在底层数据中称为research-FTE）是基于某位研究者的出版物中投入某一主题的比例所作的估计。它并非记录在案的工作年数。

文献

我们采集了IACR ePrint、DBLP、OpenAlex和zbMATH，按关键词筛选，并依据书面评分标准对候选条目进行分类。第二轮复核了纳入条目和边缘条目，以及一部分被排除的样本。图 1按发表年份展示了结果；涉及多个假设的论文按比例拆分。每个计入的条目均按年份连同BibTeX列于参考文献中。

每年论文数

按假设类别划分的密码分析研究条目，分数计数。年度值为居中三年均值；2026年不完整。ePrint / DBLP限制的是来源，而非正确性或同行评审状态。同行评审保留同时发表于同行评审期刊或会议的条目（学位论文、书籍章节和仅预印本的条目被剔除）；未评估发表场所质量。在该视图中，阴影年份（2025–2026）可能不准确：论文需要一年或更长时间才能出现在期刊或会议上，而DBLP还会进一步延迟索引。无年份或超出所绘时间段的条目未纳入本图。点击图例条目可隐藏相应系列。

在主要的累积视图中，格研究超过ECDLP。在本研究的计数和来源假设下，格/ECDLP比率大致在1.3到2.6之间。

这些是不同的度量和敏感性选择，而非置信区间。主要的论文计数视图在2017年交叉；作者产出估计在2019年交叉。

按假设类别划分的可见工作量。分数条目计数（include = yes，工作量类别）；同行评审统计同时发表于同行评审期刊或会议的条目（未评估发表场所质量）；根据作者映射估计的分配年数。总计包含未出现在带日期图表中的条目。

谁在做这些工作

论文计数将两页的短记和长达十年的研究计划同等看待。作者映射将7,613条作者署名归并为约3,240个身份，其中一些尚未解决，并估计每个人在滚动五年窗口内投入某一类别的出版物份额。两人各有一半产出属于某一类别，则合计贡献一个分配年。

这些估算可能大幅高估了研究者的时间投入。 仅就某一主题发表论文并不意味着全职从事该主题的研究。教学、行政工作、其他工作、短期项目以及未记录的工作，都可能使发表份额超过时间份额。设定最低假定发表率可以限制稀疏记录的影响，但并不能衡量实际工时。另一种 职业调整视角则按假定的研究时间比例缩减份额；它同样是一种代理指标，而非经过研究者时间记录验证的校正。部分作者缺乏职业数据，因此改用每篇论文的假定投入量。

每年估算的研究投入分配

基于发表量的分配估算，而非实际观察到的研究人员配置。职业调整按职业阶段应用假定的研究时间比例。两种视角均保留每篇论文的兜底估算。2026 年为不完整年份。

累计投入

在该模型中，factoring 与 FF-DLP 在累计分配年数上仍共同领先，而格方法于 2019 年超过 ECDLP。这些曲线描述了模型对已发表成果随时间的分配情况。

累计估算研究年数

累计分配估算，自 1980 年起显示；更早的贡献仍计入总量。悬停可查看数值；标记显示在所选模型中格方法超过 ECDLP 的位置。

个体研究者

另有一个页面按个人细分已发表成果：在任一时期，谁对每个假设类别的贡献最大，每个领域的集中度如何，以及其研究者如何通过合著关系相互连接。

研究者探索器按领域和时期查看顶级贡献者、集中度与合著网络

与前沿的距离

投入是一个维度；已展示的计算能力是另一个维度。对于每个目标，我们使用成本模型来估算攻击与相关公开计算记录之间的工作量比值。我们以比特为单位表示该比值：

$$g \;=\; \log_2 W(\text{target}) \;-\; \log_2 W(\text{largest public solve})$$

(1)

10 比特的差距意味着约一千倍的模型工作量；35 比特意味着约 350 亿倍。两个端点使用同一模型。只有共享的、与规模无关的成本因子会抵消；内存、通信及其他成本可能随问题规模而变化。

按目标划分的前沿差距

基于模型的近似工作量差距。范围反映所选模型假设，而非置信区间。格方法差距涵盖一次筛法调用；在该模型中，完整的 ML-KEM-512 攻击约增加九比特。 RSA 使用领先的 GNFS 表达式；HQC 使用粗略的解码模型。

有关模型、来源和验证限制，请参见归一化方法。

攻击历史与稳定性

攻击算法是如何变化的？下图描绘了经过来源核验的选定数学界。每个公式给出一个主导项指数：一种忽略低阶因子的简化度量。该指数下降表示所选模型有所改进。它并不衡量损失的安全比特数，而平线也不意味着实际攻击停止了改进。

第一个视图保持参考规模固定。第二个视图找出在每个选定界限下给出指数 128 的规模，并相对于最新的此类规模显示。这些是用于说明的模型规模，并非推荐的密码学参数。日期遵循所引用的分析，包括后来的更正，而不是重建研究人员在每个时刻所相信的内容。

选定算法界限随时间的变化

这是选定的历史，而非详尽的最佳已知前沿。ECDLP 使用通用群运算估计；格使用维度为 406 的 SVP 预言机，而非完整的 ML-KEM 攻击。解码针对每种算法分别对码率最大化全距离指数；它不是单一固定码率的码。因式分解和 MQ 使用其所述的渐近和代数假设。这些模型之间的级别并未校准到相同的运算或内存成本。来源可在数据表中找到。

选定的模型指数。不同的起始年份反映了来源覆盖范围和比较范围。“最新绘制的界限”并不表示该日期之后没有其他进展。

采用不同成本模型的间断与重新评估

有限域进展和 SIDH 破解作为有来源的事件予以保留。它们的具体估计和运行时间涉及特定实例和单位，因此未与指数曲线合并。多项式算法和准多项式算法是不同的；仅凭任一标签都无法提供数值参数建议。

选定事件。估计值保留其来源的范围；它们不是共同单位的测量值。

规则、排除项和更正：详细方法。完整的带日期账本和来源：算法历史报告。来源已由代理检查；独立的人工验证仍未完成。

这没有计入什么

我们的文献估计涵盖公开记录的工作：论文、预印本、学位论文和已发表记录。未发表的失败、私人研究和机密工作缺失。我们没有按假设类别对缺失工作的可靠分配。

如果公共努力已知，额外的机密努力可以用未知乘数表示：

$$H_X^{\text{public+classified}} \;=\; (1 + k_X)\, H_X^{\text{public}}, \qquad k_X \ge 0 \text{ unknown}$$

(2)

为什么 $k_X$ 未被估计。人们或许希望从公开的政府预算文件中读出机密人员编制，并以 NSA 作为记录最完整的案例。官方文件不允许这样做。国家情报计划仅公布一个总额；其下 NSA 的每一行都是机密的，唯一非机密的 NSA 预算项目涵盖防御任务，而该机构被排除在原本会统计其数学家的联邦劳动力统计数据之外。泄露的 FY2013 预算论证是唯一将美元项目与人员配对的文件：“Cryptologic Math & IDA Research”每年 1.19–1.46 亿美元，其中一个密码分析项目有 240 名文职员工、预算 3900 万美元。将研究项目除以一个合理的全负荷成本，得到大约 300–500 名全职人员，不确定度达两倍，对应的是一个预算项目而非密码分析人员，截至 2012 年，且没有按假设类别拆分。对于在 NSA 合同下工作的 IDA 密码学中心，确实存在一个官方序列，它表明此类美元换算将研究人员高估了约两倍。方法页面列出了来源以及每个来源能界定和不能界定什么。

推理美元衡量的投入

近期 AI 系统在数学和密码分析领域以已披露的成本产生了新结果。我们不估计人类与机器研究之间的汇率。相反，我们在假设的生产率乘数 $s$ 下，将历史投入 $H_X$ 表示为等效推理预算：

$$D_X(s) \;=\; \frac{c \cdot H_X}{s}, \qquad c = \$250{,}000 \text{ per research-year}$$

(3)

该乘数表示假设的每美元研究生产率：在 10× 时，一个估计的人类研究年对应 25,000 美元的推理。没有测量或偏好任何乘数。这些预算继承了人类投入代理变量中的任何高估：如果实际时间是我们估计的一半，相应的预算也减半。

预算探索器

对数刻度，1× 到 1000×

假设的混合价格。改变 token 总量，不改变美元预算。选择“reference tokens”以查看图表变化。

使用上述未调整的产出份额估计的情景预算，reference tokens 按假设的混合价格计算。这些是敏感性案例，不是攻击成本的预测。人类监督、验证、模型训练和工具计算不在推理额度之内。HAWK 标记是已披露的发现预算，不是对乘数的校准。在 token 视图中，该标记按所选价格换算相同的美元；它不是 HAWK 报告的 token 使用量。随着滑块移动，两个轴保持固定。

反过来读，100,000 美元的推理预算在 1×、10× 或 100× 时代表 0.4、4 或 40 个假设的人类年当量。这些是分配的当量，不是 AI 实际取代的劳动。论文另外使用双方基于论文的投入来探索 HAWK 归一化；它没有将该比率应用于此处显示的作者产出估计。

近期数学结果

对于选定的数学问题和 HAWK，我们将已披露的 AI 预算与对相关文献中投入的基于论文的估计进行比较。这第二个估计器为每篇论文分配假设的年数，而不是重建作者发表份额。样本包括部分结果和相关问题变体。

文献工作量情景 vs. AI 预算

空心圆点按每个假定年份 25 万美元估算文献工作量。区间是工作量先验端点的总和，而非置信区间。实心圆点显示 Erdős 案例中已披露的成功运行平均成本，以及 Anthropic 报告的 HAWK 发现预算。Erdős 平均值不包含未成功的尝试和其他项目成本。没有预算的行仅为文献估算。星号标记的文献总量包含明确由 AI 辅助的工作。

文献总量尚未经过发现前人类劳动的审计。保留的语料库包含图表中标记的明确由 AI 辅助的论文，其历史截止时间仍需审查。现有文献也为 AI 提供了工具。比较这些金额并不能衡量生产力提升或复现的历史审查比例。

来源：FrontierMath Erdős，表 2–3 和 Anthropic 的 HAWK 报告。Erdős 论文报告其更广泛行动的总花费超过 22 万美元；此处显示的单次成功运行成本是不同的核算边界。HAWK 的约 10 万美元是发现的 API 成本，而非执行密钥恢复攻击的成本。

方法与注意事项

有关确切规则、公式、源文件和未解决的缺陷，请阅读详细方法论和审计追踪。

语料库。IACR ePrint 和 DBLP 采集、OpenAlex 短语搜索和引文扩展，以及 zbMATH。导出包含 4,349 条纳入或边缘记录；其中 2,877 条是主要工作量类别中的纳入条目。每项工作只计一次（92 个重复版本权重为零，9 个期刊扩展版本权重为三分之一），共 2,785 项不同工作。针对十二篇选定种子论文参考文献列表的召回率约为每类 96–100%；这并不能确立全领域的召回率。

分类。第二遍模型审查了纳入和边缘条目以及排除项的样本，并可访问第一遍的标签。$\kappa = 0.84$–$0.89$ 的一致性描述的是在已审查子集上的一致性。0.5–1.1% 的排除反转率涉及抽样的第一遍排除项。这两项检查均不能确立独立验证、分类器召回率或全局错误率。系统性人工验证仍未完成。

范围。该标准排除了贡献在于提取功耗、时序或故障泄漏的攻击，以及与数学问题无关的实现或协议缺陷。它有意纳入部分信息下的数学攻击、量子算法、特殊或弱实例，以及数学求解器的更快实现。这些更广泛的类别并非都能迁移到普通部署参数。基于摘要的分类也可能纳入范围外的工作或错误归因混合论文；此类错误可能高估某一类别的相关审查。参见分类标准。

时间。产出份额可能大幅超过时间份额。缺失的职业生涯发表记录、不确定的身份以及每篇论文投入精力的假设会带来更多误差。职业生涯阶段调整使主类别总数降低约四分之一，但这依赖于假设的研究时间占比以及往往为估算的职业生涯阶段。目前没有可靠的数值误差范围。美元情景直接随这些不确定的总数缩放。

模型。流程、分析与文本由 Claude Fable 5.1 和 Claude Opus 5.5 完成，GPT-6 Astra 亦有贡献；较小的 Claude 模型执行了第一轮分类。方法学决策由负责监督的人类做出并记录。

数据与引用

阅读详细方法学以了解审计轨迹，阅读工作白皮书（PDF）以了解综合、名义人时，以及额外的 OpenAI 和 Anthropic 对比。其前沿记录分析仍为独立轨道，此处以如上限定条件进行概述。

本页的每个数字均取自生成的数据。计数所依据的论文列于参考文献（BibTeX）。研究仓库包含来源、分类标准以及用于重新生成它的pipeline/build_site_data.py。

更正与建议。我们希望听到任何看起来有误的地方：缺失、计数错误或归类错误的论文，被错误归属的作者，与来源不符的数字，或您认为方法中错误的假设。对更好方法的建议同样欢迎。请在研究仓库上提交 issue；模板会询问我们核查报告所需的细节。被接受的更改会记录在仓库历史中，网站会据此重新生成。

@misc{bitsofwork2026,
  title        = {How Hard Have We Looked? Measuring Public Cryptanalytic Effort},
  author       = {Green, Matthew},
  note         = {AI-conducted analysis, overseen by Matthew Green. Working draft},
  howpublished = {\url{https://bitsofwork.org}},
  year         = {2026},
}