量子计算与升级竞赛：对话 Alex Pruden

Project Eleven CEO Alex Pruden 与 Chris Smith 探讨：为什么椭圆曲线密码没有直接替代品，他为什么预计 AI 会缩短密码算法的有效寿命，以及为什么升级只能保护迁移到新方案的持有者。

本文是对 Alex Pruden 参加 Quantus 播客（2026 年 8 月 6 日发布）的编辑摘要。对话已按主题整理，引文为便于阅读做了轻度编辑。

在 YouTube 观看本期节目。可在 Spotify 或 Apple Podcasts 关注播客。

需要给 LLM 使用的文字稿？下载完整文字稿：quantum-and-the-race-to-upgrade-transcript.md。

关于 Alex Pruden

Alex Pruden 是 Project Eleven 的 CEO 兼联合创始人，该公司为数字资产构建后量子安全基础设施和工具。此前他领导 Aleo，这是一条专注隐私的 Layer 1 区块链，他曾担任其 CEO 以及 Aleo Network Foundation 的执行董事。再往前，他是 Andreessen Horowitz 加密团队的投资合伙人。他在美国陆军服役九年，担任步兵和特种部队军官。

本期金句

“这是一个两步走的过程。首先要造出一艘方舟，然后你得登上它。”
— Alex Pruden，Project Eleven CEO，36:31

逐分钟内容

00:41：Alex 从陆军、Andreessen Horowitz 到 Aleo 的经历。
03:20：Willow 论文和主网延期为何促使他创立 Project Eleven。
06:25：市场对 Willow 的反应，以及改变看法的怀疑者。
10:14：椭圆曲线密码为何成为默认选择，以及它为何很可能最先被攻破。
12:52：后量子签名之间的取舍，以及共同标准的终结。
17:59：ML-DSA、基于哈希的方案，以及有状态签名的代价。
21:55：Falcon、侧信道攻击，以及支持格密码的理由。
25:11：对 NIST、NSA 和各国密码标准的信任。
28:44：Google 未公开的电路、ECDSA.fail 以及 AI 辅助的密码分析。
35:27：为什么现有区块链面临两步迁移。
39:56：Q-Day 可能何时到来，以及为何可能没人会宣布。
48:00：去中心化、机构与稳定币管理员密钥。
53:44：区块链能做到而任何中心化系统都做不到的事。

进入加密行业之前，Alex Pruden 在美国陆军服役了约十年。2015 年前后在中东工作期间，他接触到比特币，之后在 Andreessen Horowitz 投资加密领域，并转而领导 Aleo，这是一条专注隐私的区块链，其上线时间从原计划的 2022 年推迟到了 2024 年底。

这次延期让他明白，密码系统投入生产有多慢。他还注意到密码学课程里常提到的一个但书：如今使用的非对称系统会在大型量子计算机面前失效。这类脚注式的说法通常被忽略，因为这样的机器看起来还很遥远。2024 年底 Google 发布 Willow 时，他把两件事联系了起来。后量子密码学既复杂又相对较新，他由此断定，人们低估了现有系统采用它所需的时间。他当年就创立了 Project Eleven。

他与 Quantus CEO Chris Smith 的对话发生在 Quantus 上线主网前不久。内容涵盖什么将取代椭圆曲线、从论文到部署之间会出什么问题，以及为什么升级中最难的部分可能是说服持有者完成迁移。

1. 椭圆曲线几乎包办了一切，Alex 预计它会最先被攻破

椭圆曲线密码之所以成为区块链的默认选择，是因为一个基础原语几乎满足了所有需求。Alex 列举了这些需求：签名与身份认证、零知识证明、用于门限签名的多方计算，以及以太坊权益证明网络使用的基于配对的密码学。他称它为“瑞士军刀”。

它的高效来自小密钥。RSA 是更早的公钥体系，要达到同样的安全级别需要很大的密钥。Alex 把 4096 位的 RSA 密钥与椭圆曲线密码的 256 位密钥作了对比。

Alex 说，在量子环境下，这些短密钥很重要。研究人员长期以 RSA 为标尺衡量自己的机器，而椭圆曲线问题被证明更容易攻击。他说，这就是为什么担忧“比人们最初意识到的近得多”。Google Quantum AI 2026 年 3 月的论文估算，在其假设的超导架构上，破解 256 位椭圆曲线密码所需的物理量子比特不到 50 万个。Alex 说，作者在准备该论文时交流过的团队中就包括 Project Eleven。Quantus 的解读文章什么使量子计算机具有密码学意义上的威胁讨论了这一估算与迄今任何已建成机器之间的差距。

2. 每一种后量子方案都在某处有代价

“椭圆曲线密码没有直接替代品。”Alex 在 12:52 说。

他把这些取舍分为三类。第一类是性能：签名大小、公钥大小，以及签名与验证的速度。第二类是某个方案的安全假设有多新。第三类是实现复杂度，即在学术论文中可行的方案与能够经受实际部署考验的方案之间的距离。

Alex 说，区块链已经在以不同方式权衡这三点。他预计，如今区块链共有的基础会让位于他所说的“巴尔干化”，也就是由完全不同类型的密码学假设来保护不同的链。

Chris 更希望业界至少能收敛到一个方案族。他引用了 2026 年 7 月 Cloudflare 的一篇文章，该文认为目前只能先用 ML-DSA。ML-DSA 是 NIST 在 2024 年标准化的基于格的签名方案，即 FIPS 204。文章引用了工程师 Eric Rescorla 的话：“你上战场用的是手头有的算法，而不是你希望拥有的算法。”

3. 对有状态签名来说，计数器和密钥一样关键

Alex 并不认为业界已经在 ML-DSA 上尘埃落定。据他所述，他看到的围绕比特币和以太坊共识层的工作，正在研究基于哈希的签名，尤其是有状态的签名。

有状态的哈希签名方案，只有在签名者记录好某个密钥已经产生了多少个签名时，才能安全地签名。

“弄丢这个数字，几乎和丢掉私钥一样糟糕。”他在 18:57 说。

基于哈希的方案吸引谨慎的设计者，因为它们的安全性建立在对哈希函数经过充分研究的假设之上。代价是，要么签名者自己管理状态，要么方案放弃状态，产生大得多的签名。

Chris 从持有者的角度看这个问题。他说，大多数人连备份一次助记词都困难，而如今这一份备份就涵盖钱包里的每一个地址。如果一个方案要求每笔交易之后都重新备份或提供额外信息，在他看来，光是可用性就会让它失败。

Alex 用同样的标准检验 SHRINCS，这是 Blockstream 的提案，他称之为比特币的领先候选方案。它把紧凑的有状态模式与较大的无状态后备模式结合起来，以应对状态丢失的情况，例如从助记词备份恢复钱包时。Alex 称这一设计很优雅，然后对激励机制提出质疑。他怀疑，如果有状态路径哪怕增加了一点处理失误的可能，持有者就不会选择它。他认为，那样的话，紧凑签名无人使用，而额外的复杂性依然存在。

他见过团队按可预见的顺序走过这些选项：先是一个不寻常的方案，然后退回到保守的基于哈希的设计，最后回到标准方案。“你知道吗？ML-DSA 其实没那么糟。”他们会这样总结，他在 21:49 这样描述。

4. 安全的方案仍然必须被安全地实现

Quantus 自己也经历了其中一部分过程。Chris 说，团队起初研究了 Falcon，这是 NIST 选定的另一种格签名，直到 Falcon 的作者之一 Thomas Pornin 问他们是否清楚自己在招惹什么。

那是 Chris 第一次读为恒定时间运行而编写的代码。它的算术在他看来是反着的，直到他明白了目的：编译后的程序中没有会通过耗时泄露秘密的分支。时间是侧信道的一种，即通过观察设备在计算时的行为来获知秘密。其他侧信道涉及设备的功耗或电磁辐射。Alex 把需要带着天线潜入数据中心的攻击者，与保存在人们口袋里的终端用户设备上的密钥作了对比。

他还回应了对 ML-DSA 的一个常见质疑：格密码太新，不值得信任。他说，格已经被用于密码学研究近三十年，而且不存在基于哈希的密钥交换方案。钱包通过 TLS（保护连接的协议）连接节点时，密钥交换越来越多地基于格。

“无论你怎么做，你都已经在采用一些基于格的假设了。”他在 24:21 说。

没有哪种方案能保证永远有效，所以 Alex 回到 Chris 之前用过的一个词：密码敏捷性，即无需重建系统就能再次更换方案的能力。

5. Alex 预计 AI 会缩短每种算法的有效寿命

Shor 算法是能从公钥恢复私钥的量子过程。Google 发布资源估算时，保留了实现该算法的电路，转而公开了一份零知识证明，证明这些电路符合所述成本。Google 表示，发布前已与美国政府沟通。

随后出现了 ECDSA.fail。这是 Eigen Labs 于 2026 年 5 月下旬发起的公开挑战，目标是降低点加法的成本，这是 Shor 算法在比特币曲线上的一个步骤。挑战用电路所需逻辑量子比特数乘以其执行的高成本门的数量来评分。据该项目的论文，一百多名借助 AI 编程代理的参与者，到 7 月下旬已将该分数降到比 Google 报告的同一步骤数值低 50% 以上。论文提醒说，两者采用的度量惯例不同。Alex 强调，这项挑战只针对单个子程序。但他仍把它视为密码分析如今能推进得多快的证据。

“在我看来，任何密码算法的保质期都被大幅缩短了。”他在 31:33 说。

他的结论很务实。在未来十年部署密码技术的人，应当预期十年后要从中迁移出来，并从一开始就规划这次迁移。

Chris 把同样的事件与政策联系起来。2026 年 6 月 22 日，美国的一项行政令把某些高价值系统的联邦后量子期限提前到 2030 或 2031 年，早于此前的 2035 年目标。在 Chris 看来，这表明政府对 AI 加快量子研究的速度感到意外。Alex 对更广泛的反应也作同样解读。他说，人们过去总把量子风险当作永远在二十年之后。如今政府和企业正在制定带日期的计划。

6. 为一个没人会宣布的 Q-Day 做好规划

Chris 避免预测 Q-Day 的日期。他说，技术进步是非线性的，世界可能不会被告知那一刻何时到来。Alex 同意。建成具有密码学意义的机器的政府或实验室，一旦公开就会失去优势，所以他预计在接近阈值时几乎不会有公开信号。

Alex 尊重那些想要更有力实验证据的怀疑者。与他辩论过的一位比特币社区成员，想先看到长寿命的逻辑量子比特。经历了二十年的虚假开端，Alex 称这是“非常理性的立场”。他担心的是，临近阈值时进展会归于沉寂，随后突然发生剧变。

即便如此被要求给出日期时，他还是提到了 Project Eleven 2026 年报告背后的模型：年度专家调查、硬件公司公布的路线图，以及公司自身的预测。在对话中，他把自己的基准情形定在 2032 年：到那时存在具有密码学意义的量子计算机的可能性大于不存在，而且“到 2030 年我们就已经到了的可能性也不小”。

他用 Mosca 不等式来衡量这些日期。如果资产需要保持安全的时间，加上迁移所需的时间，超过有能力的量子计算机出现之前的时间，那么这次迁移就已经晚了。Alex 认为，把设计、审查和采用都算进去，六年几乎没有余地。Google 把 2029 年定为后量子迁移的自身期限，Chris 指出 Cloudflare 的目标相同。Alex 认为 Google 的承诺意义重大，因为论文是 Google 写的，工程成本也由 Google 承担。

“我认为，这种不确定性最终要求保守的态度。”他在 46:11 说。他所说的保守，是指从现在开始准备，假设进展会比预期更快，并接受下一个方案可能不是最后一个。

7. 迁移分两步，第二步取决于用户

升级问题在去中心化区块链中最为尖锐。Alex 说，比特币开发者可以推出后量子签名选项，但推出它并不会让比特币具备后量子安全。持有者仍然必须采取行动。他把它比作手机更新：用户重启设备，就用上了新版本。在他描述的比特币迁移中，持有者必须把币转到使用新签名方案的地址，他预计这一步出错的方式与构建新密码学时一样多。Chris 补充了一个比特币特有的限制：区块很小，而后量子签名要大得多。

一旦量子计算机能够推导出私钥，迁移本身就会变得更难。

“如果我能从旧地址类型伪造你的签名，所有权还意味着什么？”Alex 在 37:27 问道。

以后量子签名上线的链可以跳过这第一次转换。Alex 以 Quantus 为例：其签名默认就是后量子的。（Quantus 于 2026 年 9 月 9 日上线主网，晚于这段对话的录制。）Chris 指出了现有链上一个集中的风险：控制稳定币铸造的管理员密钥。夺取其中一把的量子攻击者，可以铸造巨额资金，并在任何法律回滚之前进行交易。Alex 补充说，这类攻击适合国家级行为体，因为几乎不可能追溯来源。

他还提出了一个他预计会遭到部分加密行业人士反对的观点。纯粹去中心化的系统会发现后量子迁移更慢、更混乱，而网络越去中心化，更大的签名成本越高。由受托人管理的机构会期待可靠的维护，他怀疑被创始人遗弃的链是否还会迁移。他预计，业界因此会变得更中心化、更专业，并认为任务是守护区块链仍然独特的东西。

“区块链能做到、而任何中心化系统都无法复制的一件事，是互不信任的各方之间的交互。”他在 53:49 说。

后量子迁移必须在要求持有者采取行动的同时，保住这一特性。