A Scenario-Based Evaluation of CRQC+AI Vulnerability Spectrum for TLS 1.3 Cryptographic Dependencies

1. 引言

• 联邦规定的密钥建立和数字签名 PQC 截止日期分别为 December 31, 2030 和 December 31, 2031 。这些截止日期适用于联邦高价值资产和高影响系统，不包括国家安全系统。论文建议在具备密码敏捷性的混合框架中采用可替换的 PQC，而非认为仅部署 PQC 就已足够。出处：§1 · pp. 2, 3, 5
• HHL面临LWE固有的矩阵稠密性与条件数障碍；几何简化仍是可证伪的假设，尚无经验证可破解PQC的机制。本文将HHL视为寻求多项式加速的尝试，而非已确立的破解方法。更广泛的研究还涉及量子加速AI与AI增强量子方法 、量子退火、变分量子本征求解器和侧信道方法。出处：§1 · pp. 3–4
• 主要贡献是一套可复现的情景评估工具，用于估计攻击运行时间及概率跨越50%的时间点，并明确规定参数重新校准的规则。明确的参数、伪代码、敏感性分析与证伪标准支持外部检验。未来观测与模型曲线的吻合或偏离，将为特定参数的修订提供依据。出处：§1 · p. 4
• Shor算法对RSA/ECC的威胁有明确机制支撑；格密码风险依赖未经证实的结构性坍缩，而哈希类与对称密码风险仍仅停留在假设层面。本文未声称现行标准化PQC算法存在已知破解。证据层级上调与下调的触发条件规定了何时应改变置信程度，并非预测这些条件必将出现。出处：§1 · pp. 4–5

1.1 范围与排除项

• 该工具衡量TLS 1.3密码原语安全性的衰减，而非整体系统的迁移就绪程度；其最乐观情景下的结论不能直接推广至其他协议。评估涵盖RSA-2048、ML-KEM768/1024、ML-DSA-44、SLH-DSA和AES-256。TLS支持临时且可轮换的密钥、算法协商和短期证书；组织架构、资产清单、密钥轮换权限及变更控制均不在研究范围内。出处：§1.1 · pp. 5–6

1.2 方法与工具关系

• 三个相互关联的工具推导硬件资源预算、生成运行时间与可行性曲线，并以明确的密码分析单位表述格密码与哈希密码的条件性风险。通道模型跟踪量子比特数、量子门保真度、编码效率和解码器延迟；能力曲线采用硬件指数增长项及受AGI门槛约束的软件指数增长项。由于工具共享维度坍缩假设，其结果吻合仅说明彼此一致，而非构成独立佐证。出处：§1.2 · p. 6

2.1 Harrow-Hassidim-Lloyd 背景

• 未经修改的 HHL 无法攻破 LWE：稠密且病态的矩阵、含噪解码以及逐坐标恢复秘密的要求，使其实现指数加速的前提不成立。硬件改进无法消除这些结构性障碍；HHL 和 LCHS 只能对内部线性代数步骤提供多项式加速。2024 年一项声称可在多项式时间内求解 LWE 的量子算法，在发现错误后被撤回 。出处：§2.1 · pp. 6–7

2.2 低维几何代数背景

• 几何量子优化、量子学习和 AI 引导的表示搜索，仍只是发现可利用格结构的推测性途径，并不能证明此类结构存在。优化器依赖未知嵌入所提供的结构，因为尚未证实它们在无结构问题上具有规模扩展优势。量子学习还受到可训练性和经典模拟的限制，尚无已验证的标准化 PQC 应用。出处：§2.2.1 · p. 7, §2.2.4 · p. 8, §2.2.5 · p. 8

2.2.5 参数化几何作为攻击途径

• β → β(1 − ρ)，其中 ρ ∈ [0, 1)，用于参数化假设中的格困难性几何降减，而非已验证的标准化 PQC 攻击。该假说需要一种可高效计算、能够揭示有用结构的低维嵌入 ，但尚无构造能在标准化 LWE 格上实现正的 ρ。本文量化了模型中 2032–2035 年格风险越过阈值所需的坍缩程度，而非断言其可以实现。出处：§2.2.2 · pp. 7–8, §2.2.5 · p. 8, §2.2.3 · p. 8

2.3.1 量子退火的关键特征

• 量子退火旨在寻找低能量 Ising/QUBO 解，但即使在薄势垒上具有隧穿优势，以指数速度缩小的谱隙仍可能迫使运行时间呈指数增长。绝热演化必须足够缓慢，其时间尺度受最小谱隙平方的倒数约束。专用超导退火机，包括 D-Wave 系统 ，面向优化任务，而非任意量子算法。出处：§2.3.1 · p. 9, §2.3.2 · p. 10

2.3.3 量子退火的应用

• 退火的优化收益取决于具体实例，而机器学习演示仍局限于小规模，经典方法在标准基准测试中占据主导。硬件嵌入会消耗量子比特，稀疏连接和模拟噪声则限制了规模。学习任务将退火机用作优化器或近似采样器，其有效温度未知且随实例变化；即使有助于密码分析，也只是支持流程中的部分环节，而非构成独立的破解能力。出处：§2.3.3 · p. 10, §2.3.3.2 · pp. 10–11

2.3 量子退火背景

• 在接近密码学所用参数的规模下，量子退火尚未展现出相对于经典因数分解或格攻击的规模扩展优势，也不能独立构成破解。小规模因数分解演示需要大量经典预处理 ；格问题的退火表述仍仅是存在性结果，而非规模扩展的证据 。防御性应用包括入侵检测中的特征选择、资源部署和漏洞分析。出处：§2.3 · p. 8, §2.3.3.2 · p. 11

2.4.1 VQE 的工作原理

• VQE 通过混合优化估计基态能量，但尚无已确立的从因数分解、离散对数或格问题到 VQE 的归约。量子电路测量哈密顿量各项，经典优化器则更新电路参数。呈指数衰减的梯度可能使密码学规模下的变分训练难以实施 。出处：§2.4.1 · pp. 11–12, §2.4 · p. 11

2.4.2 VQE 的主要优势

• VQE 的浅层混合电路、相对较强的噪声容忍度和灵活的试探态形式，使其适用于近期硬件 ，但这些特点并不能证明其具备密码分析能力。误差缓解可扩大其在含噪设备上的适用范围 。浅层电路、启发式优化和可训练性限制，也制约了密码分析攻击所需的深层结构化计算 。出处：§2.4.2 · p. 12

3.1 当前时间线预测

• 模型生成的风险区间涵盖线性与指数增长的CRQC+AI外推，其上界假设到2028年底出现AGI的概率不可忽略 。本节主张考察各算法的风险谱，而非单一的Q-Day 。基于Mosca的迁移推理将保密期限、迁移耗时 与HNDL暴露风险 相结合，无须预先知道量子破解日期。出处：§3.1 · pp. 12–13

3.1.1 PQC转型的历史类比：2008年金融危机与Y2K

• 模型估计，对美国前五大银行之一的Fedwire接入实施为期一天的量子攻击，可使$2.0万亿至$3.3万亿的GDP面临风险 。直接成本估计约为$730十亿至$1.95万亿；这些是特定情景下的风险敞口估计，并非全面的经济损失总额 。因此，作者以2008年金融危机类比系统性风险传染，保留Y2K主要是为了借鉴其由截止期限驱动的整改经验。出处：§3.1.1 · pp. 13, 14, 16
• 公众对PQC威胁的认知比例为25至30% ，而对Y2K的担忧比例为>85% ；这一差距使监管成为安全事件发生前整改的主要驱动力。Figure 4A采用可审计的示意性重建，而非实测时间序列；不同于Y2K的固定期限，其中的2031年PQC日期近似代表监管期限，传统RSA/ECC则于2035年禁用。即使按图中预测，2032年发生公开披露的安全事件，迁移到2035年仍未完成；国家行为体实施的攻击不太可能被披露，隐蔽攻击在模型中不会带来响应力度提升。出处：Figure 4A · p. 14, §3.1.1 · p. 15
• 据穆迪估计，PQC迁移可能占用企业IT预算的2.5% ；商业市场预测并不衡量迁移总成本。全球Y2K整改成本估计为$300B至$500B+ [74] ，而商业PQC市场规模预计从2025年的约$1.9B增长至2035年的$12.4B 。两者衡量的并非同一数量，且迁移还涉及资产发现与清点、重新开发、证书更换、测试、合规、硬件更新及部署。出处：§3.1.1 · p. 16

3.1.2 RSA/ECC 脆弱性谱

• May 2025，Google 提出将其在 2021 年估算的破解 RSA-2048 所需的 20 百万个量子比特下调 20X [82]，随后于 March 2026 发表了进一步下调的估算 [20]。截至 2023 年，RSA/ECC 的 Q-Day 预计出现在 2030s 中后期 ；Google 于 March 2026 将 PQC 迁移截止期限从 2030 年提前至 2029 年 。相关估算包括：破解 RSA-2048 所需物理量子比特少于 100,000 个 [84]，破解 ECC-256 所需逻辑量子比特为 1,193 个 。这些数量无法直接比较，因为物理量子比特数量包含纠错开销。出处：§3.1.2 · pp. 17–18

3.1.3 格基PQC的脆弱性谱

• 在BKZ块大小β ≈ 877时，Kyber-1024的攻击成本估计为2^256次经典运算和2^232次量子运算；若要论证更早被破解，就必须降低c或β。core-SVP模型采用成本 ≈ 2^(c·β)，经典筛法取c = 0.292，量子筛法取c = 0.265。NIST并未正式预测格基PQC面临威胁的日期；文中将其可保持数十年安全的预期描述为非正式判断 。出处：§3.1.3 · p. 19
• 格攻击估计忽略了完整攻击开销，并将QRAM理想化；而人类已有的密码分析进展，也限制了可合理归因于AGI的额外指数降幅。量子筛法指数0.2563的提出早于假定的2028年AGI出现时间（Bonnetain, Chailloux, Schrottenloher and Shen, EUROCRYPT 2023），因此模型若要得到更早破解的结果，就只能依赖坍缩参数。降低QRAM需求的算法使内存成本质疑需要有所保留，但所引下界表明，在其假设下，没有QRAM就无法获得量子加速（Cho, Hhan, Kim, Lee and Shen, IACR ePrint 2024/1700）；被忽略的格约化调用也使实际工作量高于core-SVP估计。出处：§3.1.3 · p. 20

3.2.1 CRQC+AI中的AI进展

• 前沿AI发现软件漏洞的成果 展示了支撑能力的进展，而非针对标准化PQC的已证实密码分析进展。其他例子包括AI辅助改进AI模型 [94]，以及OpenAI据报证伪了一个有关平面单位距离问题、已有80年历史的Erdős猜想 。这些例子支持对潜在能力的讨论，并不能证明PQC已被破解。出处：§3.2.1 · pp. 20–21, §3.1.3 · p. 20

3.2.2 CRQC+AI中的量子计算进展

• Rose定律只能提供宽松的进展包络，不能给出密码分析资源数量；模型的硬件驱动因素采用的是不依赖平台的容错逻辑计算容量。Rose定律涉及退火机量子比特，不能直接确定Shor、Grover或格筛法所需的资源。综述中的支撑性进展大多间接影响实际密码分析，部分仍处于早期阶段；但论文反对以线性增长假设为由，忽视强制迁移要求和密码敏捷性。出处：§3.2.2 · pp. 21–22

3.2.3 CRQC+AI中的量子算法进展

• 文中将AI辅助量子算法发现视为可能加速研究的途径，而此处引用的已证实自主算法改进针对的是经典排序 。综述涵盖AI增强的格约化 ，以及解码量子干涉等潜在量子优化方法 [130]。这些工作为进一步探索提供动机，并不构成已证实的量子密码分析突破。出处：§3.2.3 · p. 22

3.2.4 侧信道攻击；3.2.5 密钥恢复攻击；3.2.6 混合攻击

• 评估认为，2035年之前，攻破实现比从结构上破解格密码更可能发生；前者不需要量子计算机，且不纳入模型成本核算。综述中的实现攻击包括随机性故障 和针对掩码ML-KEM的选择密文攻击 。密钥恢复与混合攻击研究包括Oracle MLWE邻域搜索 、针对ML-KEM的混合自适应LDPC攻击 ，以及针对稀疏LWE的原始混合攻击 。出处：§3.2.4 · p. 23, §3.2.5 · p. 23, §3.2.6 · p. 23

3.3 AI压缩时间线的加速因子模型；3.3.1 加速因子缩放什么、不缩放什么

• AI加速的是可明确界定的工程任务，而非改变Shor的复杂度、容错阈值或相干性极限；有明确名称和依据的参数使这一边界可供审计。适用任务包括解码、量子门校准、材料搜索、编码发现和电路优化。工程因子A_i决定硬件就绪程度，R则决定密码分析研究进展；模型加速的是容错Shor算法的实现，而非通过量子退火或变分方法独立实现破解。出处：§3.3.1 · p. 23, §3.3 · p. 23, §3.3.4 · p. 26

3.3.2 四个通道及其基线；3.3.3 加速因子的实证依据

• 四个独立校准的工程通道采用已发表的基线和实测机器学习增益；缺乏测量数据时，默认不加速。破解 RSA-2048 的资源估算从 2019 年的约两千万个物理量子比特、约八小时 [79]，降至 2025 年的不足一百万个量子比特、不足一周 [82]，因此估算目标也在不断变化。魔态蒸馏仍计入纠错码效率和逻辑量子比特通道，除非有实验演示证明其构成独立瓶颈。出处：§3.3.2 · pp. 24–25, §3.3.3 · p. 25

3.3.4 从通道推导跨越阈值日期的分布

• 各通道耗时遵循τ_i = ln(F_i)/(A_i · r_i)，由最慢通道决定跨越阈值的时间；参数范围产生的是到达概率，而非单一Q-Day。将所有A_i设为一可得到下界；较高加速范围结合激进的资源估计可得到上界，而保密期限内非零的到达概率依据Mosca不等式构成迁移动因。基线速率对增长集中于前期的路线图取平均；量子比特数量与编码效率的耦合，使独立通道处理对瓶颈通道而言偏保守。出处：§3.3.4 · pp. 25–26
• 在算例中，无加速、中等加速和高加速对应的CRQC跨越阈值年份分别约为2032、2031和2029，瓶颈均为原始逻辑量子比特的可用规模。中等和高加速因子分别为A_1 = 1.3和A_1 = 2.0。加速原始量子比特规模增长的直接证据最弱；已证实的改进也可以通过减少所需量子比特数量，间接提前就绪时间。出处：§3.3.4 · p. 26

3.3.5 证伪条件与跟踪指标

• 尽管曲线可复现且与外部预测相符，结果仍有待前瞻性验证；按通道逐年再校准使预测可检验、可修订。截至2026年7月，与五项独立预测、标准时间线及路线图的一致性提供了支持，而非证明；五项指标可用于更早检验，而历史筛法指数的改进速度若要在2033年前达到模型设定的下限，仍需提高到约七倍。年度更新会重新估计F_i、r_i或A_i，重算跨越阈值时间的分布，并发布带版本号的重跑结果，将既往预测保留为校准数据。出处：§3.3.5 · pp. 27–28

4. 利用 AI 推演 CRQC+AI 漏洞风险的演进

• 四条路径将 AGI 驱动的软件能力设为从无到高的不同水平，并与硬件增长整合到一个由作者控制、可复现的模型中。Claude Fable 5 辅助起草和可视化；假设与计算由作者掌控。运行时间曲线共用 R0，可用于分析同一方案内的趋势和交叉时点，但不支持跨方案比较攻击成本的绝对值。出处：§4 · p. 29

4.1 RSA-2048 的 CRQC+AI 脆弱性估计：机制支撑层级

• RSA-2048 建模关注证书认证与遗留风险暴露，而非 TLS 1.3 的密钥传输；ECDHE 和 ECDSA 分别是其直接采用的密钥交换与认证机制。RSA 证书签名采用 RSASSA-PSS；TLS 1.3 已移除 RSA 密钥传输。出处：§4.1 · p. 29

4.2 ML-KEM Kyber-768/1024 的 CRQC+AI 漏洞风险估计（FIPS 203）：条件性层级

• 攻破混合 ML-KEM-768 需要同时攻破格密码和 X25519 ，而独立 ML-KEM-1024 代表 CNSA 2.0 要求的安全强度等级 。混合与独立方案的 TLS 规范仍为 Internet-Drafts，尚非正式 RFC 。CNSA 2.0 并未一概禁止混合密钥建立 。出处：§4.2 · pp. 31–32

4.4 SLH-DSA（FIPS 205）和 AES-256（FIPS 197）的 CRQC+AI 漏洞风险估计

• 在该模型中，SLH-DSA 和 AES-256 均不存在有机制或条件性依据支持的暴露风险；其 Appendix C 曲线仅为基于假说的压力测试情景。SLH-DSA 没有可供坍缩的格结构；深度受限的 Grover 算法成本仍接近经典计算水平，模型中的硬件预算直到约 2045 年才足以承担。其约 2036 年（Track 3）和 2041 年（Track 2）的交叉时点则依赖假设中的新型攻击。出处：§4.4 · pp. 35, 37

4.5 密码分析成本模型与维度坍缩的条件性假设

• 另行给出的成本模型重述检验的是 (0.265 − ∆) · β · (1 − ρ) ≤ B(t)，而非独立验证能力曲线。∆ 降低指数，ρ 减小有效格维度，B(t) 是可负担量子运算次数以 2 为底的对数。界限 0.265 − ∆ ≥ 0.2075 反映特定算法族的筛法内存资源下限，并非已证明的最优时间指数。出处：§4.4 · p. 35
• 在示例预算 B(2033) = 80 bits 下，独立 Kyber-1024 要求 ρ ≥ 0.66，混合 Kyber-768 要求 ρ ≥ 0.52。仅降低指数无法满足 2033 年的预算，且运算次数预算未计入所需的筛法内存。无 AGI 的基线将所有格密码和哈希算法的攻破时间置于研究时间范围之外。出处：§4.4 · pp. 36–37
• 要在 2033 年前达到推测的指数下限，量子筛法的改进速度需约为历史速度的七倍；即便如此，没有维度坍缩仍不足以实现攻破。已报告的指数从 2015 年的约 0.2653 降至 2023 年的 0.2563（Laarhoven; Chailloux and Loyer, ASIACRYPT 2021; Bonnetain, Chailloux, Schrottenloher and Shen, EUROCRYPT 2023）。按这一历史速度外推，约到 2074 年才能达到该下限。出处：§4.4 · p. 36, Figure 8C · p. 37

4.3 ML-DSA-44 的 CRQC+AI 漏洞风险估计（FIPS 204）：条件性层级

• 在 β 约为 420、B(2036) ≈ 92 bits 时，示例中的 ML-DSA-44 若要在 2036 年出现交叉，需要 ρ ≥ 0.17。这些曲线假设存在一种尚未发现的有效维度坍缩机制；目前并无已知的此类机制。出处：§4.3 · p. 35, §4.4 · p. 37

4.4 SLH-DSA（FIPS 205）和 AES-256（FIPS 197）的 CRQC+AI 漏洞风险估计

• 内存约束会推迟条件性情景的交叉时点，而遗漏成本及以 AGI 为前提的归因方式限制了成本模型的适用性。结构性坍缩不仅必须缩小块大小，还必须降低内存需求，因此所述坍缩幅度低估了该假说的要求。未计入成本的因素包括对偶攻击、多目标摊销、解封装失败攻击、嵌入的发现，以及 AGI 出现前的经典算法进步；将这些进步以每年 0.04 的速率纳入以 AGI 为前提的驱动项，会夸大 AGI 的解释作用。出处：§4.4 · p. 38
• 采用 0.265 与 0.292 的筛法指数会得到不同的所需坍缩比例，分别反映理想化 QRAM 与更现实的内存访问及电路深度成本。提高指数后，ML-KEM-768 所需的 ρ 从 0.5170 增至 0.5616，ML-KEM-1024 从 0.6558 增至 0.6876，ML-DSA-44 从 0.1734 增至 0.2498，其中 ML-DSA-44 的相对增幅约为 44%。比例按 ρ = 1 − B/(c·β) 计算，β = 625/877/420 依次对应上述三种方案；ML-KEM 在 2033 年的预算为 B = 80，ML-DSA-44 在 2036 年的预算为 92。出处：§4.4 · p. 38

4.6 CRQC 与 AI 的进展时间表

• 模型中 RSA-2048 的交叉时点在 Track 3 下约为 2030 年，在仅硬件驱动的 Track 0 下约为 2032 年；格密码风险主要依赖 AGI 驱动情景。Kyber-768/1024 在 Track 3 下约于 2032 年、在 Track 2 下约于 2035 年出现交叉；ML-DSA-44 则分别约于 2033 年和 2036 年出现交叉。两种 Kyber 方案交叉时点相同，是因为模型设定的耦合相同，并不意味着破解难度相同；Kyber-1024 在 Track 1 下勉强出现交叉，时点为 2045.9。出处：Figure 9 · p. 38, §4.6 · p. 39
• 若将假定于 2028 年出现的 AGI 延后两年，Track 2 和 Track 3 的交叉时点将约推迟 1.5–2 年，硬件驱动的 RSA Track 0 则保持不变。有机制支持的风险仅适用于 Shor 算法对 RSA 和 ECC 的威胁；其他交叉时点仍属于条件性情景，而非预测。SLH-DSA 和 AES-256 仅以基于假说的区间呈现，不标注交叉日期；AES-256 是所评估原语中抗攻击能力最强的。出处：§4.6 · p. 39

4.6.1 硬件驱动的 CRQC 扩展与早期 RSA/ECC 风险暴露

• 早期硬件驱动阶段假设量子—经典混合计算得到主流采用，而 HHL 和低维几何研究仅探索格密码漏洞，并未证实其存在。混合框架被视为推动量子计算能力进步的来源，而非格密码攻击已获验证的证据。出处：§4.6.1 · pp. 39–40

4.6.2 RSA/ECC 失守与可能首次出现的格密码攻破（Track 3）

• ML-KEM-1024 在仅硬件驱动的 Track 0 下，中位交叉时点为 2048.8，截至 2035 年的风险暴露概率实际上为零；攻破格密码需要未经证实的几何坍缩。若发现嵌入，可尝试量子几何概念验证攻击，并可能促使业界重新评估，但若坍缩参数 ρ 不为非零值，就不会进入攻破阶段。小规模 HHL 演示并不能证明其对稠密、病态且达到密码应用规模的 LWE 问题具有实际指数级优势。出处：§4.6.2 · p. 40

4.6.4 哈希签名可能面临的风险与首个对称密码层威胁

• 基于 HHL 和 LCHS 的可扩展 CRQC+AI 密码分析需要实现几何简化；已部署格基 PQC 的攻破仍以这一突破为条件。若发生攻破，该情景预计 NIST 及全球标准将加速修订，随后由业界迅速采用。出处：§4.6.4 · p. 40

4.6.5 对称密码层的残余风险与 AGI 出现后的展望

• Table 4 将情景范围置于已发表的时间线、硬件路线图及强制迁移要求的背景下比较，并不声称这些情景是预测，或比专家调查更精确。模型旨在随证据积累而修订，Section 3.3.5 给出了明确的修订规则。AGI 出现后的展望强调动态密码敏捷性与混合部署实践，以维持韧性。出处：§4.6.5 · p. 41, Table 4 · p. 41

局限性

• 交叉时点取决于选定且未经测量的硬件与软件敏感性参数；可复现意味着能够重新生成情景，而非验证预测。假设 AGI 于 2028 出现，是影响软件驱动交叉时点的最关键输入。若 AGI 出现时间大幅推迟，这些交叉时点也将大致等幅推迟。出处：§5 · pp. 41–42
• 运行时间轴是归一化指标，并非实际运行时间；模型固定所用的量子算法，而非发现新的密码分析方法。模型考察的是，需要多大程度的工程与 AI 辅助进展才能提前实现破解。各证据层级在性质上仍有区别，格密码、基于哈希的密码及对称密码的交叉时点并不代表已知攻击。出处：§5 · p. 42

模型可能失效的条件

• 若 AI 未能持续推动密码分析改进，软件耦合项便近乎为零，格密码、基于哈希的密码及对称密码的曲线在所考察时段内均不会出现交叉。在此条件下，仅 RSA 和 ECC 仍存在有机制依据的风险。出处：§5 · p. 42
• 若没有有效维度坍缩或同等程度的格密码结构性突破，条件性风险层级便不成立。在此条件下，成本模型中的 ρ 保持为零。若 Harrow-Hassidim-Lloyd 及相关量子线性代数方法始终无法用于含噪 LWE 的有界距离解码，一项核心假设机制便不再成立。出处：§5 · p. 42
• 量子硬件规模扩展停滞甚至会推迟 RSA 的交叉时点；无论算法如何进步，容错纠错能力不足都会延长有机制依据的威胁时间线。随着 r_hw 趋近于一，硬件驱动效应趋于平缓，RSA 的交叉时点随之推迟数年。出处：§5 · p. 42
• 可观测的失效条件与里程碑跟踪支持定向更新参数，并按版本持续重跑模型。硬件里程碑、错误率趋势、解码器延迟及资源估算变化用于更新特定加速因子。当所述失效条件成立时，应弃用相应曲线。出处：§5 · pp. 41–42

6.1 将密码敏捷性作为控制目标

• 密码敏捷性是一种治理能力，涵盖密码资产清单、资产权责归属、轮换权限、变更控制、例外处理和证据留存 。具备密码敏捷性的部署必须列明所用密码原语，明确获授权的负责人，实施受控轮换，并保留证据。迁移决策权属于密码资产清单负责人，而非协议。出处：§6.1 · pp. 42–43

6.2 行业数据生命周期谱系（Mosca 的 X 和 Y）

• Mosca 的 X + Y > Z 需要采用各行业特定的保密期限和迁移时长；本文对 Z 建模，但未给出 X 或 Y 的具体取值。代表性 X 值反映国家安全信息的解密期限 、长期有效的律师—委托人保密特权 、健康数据保密要求 和支付数据保留期限 ；Y 采用工程估算，纳入运营技术与嵌入式系统长达 10 至 20 多年的生命周期 。行业差异表明，不宜采用统一的迁移时间表。出处：§6.2 · p. 43

6.3 主权与司法管辖

• 各主权国家的要求存在差异，使密码敏捷性成为当下的法律必需：组织必须按外部规定的时间表更换算法、信任锚和密钥托管安排。CNSA 2.0 规定美国国家安全系统单独使用 ML-KEM-1024，这与广泛部署的 ECDHE–ML-KEM 混合方案形成对照，也不同于欧洲和澳大利亚的立场。这一理由无需依赖任何未经证实的密码分析机制。出处：§6.3 · p. 43

6.4 签发机构、信任锚与证书生命周期

• 后量子证书链需要具备相应能力的签发机构、兼容的路径验证，以及能够覆盖长期服役客户端的信任锚分发；这些依赖关系需要单独制定迁移计划。CA 密钥和嵌入式信任锚的使用寿命可达数年至数十年，其更新周期不受依赖方控制；证书链迁移通常滞后于通过协商采用的密钥交换方案的迁移。这种当前已存在的生态系统风险敞口不在密码原语安全性削弱评估工具的范围内。出处：§6.4 · pp. 43–44

6.5 互操作性与协商

• 混合密钥交换需要两端均支持并优先选用；不兼容的中间盒、会话恢复缓存或库可能导致协商失败，或静默降级为经典密钥交换。draft-ietf-tls-ecdhe-mlkem 示例将 ML-KEM 与椭圆曲线密钥交换相结合 。模型假设端到端协商采用后量子或混合方案，将互操作性与抗降级能力视为独立的部署控制措施，不纳入模型范围。出处：§6.5 · p. 44

6.6 熵与密钥来源

• 模型中的每项安全保证都依赖质量可靠的熵；随机性不足和密钥来源不受控会带来实现层面的风险，与量子技术进展无关。熵质量、受限设备的随机种子初始化，以及密钥生成的位置、模块和安全保障，均需在该评估工具之外单独关注。在运营方控制范围之外生成或持有的密钥会扩大追溯解密的风险敞口，其来源也关系到“现在收集、日后伪造”的风险。出处：§6.6 · p. 44

7. 结论

• 2030 是预计 RSA 相关经济损失最早开始出现的年份；PQC 风险敞口可能始于 2032，前提是针对格的结构性进展得以实现，而此类进展尚未得到证实。RSA/ECC 风险敞口有 Shor 算法提供机制支撑，而 PQC 的时间点则是有条件的情景输出。AGI+CRQC+AI 可能加速攻击并扩大其适用范围，潜在经济损失难以界定。出处：§7 · pp. 44–45
• 加密密钥泄露可能导致实时通信、存储的敏感数据和历史备份暴露。获取备份加密密钥还可能使攻击者篡改未受主动监控的历史数据。出处：§7 · p. 45
• 密钥泄露可能使攻击者截获并篡改消息、冒充身份、中断服务、接管 IoT 设备及操纵智能合约。恶意数据注入可能导致服务中断，IoT 设备失陷则可能带来隐私或人身与实体安全风险。获取交易签名私钥可能使攻击者操纵智能合约并实施金融欺诈。出处：§7 · p. 45
• 其持久贡献是一套可复现的参数化情景工具，通过可审计的更新机制，将未来观测结果转化为修订后的风险时间线。参数可以调整，模型可以重新运行，并根据新出现的里程碑重新校准，从而补充资源估算研究和专家意见征询调查。本研究未生成或分析新的实证数据；图表均源自已披露的参数化模型。出处：§7 · pp. 45–46
• PQC 迁移应推动密码敏捷部署 ，并以相关研究和 NIST 倡导的混合密码方案 为支撑，而不应被视为迁移的终点。分层 TLS 风险评分模型可帮助组织在过渡期间优先处理风险敞口最大的连接 。出处：§7 · p. 45
• 所有作者均披露与 EnQuanta 存在雇佣或咨询关系，因此与文中讨论的密码敏捷性和混合方案存在相关经济利益。EnQuanta 开发商业化的后量子及密码敏捷型密码产品与服务。出处：§7 · p. 46

附录 A. 硬件与软件综合能力模型的可复现性

• 统一的硬件与软件综合能力模型依据明确给出的方程与参数，生成运行时间和可行性曲线。该模型生成 Figures 6A/6B through 8A/8B、Figure 9，以及 Appendix C Figures C1A/C1B and C2A/C2B。出处：Appendix A · p. 47
• AI 加速工程开发以及攻击方法的发现与优化，但不改变量子算法 Shor 的多项式标度，不降低容错纠错阈值，也不消除相干性限制。模型保持量子算法不变。出处：Appendix A · p. 47
• 能力模型与 Section 3.3 中的独立信道模型及 Section 4.5 中的独立成本模型相互补充；后两者为同一问题给出界限，而非生成曲线。出处：Appendix A · p. 47

Appendix A.1. 基本方程

• 密码分析能力 C(a, k, t) 为硬件与软件贡献的加权和，以 10 为底的数量级衡量攻击运行时间的缩减幅度。C(a, k, t) = α(a) · D_hw(t) + β(a, k) · D_sw(k, t)。硬件敏感系数 α 对 RSA 较大，对格、哈希和对称密码方案则接近零；β 表示对各技术路线的软件攻击的敏感程度。出处：Appendix A.1 · p. 47

附录 A.1. 控制方程

• 所有路径（包括 Track 0）的硬件进步均加速推进，且不依赖 AGI；2026 年之前，其指数被截断为零。D_hw(t) = A · (r_hw^(t − t0) − 1) / (r_hw − 1)，其中 A = 0.34、r_hw = 1.20、t0 = 2026。出处：Appendix A.1 · p. 47
• 软件进步由较小的人类进步项与各路径自 2028 年起的 AGI 增益组成；AGI 启动之前，其指数被截断为零。D_sw(k, t) = 0.04 · (t − t0) + B_k · (r_k^(t − tAGI) − 1) / (r_k − 1)，其中 tAGI = 2028。出处：Appendix A.1 · p. 47
• 运行时间指标 R(a, k, t) = R0 − C(a, k, t) 反映单一方案内部的进展，而非不同方案间的相对攻击成本。在运行时间（秒）的以 10 为底的对数轴上，R0 = 10 是五种方案共用的可视化基线，而非各方案运行时间的实证估计。出处：Appendix A.1 · p. 47
• 运行时间首次达到一个月阈值的年份，模型可行性达到 50%，等价于能力达到约 3.585。P(a, k, t) = 100 / (1 + exp(−(MON − R(a, k, t)) / 0.85))，其中 MON = log10(2.6 × 10^6) ≈ 6.415。所有阈值跨越年份均由这些方程推导得出，而非取自先验或外部数值。出处：Appendix A.1 · p. 47

附录 A.2. 参数及其来源

• 在归一化轴上，能力 C ≈ 3.585 个数量级时跨越 50% 阈值；这并非预测实际攻击耗时为一个月。常数为 t0 = 2026、tAGI = 2028、R0 = log10(10^10) = 10、MON = log10(2.6 × 10^6) ≈ 6.415，Logistic 函数宽度为 0.85。该轴以秒数的以 10 为底的对数为刻度，范围从秒到世纪；R0 是共用的可视化基线，并非各方案在 2026 年的攻击耗时估计。出处：Appendix A.2 · pp. 47–48
• 有效量子资源每年约 20% 的累积增长驱动所有路径，硬件参数为 A = 0.34 和 r_hw = 1.20。这一硬件加速驱动因素，是论文中 Rose 定律增长模型和通道模型的细粒度对应项。出处：Appendix A.2 · p. 48
• AGI 出现前，人类研究进展的斜率为每年 0.04，另叠加各路径中以 AGI 出现为启动条件的软件增长。(r_k, B_k) 增长率与上限参数对分别为：路径 0 (1.01, 0.00)、路径 1 (1.10, 0.16)、路径 2 (1.17, 0.26) 和路径 3 (1.30, 0.30)。路径 3 的增长率为 1.30，使其坍塌曲线呈现强烈凸性。出处：Appendix A.2 · p. 48
• 各算法的硬件敏感度 α 和软件攻击敏感度 β 是情景参数，而非实测常数。按路径 0–3 列出 β：RSA-2048 的 α = 0.92，β = (0, 1.15, 1.75, 2.55)；Kyber-1024 的 α = 0.05，β = (0, 0.06, 0.95, 1.45)；ML-DSA-44 的 α = 0.04，β = (0, 0.05, 0.78, 1.18)；SLH-DSA 的 α = 0.03，所有 β = 0；AES-256 的 α = 0.020，所有 β = 0，与后两者仅作为假说性风险处理的定位一致。混合方案 X25519 + Kyber-768 采用相同的格密码耦合参数，且仅在两个组件均失效时才失效；由于 X25519 更早失效，其阈值跨越点与 Kyber 相同。出处：Appendix A.2 · p. 48
• 在 ±25% 的敏感性范围内，RSA 与格密码的先后顺序未发生反转；要让格密码先跨越阈值，耦合参数必须远超已公布值。顺序反转要求格密码的硬件耦合参数高于 RSA 的 0.92，意味着其对 Shor 算法的敏感度高于 RSA。另一种可能是，路径 3 中 ML-KEM1024 的软件耦合参数达到约 4.48，而非已公布的 1.45——约为其三倍，也是 RSA 参数 2.55 的 1.76×。出处：Appendix A.2 · p. 48
• 模型中，RSA2048 在路径 0–3 上跨越 50% 阈值的年份依次为 2032.5、2031.4、2030.5 和 2029.9。Kyber-1024 在路径 1–3 上分别于 2045.9、2035.0 和 2032.3 跨越阈值；ML-DSA-44 在路径 2–3 上分别于 2035.9 和 2032.9 跨越阈值。SLH-DSA、AES-256 及其余路径在截至 2046 年的时间范围内均未显示出可行的破解。出处：Appendix A.2 · p. 48

附录 A.3. 图形再生成流程（伪代码）

• 硬件增长以 2026 年为基准，A = 0.34 和 r_hw = 1.20 控制硬件累积驱动项。令 e = max(t - t0, 0)，则 D_hw(t) = A * (r_hw^e - 1) / (r_hw - 1)。出处：Appendix A.3 · pp. 48–49
• 各算法特定的硬件与软件耦合关系决定能力值；能力值降低限幅后的运行时间指标，并用于计算逻辑斯蒂可行性评分。运行时间为 clamp(R0 - capability, -0.4, R0)，其中 R0 = log10(1e10)。可行性为 100 / (1 + exp(-(MON - runtime)/0.85))，其中 MON = log10(2.6e6) 表示一个月内完成计算的可行性阈值。出处：Appendix A.3 · pp. 48–49
• 模型设定 AGI 于 2028 年出现，此后四条软件发展路径在共同的线性软件分量上分别叠加不同的增长项。共同分量为 0.04 * max(t - 2026, 0)；各路径叠加 B * (r^e - 1) / (r - 1)，其中 e = max(t - 2028, 0)。各路径的 (r, B) 参数对为 0:(1.01,0.00)、1:(1.10,0.16)、2:(1.17,0.26) 和 3:(1.30,0.30)，各算法的耦合参数见 Appendix A.2。出处：Appendix A.3 · pp. 48–49
• 在 2026–2046 年间取 600 个步长，确定每个算法与路径组合的可行性评分首次达到 50 的年份；若在该时段内未达到阈值，则返回 NONE。阈值跨越计算程序分别评估每个算法与路径组合。出处：Appendix A.3 · p. 49
• 使用已发布的脚本进行 40,000 次蒙特卡洛采样，可精确复现确定性的阈值跨越年份，并将 Table 7 中百分位数的复现误差控制在约 0.2 年以内。发布内容包括能力模型、用于 Table 7 和 Figure A2 的蒙特卡洛代码，以及绘图脚本。固定基础随机种子为 20260731，按单元格索引偏移，使每个算法与路径组合单元格均可独立复现。出处：Appendix A.3 · p. 49
• Figures 4A and 4B 为示意性重构，并非实测序列；Figure 5 的量子比特估算为近似读数，尚待 Global Risk Institute 原始数据表核实。发布说明明确标注了这些限定条件。出处：Appendix A.3 · p. 49

附录 A.4. 敏感性分析

• 硬件驱动 RSA-2048 跨越阈值，而格、哈希和对称方案跨越阈值的时间主要取决于软件耦合、路径增长率及上限。各方案在能力增益约达 3.585 个数量级时跨越阈值；RSA 的硬件耦合 α = 0.92 使其在所有路径下均跨越阈值，时间跨度约为 2.5 年。其他方案在 Track 0–1 下基本不变，唯一例外是 Kyber-1024 在 Track 1 下于 2045.9 跨越阈值；RSA Track 0 仅对硬件增幅、加速率和耦合敏感。出处：Appendix A.4 · pp. 49–50
• 将 AES-256 的软件耦合设为零，可恢复其未被破解的对照状态，因为模型中 Track 2 和 Track 3 下的破解尚无已确立的密码分析机制支持。AES-256 的推测性输入为 α = 0.020，Track 2 的 β = 0.155，Track 3 的 β 为 0.210。出处：Appendix A.4 · p. 49
• 在扩大范围的敏感性测试中，RSA-2048 Track 0 和 Kyber-1024 Track 3 因任一单参数变化产生的阈值跨越时间偏移均不超过约 3.6 年。压力测试范围约为 Appendix A.5 中经校准的蒙特卡洛范围的两倍；这些测试分离了各参数的独立效应，而非参数间的交互效应。失效顺序则取决于 Appendix A.2 中的耦合反转阈值，即使扩大后的范围也未涵盖该阈值。出处：Figure A1 · p. 50, Appendix A.4 · p. 50
• AGI 出现时间从 2028 推迟至 2030 时，软件驱动的阈值跨越约延后 1.8 年；RSA Track 0 仍为 2032.5。Kyber-1024 Track 3 从 2032.3 延至 2034.1，AES-256 Track 3 从 2038.6 延至 2040.4。AGI 出现时间是 Kyber-1024 Track 3 最敏感的参数，其次是软件耦合 β 和路径上限 B_k。出处：Appendix A.4 · pp. 49–50
• 硬件增长率降至 1.05 时，RSA Track 0 的阈值跨越时间从 2032.5 延至 2035.3，而软件驱动的阈值跨越时间几乎不变。若改为将所有软件耦合降低 20%，则格、基于哈希的方案及对称方案的阈值跨越约延后 0.6 至 1.0 年。出处：Appendix A.4 · p. 50
• AES-256 Track 3 的增长率从 1.30 降至 Track 2 的 1.17 时，其阈值跨越时间从 2038.6 延至 2041.8。Track 3 的增长率是其坍缩曲线呈强凸性的唯一来源；降低该增长率会推迟阈值跨越，并消除这一曲率。出处：Appendix A.4 · pp. 49–50

目的

• 联合抽样可捕捉逐一变动参数的分析所遗漏的交互作用，并估计 P(T ≤ year)，为 Mosca 不等式提供能力实现时间的输入。在此框架内，只要保密期限内存在非零概率质量，立即开展迁移并建设密码敏捷性就是合理的。出处：Appendix A.5 · p. 51

抽样

• 每个算法与路径组合单元独立抽样 40,000 次，对参数范围进行联合抽样，使用各单元专属的确定性种子，并对晚于 2060 年的阈值跨越作删失处理。多数输入采用均匀分布抽样；路径 1–3 的 AGI 出现时间则从跨度为 2027–2031、众数为 2028 的三角分布中抽取。路径 0 不含软件驱动因素，也不依赖 AGI。出处：Appendix A.5 · p. 51

结果

• 在路径 3 下，模型给出的 Kyber-1024 截至 2033 年和 2035 年跨越阈值的概率分别约为 0.52 和 0.98。Kyber-1024 的阈值跨越时间在路径 3 下约为 2032 至 2035 年，在路径 2 下约为 2034 至 2038 年，后者的 P(≤2035) ≈ 0.28；ML-DSA-44 约晚一年。在路径 0 和 1 下，格密码跨越阈值的中位时间仍在 2040 年代末。出处：Appendix A.5 · p. 51
• 相较于 Appendix A.2 的点估计，中位时间的偏移不超过约一年；联合不确定性使阈值跨越的时间区间略有拓宽，但不改变定性排序。对于所有软件驱动的阈值跨越，AGI 出现时间仍是方差的主要来源。出处：Appendix A.5 · p. 51

解读

• 蒙特卡洛模拟传播的是选定但未经测量的耦合关系中的不确定性，而非增加证据；改变输入范围会使其概率曲线发生偏移。基于哈希的原语和对称密码原语未纳入分析，因为其假设的阈值跨越机制缺乏密码分析依据；为其赋予概率，会将建模假设误表述为经过校准的概率。出处：Appendix A.5 · pp. 51–52

结果

• 即使在无 AGI 的路径 0 下，模型给出的截至 2035 年 RSA-2048 攻击可行的概率仍约为 95%，其跨越阈值的中位时间接近 2033 年。因此，有机制依据的 RSA 风险在模型中并不因 AGI 是否出现而显著改变。出处：Table 7 · p. 51, Appendix A.5 · p. 51, Figure A2 · p. 52

附录 B. 记号与符号

• Table 8 汇总了三个模型组成部分中的符号，并明确区分 β 的两种不同用法。这些组成部分分别见 Section 3.3（加速因子框架）、Section 4.5（成本模型）和 Appendix A（能力模型）。出处：Appendix B · p. 52, Table 8 · p. 53

• 在建模时间范围内，没有已知的量子、经典或算法攻击会威胁 SLH-DSA 或 AES-256。出处：Appendix C · p. 53
• 路径 2 和路径 3 仅在先进 AI 发现目前未知的一类结构性攻击时才会出现交越。出处：Appendix C · p. 53
• 这些情形的证据支持最弱，与有机制依据和有条件性依据的预测保持区分，并沿用 Section 5 的可证伪性条件。保留这些情形，是因为 Figure 9 包含了它们，也因为将密码原语排除在威胁范围之外有助于夯实分析的审慎核查基础。出处：Appendix C · p. 53

附录 C.1. SLH-DSA 的 CRQC+AI 脆弱性估计 (FIPS 205)

• SLH-DSA 不含可受坍缩参数 ρ 影响的格结构，其保守参数已考虑 Grover 类攻击风险。因此，其脆弱性分析被明确限定为仅基于假设。出处：Appendix C.1 · p. 53
• 此前给出具体时间的 Track 2 和 Track 3 预测依赖于一种无依据的假想新型攻击，现已撤回，改为不指定时间、仅基于假设的分析。出处：Appendix C.1 · p. 53
• SLH-DSA 的软件耦合设为零，建模时间范围内未报告交叉。Figures C1A and C1B 评估了四种假设情景下各脆弱性轨道的攻击运行时间及模型估计的可行性。出处：Appendix C.1 · pp. 53–54

附录 C.2. AES-256 的 CRQC+AI 脆弱性估计 (FIPS 197)

• 在仅作假设的分析中，Grover 算法下的 128 位有效安全强度意味着：在预测期内，所有路径均无可行的 AES-256 破解方法。目前没有已知的量子、经典或算法攻击能够破解 AES-256。出处：Appendix C.2 · pp. 54, 57
• 路径 2 和路径 3 中带有具体时间的估计已撤回，因为这些估计完全依赖推测性假设；AES-256 的软件耦合度设为零。替代分析不设具体时间，并非预测 AES-256 何时会被破解。出处：Appendix C.2 · pp. 54–55
• 在各 AES 密钥长度中，只有 AES-256 达到所述的 128 位量子安全强度门槛，这为 CNSA 2.0 对它的推荐提供了依据 。本附录还指出，AES-256 是 NIST 批准的安全功能 。出处：Appendix C.2 · p. 56
• Grover 算法的串行计算和并行化效果不佳限制了其平方级搜索优势，因此将 AES 安全强度名义上减半是一种保守的威胁估计。本附录指出，现实的电路深度限制使 AES-256 仍接近其完整的经典安全强度。因此，路径 0 和路径 1 均未显示可行的基线或 AGI 增强型穷举破解方法。出处：Appendix C.2 · p. 56
• 推测性的 AES-256 风险阈值跨越估计假定存在尚未发现的 AGI 驱动结构性攻击，并将侧信道攻击或实现层失陷等同于破解密码算法。与有 Shor 算法支撑的 RSA/ECC 预测不同，这些假设目前缺乏密码分析依据。格密码的阈值跨越则要求猜想中的有效维度坍缩发生；HHL 至多只能为其中一个内部步骤提供多项式级加速。出处：Appendix C.2 · p. 57