花了上亿造量子电脑，结果是假的？科学家发明新招，3秒验真伪！

这几年全球科技圈几乎被"量子霸权""量子优势"的消息刷屏，IBM、谷歌、各路初创公司你方唱罢我登场，动辄甩出一个比特数更大的处理器。可问题是，花上亿美元造出来的那堆芯片，到底是真正在用量子力学跑算法，还是披着量子外壳的"高配经典机"？

光靠厂家自说自话，谁心里都不踏实。答案最近终于有了。

莱顿大学、清华大学、浙江大学三家联合组成的研究团队，造了一台"量子验钞机"，并把它搬到了73个量子比特的超导处理器上实测。相关成果在2025年4月22日正式发表于《物理评论X》，随后被多家国际媒体报道。

实验结论很硬核：这玩意儿，是真货。研究团队用的是物理学家约翰·贝尔上世纪六十年代留下的那套"贝尔测试"。

原理一句话说清——如果一台机器真在吃量子力学这碗饭，它就一定能干出经典世界里无论如何都做不到的事。那件事就是爱因斯坦当年死活不认账的"鬼魅般的超距作用"：两个纠缠粒子哪怕相隔万里，一个被测量，另一个的状态立刻锁定，比什么信号都快。

爱因斯坦生前坚信这不科学，可2022年的诺贝尔物理学奖恰恰颁给了用实验把这件事钉死的三位科学家。贝尔测试在两三个比特的小系统里早就是常规操作，可一旦量子比特数量上到几十个，复杂度就呈指数级爆炸。

三个人微信群聊沟通没问题，七十多个人同时在群里飙戏，场面就乱了。所以多比特系统到底还守不守量子规矩，一直是个悬在整个行业头上的问号。

这次研究团队另辟蹊径。他们没有去硬测那套令人头大的多体贝尔关联，而是改测"能量"。

思路是：如果系统真的处于量子纠缠和叠加状态，它能达到一个经典系统怎么都够不到的超低能量。实验结果显示，在73个比特构成的二维蜂窝晶格上，测到的能量比经典极限低了整整48个标准差。

这个数字放在统计学里，基本等同于"这事绝无可能是巧合"。研究团队还顺手把更苛刻的"真·多方贝尔关联"一并验证了，让24个比特同时参与集体纠缠并通过检验——相当于24个人同时心电感应，而不只是两两心有灵犀。

来自莱顿大学的物理学家乔迪·图拉在采访里说得直接：这项工作证明了，在前所未有的规模上确认深层量子行为是可行的。换句话说，量子处理器不仅块头越做越大，内里的"量子内功"也经得起拷问。

这件事为什么重要，背后其实牵着一根更粗的线——加密。当下不少国家和组织正在悄悄干一件事：拦截并存储海量加密数据，包括密码、银行信息、社保号码等等。

它之所以成立，是因为很多情报的价值并不随时间衰减，工业配方、医药研究、政府机密，哪怕拖十年再解密，照样是金矿。美国国家安全局早就公开表态，一旦足够强大的量子计算机落地，所有广泛部署的公钥算法都会被击穿。

正因为预判到这个威胁，美国国会已通过立法，要求各机构即刻启动向抗量子密码的迁移。目前守着全世界的，是一套运行了四十多年的加密方案。

上世纪70年代以前，两人要传私信，必须先见面交换一把共用钥匙，加密和解密都用同一把，所以叫对称密钥。可到了互联网时代，远隔重洋的两个人根本没法这么干。

1977年，三位科学家Rivest、Shamir、Adleman提出的RSA算法解决了这个问题。它的玩法是：每个人手里握两个巨大的素数并严格保密，再把两个数相乘得到一个公开的大数。

别人想发密信，就用这个公开数把消息打乱；想还原，必须知道组成它的那两个素因数。用现在最强的超级计算机，按最优的"一般数域筛"算法去分解一个由两个313位素数相乘而成的大数，大约要跑1600万年。

但量子计算机不是这个玩法。普通计算机里一个比特只能是0或1，而量子比特可以同时是0和1的叠加。

两个量子比特能同时承载0、1、2、3四种状态；20个比特能同时表示超过一百万种状态；300个量子比特承载的信息量，比可观测宇宙中粒子总数还要多。听起来无敌，但有个大坑：所有答案都躲在叠加态里，一旦测量就只能随机得到一个值，其他全部坍塌掉。

所以真正的难点是找到一种办法，把叠加态压缩成只包含目标信息的状态再测。目前能做到这一步的问题屈指可数，可偏偏RSA就在这屈指可数的名单里。

1994年，彼得·肖尔和唐·科珀史密斯给出了量子傅里叶变换的做法。它和经典傅里叶变换的本质一样——拿一个周期信号进去，提取出里面的频率。

而破解RSA，正好可以被转化为寻找一个"周期"的问题。具体操作是：随意挑一个与目标大数n不共享因子的数g，让g不断自乘，总能找到某个指数r，使g的r次方比n的某个倍数恰好多1。

只要r是偶数，把方程两边一拆，就能得到两个很可能和n共享因子的数，再用两千多年前的欧几里得算法求公约数，p和q就暴露了。量子计算机加速的关键，就在于寻找这个指数r。

做法是把量子比特分成两组，第一组制备成大规模叠加态，把g相应次方除以n的余数存进第二组，让两组纠缠。只测量余数那一侧，剩下的就是一个指数间隔完全相同的周期性叠加态。

再对它做量子傅里叶变换，测一次就能反推出r。理论上这套流程只要几千个完美量子比特就够用，但现实中的量子比特会出错，必须靠大量冗余比特纠错兜底。

2012年业界估算需要10亿个物理量子比特才能破RSA，到2017年降到2.3亿，2019年又一波技术突破后，这个数字骤降到约2000万。IBM目前路线图上公开的处理器规模距这个门槛还有相当距离，但曲线确实在往上爬。

什么时候这两条曲线相交，整个公钥加密体系的"保质期"就什么时候到头。正因为意识到威胁近在眼前，美国国家标准与技术研究院（NIST）早在2016年就启动了后量子密码算法征集，全球密码学家递交了82份方案，经过多轮淘汰，2022年7月5日NIST公布了四种入选算法，其中三种都基于"格"的数学。

格密码的思路可以这样理解：在二维平面上取两个向量R1、R2，用它们的整数倍叠加，能生成一堆规则排列的格点。给一个点C，要你说出用R1、R2怎么组合能最快到达离C最近的格点，直观判断很容易。

可同一个格还能由另一组方向歪斜的向量B1、B2构建，这时候再找最近格点就非常痛苦——每朝一个方向走近一步，往往会在另一个方向上走远一步。到了三维还勉强能算，到几百维就彻底失控。

实际的后量子加密方案会把维度拉到一千上下，这个维度下寻找最近格点，无论经典机还是量子机都束手无策，除非你手里拿着那组"好用"的向量。于是加密的玩法变成：每个人都有一组描述自己格子的好向量并严格保密，公开出去的只有一组难用的向量。

发送者在接收方的格上选一个与消息对应的点，再加点随机噪声；接收方因为握有好向量，解码易如反掌，别人就只能望格兴叹。绕回开头那台"量子验钞机"，就能看懂它的分量了。

无论是用量子密钥分发传机密，还是用量子算法跑运算，又或者是实时监测比特会不会"退相干"失效，都需要一个硬指标来证明"这台机器真的在干量子的活"。贝尔关联的大规模可验证，相当于给整个产业装了一把尺子。

将来某家公司发布新机型，大可以直接问一句：贝尔测试做了没，多少个标准差？没数据，再漂亮的PPT也只是PPT。

当然，这套验证手段也不是终点。随着比特数继续膨胀，验证本身的时间和资源消耗也会水涨船高，各家处理器架构不一，验证标准还需要业界坐下来统一。

但方向已经很清楚——量子效应正在从实验室里的几颗比特，走向几十上百颗比特的工程化规模。密码学家、数学家、物理学家在幕后组成的这支"隐形部队"，正在努力让普通人未来的通讯、支付、医疗数据，继续保持在"仿佛量子计算机从未出现过"的那种安心状态。

至于浑水摸鱼的量子项目，日子怕是要难过起来了。毕竟测谎仪都造出来了，再想靠几个漂亮数字糊弄过关，没那么容易。