密码学家开始警惕：AI会攻破互联网的加密系统吗？

近日，知名硅谷风投 a16z 旗下的加密部门 a16z crypto 发布了一场对谈，邀请斯坦福大学密码学家 Dan Boneh、乔治城大学计算机科学副教授 Justin Thaler 等人，讨论人工智能数学能力突飞猛进对现代密码系统的潜在威胁。

此前，OpenAI 一次性公开数百份由内部模型生成的数学研究手稿，在数学界引起轩然大波。数学难题接连出现新进展，也引发了新的担忧：如果 AI 能够不断攻克人类长期未解决的数学难题，那么支撑银行交易、私人通信和加密货币安全的密码学体系，是否也可能受到冲击？

Boneh 指出，公开成果没有呈现对主流密码方案的实际破解。他认为，前沿实验室应当披露是否曾用最强模型检验已部署的系统，以及结果如何。

这种担忧还传导到链上资产的安全讨论。为应对椭圆曲线密码技术可能遭到攻击的情形，以太坊基金会研究员 Justin Drake 提出“掩体模式”，建议大型持有者考虑将资金转向公钥尚未在链上暴露的地址。不过，相关攻击何时可能出现、迁移应如何执行，业内仍有分歧。

除了数字资产管理的安全问题，对谈进一步讨论了 AI 与量子计算在破解密码学难题上的区别，以及后量子方案如何与现有系统并行部署。在 AI 既可能加快攻击探索、也被用于代码审查的当下，风险评估与安全工具的建设正在同步提速。

AI 数学突破如何影响密码与安全

OpenAI 发布的成果覆盖数学和计算机科学的多个方向，但没有列出密码学方面的结果。Boneh 读完研究清单后，对这处空白尤其在意。密码学同样有大量开放问题，所需的数学推理与部分已公布成果并不遥远。

空白可能有不同解释。模型也许尝试过，始终没有得到值得报告的结果。实验室也可能发现了涉及安全的内容，选择暂缓公开。参加对谈的乔治城大学计算机科学副教授 Justin Thaler 认为，无论是哪种情况，研究者都需要知道测试过什么、投入了多少资源、结果如何处理。

这种关切与密码系统的建造方式有关。公钥密码方案通常以某些计算问题难以快速求解为前提。以椭圆曲线离散对数问题为例，用户可以公开一把供别人加密信息或核验签名的钥匙，同时保留另一把私钥。方案的安全性依赖攻击者难以从公开信息反推出秘密。

一项数学发现若要成为现实攻击，还要化为针对具体算法和参数的计算步骤，并在可承受的成本内完成。即使找到更快的方法，也须判断速度提升了多少。密码系统关心的是实际的时间与算力门槛，理论上的进展与窃取一把密钥之间还有距离。

要严格证明相关问题始终不存在高效解法，牵涉计算机科学中尚未解决的复杂性问题。于是，密码学界长期采用另一种检验方式，把方案公开，邀请研究者不断寻找更快的攻击算法，再根据多年累积的结果判断它是否足够稳健。

攻击尝试有时带来局部改进，有时以失败告终，两种结果都在帮助人们校准安全强度。Boneh 说，一套新方案过去可能要经历近十年的分析，才逐渐获得部署所需的信心。时间在这里并非等待本身，而是让足够多的人有机会检查同一项假设。

AI 可能压缩这段过程。模型若能持续搜索攻击路径，研究团队便可以在较短时间内对某项新方案开展密集测试。即使没有找到破解方法，结果也能为评估提供新证据。它的分量取决于模型能力、测试范围和投入资源，这些条件需要一同公布。

要让密集测试成为可用的安全证据，报告就得交代被测算法、参数、算力预算和尝试过的攻击方向。一套方案经受过怎样的检验，直接关系到机构先升级什么、后升级什么。实验室若只公布数学成果，外界无法据此排列密码迁移的优先次序。

Thaler 关注的正是信息如何流动。传统密码研究常留下论文、会议讨论和公开的攻击记录，如今能力最强的模型集中在少数实验室，外界看不到它们是否检查过已经标准化、正在使用的方案。数学成果发布之后，密码学测试情况仍未披露，能力增长与公开信息之间出现了落差。

一旦广泛使用的假设受到冲击，影响也会越过区块链。Boneh 指出，椭圆曲线密码技术连接着银行、医疗、政府服务及私人通信。行业需要具体的测试结果，才能判断是否该加快替换，单凭 AI 在其他数学问题上的表现，无法为每套系统排出迁移次序。

至于用户当下的选择，嘉宾们给出的答案相对克制：日常服务仍可照常使用，机构则应继续做好密钥管理和公钥暴露控制等既有工作。另外，资产迁移本身会带来操作风险，紧急行动需要与现实中的失误成本一并衡量。

密码学的信心从哪里来

衡量风险有待更完整的测试信息，系统升级却可以先行。倘若新的攻击方法出现，互联网和区块链需要能够及时换用密码方案。而量子计算带来的威胁，已经推动业界为这类迁移准备多年。

量子计算主要威胁椭圆曲线等现有公钥方案，业界因此开发基于其他数学问题的后量子密码技术。AI 的搜索范围更宽，它也可能检查这些候选方案所依赖的难题。两类风险在现有算法上有交集，已经开展的迁移工作可以提供起点，后量子方案本身仍需持续检验。

据美国国家标准与技术研究院（National Institute of Standards and Technology，NIST）公告，2024 年获批的首批三项后量子密码标准覆盖基于格的密钥建立、基于格的数字签名和基于哈希的数字签名。格与哈希依赖不同的数学结构，为系统提供了不同的替代路径。

图｜格密码与哈希签名的技术路径（来源：NIST）

有了备选算法，还要让产品能够接入它们。Boneh 强调的“密码敏捷性”，就是在某种设计出现弱点时，系统可以较快切换到另一种设计。它涉及协议、软件更新和部署安排，只有在设计之初预留替换空间，新的安全发现才容易变成实际升级。

部分互联网连接已经采用混合方案，同时用椭圆曲线与格方法建立通信密钥。这意味着一套方法出现问题时，另一套仍可提供保护。

据 Cloudflare 公开的部署情况，此类混合密钥交换已进入主流浏览器和多种网络软件。迁移在这里表现为逐步增加新的保护层，而非等待旧方案彻底失效。

区块链领域的选择更复杂。争论之一是，未来的数字签名应更多采用格方案，还是基于哈希的方案。哈希函数会把输入数据映射为固定长度的结果，区块链早已用它组织和验证大量记录。若签名也依赖哈希，系统引入的新安全假设可能更少。

Boneh 还提到，基于哈希的签名可以在具体哈希函数出现问题时更换这一部件，沿用基本构造。格方案则保留更多代数结构，较易支持门限签名等复杂功能。门限签名允许多方共同完成授权，在钱包和机构管理中有明确用途。两条路线分别牵动安全假设、功能和部署成本。

纯哈希路线也可能把复杂性移到别处。Lazzarin 举例，以太坊社区讨论的一些设计需要让零知识证明层层递归验证。证明一层接一层，系统能够压缩某些验证工作，实现和排错却会变得困难。讨论密码安全时，数学基础与软件实现的风险需要放在一起看。

算法之外，软件实现自身也有大量安全问题。AI 能搜索数学攻击，同样可以在产品发布前检查密码设计与代码漏洞。过去，方案往往在宣布部署后才受到广泛审视。若把检查提前，开发团队就有机会在用户依赖它之前修复问题。

当产品自身也开始使用 AI 代理，安全审查还要覆盖代理行为。它可以连续调用工具、读取资料并执行多步任务，产品需要规定它能接触哪些资源、拥有哪些权限。Thaler 认为，沙箱与按能力分配的权限应成为设计的一部分。模型发现漏洞的能力越强，开发者越要把它自身的活动范围设计清楚。

一些企业已经开始用新模型反复扫描代码库。Boneh 提出的下一个工程问题很实际，软件更新或模型换代后，怎样只检查受影响的部分，而不必每次从头扫描全部代码。让审查更早、更频繁，同时控制成本，是 AI 安全工具眼下能做的具体工作。

一个具体场景可以检验这套应对路径。假如实验室突然宣布椭圆曲线密码技术已被破解，Boneh 给出的路径是加快转向已部署的后量子方案。若现有备选方案也遭到攻击，就引入新的方法并推进标准化。发现者还须先向业界和政府负责任地披露，协调软件更新。届时速度取决于两件已经可以着手的事，弄清风险证据，并让系统真正具备切换能力。

参考资料：

1.https://www.youtube.com/watch?v=k_CoOoDsZ5Y

2.https://www.nist.gov/cybersecurity-and-privacy/what-post-quantum-cryptography

运营/排版：何晨龙

注：封面/首图由 AI 辅助生成