AI还没有攻破密码学，但真实系统的安全挑战已经到来｜对话清华段斯斯

10 月 30 日，币安披露其热钱包遭到攻击，约 63 亿美元的代币资产被盗。经初步调查，未发现钱包私钥泄露的证据。币安称，攻击可能与一名运维工程师的电脑遭入侵有关，具体攻击路径仍在调查中。

即使签名和共识协议在原理上没有问题，钱包和提现流程仍可能出现风险。这起事件再次引发公众对区块链安全的关切：底层协议的安全，能否保证真实金融系统中的资产安全，系统又该怎样应对这些风险？

与此同时，AI 在数学研究和自动寻找漏洞方面不断取得进展。人们也不免担忧，AI 是否会攻破现代密码学所依赖的数学难题？另外，在系统安全上，AI 会让防守者获益更多，还是让攻击者更占先机？

针对 AI 时代的安全挑战以及密码学的应用，近日，DeepTech 在清华大学和段斯斯进行了对话。

段斯斯是清华大学高等研究院研究员，长期聚焦分布式系统、区块链和应用密码学研究。她曾提出过 BChain、Dashing 等共识协议，其中 BChain 衍生方案用于超级账本 Iroha 项目以及多国的央行数字货币，Dashing 协议被用于数字人民币、多边央行数字货币桥等项目。2021 年，凭借在区块链共识协议领域的突出贡献，她入选《麻省理工科技评论》中国区 “35 岁以下科技创新 35 人”（TR35）。

段斯斯认为，目前没有证据表明 AI 已经攻破现代密码学所依赖的数学难题。相比之下，代码和真实系统中的安全问题更为迫近。AI 可以帮助研究者分析算法、编写形式化模型，也可能加快攻击者寻找漏洞的速度。她和团队正从实际系统出发，检查共识协议的安全性，并探索用 AI 辅助寻找攻击路径。

此外，安全问题还将随着 AI Agent 进入支付和多方协作场景而变化。段斯斯团队曾在测试中发现 Agent 越权读写和越权支付。Agent 替人付款时，系统既要验证操作是否合法，也要确认它没有超出用户的授权。她认为，密码学可以提供验证手段，但安全机制仍需围绕真实场景中的问题来设计。

以下是 DeepTech 与段斯斯的对话。

后量子密码何时换，形式化验证能验到哪

DeepTech：了解到你长期关注密码学、区块链以及系统安全，能否分享一下你近年来聚焦的工作？

段斯斯：严格来说，我的方向偏应用密码学，重点关注密码协议及其应用。

如果把密码学作为一个大范畴，可以分成几个类别：一类是底层密码算法，以及这些算法所依赖的数学困难问题和模型。很多密码算法的设计都基于某个数学困难问题，其安全性分析和证明通常会归约到这个问题在现有计算条件下难以求解。在此基础上，研究者构建出各类密码算法。

另一类是密码协议，即在算法的基础上，考虑两方或多方参与者需要相互通信的场景，设计一套交互流程。协议安全性也有相应的分析方法，通常又依赖底层密码算法的某些性质。

我从读博士起就一直关注分布式协议，其中研究最多的是共识协议：在多方参与、部分节点可能出错，甚至被攻击者控制的情况下，诚实节点如何达成共识。

其实，共识是一个很早就提出的理论问题。1982 年，图灵奖得主 Leslie Lamport 等人研究了拜占庭将军问题，至今已有四十多年。2000 年前后，已经出现不少实用的共识协议。2008 年比特币诞生后，区块链让更多人认识了拜占庭容错共识。不过，容忍节点宕机、离线等故障的协议，早已广泛用于分布式数据库等系统，至今仍是重要的基础技术。

DeepTech：近年来，量子计算发展迅速，其对区块链系统安全的潜在影响也一直受到关注。量子计算可能威胁区块链的哪些安全基础？目前学界和业界如何应对？

段斯斯：区块链大量依赖公钥密码来验证交易，量子计算的潜在威胁也集中在这里。

传统公钥密码中有 RSA、现在广泛使用的 ECDSA，以及我国商用密码体系中的 SM2。RSA 基于大整数分解难题，ECDSA 和 SM2 则基于椭圆曲线离散对数难题。

现有公钥密码依赖的数学难题，未来可能被足够强大的量子计算机高效求解。后量子密码则基于目前认为量子计算机也难以高效求解的问题设计，以抵抗量子计算攻击。美国国家标准与技术研究院已征集并选定一批后量子密码算法；我国也启动了相关算法征集和评审，未来将形成自己的标准。

金融和区块链系统都在讨论，是否要提前把现有公钥密码换成后量子方案。新方案的密钥或签名通常更大，可能增加通信与存储开销，拖慢系统运行。如何平稳迁移，是实际应用中的难题。

DeepTech：后量子密码逐步走向标准化，但一条已经运行的区块链不可能一夜之间换掉所有签名。你认为后量子方案从确定到广泛应用需要多久，区块链又该在什么时候开始迁移？现实阻力可能有哪些？

段斯斯：后量子密码的迁移不限于区块链。美国国家标准与技术研究院（NIST）于 2024 年公布了首批后量子密码标准，在 2026 年开始要求各机构制定迁移计划，目标是在 2030 年完成迁移。我国近期也开展了新一代商用密码算法的征集并已经公布投稿算法，计划采取边征集边试点的形式，形成较为平缓的迁移。

具体到区块链，以太坊基金会于 2026 年 9 月提出了在 2029 年底前完成后量子密码迁移的技术路线。相应的，我国也陆续部署科研项目，研究区块链系统的后量子密码迁移。

总体而言，目前的现实阻力主要在于性能和兼容性，更多属于密码工程问题。其中也有值得研究的方向，例如通过设计基于对称密码和哈希函数的共识协议，使其具备后量子安全性，也可能在一定程度上缓解性能压力。

DeepTech：根据你的研究经验，一个系统怎样才算安全可靠？如果底层协议在理论上被证明安全，为什么实际系统仍可能出问题？

段斯斯：系统安全是一个很复杂的问题。尤其是基于密码协议构建的系统，它的安全既包括算法和协议的安全，也包括软件实现的安全。

理论研究通常证明的是一段很短的伪代码，但从伪代码到真实代码，中间还要经过系统设计：系统分成哪些模块、每个模块维护哪些变量、收到消息后做哪些检查，都需要确定。一行伪代码在实际系统中可能对应几十行、上百行代码，不同的人来实现，写出来也可能不同。

比如伪代码大致只写了节点收到消息、满足条件后，在超时触发时投票，看起来只有两步。但实际代码要检查消息和签名，处理各种状态；仅收到一条消息后的检查，就可能占几十行。真正对应伪代码中‘超时后投票’的部分，反而只是后面很短的一段，而且这还只是整个系统中的一个函数。

现在很多漏洞挖掘工作是从代码本身看它有没有安全问题，较少检查代码是否实现了协议的理论设计。对于可证明安全的协议，这种匹配非常重要。

DeepTech：当前，面对协议的理论设计与真实代码之间的落差，诞生于半个多世纪前的形式化验证再次受到关注。你认为 AI 在这项工作中能帮上什么忙？

段斯斯：AI 现在生成代码的能力很强，形式化验证作为一项用数学方法严格证明系统是否符合设计规范的技术，本质上也是通过类似代码的语言去构建，所以 AI 能在一定程度上加速这一过程。

不过，根据我们的观察，AI 写 Java、C 等常见语言的能力已经比较好，但写形式化方法的代码还没有那么成熟。一个可能的原因是，互联网上有大量常规代码可供学习，而高质量的形式化的代码相对少得多。

例如，我们去年开展、今年发表的一项工作，就尝试让大语言模型生成形式化验证所需的代码，再引入专家知识提高质量。这也是我近两年越来越关注真实系统安全的原因之一。

DeepTech：前面提到，AI 已经能辅助编写形式化验证所需的代码，目前也有企业开始探索相关产品。你预计未来三到五年，AI 在形式化验证中能做到什么程度？结合你团队的研究，如果要让 AI 独立为共识协议建立可靠的验证模型，最大的难点是什么？

段斯斯：过去，形式化验证高度依赖专家知识，也很耗时。现在有了 AI 辅助，专家仍不可或缺，但许多工作已经能够更快完成。我认为，未来用形式化验证辅助代码编写和科研，乃至让 AI 同时生成代码及其形式化验证，都会是重要的发展方向。

近期，在我们针对 TLA+ 这类模型检查工具的研究中，仍能看到一些难题。例如，建模无法和共识理论完全匹配、模型状态容易过大而导致无法完成检查等问题。其中一些问题与 TLA+ 本身的局限有关。因此，除了提升 AI 能力，基础工具也需要继续发展。

币安遭袭，金融系统安全如何守？

DeepTech：币安热钱包遭袭后，区块链是否安全再度引发热议。从目前披露的信息看，初步线索指向运维终端遭入侵，但完整攻击路径尚未查明。你如何判断这起事件的症结所在？

段斯斯：从目前的新闻报道看，一种可能是，攻击者控制了持有钱包私钥的电脑，使签名服务执行了异常提现操作。如果确实如此，受到攻击的是系统的运行环节，并不意味着底层密码学机制或共识机制被攻破。

这也说明，密码学机制应用到真实系统后，仍会面临许多安全风险。

DeepTech：对于币安这类加密资产交易平台，哪些环节最容易成为攻击入口？你认为今后最该优先加固哪一道关口？

段斯斯：事实上，币安是一家中心化交易所，面临的许多风险与传统金融业务相似。我认为，系统安全涉及多个环节，很难只靠加固某一道关口来解决。只有对各个环节作系统性的设计，才能尽可能降低风险。

DeepTech：从交易所的热钱包延伸到区块链应用本身，一般而言，你认为哪些安全风险最容易被忽视？

段斯斯：国内外区块链发展的技术路线有所不同，我认为可以先区分不同类型的链。

国内很多项目是联盟链，由特定机构在相对封闭的网络中运营；国外受关注较多的公链，这些链面向公网，很多数据和代码都是公开的。公开便于外界检查，也让攻击者有更多材料可以分析。

我们看到的很多安全事件，其实发生在应用层，比如钱包被盗、资产被转走，和常见的网络攻击很像。AI 发展后，自动寻找代码漏洞可能让系统漏洞更容易被利用。尽管智能合约经过了多年的审计，仍在不断出现新问题，软件安全也很难一劳永逸。除此之外，业界也在讨论后量子密码的迁移。

DeepTech：关于区块链交易中的经典安全问题，比如双花攻击，目前是否有很好的解决和应对方案？

段斯斯：双花是金融系统都要避免的问题，它指的是：我只有 100 元，付给你之后，不能再拿同一笔钱付给另一家商户。区块链依靠底层共识协议，保证相互冲突的交易不会同时成为有效记录。

共识有不同的实现方式。经典拜占庭容错协议通常依靠节点投票；许多权益证明（PoS）系统也由验证者投票，决定认可哪些区块。比特币采用的工作量证明（PoW）则需要大量计算，耗电较多。投票类机制通常没有同等规模的计算开销。

至于双花是否已经解决，不能只看系统采用了哪种机制。理论上，如果底层共识协议正确，并且满足其安全前提，就不应发生相应的共识层攻击；如果协议设计或安全证明不充分，实际运行中仍可能出问题。

另外，还要检验软件实现是否符合理论设计。即使协议本身正确，实现偏离设计也可能引入漏洞；如果底层设计就存在缺陷，系统同样可能遭受攻击。我们过去几年发现的一些共识攻击，就与底层安全分析不完备有关。

DeepTech：你带领团队分析过以太坊、BNB Chain 等真实系统。能否举个例子，会遇到什么样的安全问题，以及可以怎样改进？

段斯斯：我们的研究主要沿两个方向展开。第一类关注底层共识本身的安全性。我们从真实系统中梳理其实际运行的协议，再检查设计和安全证明是否严谨。如果存在缺口，系统可能发生双花，也可能无法正常出块。

第二类关注经济安全，即奖励和惩罚如何影响系统。联盟链通常由已知机构在相对受控的环境中运营，还有专用网络、机房门禁等保护。公链的参与者则可以自行运行或关闭节点，系统需要通过奖励鼓励他们持续出块、投票。

例如，以太坊的验证者按规则参与，就可以获得代币奖励。奖惩会影响验证者的资产和相对质押权重，但传统共识分析通常只考虑多少节点受到攻击，较少把激励机制纳入同一个框架。

我们在 2024 年研究过一条攻击路径。诚实验证者按协议正常投票，攻击者却能让其他节点最终认定这些票无效。验证者做了该做的事，仍可能失去奖励，甚至受到惩罚。

如果这种情况长期持续，诚实验证者的收益下降，攻击者的质押权重占比可能上升，进而威胁底层共识安全。我们提出了可证明安全的改进方案，但证明只在特定条件下成立。

过去，研究者主要凭经验推演攻击者在何时控制哪些节点、采取什么动作。我们也在探索让 AI 参与。今年发表的一项工作用强化学习调整攻击参数，提高攻击效果，但最初的攻击路径仍由我们人工找到。能否让大模型直接寻找路径，还需要继续探索。

DeepTech：从金融应用来看，你参与设计的很多共识协议进入了实际项目。从你的观察看，区块链目前主要用在哪些场景？

段斯斯：一个比较典型的场景是跨境支付。它涉及不同国家和地区的参与方，没有单一的管理主体，彼此也未必信任，因此需要一套多方协作的机制。

例如，我们与中国人民银行数字货币研究所合作的多边央行数字货币桥（mBridge）。这个项目已支持真实交易，由多个国家和地区的参与方共同参与，主要面向跨境大额转账。

这样的场景对区块链的需求更明确。国内一些有统一管理主体的场景，可能更需要解决隐私问题，因此不一定非要用区块链。

DeepTech：即便技术可靠，用户仍可能误点钓鱼链接或误签交易。金融应用应怎样分配人的判断与系统的保护责任？

段斯斯：我自己也有过太困时误点钓鱼邮件的经历。加密货币钱包支付或授权时会弹出窗口，用户看着和以前的界面差不多，可能没仔细核对内容就点了签名，结果授权了不该发生的操作。这类攻击在现实中确实比底层协议攻击更容易发生。

其中一个应对方案就是对公众进行网络安全培训，近年来备受关注。不过，安全培训有用，但很难保证人在每次操作时都不出错。

另一个方式则是把工具设计得更好，降低用户需要自己学习和判断的成本。但自动化未来究竟会增加还是减少安全风险，现在还不能下定论，仍需要看 AI 能力和工具设计如何发展。

“AI for Crypto” 与 “Crypto for AI”

DeepTech：现代密码学依赖一些难以求解的数学问题。如今 AI 在数学研究中进展很快，你怎么看 ‘AI 会攻破密码学’的讨论？

段斯斯：由于 AI 发展得很快，这个问题我未必能给出特别权威的判断。以目前的认识，AI 带来的安全挑战可能先出现在实际系统的代码和运行层面；至于底层数学难题，暂时还看不到被 AI 攻破的证据。

最近 Anthropic 公布了一个案例：模型追溯出 NIST 部分椭圆曲线参数中随机种子的生成方式。此前这些种子的来源不明，曾引发是否存在后门的猜测。随机数的质量对密码系统的实际安全非常重要，因为算法或协议的安全分析通常会假设所用随机数满足一定条件，AI 能够加快这类问题的分析。

另外，密码算法在实际运行中还会面临侧信道攻击。攻击者不一定只分析传输的密文，还可能观察设备运行时的功耗、时间等信息，或者通过物理干预制造故障，再尝试推测密钥。

针对上述应用风险，AI 可以持续、大规模地分析实际系统，甚至一天二十四小时不停地工作，因此可能明显加快漏洞发现。现在 AI 在软件安全领域找漏洞已经很快，虽然其中许多被报告的漏洞最终会被证明是误报，但它也可能找到更多真实问题。

至于理论研究，我认为 AI 带来的帮助可能更多。在过去，一些基础分析需要手算或半自动完成，现在它可以加快计算，也能帮助研究者更早发现有问题的算法。我们团队也有老师尝试用 AI 辅助密码算法分析。

由于目前被认为安全的密码算法，核心安全性仍归约到相应的数学困难问题。除非我们对这些问题的认识发生根本变化，否则还不能说 AI 已经动摇了它们的理论基础；至少现在没有看到这样的证据。

DeepTech：目前，区块链与 AI Agent 的结合也是一个受到关注的方向。你觉得哪些应用场景的需求更明确？

段斯斯：我觉得支付是一个比较明确的场景。未来 Agent 可能替人购物、抢演唱会门票，或者调用别人的服务。

比如我让它每天早上八点查新闻、查天气，它调用的接口可能要收费。总不能每付一小笔钱，都让我在场输入密码、验证指纹。人可以提前设定额度，例如一天不超过 2,000 元，让 Agent 在授权范围内支付。

现在已经有人在探索让 Agent 通过区块链支付，比如 x402；也有人提出不依赖区块链的方案，谷歌的 AP2 就可以接入信用卡等支付方式。除了付款，Agent 的身份、信誉怎样管理，也值得讨论。

相比之下，用区块链分享闲置算力等设想，在我看来目前还没有支付的需求明确。当然，一旦机器能替人花钱，授权和金融安全就成了新挑战。

DeepTech：支付牵涉授权。进一步看，当 Agent 能够读取文件、调用服务甚至付款时，密码学在哪些环节发挥作用？

段斯斯：我们最近测试多 Agent 协作时，发现越权读写相当常见。比如只允许一个 Agent 读取 A 文件、把结果写入 B 文件，稍作提示注入，它就可能去读其他文件、写入别的位置。我们甚至观察到过越权支付。所以，权限管理是很重要的一环。

密码学可以帮助验证权限和支付操作。不过，Agent 支付还有更深一层的问题。传统支付中的购买决定通常由人作出，系统主要验证操作是否合法；Agent 支付中，付款的意图有时由模型代人生成。除了验证这笔操作，还要判断它是否符合用户的授权。

我们正在尝试为 Agent 支付设计安全协议，但更关心的是真实场景里会出什么问题，希望面向真实需求设计相应的机制。

DeepTech：你也关注 “AI for crypto” 和 “crypto for AI”。你认为 AI 现在最擅长做什么？在日常研究中，又是如何使用它的？

段斯斯：目前它更擅长那些耗时耗力的工作，比如基础分析、搜集和整理资料。要说它已经能替代人的思考，独立发现新的科学规律，我觉得还远没有到那一步。在我看来，AI 更像一个“超级厉害的计算器”。关键是学会用好它，帮助我们完成更多、更好的工作。

至于具体怎么用，日常工作中，我会用 AI 辅助项目管理和论文写作。它可以帮我总结文献，让阅读快一些；但研究问题怎么提、论文的核心逻辑怎么建立，还是要由我自己决定。遇到关键技术观点，我会回到原文核对。AI 让搜索、阅读和整理都快了不少，最终还是要由研究者来判断证据是否可靠、论证是否成立。

DeepTech：未来三到五年，你最关注哪些密码学和系统安全问题？AI 会怎样改变研究者选择问题的方式？

段斯斯：一方面，AI 系统本身需要可靠的安全保障，密码学可以在其中发挥作用，例如 Agent 支付、多 Agent 协作，以及实际运行中的系统安全。

多个 Agent 一起工作，本身就带有分布式系统的特征，有了 AI，这些系统也不会自动变得安全。密码学可以为安全的 AI 生态提供底层支撑。

另一方面，AI 也会改变哪些问题值得研究。过去一些需要花大量时间完成的分析，只要把问题定义得足够清楚，AI 就可能承担搜索、基础运算和部分验证工作，有时还能找到不错的技术组合。研究者可以把精力放到新的问题上。

至于 AI 时代会出现哪些新的开放问题，我们还需要继续探索。未来两年我也会把更多精力放在实际系统上：先弄清问题究竟发生在哪里，再想办法解决。

运营/排版：何晨龙

注：封面/首图由 AI 辅助生成