Claude Mythos 5 在量子计算和密码学领域的突破

银行网站的加密连接，和比特币钱包里的签名，底层都是同一类公钥密码：椭圆曲线或 RSA。

上周五，Anthropic 公布了一项研究：让 Claude Mythos 5 连续跑 53 个小时，重画了椭圆曲线点加法的量子电路。这一环节占了量子攻击比特币签名时的大部分量子比特和运行成本。

量子计算机要破解比特币的签名，得同时满足两个条件：机器够大，运行方案够省。机器现在还差得远。但方案这一头，AI 刚刚把其中成本最高的一环重新设计了一遍。

省下来的是哪一步

点加法里最贵的部分是模反转。传统电脑用一种叫 divsteps 的算法，跑得很快。搬到量子电路里就麻烦了：量子计算必须可逆，每一步选了哪个分支，都得存下来，才能倒着算回去清理草稿。存这些记录要占大量量子比特。

Claude 发现记录可以不存。每一步算完，手里剩下的那对数字，本身就带着足够的痕迹，能反推出刚才走了哪个分支。它先试了几条简单规则，在 256 位的数字上全部失效。之后改为从数学上推导，证明了一组代数恒等式，再用 Lean 对 divsteps 的核心性质做了形式化证明。

最终设计比此前最省量子比特的方案多用约 12% 的量子比特，Toffoli 门（衡量量子计算耗时的核心指标）降到约 十七分之一。

同样的做法（写成代码、自动打分、循环迭代）被用到另外 7 项任务上，每项的改进来自不同的发现。最大的一项把量子比特与门数量的乘积压低了 39 倍。

Anthropic 自己给了一个对照：量子化学里一项估算，从 50 万亿个 Toffoli 门降到 3.4 亿个，多个研究团队接力干了 8 年。这次是一次 53 小时的连续运行。

十七分之一的边界

这里要分开两个数字：一个是某个电路模块的成本，另一个是完整攻击的成本。前者下降，不等于后者按同样比例下降。

第一，优化的只是一个模块。 从输入比特币公钥到恢复私钥，中间还有其他计算步骤、纠错开销、硬件架构和运行时间。只有把新电路放回完整攻击方案，重新核算全部资源，才知道最终省了多少。

第二，十七分之一有明确的对手。 它比的是 Luo 等人的方案：约 6950 万个 Toffoli 门、838 个逻辑量子比特。Claude 的方案是约 400 万个门、935 个。

换一个对手，结论就变了。Schrottenloher 今年的方案只要约 190 万个门，但需要 1,446 个逻辑量子比特。Claude 的电路门数是它的 2.1 倍，量子比特少约 35%。门多还是量子比特多，哪个更要紧，取决于具体硬件的约束。这更像是多了一个可选的设计点，不是全面碾压。

第三，电路允许极少数输入失败。 规格容忍的失败率是每次点加法最多 2×10⁻⁴，用来换取更少的资源。Lean 证明也只覆盖 divsteps 的部分性质，不覆盖整条电路和门数估算。

第四，没有在任何量子硬件上跑过。 验证靠的是自动评估程序对候选电路的模拟检查。Anthropic 也承认，Claude 早期偏保守，会反复核验已经站得住的结论，研究者要求它同时走多条路线，并不时提醒它放开思路。

所以这项研究推不出"破解比特币的时间缩短了十七倍"。它证明的是：在关键模块上，现有设计还有明显的优化空间，而 AI 已经能参与寻找这些改进。

这把锁，已经松过三次

比特币用的是 secp256k1 曲线。破解它的估算，这几年一直在掉。

2017 年，微软研究人员的估算是约 2,330 个逻辑量子比特、2.3×10¹¹ 个 Toffoli 门。

今年 3 月底，谷歌量子 AI 团队（合作者包括以太坊基金会的 Justin Drake 和斯坦福大学的 Dan Boneh）给出了两套电路：一套不到 1,200 个逻辑量子比特、不到 9000 万个门，另一套不到 1,450 个逻辑量子比特、不到 7000 万个门，都只需不到 50 万个物理量子比特。在"预先算好一半、等待目标出现"的场景下，运行时间约 9 分钟。9 月，量子计算公司 IonQ 又估算，用约 2 万个离子阱量子比特，约 26 天可以做一次。

2017 年到今年 3 月，估算下降隔了近 9 年；到 9 月，IonQ 的新估算只隔了半年。

硬件这一头，Anthropic 在原文里写的是：目前的量子计算机只有几百到几千个量子比特。已演示的逻辑量子比特在几十个到近百个之间。据 Project Eleven 今年 4 月的 Q-Day 奖项记录，公开演示里在真实量子硬件上破解的最大椭圆曲线密钥只有 15 位。

另一篇今年的论文 ECDSA.Fail 以"开放式自动研究"为题，优化的同样是点加法这一步。Project Eleven 也说，下一轮挑战会聚焦前沿 AI 模型与量子密码分析的交叉。

Anthropic 的研究与谷歌、IonQ 的估算不能直接相加换算：前者是单个模块的设计，后两者是整套攻击的资源估算。

谁的升级更慢

比特币没有 CEO，不能下令升级。

BIP-360 在 2 月 11 日并入官方提案库，至今仍是草案，它只提供一种新的地址类型，用户自愿迁移。更激进的 BIP-361 由开发者 Jameson Lopp 等人提出，设想最终停止承认旧签名，这就牵涉到长期不动的旧币要不要被冻结，成了一场关于产权的争论。BIP-360 联合作者 Ethan Heilman 估计，即使现在就启动，比特币完整迁移到后量子也要约 7 年。

暴露面不小。据 Glassnode 今年 5 月的统计，公钥已经公开的比特币约 604 万枚，占已发行量的 30.2%。

以太坊走得更主动：今年 1 月成立了专门的后量子安全团队，维塔利克·布特林（Vitalik Buterin）在 2 月公布了路线图。

那银行呢？NIST（美国国家标准与技术研究院）的过渡时间表仍是草案：RSA-2048 这类 112 位强度的算法，2030 年后弃用；所有易受量子攻击的公钥算法，2035 年后禁用。SWIFT 计划在 2027 年推出支持后量子密码的 SwiftNet 8.0。点加法这项研究针对的是 secp256k1，对银行常用的曲线有没有同样的效果。

银行的问题在于—— BankInfoSecurity 的一篇评论称，多数银行说不清自己的密码学部署在哪些系统。

贝莱德（BlackRock）的态度更接近"已披露"。2025 年 5 月，它在比特币 ETF（IBIT）的注册文件里第一次写进量子风险，当时该基金净资产约 640 亿美元。彭博情报分析师 James Seyffart 当时提醒，这类披露本来就要罗列所有风险，包括极不可能的。

价格上，市场没有统一说法。有分析师认为，量子风险是比特币相对黄金走弱的原因之一。Glassnode 分析师 James Check 认为，价格偏弱主要是长期持有者抛售所致；比特币开发者 Matt Corallo 则指出，如果量子风险真是主因，以太坊该比比特币强得多。

改造费谁来出

银行要重做的是盘点、替换、兼容测试和历史系统迁移，工程量巨大，但预算和排期可以由管理层统一决定，监管机构和供应商也能一起推。费用集中，路径清楚。

比特币的费用分散在每个人身上。钱包、交易所、节点运营者和持币者各自升级，没人能保证同步。能主动迁移的持币者可以把风险降下来，私钥丢了或不再操作旧钱包的人，没有这个选项。

两边的受益者也不同。量子硬件公司可以用更高效的算法提高机器利用率；后量子密码的迁移，对安全服务商是一笔新业务。

下一个 “53 小时”

Anthropic 的方法很简单：把问题写成代码，配一个自动打分程序，只盯一个指标，让模型连续迭代几天。Anthropic 在原文里说，纠错码、解码器、硬件控制这些环节也有同样的特点，AI 可以联合优化，设计出针对特定问题的整台容错量子计算机。

目前这几层基本是各自单独设计的。如果下一轮 “53 小时”对准的是这几层，总账会变成多少，现在没有人公布。这不意味着 AI 很快能独立设计出一台破解比特币的量子计算机，研究仍受限于任务定义、评估方法和验证范围。

但可以想见的是：迁移要花几年协调，而攻击成本的曲线并不等人。

银行可以按 2030 年的时间表推进，比特币也已经有了草案。可有一部分币，既不会主动迁移，也未必还有人持有私钥。到升级无法回避的那一天，这些公钥早已公开的旧资产，由谁来决定它们的命运？

*本文内容仅供参考，不构成任何投资建议。市场有风险，投资需谨慎。