Claude参与密码分析：后量子标准定型前，审计能力比新算法更稀缺

密码学家 Matthew Green 对 Anthropic 最近一项研究的评价，有点反常：Claude 开始帮助寻找密码学弱点，他没有先谈风险，反而说时间点“再合适不过”。

原因很现实。全球公钥密码正在从 RSA、椭圆曲线密码，迁往基于新困难问题的后量子算法。老算法受过几十年攻击，新算法没有。此时多出一支能扩大分析规模的 AI 力量，未必是坏消息。

Claude在找弱点，但没有攻破主流密码体系

Green 评论的是 Anthropic 近期使用 Claude 发现密码学弱点的工作。现有材料能确认的范围仅止于此：AI 被用于密码分析，并取得了值得密码学界讨论的结果。

有几条边界必须画清。

• 没有证据表明 Claude 已攻破 RSA、椭圆曲线密码，或现行主要后量子标准。
• 现有线索没有交代漏洞数量、成功率、算力成本和自动化程度。
• Claude 与人类专家如何分工，哪些步骤必须依靠人工判断，目前也看不清。
• HAWK 只是仍在评估的候选方案之一，不能写成已经选定的通用标准。

这件事因此更像一次能力信号，而不是密码体系拉响警报。它说明大模型可能开始承担一部分原本高度依赖专家经验的分析工作，但距离“自动破解密码”还隔着很长的验证链。

RSA 和椭圆曲线的安全性，建立在大整数分解、离散对数等困难问题上。后量子算法则转向格、哈希等新的问题结构，目的是抵抗未来足够强大的量子计算机。

迁移的麻烦正在这里：我们必须在老地基可能失效前换地基，新地基却没有经历同样长的风吹雨打。

标准迁移期，稀缺的是攻击者

Green 的判断抓住了密码学最容易被外行忽略的一点：一个算法获得信任，不是因为设计者讲得漂亮，而是因为很多聪明人攻击了很久，仍没能把它打穿。

AES 的选拔就是一个历史参照。候选算法公开竞争，全球研究者反复分析，失败的攻击和有效的攻击都进入公共文献。今天的后量子迁移不完全一样，算法结构更复杂，部署范围也更广，但信任的来源没有变。

安全靠经年累月的公开围攻。

AI 的潜在收益，是把这场围攻扩大。它可以帮助研究者搜索攻击路径、检查推导、处理大量候选结构，也可能让资源有限的团队参与原本门槛极高的密码分析。如果结果可复现、方法可公开，候选困难问题会获得更扎实的检验，密码分析文献也会更丰富。

我认同 Green 对时间窗口的判断。行业现在不缺候选算法，缺的是足够猛烈、足够分散、足够公开的审查能力。标准一旦写进协议、芯片、证书系统和长期设备，修改成本会迅速上升。弱点在论文阶段暴露，只损失一个候选方案；弱点在大规模部署后暴露，企业要换密钥、升级固件、重发证书，还可能面对多年无法更新的旧设备。

但模型演示不能直接兑换成安全信心。

Green 在原文末尾留了一个“Hopefully”——但愿如此。这不是客套。AI 也可能普遍削弱密码学依赖的困难问题假设。若模型不只是找到某个方案的设计瑕疵，而是能跨算法族持续发现新攻击，事情就不再是“帮助筛选后量子标准”，而是密码学地基本身需要重估。

还有一层现实约束：密码学需要公开证据，AI 公司习惯保留过程。

模型给出一个攻击结果，只是起点。研究者还要复现、形式化并确认它适用于什么参数和攻击模型。如果关键提示词、搜索过程或验证方法被锁在公司内部，这种能力可以制造新闻，却很难转化为公共信任。

公开不一定要求公开模型权重，但至少要让攻击路径和验证材料经得起同行检查。密码标准不能靠一句“模型发现过”来背书。

工程团队现在该做的，不是恐慌换算法

关注 AI 安全和密码学的技术读者，接下来应盯住三个变量：Claude 的发现能否由独立团队复现，能否推广到未见过的算法，以及人类专家在其中承担了多少关键推理。缺少这些信息，就无法判断它是一套可扩展的方法，还是一次高度定制的研究演示。

参与后量子迁移的工程负责人，则会遇到更具体的问题。今天不需要因为 Claude 的研究紧急停用 RSA 或椭圆曲线；真正该推进的是密码资产盘点和算法敏捷性。

这里最容易犯的错，是把“标准已经发布”理解成“安全讨论已经结束”。2024 年发布的首批 NIST 后量子标准解决了部署路线问题，没有替整个行业省掉后续密码分析。

恰恰相反，算法开始进入产品后，审计压力只会更大。研究者检查数学结构，工程团队还要面对随机数、参数选择、侧信道和协议集成。一个数学上可靠的算法，也可能被糟糕的实现拖垮。

AI 若能进入这条审计链，我支持。它能让更多攻击发生在标准定型和产品铺开之前，这比发布会上多一项模型能力有用得多。

真正的分水岭也正在这里：Anthropic 能否把一次研究成果，变成可复现、可质疑、可进入公共文献的密码分析能力。做到了，AI 会给后量子迁移补上一批稀缺的攻击者；做不到，它仍只是一场漂亮的实验。