一条推文建议区块链行业进入「地堡模式」，理由是椭圆曲线密码可能几个月内被攻破；斯坦福的丹·博内把 OpenAI 那批论文从第一条翻到最后一条，719 篇手稿、372 个结果家族，没有一篇关于密码学。下面是整集要点与逐句全文翻译。1
逐段要点整理
下面按官方章节的顺序，逐段整理本期的主要论点、数据、案例与金句。章节时间点取自 a16z crypto 官方频道同一场对谈的视频（40:36），本期播客版全长 42:11。2
00:00 开场：两条被缠在一起的故事
- 本期由 a16z crypto 的莉兹·哈卡维主持，嘉宾是斯坦福的密码学家丹·博内，同台的还有 a16z crypto 普通合伙人艾迪·拉扎林与研究合伙人贾斯汀·塞勒；四人是官方单集页列出的全部出场者。13
- 丹开场的第一句是「大家都冷静，别慌」：「今天的世界，和一年前、两年前，是同一个世界。」
- 他要求先把两件事拆开：一件是长期的量子计算对密码学的威胁（不是本期主题），另一件是突然冒出来的新威胁——AI 模型能不能攻破我们以为安全的加密系统。
- 值得注意的是：a16z crypto 官方频道在 2026-10-09 先发布了同一场对谈的原始视频（40:36），本期播客版为 42:11，两版剪辑略有出入，下面的时间点来自官方视频给出的章节表。2
00:37 是什么点着了这场讨论
- 触发点是以太坊基金会的贾斯汀·德雷克 10 月 7 日的公开推文：他呼吁区块链行业「冷静地开始为地堡模式做准备」，建议持有人把大额资产迁到从未签过交易、公钥仍藏在哈希后面的地址上。24
- 他给的时间口径是：椭圆曲线密码有可能在量子计算机到来之前就被攻破，最坏情况下是几个月，不是几年。他对「攻破」的定义是：在一周内、用现成硬件（比如一大簇 GPU）恢复私钥。24
- 他同时强调别急、也别慌——搬到受保护的地址不需要新密码学，也不需要新钱包。4
- 第二天，维塔利克·布特林回应：不建议任何人今天就把资金慌忙挪到新钱包，但认为应该认真对待 AI 加速数学带来的风险；他点出的新风险区是 ML-DSA、FHE、格，也就是我们正在搬过去的那些方案本身。5
- 随后密码学家耶胡达·林德尔公开反对：「据我理解，没有任何证据表明椭圆曲线密码这类几十年的难解假设被攻破了。」6
01:35 信号与噪声：这批数学结果到底说明了什么
- 10 月 6 日，OpenAI 放出一批数学手稿。官方仓库的自述是：719 篇手稿、372 个结果家族；这批结果来自一个未发布的内部模型，平均每个结果用掉约 3 小时的「ChatGPT Pro 思考算力」，过程里约提出过 4,000 个问题；约 42% 的顶层结果配有 Lean 形式化证明。7
- 丹·博内把取得进展的问题清单一条条翻完之后，得到的结论是：「这里面没有一个是关于密码学的问题。连理论密码学都没有。」
- 缺失本身是显眼的：那批论文横跨几百个主题，很多用的正是研究密码学的那套技术与数学推理。他的读法和艾迪的读法一样，都指向两种可能——要么模型在密码学上确实不行，要么它做出了东西而没人愿意说。
- 德雷克的推文里另一个数字是「722 项数学结果」；官方仓库写的是 719 篇手稿 / 372 个家族。三个数字差得不远，但口径不同：手稿数、结果数、结果家族数不是一回事。47
- 丹在这里向所有前沿实验室提了一个请求：请说明你们为了攻破已经标准化、已经部署的密码，到底做了什么。
- 本期没有人指控任何一家实验室隐瞒；他们说的是：这个真空需要被填上。
05:29 为什么密码学只能建立在「没被证明的难题」上
- 丹把这件事的底层结构讲了一遍：整个密码学都建立在复杂性假设之上——我们必须假设某些问题是难的。之所以证明不了它们难，是因为那和P 是否等于 NP 绑在一起；而这批本周挂出的问题里，没有一个哪怕沾到它的边。
- 清单上的名字是老的：椭圆曲线离散对数、格上的最短向量问题，以及一串同族的难题。
- 关键在于这句话的形状：我们相信这些问题不存在高效算法，而不是相信算法存在、只是人类太笨。「如果它根本不存在，那 AI 再聪明也找不到一个不存在的东西。」
- 信心其实来自时间：把方案放出去，等密码学家与数学家去攻击；失败累积成信心。而因为 AI 在数学上的进步速度，这个「时间」现在出现了显著的缺失。
- 所以在这期节目里，攻不破是被当成好消息说的：如果实验室用最好的模型去攻、攻不破、并如实说出来，那会是一个极其正面的进展。
09:25 为什么赌注不止于区块链
- 如果椭圆曲线离散对数这条假设真的存在现实可行的攻击，「不只是区块链圈子，这会影响到整个互联网。老实说，它影响的是整个数字世界」——家庭银行、医疗、政府通信全都在里面。
- 我们其实有备胎，而且不止一个：NIST 已经在为许多其他类型的公钥系统制定标准。FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）三份标准已于 2024 年 8 月 14 日生效。8
- 而且备份已经在跑了：今天很多互联网连接用的是混合加密，同时用椭圆曲线和格；其中一种就是 X25519MLKEM768——「一串乱码一样的字母，但它的意思是：你同时被椭圆曲线和格保护着。」910
- 历史上同类迁移已经做过：苹果 iMessage 的 PQ3、Signal 的 PQXDH，都完成了这一代切换。9
- 这就是密码敏捷性：一个已经用了十多年的词。要部署的系统，应该能在所用的设计被证明不安全时，快速切到另一种设计。
13:50 普通人、机构、创业者，现在各该做什么
- 普通人：什么都不做。「今天的世界，和一星期前的世界、一年前的世界，是同一个世界。在我们学到关于标准密码系统的新东西之前，什么都没变。」
- 「你现在能做的最糟的事，就是去做点什么。」 维塔利克还有一句值得留下：「我自己在搞砸的迁移里损失的钱，比在所有黑客攻击里损失的加起来还多。」5
- 机构：地堡模式里列出的具体措施，大体是机构本来就应该遵守的实践，比如在相关场景下不让公钥暴露在链上。节目里提到 Coinbase 已公开表示本来就在做这些。2
- 创业者：闭源基本上上个星期就死了——因为我们已经有能力把东西反编译出来，所以必须认真考虑自己在软件里做的是哪一类安全假设。
- 新的工程面是 AI 代理的安全边界、沙箱与能力权限体系；另一边，部署前先让模型审一遍密码学与软件，是一件以前根本不存在的工具。
- 「软件里 bug 的数量是有限的」，而每美元买到的智能据估计便宜了 90% 到 99%——把这两件事放在一起，就是在渐近地逼近零 bug。
- 一个被点名的研究问题：怎么把软件扫描做得更高效，而不必每次有新模型、或者每次有代码改动就把所有东西重扫一遍。
20:10 AI 的威胁与量子的威胁，在哪里不同
- 量子威胁只跟椭圆曲线这类系统以及 RSA 有关；AI 的威胁某种意义上更宽——它也可能去看我们的后量子系统。所以「最新的模型攻不破我们的后量子候选方案」这件事才格外重要。
- 如果它先由 AI 来、而不是先由量子计算机来，也不意味着它是新的：正因为有量子威胁的担忧，人们早已把椭圆曲线密码当成「可能很快就脆弱」的东西，很多缓解措施已经针对另一个威胁部署过了。
- 真正别扭的地方是：这份警告并没有给出机构今天还没在做的具体动作。
- 而如果它真按那个时间线发生，「那对全世界所有数字基础设施的安全来说，都是一场灾变」——「我们不可能在接下来几年里完全搬离椭圆曲线密码。」
- 所以他们反复强调的那个更清楚、更紧迫、后果其实更严重的风险，是实现里的 bug。
23:59 基于哈希，还是基于格
- 在互联网层面是没有争论的：「所有人都在用基于格的密码系统做密钥交换、做签名，这事已经定了。」在区块链层面还在争。
- 哈希赢在敏捷：如果某一个哈希函数被证明不够安全，就把它换成另一个，整套东西照旧工作；反过来，如果格上的核心问题没有那么难，整个机制就塌了，我们没有任何补救。
- 格赢在能力：门限签名、非强化密钥派生——这些在基于哈希的签名上根本得不到；而基于哈希的签名大得多，还有状态与无状态之分。
- 减少假设的数量本身也是一种收益：区块链本来就要为默克尔树等做哈希假设，所以纯哈希的签名不增加新假设；一半哈希一半格，就有两类假设，任何一类被攻破都出问题。丹说，比特币那边的一些核心开发者相当兴奋于把椭圆曲线假设彻底拿掉。
- 贾斯汀给了另一面的代价：如果全世界只用基于哈希的密码学，整个数字基础设施会非常吃力，因为你根本没法用它做出好的加密密钥交换；而以太坊「只用哈希」那条路要靠 SNARK 递归，出 bug 的表面积会变得非常大，「我们对 SNARK 递归的安全性理解得并不好。」
- 值得读者知道的一层：a16z crypto 就在一个月前（2026 年 9 月 9 日）发布 Lattice Jolt，把自家 zkVM 底层的多项式承诺从椭圆曲线换成了基于格的 Akita，并主张「基于哈希的 SNARK 并不自动是低风险选项」。本期「别慌、格也没问题」的方向，与发言人和其机构的技术押注是一致的。11
33:07 创业者与研究者能从哪里进来
- 丹把这件事重新框了一次：过去一套密码系统真正值得攻击的时刻，恰恰是它被宣布即将部署的时候——那是最糟的时机；而现在这个顺序可以被反过来，因为我们可以让模型在任何东西上线之前先审一遍。
- 艾迪补上了工具侧的算术：每美元买到的智能便宜了 90%–99%，而软件里 bug 的数量是有限的，所以他给出的判断是——「这不是一场斗智斗勇；那种故事成立的前提是漏洞存在，而漏洞是可以被消除的。」
- 公司已经在扫了：每次软件更新扫一遍，每次新模型发布把模型和软件再扫一遍；留下的研究问题是如何把扫描做得更高效。
38:14 万一真的破了，第二天会发生什么
- 搬到后量子密码学上去——而我们已经在做了；搬到那些已经部署好的、基于格的系统上去。而且今天很多连接本来就是混合加密，破了椭圆曲线也没关系，因为它同时在格的基础上加了密。
- 如果两个都破了，就再加第三个：「那就得走标准化流程，会拖更久，但这就是接下来会发生的事。」「我们大致知道该往哪儿走，只是会更费力，而且也许会更赶。」
- 最后是一条没人明说但更要紧的：实验室不该直接把攻破的方法甩出来——应该负责任地披露，先给行业、给政府，先制定一套方案，然后所有人尽快更新软件。
- 整期节目没有给出任何一条操作建议；四位出场者给出的动作只有一条：什么都不做，等更多信息。
逐句全文翻译
以下按节目原始顺序，逐句翻译整场对话。底稿是本期官方视频（a16z crypto 频道同一场对谈）的完整自动字幕，共 7,526 词；整集音频另跑一遍语音转写，用于核对时长与说话人归属。只保留中文译文，不保留英文原文；对话部分保留说话人标签：片头／莉兹／丹／艾迪／贾斯汀／片尾。2
说话人归属由内容与声部边界共同判定：自动字幕本身不带说话人标签，而音频声部分离把三位男声中的两位并进了同一簇，因此「丹／艾迪／贾斯汀」三人的轮次以内容判定为主，不是音频分离结果。专名按各自官方写法还原。其余逐句保留，不压缩、不摘要、不删减。
片头：突然之间，密码学的世界里冒出一个新威胁：我们那些 AI 朋友，会不会真的能攻破我们以为安全的加密系统。这里真正让人担心的是：如果这些系统是可以被打破的，那 AI 实验室就有可能打破它们。有人不断去试、不断失败，这件事本身给了我们更多信心。NIST 已经在为许多其他类型的公钥系统制定标准，那些是我们随时可以换过去的。所以，就算其中某一条假设被推翻了，我们也有备胎。我们只是需要知道——这里面有没有创业机会？有没有一家新公司能进来帮上忙？
莉兹：大家好，欢迎来到今天的节目。我是莉兹。和我一起的，是斯坦福的教授丹·博内，以及我们 a16z 团队的两位同事，艾迪·拉扎林和贾斯汀·塞勒。我们今天要聊的是一场正在发生的大讨论。它由一条推文点着——安全研究员贾斯汀·德雷克昨天发推，警告整个加密行业开始为所谓的「地堡模式」做准备。他具体担心的是：AI 的进步可能带来密码学上的突破或破解，而且比量子计算机更快——我们平时谈现代密码学、谈最前沿的状态，通常都是从量子计算机谈起的。他呼吁大型机构开始考虑转移资金、开始考虑这件事。而这一切的由头，很大程度上是 OpenAI 放出的那批论文，以及他们在一些此前未解决的数学问题上取得的突破，还有这跟密码学之间的关系。丹，你能不能先概括一下：那批突破到底是什么、那些论文讲了什么，以及它是怎么把这件事点着的？
丹：我想想。我大概应该先说的是：大家都冷静，别慌，冷静。今天的世界，和一年前、两年前，是同一个世界。这是第一句话。在开始之前，我想先确保大家站在同一个理解上：现在有两件事被缠在了一起，我们先把它们拆开。一件是长期以来的那条讨论——量子计算对密码学的威胁。这不是我们今天要讲的。另一件是突然冒出来的一个新威胁：我们那些 AI 朋友，会不会真的能攻破我们以为安全的加密系统——靠着它们的超级智能之类的。这件事的背景是：网上挂出了大约七百篇论文，展示了数学与计算机科学上巨大的进展。我怎么夸这批结果都不过分。看到这么多进展，真的很不寻常。我记得它一上线，我的收件箱就炸了，所有人都在问看法。于是我把那批取得进展的问题清单一条一条看下去。看完之后，我脑子里剩下的是：哇，这是数学和计算机科学上难以置信的进展。但这里面没有一个是关于密码学的问题。连理论密码学都没有。原则上，密码学里有很多非常有意思的公开问题——构造新的密码系统，甚至只是纯理论上的东西，未必马上和现实相关。但那七百个问题里，一个都没有。所以你可能会想：那是不是说明模型在密码学上真的很差？我们不知道。所以我想在这里做的第一件事，是向前沿实验室发出一个请求：请告诉我们，你们用这些模型去回答密码学里的基本问题，究竟做了些什么。真正的问题是：对于攻击那些已经标准化、已经部署在用的密码，现状是什么？前沿实验室有没有试过——
莉兹：抱歉打断一下。我确认一下你的意思：这条推文之所以被点着，并不是因为那批论文里有什么专门针对密码学的东西，而是因为它们在数学上取得了大量突破，于是人们推断，密码学上很可能也有突破。
艾迪：对，是这样。OpenAI 放出来的那批论文横跨几百个不同的主题。几百个主题。其中很多主题，虽然不是专门讲密码学，但可以说紧挨着密码学——它们用的技术和数学推理，正是研究密码学的人会用的那一套。所以这种缺席就显得有点扎眼，这就是丹在说的意思。而你必须去考虑它有哪些解释。一方面，如果缺席的原因是 AI 模型在密码学上确实明显不行、什么都找不到，而密码学又出于某种原因特别结实——那这件事本身就非常有意思。另一方面，如果它们其实做出了进展、本来有很多可以分享，只是因为某些原因不方便分享出来——那这件事同样非常值得知道。
莉兹：我想回到你开场时说的那一点，我们刚才一带而过了：我们今天在用的那套密码学标准，它是不是真的「人」可以攻破的，这本身并不是一个既定事实。我们只是不知道。所以这里真正让人担心的，是 AI 实验室有可能打破它们——如果它们确实是可以被打破的。
丹：对，我觉得这一点其实非常重要：整个密码学都建立在复杂性假设之上。它建立在假设上。我们必须假设某些问题是难的。而我们之所以无法证明那些问题是难的，是因为它跟计算机科学里一个著名的未解问题有关，叫 P 是否等于 NP。在某种意义上，我们得先解决那个问题，才能真正论证某些密码学问题确实是难的。我们离那一步还很远。这批本周挂出来的问题里，没有一个哪怕沾到 P 是否等于 NP 的边。所以密码学仍然必须建立在假设之上。这些假设就是：某些问题是难的。比如椭圆曲线离散对数，比如格上的最短向量问题。我们有一整张清单，上面是我们熟悉并且喜爱的那些问题，密码系统就是用它们搭起来的。很多人这些年一直在试着打破这些假设，事实上这方面有大量文献——失败的尝试、部分尝试、部分成功的尝试。所以这是一个非常活跃的领域。到目前为止，这些问题全部依然安全，我们的密码系统就建立在这些问题之上。但现在来了一个新玩家。有别的人可以来试着解这些问题，也许他们能看到一些我们人类没看到的东西。这当然是一种可能性。但我必须再强调一次：这并不是一种新的可能性。两年、五年、十年前，一个聪明的人同样可能想出一种谁都没见过的新攻击，从而打破某条密码学假设。密码学本来就建立在假设之上。我们意识到，这些东西所依赖的假设，有可能没有我们预期的那么强。所以有人来试着打破它，是件好事。这正是我们获得信心的方式。人们不断去攻、不断失败，这给了我们更多信心。事实上我想说：如果实验室拿他们最好的模型去攻我们那些基本的密码学假设，模型失败了，实验室也如实说它们失败了——那会是一个极其正面的进展，会给我们巨大的信心，相信这些假设是成立的。哪怕他们只是削掉了一点点安全性——比方说在某条我们实际在用的问题上削掉了 10 比特的安全性——那也很好。知道这件事对我们非常好。「他们最多只能削掉 10 比特」，这件事本身就是很强的证据，说明这些假设确实值得用。另一件希望实验室去试的事情是：我们希望这些模型能给出比现在强得多的证据，证明这些问题确实是难的。我的意思是，对其中很多问题，我们今天手上的证据是：我们知道它们在最坏情况下和平均情况下一样难——有些格问题就是这样，这一点很有帮助。但还有一些复杂性理论上的结果，是你可以去证明的，那会给出更多证据、更多信心，说明这些问题确实是难解的、不存在高效算法。
贾斯汀：丹说得完全对。我们今天之所以对密码学有信心，最主要是因为这些难题真的很难——人们试了几十年，始终没有找到什么好算法。但我们可以指望其他类型的证据。而那些本质上就是纯数学问题，前沿实验室完全可以把模型转向它们。
莉兹：我们正在谈的那条推文，讲的是加密钱包、是这件事对加密行业的影响。但像 ECDSA 被打破这种事，含义要广得多。所以我不知道你们谁愿意再展开讲讲：如果真的发生那种情况，更大的后果会是什么样，为什么它不只发生在加密行业这个小圈子里。
艾迪：当然可以。我们随手挑一条现实中真的在用的假设，比如所谓的椭圆曲线离散对数。如果事实证明这条假设没有我们想的那么强，真的存在一种现实可行的攻击——那就很不妙了。不只是区块链圈子，这会影响到整个互联网。老实说，它影响的是整个数字世界。家庭银行、医疗、政府通信，全都会受到这种破解的冲击。我应该说，NIST 已经在为许多其他类型的公钥系统制定标准，我们随时可以换过去。所以如果某一条假设被打破了，我们是有备胎可以换的。事实上我们有好几个备胎可以换。所以我们只是需要知道：这件事优先级高不高？是不是需要马上动手？而现在这种信息的缺失，正在推特圈里形成一个真空。这个真空确实需要被填上。也许可以稍微简化一点：在无法证明这些密码学所依赖的问题确实是难的情况下，我们所依赖的，某种意义上就是「时间」。我知道这话有点过度简化，但大体上就是：我们把方案放出去，然后等。为什么等？因为我们相信，正在发生的是密码学家和数学家这样的专家在测试、在试图攻破这些东西。如果它们存在得足够久、有足够多的人讨论过、测试过、互相交流过怎么攻破它们，而它们还是没被攻破，我们就会获得信心，认为它们难以攻破。而由于 AI 在数学能力上的进步速度，我们现在面临的是「时间」的显著缺失。进展的速度，和我们从那些看起来拥有最多算力、最多认知能力去审视这些问题的人那里得到的信息之间，出现了落差。一个全新的、可供审视的大脑池出现了，而我们没有按学术界、计算机科学与密码学研究机制惯常的方式，听到他们发现了什么。
丹：你说得完全对。过去，当有人提出一条假设、并据此搭出一套系统，我们得等上十年，那套系统才能部署——为的是攒够信心，给大家足够的时间去分析它。
艾迪：而现在，我们突然可以用这些模型把整个过程大幅加速。这是一件了不起的工具。假设有人——比如我——提出一条新假设，搭出一套很棒的密码系统。现在我们只要让模型跑上一个月去试着攻破它；如果模型攻不破，天哪，我们对这条假设成立就有了极大的信心。
丹：有意思的地方在于，这改变了我们一贯的做法。过去我们把它交给公众、或者交给公众里懂行的人，密码学家会对这些系统保持一个背景速率的关注，然后我们就坐着等。等得足够久，并且假设他们的注意力确实放在了重要的事情上，然后我们说：这东西应该没问题，大概没问题。但现在出现了一件全新的事：实验室可以说，我们用了最顶尖、完全不加限制、最擅长网络攻击的模型，让它彻底放开去干，我们花了 2000 万、5000 万美元去攻这套方案，最后我们对它的信心，比常规流程十年能给你的还要多。所以我们实际上有可能比过去任何时候都更有信心。只是这份信息是怎么产生、怎么分享出来的，中间有一道缝。而且我们还能加速部署更好的密码学。我得说，那道缝的另一部分原因在于，很明显，有些模型——
莉兹：——只有实验室能用，公众用不上。在这类信息缺失的情况下，你会建议什么？作为一个普通的科技使用者，你会怎么想？这件事会怎么影响你和技术的相处方式，如果有影响的话？
丹：什么都没变。今天的世界，和一星期前的世界、一年前的世界，是同一个世界。在我们学到关于标准密码系统的新东西之前，什么都没变。继续照现在这样用这些系统。等我们学到新东西，要么我们更有信心，要么我们就得做出反应。但在拿到更多信息之前，什么都没变。所以，请不要恐慌，保持冷静。
贾斯汀：换句话说：昨天和今天仍在持续的这场反应，并不是对某个新信息的反应。它也许是对 OpenAI 那批数学结果的间接反应——那是关于 AI 进展的、非常间接的信息。这批结果很了不起，但我不觉得意外，硅谷已经谈了好几年了。但它并不是对某个关于密码学的具体信息的反应。我们并没有学到椭圆曲线以某种新方式变得脆弱了；我们并没有学到任何一条具体的密码学假设的安全性下降了。为了让人们更有信心，也说一句：我们用来搭建公钥密码学的假设有很多种，不只是椭圆曲线或者格。还有同源、基于编码的系统、基于多变量多项式的系统，还有基于哈希的签名。可以拿来做公钥密码学的假设有很多种。所以如果真需要反应，我们是可以反应的。当然，一切都需要时间，但我们大致知道该往哪儿走。所以哪怕最坏的情况发生，我们仍然有很多办法恢复。有一点值得提一下：我们一般认为，这些问题不存在高效算法。注意，这不是「我们认为算法可能存在、只是人类不够聪明去对抗它」。我们认为它根本不存在。如果它根本不存在，那 AI 再聪明，也找不到一个不存在的东西。所以真正让人担心的，是我们的这个信念完全错了。但要把这个信念说清楚：不是算法就在那儿、只是我们太笨找不到，而是它压根儿不在那儿。第一条推文是以太坊基金会的贾斯汀·德雷克发的，警告椭圆曲线密码可能在接下来几个月里被彻底攻破。他建议，至少以太坊区块链上那些大额冷钱包，进入他所说的「地堡模式」，或者至少不要让公钥暴露在链上。随后维塔利克·布特林跟进发了一条语气稍微缓和一些的推文，但仍然在推测 AI 可能在加密系统上找到更好的攻击。维塔利克那条推文里甚至提到：他自己在搞砸的迁移里损失的钱，比在所有黑客攻击里损失的加起来还多。我想说的是，我们人类在面对那种非常吓人的尾部风险时，心理上很容易让它占据全部思绪；而与此同时，存在一些更清楚、更紧迫、后果其实更严重的风险，只是它们没那么吓人、没那么惊天动地。所以我想强调：bug 仍然到处都是。AI 很擅长找 bug。我其实希望，从中长期看，它对防御方的帮助大过对攻击方。基本上，你现在能做的最糟的事，就是去做点什么。你什么都不该做。而且，贾斯汀·德雷克那条帖子里给出的建议，其实就是些好习惯、基本的卫生操作，这些机构本来就应该在做——跟 AI、跟量子都没关系。
艾迪：接着贾斯汀那一点说：机构本来就应该遵守这些做法。比如 Coinbase 已经出来说他们早就这么做了，地堡模式里列出的很多具体措施他们本来就在做，我想他们会继续做。有意思的是，你越往这个兔子洞里走，就越会发现：我们其实已经在准备了。据我理解，我们已经在准备了。就像丹说的，我们在密码学上本来就有不同类型的假设可以切换，这条路已经铺了一点。我们已经要求市场——我是说机构——采取一些最佳实践，比如在相关场景下确保公钥不暴露在区块链上。这些事我们已经做了很多。而随着我们学到更多东西——被 AI 的研究能力加速地学到——我们大概还会往工具箱里加越来越多的准备手段。所以，「我们必须进入地堡模式、必须做准备」这种说法让人沮丧的地方在于：它建议的那些具体动作，对普通人来说很可能既不好办又有风险，而且本来就是那些该为这类风险负责的硬核机构在做的事。所以它并没有带来一套基于新情况的具体新做法。如果说我们在呼吁什么，我们呼吁的是更多信息。
莉兹：如果我理解得没错的话——请纠正我——这条推文、也就是贾斯汀·德雷克那条推文，所指的那种可能被 AI 攻破的密码学，和受到量子计算机威胁的，是同一种密码学。所以这其实是我们已经想了一阵、也已经准备了一阵的威胁。如果它先由 AI 带来、而不是先由量子计算机带来——
贾斯汀：——那也不意味着它是新的。丹一开场就说过，这两件事被混在了一起：量子的威胁，和 AI 数学能力的威胁。它们之所以被混起来，一部分原因是贾斯汀·德雷克谈的很多是椭圆曲线密码。好笑的地方在于，正因为有量子威胁的担忧，人们早已经开始把椭圆曲线密码当成一种「可能很快就脆弱」的东西。所以我们其实已经针对这些担忧做过准备、部署过缓解措施了——只不过当初是为了另一个威胁。这就是为什么他那番话听起来有点别扭：它并没有给出具体的、机构今天还没在做的准备措施。我还要补一句：如果他警告的那件事真在他说的那个时间线上发生，那对全世界所有数字基础设施的安全来说，都是一场灾变。我们不可能在接下来几年里完全搬离椭圆曲线密码。所以把焦点放在区块链的卫生习惯上，和他所描述的那场灾变是极不匹配的。
丹：不过我要在这一点上补一句：量子的威胁只跟椭圆曲线这类系统以及 RSA 有关。而 AI 的威胁，某种意义上更宽——它也可能去看我们的后量子系统，可能以某种方式削弱它们，甚至彻底把它们打破。所以，知道最新的模型攻不破我们的后量子候选方案，是相当重要的一件事，因为那正是我们要搬过去的房子。那会非常有用。那么说到该怎么办——我想问题大概是：我们到底该做什么？我完全同意艾迪：答案是，我们应该做我们本来就在宣讲的事。我们一直宣讲的其中一条，叫做「密码敏捷性」：我们部署的系统，要能在所用的设计被证明不安全时，快速从一种设计切到另一种。密码敏捷性在某种意义上是我们的朋友，用来对付意外。我们该继续这么做。「密码敏捷性」这个词已经有十多年了。我们该继续这么做：如果我们的 AI 朋友弄出了我们没预料到的东西，那密码敏捷性就会启动，我们就换到一个仍然安全的东西上去。
艾迪：这场讨论还顺手翻出了一个老议题：椭圆曲线、哈希、格，哪一种才是具体构造和具体应用的基础。当然，丹说得完全对——AI 这条线更宽。重复一遍：如果密码学依赖的是「某些问题很难」，那么它可能在任何一个方案上找到这些问题的破绽，而不只是椭圆曲线密码。往细节里再走一点：德雷克说的是，格密码和椭圆曲线密码里可能存在某种结构，让它们更容易被一个资源极其充足的 AI 模型想出攻法。再说一次，我们从 OpenAI 那批结果里，并没有学到任何关于这一点的具体东西。所以我不是很清楚。我特别想听丹和贾斯汀讲讲：除了椭圆曲线之外，哈希或者格密码，究竟有什么具体的东西，会让人有理由相信某些方案面对 AI 威胁时更安全。
丹：这里的要点是：我们认为哈希函数是「后量子」的，但它未必是「后 AI」的。
艾迪：对，是这样。同样，我们认为格是「后量子」的，但未必是「后 AI」的。那你怎么看————你怎么看它们？
丹：好。先说向后量子密码学的迁移。在区块链领域，关于该用基于格的签名还是基于哈希的签名，其实有相当多的争论。而在整个互联网层面是没有争论的：所有人都在用基于格的密码系统做密钥交换、做签名，这事已经定了。区块链领域则还在争：我们到底用基于哈希的签名，还是基于格的签名。社区里的普遍态度是，基于哈希的签名更安全，理由有好几条。一条理由是：如果某一个哈希函数后来被证明没有我们想的那么安全，我们直接把它换成另一个哈希函数就行，整套东西照旧工作。这个框架被保证是正确的。所以用基于哈希的签名时，敏捷性更强。反过来，如果格上的核心问题没有我们想的那么难，整个机制就塌了，我们没有任何补救——只能彻底不用格。所以在某种意义上，基于哈希的签名比基于格的签名敏捷得多。
艾迪：对，因为一个基于哈希的方案，虽然具体用哪个哈希函数可以变，但整个基于哈希方案的构造——
丹：——框架本身是可靠的。框架本身是可靠的。换句话说，哈希函数的选择——也就是那个一旦出问题就会破的东西——在整体构造里的重要性相对低一些。
艾迪：对，所以它没那么关键。而在基于格的密码学里，也许就像椭圆曲线密码一样，那些不同的方案都依赖于某个共同的难题，或者一套共同的假设。
丹：对。我在区块链领域还经常听到另一个论点，尤其针对比特币和以太坊：我们为了保证区块链的其他部分能运转，本来就必须做哈希假设——比如默克尔树。所以某种意义上，如果我们的签名也纯粹基于哈希，我们就没有给区块链的安全性增加任何新假设。反过来，如果区块链的一部分用哈希，而签名用格，那就突然有了两类不同的假设，任何一类被攻破，我们就出问题。所以「减少区块链上的假设数量」也是让人们兴奋的一件事。我的感觉是，在比特币那边——尤其是我聊过的一些核心开发者——他们其实相当兴奋于把椭圆曲线假设从比特币里拿掉，让比特币只依赖某个哈希函数的安全性，不再附加任何其他假设。某种意义上，同样的事也在以太坊基金会那边上演。所以我想，这就是两者之间的比较。
贾斯汀：这是一个比表面看起来复杂得多的问题。区块链到底该只依赖哈希，还是该用格？有一点要说：如果全世界只使用基于哈希的密码学，整个数字基础设施会非常吃力，因为你根本没法用它做出好的加密密钥交换。另外，尤其在以太坊社区，他们打算「只用哈希」的那条路——它有代价，比如密码学本身变得更大——靠的是一个叫 SNARK 递归的办法。基本上就是：你有一些证明，证明「你知道一批签名」之类的东西，然后你再证明你知道那些证明，再证明你知道那些证明，如此往上叠。这里面有两个问题。一个是比较朴素的：这太复杂了——你要证明你跑了一个 SNARK 验证器，它自验证了一个「验证了另一个证明」的证明。于是出 bug 的表面积就变得非常大。是的，我非常乐观地认为，那些现在让人担心密码学的 AI 工具，同样会帮我们把 bug 都清掉。但那是极难的问题。所以你我都只能猜。清 bug 是难上加难的问题，AI 得非常强，才能从一个那么复杂的系统里把所有 bug 都拔出来。而我认为，只依赖哈希会放大这一点。另一件事是：我们对 SNARK 递归的安全性理解得并不好。所以你看，你说格可能被攻击；我说，那 SNARK 递归呢，我也不知道。这里有很多无法量化的风险。我就说到这里。我们只能尽力去权衡，而公开讨论里权衡这些东西的过程，有时候相当让人沮丧。
艾迪：对。关于基于哈希还是基于格，我还想再补一点：必须理解，基于格的系统有比基于哈希好得多的性质——这也正是加密社区里很多人主张用格的原因。比如门限签名，比如非强化密钥派生；基于格的系统有很多性质，是我们在基于哈希的系统上根本得不到的。另外，基于哈希的系统用起来更难，就像贾斯汀说的，它们大得多，而且有状态和无状态之分，把基于哈希的签名真正用起来有一堆技术问题。所以我们中间很多密码学家，其实有点难过：区块链社区的一部分人要转向基于哈希的签名，而那些签名没有任何代数性质，让我们没法拿它搭更高级的应用。所以在某种意义上，我们是在做一个取舍：也许我们从区块链上拿掉了一些假设，但同时我们也拿掉了能力——以后要用的签名方案，性质比用格的时候少得多。作为一个密码学家，说实话，如果最后用基于格的方案，我会相当高兴，因为那给了我们更多空间去搭建有意思的结构；相比之下，基于哈希的方案受限制得多。不过也许，这份限制本身，就是那种额外的安全感来源。
莉兹：那我快速总结一下我们到目前为止聊的。听起来是这样：并不存在「一定有某个高效算法能攻破这类密码学」这件事。这是不能假设的。如果这样的高效算法真的存在，那么在 AI 的进展之下，找到它的时间线会被大幅缩短。而恐慌和困惑正来自于这里：这种高效算法既可能存在，现在找到它的时间线又比没有 AI 时短得多。最容易让人少一点恐慌的方式，是让实验室放出更多信息：他们在找这个算法上做了多少工作。如果实验室出来说「我们往里砸了一堆算力、时间和钱，我们没能攻破」，那至少能让你在下一代模型出来之前，对安全性有一个合理的评估。
艾迪：在极端情况下，它应该给你比到今天为止的全部历史更强的信心。如果你真的像昨天发帖的很多人那样相信，这些模型现在已经达到、甚至超过了绝大多数研究这些系统的人的智力水平——那你就应该从「相当于十万名专家数学家和密码学家看过这套方案」这件事里，获得极大的信心。它其实应该让你比过去任何时候都更有信心。我忍不住要强调：我们需要重新想一想，我们究竟是根据什么来判断「我们对一件事有没有把握」的。
莉兹：我们聊了一点机构该做什么、普通人该做什么。那如果一个初创公司想利用这件正在展开的、很有意思的技术——这里面有没有创业机会？一家新公司能从哪里进来帮上忙？
艾迪：我想到的最明显的一点是：初创公司必须认真考虑，他们今天在软件里做的是哪一类安全假设。不管他们的系统怎么设计，这件事都要想。而这已经在好几个方向上发生了。比如人们对开源的理解正在改变——闭源基本上上个星期就死了，因为我们现在有能力把东西反编译出来。同样，因为 AI 系统的「代理性」——我指的是它们能顺着目标跑出无穷无尽的支线任务，做各种随机的事——我们必须非常仔细地考虑，我们在 AI 代理周围放的是什么样的安全边界、沙箱和能力权限体系。我们已经开始从这个角度重新思考安全了。而这只是又一个我们必须重新考虑「系统能做什么」、以及如何设计既安全又尽可能赋能用户的产品的地方。
丹：我还会再往前走一步：我认为这些新能力，是给初创公司、甚至更成熟的软件公司的礼物。我可以告诉你：过去，一套密码系统真正变得值得攻击的时刻，是它被宣布即将部署、或者已经部署的时候。那恰恰是攻击一套密码系统的错误时机——因为一部署，它就会引来密码学家的大量关注。而现在，因为我们能掌控这些 AI 模型，任何一家初创公司、任何一家软件公司，在部署一项新的密码能力、甚至只是部署任何软件之前，都可以让这些模型去分析它的密码学、分析它的软件里有没有 bug。这是一件以前根本不存在的、极其强大的工具。随着越来越多软件公司采用这项技术，我相信软件质量会上升，密码学质量也会上升——因为除非模型说它没问题，否则什么都发不出去。
艾迪：我最近看到有人因为 5.5 Haiku 的发布，拿它跟 4.5 作比较，做了很多不同代际模型之间的对比。在不同代际的模型之间做苹果对苹果的比较总是很难，因为「每 token 的能力」提升太多了。但有人给出的估计是：每一美元买到的智能，便宜了 90% 多、95%、甚至 99%。如果真是这样，再把它跟我们之前说过的一个框架放在一起——软件里 bug 的数量是有限的——那么我们就在渐近地逼近零 bug。也许我们真的会在某个点撞上零。也许在某些假设下，我们真的有能力做到零。如果是这样，我们就是在净改善世界的安全状况，而不是在侵蚀它。这不是一场「你有系统、我有系统、你的更聪明所以我就会被打败」的斗智斗勇——那种故事成立的前提是漏洞存在，而漏洞是可以被消除的。漏洞可以被设计掉、可以被缓解。而我们用来缓解它的主要资源，正是每几个月就变得更便宜的那种东西：AI 能力，或者说机器智能。
丹：公司其实已经在这么做了。公司正在花很多钱，用最新的模型去扫自己的代码库。这其实相当有意思：每次有一次软件更新，他们就把软件再扫一遍；每次有新模型发布，他们就把模型再扫一遍、把软件再扫一遍。我得说，这个领域有个很有意思的研究问题——我们自己也相当关心——就是怎么把软件扫描做得更高效。这样我们就不必每次有新模型、或者每次有代码改动，就把所有东西重扫一遍。所以这里面还有很多值得思考和研究的空间。
艾迪：对。
丹：那假设实验室接受了你的请求。他们砸了一堆算力进去，然后出来说：你说得对，我们确实攻破了椭圆曲线密码。接下来会发生什么？比如我们今天录完这期播客，明天世界会是什么样子？下一步是什么？
艾迪：那基本上我们就得搬到后量子密码学上去——而我们已经在做了。我们得搬到那些已经部署好的基于格的系统上去。顺便说：你其实可以去看今天很多互联网连接，它们用的就是敏捷密码学——同时用椭圆曲线和格来加密。就算椭圆曲线被攻破也没关系，因为它同时也在格的基础上加了密。
丹：确切地说，Signal 之类的都是这样。是的。其实我刚才指的是其中一种 TLS 交换方式。
艾迪：对，对对。我想它叫 X25519-MLKEM768，一串乱码一样的字母，但它的意思是：你同时被椭圆曲线和格保护着。现在假设实验室又出来说：哦，我们两个都攻破了。那好，那我们再加第三个。那就得走标准化流程，会拖更久，但这就是接下来会发生的事。所以我们大致知道该往哪儿走。只是会更费力，而且也许会更赶。还有一点，也许是在说显然的事：我毫不怀疑他们会足够审慎，把这件事按规矩办。不用多说，但实验室不该直接把攻破椭圆曲线的方法甩出来。他们应该负责任地披露——先给行业、给政府，先制定一套方案。然后所有人都得尽快更新自己的软件。希望我们能很快动起来、适配过去。再说一次，这是一套很多人都已视为理所当然的已知流程。我说出来几乎显得有点傻，因为所有安全专家都非常清楚这套流程。所以万一真发生这种事，是有办法应对的。
莉兹：太好了。谢谢你。我感觉镇定多了，希望其他人也是。非常感谢。
丹：聊得很开心。谢谢你，莉兹。
片尾：感谢收听本期 a16z 播客。如果你喜欢这一期，记得点赞、评论、订阅，给我们评分或写评价，并分享给你的朋友和家人。想听更多节目，请前往 YouTube、Apple Podcasts 和 Spotify。在 X 上关注我们 @a16z，并订阅我们的 Substack：a16z.substack.com。再次感谢收听，我们下一期见。提醒一下：这里的内容仅供信息参考，不应被视为法律、商业、税务或投资建议，也不应用于评估任何投资或证券，且不面向任何 a16z 基金的投资者或潜在投资者。请注意，a16z 及其关联方可能也持有本播客中讨论的公司的投资。更多细节，包括我们投资清单的链接，请见 a16z.com/disclosures。
References
- 1
- 2
- 3a16z crypto 官方团队页（莉兹·哈卡维、艾迪·拉扎林、贾斯汀·塞勒）
a16zcrypto.com
- 4
- 5
- 6
- 7OpenAI 官方数学手稿仓库（README 与仓库导航，2026-10-06）
github.com
- 8
- 9
- 10Cloudflare Radar：Post-Quantum Encryption Worldwide（后量子密钥交换部署追踪）
radar.cloudflare.com
- 11
Comments