研究者 Justin Drake 发推警告，未来几个月内椭圆曲线密码有可能被完全攻破，建议大型冷钱包进入他所说的「堡垒模式」。这条推文让加密圈炸了锅，但一个更基本的问题悬在所有人头上：我们的 AI 模型，到底有没有能力攻破我们以为很安全的密码系统？
Dan Boneh 提到一个扎眼的细节：OpenAI 这次放出的约七百篇论文覆盖数学和计算机科学的巨大进展，却没有一篇关于密码学，连理论密码学都没有。是模型在这块明显不行、什么都没找到，还是实验室有进展却选择不公开？这个信息真空，正是恐慌发酵的土壤。
这期 The a16z Show 里，主持人 Liz 请到了三位嘉宾：Justin Thaler、Dan Boneh 和 Eddie Lazarin。对话从把 AI 威胁和量子威胁拆开讲起，延伸到椭圆曲线一旦被破会波及整个数字世界、区块链该押注哈希还是格，以及万一真被破了该怎么转向后量子密码学。他们的主要观点包括：
先把 AI 和量子两个故事拆开，然后别慌。 Dan 说今天的世界跟一年前、两年前一模一样。这次的新威胁不是老生常谈的量子计算，而是 AI 会不会用超智能去攻击现有密码系统。他的要求是：前沿实验室告诉公众，你们拿这些模型试过密码学的基本问题吗？
AI 缺席那七百篇论文，本身就很值得研究。 Eddie 指出两种可能：如果实验室试过却没找到什么值得公布的，说明密码学格外坚固；如果有进展却因担忧而不公开，这一点也很想知道。无论哪种，都指向同一个缺口：最有能力审查这些系统的人没给出反馈。
椭圆曲线一旦被破，波及的是整个数字世界。 Dan 说，不只是区块链，家庭银行、医疗、政府通信全都搭在上面。好在 NIST 已标准化好几种其他类型的公钥系统可以切换，真正需要知道的是优先级：这是不是紧急到必须马上动？
模型可以把密码系统部署前的验证期从十年压缩到一个月。 Dan 说，过去一个新假设要等上大概十年才能部署，让大家有时间分析、建立信心；现在只要让一个模型跑一个月试着去破它，如果破不了，对这个假设是否成立就有相当大的信心了。Eddie 补充，花两千万、五千万美元让最强模型彻底放开干，得到的确定性可能比传统流程花十年都高。
喊普通人进堡垒模式不但没必要，还有风险。 Eddie 说，Coinbase 已经表态那些措施本来就在做，硬核机构早就落地了不少。而 Drake 帖子里的建议本来就是很好的安全卫生实践——这是 Justin 说的——不管有没有 AI 都该一直做。Eddie 真正的呼吁是公开更多信息，这样大家才知道该怎么调整应对。
作为密码学家，我更希望最终用的是基于格的方案。 Dan 说，门限签名、非硬化密钥派生这些性质，基于哈希的系统根本做不到，基于哈希的限制反而可能带来额外安全感。但在互联网大环境里，大家都用基于格的密码系统做密钥交换和签名，这事定了。
用模型扫自己的代码，是给创业公司的一份礼物。 Dan 说，任何部署新密码功能的团队都可以让模型分析它的密码实现和整个软件的 bug，这是一个以前根本不存在的超强工具。随着越来越多软件公司采用这项技术，软件质量会提升，密码质量也会提升。
先别慌：把AI和量子两个故事拆开
Dan：我先说最重要的一点：大家都冷静点，别慌。今天的世界跟一年前、两年前一模一样，这是第一条信息。然后我想先跟大家对齐一下：现在其实是两个故事缠在一起了，我觉得应该先把它们拆开。一个是老生常谈的量子计算对密码学的威胁，这次说的不是这个。这次是突然冒出来的一个新威胁：我们的 AI 朋友，会不会用它们的超智能去攻击那些我们以为很安全的密码系统？背景是这样的：网上放出了大概七百篇论文，展示的是数学和计算机科学上的巨大进展，我对这些成果有多佩服就说不完了，真的非常了不起。我记得这些东西一上线，我的收件箱直接爆了，所有人都来问我怎么看。于是我就开始逐条过那份取得进展的问题清单。等我看完，留在脑子里的一句话是：哇，这在数学和计算机科学上是不可思议的进步，但里面没有一个问题是关于密码学的，连理论密码学都没有。理论上讲，构造新的密码系统、哪怕是纯理论的、不直接落地的问题，其实有一大堆有意思的开放问题，可这七百个问题里一个都没有。所以你可能会问，那是不是说模型搞密码学很差？我们不知道。所以我想提的一个要求是，希望前沿实验室告诉我们：你们拿这些模型试过密码学的基本问题吗？真正的问题是，比如攻击已经标准化、已经部署的密码系统这件事，目前到什么程度了？实验室试了吗？
Liz：我确认一下你的意思：那条推文不是因为论文里有专门针对密码学的东西才发的，而是因为他们在任何数学方向上都有大突破，所以大家推测密码学那边很可能也有突破，是这样吧？
Eddie：对，OpenAI 这次放出来的是一大批论文，覆盖几百个不同主题，很多主题虽然不是专门讲密码学，但跟密码学挺相邻的。我指的是宽泛意义上的相邻：用到的技巧和数学推理方式，跟做密码学研究很像。所以密码学缺席得有点扎眼，这就是 Dan 说的。你得去想它背后的解释。一方面，如果缺席的原因是 AI 模型在这方面明显不行、什么都没找到，说明密码学出于某种原因格外坚固，这本身就很有意思。换句话说，如果实验室试过理论或应用密码学，结果没找到什么值得公布的东西，这本身就很值得关注。另一方面，如果他们确实有进展、有很多可以分享的，但因为分享出去会引发担忧而选择不公开，那这一点也很想知道。
Liz：我想回到你开头说的这点，我们刚才一带而过：现在的密码标准是不是人类能攻破的，这件事并不确定，我们今天就是不知道答案。所以担心的就是，如果它们真能被破，AI 实验室可能会把它们破掉。
Dan：对，这其实是个特别重要的点：整个密码学都是建立在复杂性假设上的，我们必须假设某些问题是难的。我们没法证明这些问题难，因为这跟计算机科学里那个著名的 P vs NP 问题有关，某种意义上得先解决它，才能论证某些密码问题真的是难的。而现在离那还很远，这周放出来的任何问题都远远谈不上解决 P vs NP。所以我们还是得继续做假设。
这些假设就是说某些问题是难的，比如椭圆曲线离散对数问题，比如格里的最短向量问题，我们有一整串这样的问题，熟得很，密码系统就是靠它们搭起来的。这些年很多人一直在试着破这些假设，事实上有一大堆文献记录的都是失败的尝试、部分的尝试、半成功的尝试，这是个非常活跃的领域。到目前为止，这些问题全都还站得住，我们的密码系统也建在上面。但现在多了一个新玩家，对吧？可能有别人想出别的办法来解决这些问题，也许能看到我们人类没看到的东西，这当然是有可能的。
但我还是要强调，这不是什么新可能性。两年前、五年前、十年前，一个聪明人也可能想出全新的攻击、打破某个密码假设。密码学本来就是建在假设上的，我们也清楚，这些假设有可能没有我们想的那么牢。所以有人来试其实是好事，这正是我们对假设建立信心的方式。别人试着去破、结果没破成，反而让我们更有信心。所以我会说，如果实验室拿最好的模型来试我们一些基本的密码假设，试完没破掉，而且实验室公开说没破掉，那对我们来说是极大的好消息，会让我们非常有信心这些假设是成立的。哪怕它们只是削掉一点点安全性，比如说把我们实际用的某个问题的安全性削掉十比特，那也很好，我们很高兴知道。它们最多只能削掉十比特安全这件事，本身就已经是很强的证据，说明这些假设是值得用的。
Justin：还有一件事，实验室如果能去试试就太好了。我觉得我们可以指望用这些模型，给出比现在强得多的证据，证明这些问题确实很难。我的意思是，对很多这类问题，我们现在手里的证据是，比如我们知道它们在最坏情况和平均情况下一样难，这个对一些格问题是有帮助的。但还有一些复杂性理论上的结果，如果证出来，能给我们更多信心，说明这些问题没有高效算法、真的无解。我得说，Dan 讲得完全对。今天我们之所以有信心相信这些问题确实难，主要就是因为大家试了几十年，愣是没找出什么好算法。但我们当然可以期待别的类型的证据。而这些其实就是纯数学问题，正是这些前沿实验室可以让自己的模型去攻的方向。
椭圆曲线一旦被破，波及整个数字世界
Liz：我们提到的那条具体推文，讲的是加密钱包，以及这件事对加密领域的影响。但其实破解 ECDSA 的意义要广泛得多。我不知道你们谁愿意展开讲讲：这种影响到底有多大？为什么它不局限在那个圈子里？
Dan：当然。我们随便挑一个真实世界正在用的假设来说，比如椭圆曲线离散对数问题。如果最后发现这个假设没我们想的那么牢，真有一个现实的攻击能打穿它，那就不妙了。不只是区块链会受影响，是整个互联网都会受波及，说实话，是整个数字世界都会受冲击：家庭银行、医疗、政府通信，全都搭在里面。
不过我应该说，NIST——也就是美国国家标准与技术研究院——已经在标准化好几种其他类型的公钥系统了，我们可以切换过去。所以万一某个假设被破了，我们有备用的，而且不止一个备用。我们真正需要知道的是优先级：这是不是紧急到必须马上动？还是说暂时不用急？而现在信息缺失造成的真空，我觉得在推特圈里发酵得很厉害。这个真空真的需要有人来填。
Eddie：我稍微简化一点说。在没法证明这些问题很难的情况下，密码学赖以成立的那些问题，我们在某种意义上就是靠时间来撑的。我知道我有点过度简化了，但我们是把这些方案放出去，然后等。我们等，是因为我们相信正在发生的事是：密码学家、数学家这些专家在测试、在尝试攻破它们。如果一个方案存在足够久，足够多的人研究过它、测试过它、互相讨论过怎么破它，而都没破掉，那我们就会建立起信心，觉得它确实难破。
但现在 AI 在数学能力上的进步速度太快了，时间这个维度明显缺位了。进步的速率和我们能拿到的信息之间有个缺口，而那些看起来最有精力、最有认知能力去审查这些东西的人，恰恰没给我们反馈。一整片全新的认知能力出现了，用来审查这些系统，但我们听不到他们正常渠道里该有的声音，不像学术界、计算机科学和密码学研究机制那样按部就班地告诉我们他们发现了什么。
Dan：你说得完全对。过去，当有人提出一个新假设、基于它建一套系统时，我们得等上大概十年，这套系统才能部署，让大家有足够时间去分析那个假设，建立信心。而现在，我们突然可以用这些模型把整个过程大大加速。这是个了不起的工具。比如说，我提出一个新假设，基于它建了一个很棒的密码系统。现在我们只要让一个模型跑一个月，试着去破它；如果模型都破不了，那我们对这个假设是否成立就有相当大的信心了。
Eddie：有意思的是，这其实改变了我们一贯的做法。正常情况下，对公众——或者说对知情的公众——我们的密码学家对这些系统维持着一个基础的关注度。我们就这么坐着等，等到足够久，再对他们如何排优先级做一些假设，相信他们在盯着重要的东西。然后等得够久了，我们就说，这东西应该靠谱了，大概率是好的。
但现在出现了一个全新的可能：实验室可以说，我们拿出自己最强、完全不受限、网络攻防能力最高的模型，让它彻底放开干，我们花了两千万、五千万美元去试图攻破这个方案。而在另一端，我们得到的确定性，可能比传统流程花上十年都拿不到。所以我们其实有机会获得比以往任何时候都更高的安全信心。只是这些信息是怎么产生、怎么分享的，中间有一点缺口。
Dan：而且我们还能加速部署更好的密码技术。这个缺口我还得说一句，也是因为显然有些模型只有实验室能用，其他人是用不到的。
Liz：在没有这些信息的情况下，你会给普通用户什么建议？作为一个天天用技术产品的普通人，该怎么看待这件事？这会不会影响你和技术的相处方式，哪怕只是一点点？
Dan：什么都还没变。今天的世界和一周前一样，和一年前也一样，什么都没变。在我们对我们的标准密码系统了解到新东西之前，一切照旧。继续像现在这样用就行。等我们真的有了新信息，要么我们会更有信心，要么就得做出反应。但在有更多信息之前，什么都没变。所以请大家别慌。
Eddie：换个说法：昨天以及今天的这波反应，并不是对新信息的反应。这波反应顶多是对 OpenAI 那次发布的一种非常间接的反应，关于 AI 进展的一些很间接的信息。那些进展确实惊人，但我觉得不算意外，硅谷聊了好几年了。但它并不是针对某条具体的、关于密码学的信息的反应。我们没有发现椭圆曲线变得比以前更容易被攻破，也没有发现哪个具体的密码学假设的安全性比之前下降了。
Dan：也许给大家多一点信心的话，我们用来构建公钥密码的假设有很多种，不只是椭圆曲线或者格。还有同态映射、基于码的系统、基于多元多项式的系统，还有好多种基于哈希的签名。我们能拿来建公钥密码的假设类型非常多。所以就算我们需要反应，我们也能反应。当然了，什么都需要时间，但我们大体知道该往哪儿走。所以哪怕最坏中的最坏发生了，我们依然有足够的办法恢复过来。
Justin：有一件事我觉得值得提一下。我们通常相信这些问题不存在高效算法。注意，不是说可能存在、只是人类不够聪明找不到；我们是认为它压根不存在。既然不存在，那 AI 再聪明也找不出一个不存在的算法，对吧？所以真正的担忧是，我们的这个信念本身完全错了。这里要把信念说清楚：不是算法在那儿而我们太笨找不到，而是它根本就不在那儿。这是第一点要澄清的。
场没有新信息的恐慌
Justin：他警告说，未来几个月内椭圆曲线密码有可能被完全攻破，并建议至少让以太坊链上的大型冷钱包进入他所说的堡垒模式，或者至少不要把公钥暴露在链上。
Justin：随后 Vitalik Buterin 跟进了一条语气稍微缓和一点的推，但依然在推测 AI 可能会找到针对密码系统的更好攻击。Vitalik 那条推里甚至提到，他自己因为搞砸迁移损失的个人资金，比所有黑客攻击加起来还多。
所以我觉得人类在面对尾部风险时容易出问题：那种特别吓人、心理上很容易占据我们全部思绪的风险，往往压过了那些更明确、当下就在眼前、其实后果更严重、但没那么吓人的风险。所以我特别想强调，漏洞到处都在，而 AI 很擅长找漏洞。从中长期看，我真心希望这对 AI 的防御性实践的帮助大于进攻性的。
基本上，你现在能做的最糟糕的事就是去做点什么，你应该什么都不做。其实 Justin Drake 帖子里的那些建议，本来就是很好的实践、基本的安全卫生，这些机构不管有没有 AI、有没有量子计算机，本来就该一直在做。
Eddie：接 Justin 刚才说的机构应该照做这些实践，Coinbase 已经出来表态了，说他们本来就在做。堡垒模式里提到的那些具体措施，他们已经落地了不少，而且以后也会继续这么做。
说实话挺有意思的，你越往这个坑里钻，你会发现我们其实早就在准备了，我理解就是我们已经准备过了。就像 Dan 说的，密码学里本来就有一类一类的假设可以切换，路我们也铺了一点。市场层面，我是说机构层面，我们本来就已经要求他们采用一些最佳实践，比如在该注意的地方，别把公钥直接暴露在区块链上。这些事情我们已经在做了很多。而随着 AI 研究和它的数学能力加速我们的认知，我们工具箱里的准备手段只会越来越多。
所以让人憋屈的是那种说法，说什么得进堡垒模式、得赶紧准备，它建议的那些具体做法，对普通人来说不但没必要，还有风险，而那些真正该为这些风险负责的硬核机构，早就在做这些事了。所以这一轮讨论并没有给出什么具体的新建议、新的做法。如果我们要呼吁点什么，那就是希望公开更多信息，这样我们才能知道该怎么调整应对。
Liz：如果我理解错了请纠正我：Justin Drake 那条推文里提到可能被先进 AI 攻破的那几类密码学，跟量子计算机威胁到的是同一类。也就是说这是一个我们想了挺久、也准备挺久的威胁。就算它真先被 AI 攻破而不是被量子计算机攻破，它也不算什么新东西，对吧。
Eddie：Dan 开头就提了几句，说大家把量子问题和 AI 数学能力问题混在一起了。之所以会混，是因为 Justin Drake 谈的很大一部分是他对椭圆曲线密码学的担忧。而好笑的地方在于，正因为怕量子威胁，人们已经开始把椭圆曲线密码学当成一个可能很快就不安全的对象来对待了。所以我们实际上已经针对这些完全相同的担忧，为了另一个威胁，去做过、准备过、部署过很多应对措施了。这就是为什么他这么说有点好笑，因为他没有给出具体的、实实在在的建议，告诉机构应该用一种今天还没在做的方式去准备。
Justin：我还要补充一点：如果 Justin 警告的事情真在他说的那个时间线内发生，那对整个世界的数字基础设施安全来说都是毁灭性事件。未来几年我们不可能完全脱离椭圆曲线密码学。所以他一边讨论这种级别的大灾难，一边却聚焦在区块链卫生这种小地方，这两者是很不搭的。
Dan：我在这上面再补一句：量子威胁其实主要就是冲着椭圆曲线这类系统和 RSA 去的。AI 威胁从某种意义上说范围更广，因为它还可能审视我们的后量子系统，把它们削弱掉，甚至彻底攻破。所以知道最新的模型破不了我们的后量子候选方案这件事非常重要，因为那正是我们正要迁移过去的方向。这一点会很关键。
至于该怎么办，大家，我是说这个问题其实就是我们到底要做什么吧。我完全同意 Eddie 的看法：答案就是我们该继续做我们一直在倡导的那些事。我们一直强调的核心之一就是所谓的密码敏捷，也就是部署能够快速从一种设计切换到另一种设计的系统，万一正在用的那个设计被发现不安全，马上能换。密码敏捷在某种意义上是我们对抗未知威胁的朋友，我们应该一直这么做。这个词都用了十多年了，所以继续做就好。如果我们的 AI 朋友们搞出了我们没料到的东西，密码敏捷就会起作用，我们会切换到仍然安全的方案上去。
Eddie：这场讨论还带出了一个机会，让我们重新争论一个老话题：椭圆曲线、哈希、格密码学，到底谁该作为某些具体构造和具体应用的基础。当然，Dan 说得完全正确，AI 威胁面更广，我再稍微重复一下他的意思：如果密码学依赖的是某些特定问题的难度，那 AI 可能在任何一套方案里找到这些问题的毛病，不只是椭圆曲线密码学。
但稍微深入一点细节，Drake 说的是，格密码学和椭圆曲线密码学里可能存在结构性问题，让它们更容易被一个资源非常充足的 AI 模型的思路攻破。不过关于这一点，OpenAI 这次放出来的东西本身并没有告诉我们什么具体的信息。我觉得对我来说还有点不太清楚，我很想听听 Dan 和 Justin 的看法：到底是哈希或者格密码学，除了椭圆曲线之外，有什么特别之处，会让人相信面对 AI 威胁时，有些方案比另一些更安全？
Liz：这里的要点是，我们把哈希函数当成抗量子的，但它们未必抗 AI。
Eddie：对，没错。我们把格当成抗量子的，但不一定抗 AI，对吧？那你们怎么看它们？
Dan：好。说到向后量子密码学迁移，我猜在区块链圈子里，用基于格的签名还是基于哈希的签名，其实争论不少。但在整个互联网大环境里，没什么争议，大家都用基于格的密码系统来做密钥交换和签名，这事定了。区块链圈子里还在争，到底用基于哈希的签名还是基于格的签名。社区里普遍的态度是，基于哈希的签名更安全，理由有好几个。
一个是，如果某个哈希函数最后被证明没我们想的那么安全，我们直接换一个哈希函数就行，其他一切照常工作，框架的正确性是有保证的。所以用基于哈希的签名时，我们有更高的灵活性。反过来，如果哪天发现核心的格问题没那么难，整个机制就塌了，没有任何补救办法，我们只能干脆不用格了。所以在某种意义上，基于哈希的签名远比基于格的签名灵活。
Eddie：因为基于哈希的方案虽然具体用哪个哈希函数可以变，但整个构造是不变的，框架是可靠的。换句话说，在整个构造里，哈希函数的选择，也就是那个可能会坏掉的部件，相对来说没那么重要。而基于格的密码学，或者说像椭圆曲线密码学那样，各种不同方案往往都押在一个共同的问题上，或者一组共同的假设上。
Dan：嗯，我在区块链圈子里经常听到的另一个论据，特别是在 Bitcoin 和 Ethereum 里，是我们做的哈希假设本来就是区块链其他部分运行所必需的，比如 Merkle 树之类的。区块链核心功能已经依赖大量哈希假设了。所以在某种意义上，如果我们的签名也纯粹基于哈希，我们并没有给区块链安全增加任何新假设。反过来，如果区块链一部分用哈希，签名用格，那突然之间就有两类不同的假设，其中任何一个坏了都有问题，是吧？
所以减少区块链里的假设数量，也是很多人兴奋的点。我感觉在 Bitcoin 圈子里，特别是我跟几位核心开发者聊下来，他们对去掉 Bitcoin 里的椭圆曲线假设很感兴趣，希望 Bitcoin 只依赖某一个特定哈希函数的安全性，不需要额外假设。在某种程度上，Ethereum 基金会那边也在上演类似的事情。我想这就是这两种路线的主要对比。
区块链该押注哈希还是格
Justin：这是个复杂问题，比表面看起来复杂得多。区块链到底该只靠哈希，还是也用格？这么说吧，全世界的数字基础设施要是只用基于哈希的密码学，压力会非常大，因为你没法用它做出好的加密和密钥交换。另外，特别是在 Ethereum 社区，他们计划只用哈希，这有代价：密码学结构会变得更大，而他们打算靠一种叫 SNARK 递归的东西来弥补。说白了，你手里有一堆证明，比如证明你知道一堆签名之类的东西，然后你再证明你知道这些证明，再证明你知道那些证明，一层套一层。
Justin：这里面有两个问题。第一个比较实际，就是这玩意儿特别复杂。你要证明你跑了一个 SNARK 验证器，而这个验证器本身在验证一个证明，那个证明又在验证另一个证明，出 bug 的面就特别大。当然我很乐观，觉得现在吓坏大家的这些 AI 工具，也能帮我们把这些 bug 都挖出来。但这真的是个极难的问题，所以我们也得好好想想，找 bug 这件事有多难。要真从这么复杂的系统里把所有 bug 清干净，AI 必须得非常好才行。我觉得只靠哈希这条路会把这个问题放大。
还有一点是，我们对 SNARK 递归的安全性其实了解得不深。所以这是另一层：你说格密码可能被攻破，那我说，SNARK 递归我可说不准。你看，很多风险是没法量化的。我们只能尽力去权衡这些东西，而公开讨论里的这种权衡，有时候挺让人窝火的。
Dan：关于基于哈希和基于格这两条路，我还想补一点。很重要的一点是要理解，基于格的系统在性质上比基于哈希的好得多，这也是为什么密码学圈子里很多人都在推基于格的方案。像门限签名、非硬化密钥派生这些东西，基于格的系统有很多性质，基于哈希的系统根本做不到。而且基于哈希的系统用起来本来就麻烦，就像 Justin 说的，它们体积大得多，还是有状态的而不是无状态的。要让基于哈希的签名真正跑起来，技术上的坑很多。
Dan：所以我们这些搞密码学的，说实话有点难过，看到区块链社区要转向基于哈希的签名，因为那种签名几乎没有任何代数性质可以让我们拿来做更高级的应用。某种意义上这是一种取舍：我们可能确实是在给区块链减少假设，但同时也是在牺牲能力，因为我们要用的签名方案，性质远没有用格那么丰富。
作为一个密码学家，坦白说，如果我们最后用的是基于格的方案，我会挺高兴的，因为它给我们留了更大的空间去做有意思的结构。但基于哈希的方案限制多得多。不过也许正是这种限制，带来了那份额外的安全感。
Liz：那我快速总结一下咱们到现在聊的内容吧。听起来是这样，我觉得 Justin 刚才把这点带得很好：能不能找到一个高效算法来破这类密码，并不是板上钉钉的事。如果真有这么个高效算法存在，那么在 AI 进步的加持下，找到它的时间表大概率会被大大压缩。恐慌和混乱就是这么来的：大家担心的是，这个高效算法既真实存在，而且时间线又比没有 AI 进步时短得多。要缓解这种恐慌，最直接的办法就是实验室放出更多信息，说说他们为了找这个算法到底做了多少工作。如果实验室站出来说，我们砸了大量算力、时间和钱进去，没破得了，那至少能给你信心，让你相信在下一次模型大升级之前，我们的安全假设是合理的。
Eddie：在最极端的情况下，它给你的信心应该比到今天为止的历史经验还足，对吧？如果你真的像很多人那样相信，就像昨天发那些帖子的人相信的那样，这些模型现在已经达到甚至超过了绝大多数研究这些系统的人的水平，或者很快会到，那你应该从这样的信息里获得极大的信心：相当于十万位顶尖数学家或密码学家一起看过这套方案。这应该会让你比以往任何时候对任何单一方案的信心都更强。我忍不住想强调，我们需要重新审视一下，我们到底是怎么决定自己对什么感到有信心的。
给创业公司的礼物：用模型扫自己的代码
Liz：那我们前面稍微聊了一下：如果你是机构，有很多安全最佳实践，你要么已经在做，要么本来就该在做；如果你是普通用户，现在什么都不用做，别慌，照常过日子就行。那如果你是一家创业公司，想抓住这波很有意思的技术浪潮，这里有没有创业机会？新公司可以从哪里切入来帮忙？
Eddie：我觉得最明显的一点是，创业公司得认真考虑自己软件里现在用了哪些安全假设，不管你是怎么设计系统的。这件事其实已经在多个方向上发生了。比如大家对开源的看法正在改变，闭源基本上上周就宣告死亡了，因为我们现在有能力反编译任何东西。还有，因为 AI 系统有代理式的特性——我说的代理式特性是指，它能为了你的目标去跑无边无际的支线任务，干各种各样的随机事情。正因为这样，我们必须非常仔细地思考围绕 AI agent 设置的安全边界、沙箱和基于能力的权限方案。所以我们已经在从这个角度重新思考安全了。而这只是又一个提醒：我们需要重新审视系统到底能做什么，怎么设计和产品才能既保持安全、保护用户，又能充分释放用户的权力。
Dan：我想说得再进一步。我认为这些新能力对创业公司甚至是更成熟的软件公司都是一份礼物。我可以告诉你，过去一个密码系统真正变得值得攻击的时候，是它宣布即将部署或者已经部署之后。也就是部署之后，才会吸引大量密码学家的关注。而那其实是攻击密码系统最糟糕的时机。但现在不一样了，因为这些 AI 模型在我们手里，任何部署新密码功能的创业公司，甚至任何部署软件的团队，都可以让模型来分析它的密码实现，分析整个软件的 bug。这是一个以前根本不存在的超强工具。随着越来越多软件公司采用这项技术，我相信软件质量会提升，密码质量也会提升，因为只要模型不说有效，东西就不会发布。
Eddie：我最近看到有人，因为 Claude Haiku 发布了，拿它跟上一代做对比，对吧？还有人拿一年前的模型跟今天的模型做各种比较。当每 token 的能力涨得这么多时，要做公平对比其实很难。但有些人给出的估算大概是，便宜了百分之九十多，对吧？按每美元智能来算，便宜了百分之九十九。如果真是这样，再配上我们之前反复提到的那个框架——就是软件里的 bug 数量是有限的，对吧？那我们就是在渐近地逼近零 bug。说不定，说不定我们在某个点就真的打到零了。说不定在某些假设下，我们有能力做到零。如果是这样，那我们是在净改善世界的整体安全状况，而不是在侵蚀它。这不是斗智斗勇的游戏，不是你有一套系统、我也有一套系统，你的系统比我聪明所以我就会输。不是说我无论怎么配置，你都能用更强的算力压过我的电脑、毁掉我的电脑，对吧？那种威胁依赖漏洞的存在。而漏洞是可以被消除的，可以被设计掉的，可以被缓解的。而我们用来缓解漏洞的主要资源，恰恰就是那个每隔几个月就变得更便宜的东西——那就是 AI 能力，智力能力，机器智能，你想叫什么就叫什么。
Dan：公司们其实已经在这么干了。公司真的花了很多钱，用最新的模型扫描自己的代码库。这事儿其实挺有意思的。每次软件更新，他们就再用模型扫一遍软件；每次有新模型出来，他们再扫一遍。所以我得说，这个领域一个很有意思的研究问题，也是我们相当感兴趣的，就是怎么更高效地做软件扫描。这样我们就不用每次出新模型或者每次改动都重新扫全部。这里还有很多值得思考和研究的有趣方向。
万一真被破了：转向后量子密码学
Liz：假设实验室听了你们的呼吁，砸了一堆算力进去，然后站出来承认：没错，我们确实破了椭圆曲线密码学。接下来会怎样？我们今天录完这期播客，明天世界会变成什么样？下一步是什么？
Dan：基本上我们就得转向后量子密码学，而这件我们正在做。我们得转向这些基于格的系统，它们已经部署了。顺便说一句，你今天就可以直接去看很多互联网连接，它们实际上在用混合加密，同时用椭圆曲线和格来加密。就算你破了椭圆曲线也没关系，因为它同时还用基于格的系统加密着。iMessage 去年不就做了这个迁移吗？还有好多其他系统也都做了，Signal 这些也是。
其实我刚才说的是 TLS 里的一种交换方式，叫 X25519MLKEM768。名字看着乱糟糟的，意思就是你现在同时被椭圆曲线和格两层保护着。那万一实验室站出来说，哦这两个我们都破了呢？行吧，那我们就上第三种。这个得走标准化流程，会慢一点，但这就是下一步该做的事。所以其实我们心里有数往哪走，只是活儿会更多，而且可能还会更赶一点。
Eddie：也许这话有点多此一举，但我完全相信他们会谨慎地用正确的方式处理。实验室不应该直接跑去把破椭圆曲线的方案往外面一扔，他们应该负责任地向行业、向政府做披露，然后一起制定计划，让所有人尽快更新软件，希望我们能快速适应。不过话说回来，这套流程是大家都知道的，很多人甚至觉得理所当然。我说出来都显得有点傻，因为所有安全专家对此都非常清楚。所以真到了那一天，是有办法处理的。
Liz：太好了，谢谢你，我现在安心多了。希望其他听众也都能松一口气。非常感谢。
Dan：聊得很开心，谢谢。
原节目：The a16z Show《Can AI Break Cryptography? What the Experts Actually Think》
https://a16z.simplecast.com/episodes/can-ai-break-cryptography-what-the-experts-actually-think-LCUGnMEC
中文播客：在小宇宙App搜《硅谷对谈》，或直接访问下面的链接
https://www.xiaoyuzhoufm.com/episode/6ad255c40e4e410a05be078b
编译：磊哥Thomas