AI若攻不破密码学假设，信心反而比十年验证更强
一条「bunker模式」警告推文引发恐慌，但专家指出：目前没有证据说明密码学假设被削弱——真正的问题是AI实验室从未公开是否试过用模型攻击这些假设。
原视频在 YouTube 上放不出来，用音频听：
核心论点 · 点时间戳可跳到原声
700篇数学突破论文，密码学议题一篇没有
Dan Boneh看完OpenAI发布的约700篇论文列表后发现，这些论文展示的数学与计算机科学进展令人印象深刻，但没有一篇真正涉及密码学问题，甚至没有涉及理论密码学里构造新密码系统的开放问题。这种「该出现却没出现」的缺席正是整场辩论的起点——它既可能说明AI模型在密码学上确实很弱，也可能说明实验室发现了什么但出于种种原因没有公开。
— Dan Boneh密码学的安全感来自「攻不破」,不是「证明」
现代密码学的基础假设(比如椭圆曲线上的离散对数、格上的最短向量问题)从未被数学证明为真正困难——证明这一点等价于解决P与NP是否相等这一著名难题。人们几十年来不断尝试攻破这些假设却屡战屡败，这种「尝试并失败」的历史才是信心的真正来源。所以如果AI实验室让最强模型全力攻击这些假设却依然攻不破，这不是坏消息，而是前所未有的强力背书——哪怕模型只削弱了10比特的安全性，也是极有价值的信息。
— Dan BonehAI能把十年验证压缩成一个月
过去，一套新密码系统要经过约十年的业内分析、攻击尝试才能被信任，这依赖于全球密码学家群体把注意力正确分配到重要系统上。现在实验室可以直接让最强、最不受限的模型全力攻击某个方案一个月，如果模型攻不破，得到的信心可能超过传统十年流程积累的信心。问题不在于AI让密码学更危险，而在于实验室掌握的这类测试结果目前并不对外公开，信息差才是恐慌的根源。
真正该担心的不是「人类太笨」,而是「算法根本不存在」
讨论厘清了一个关键区别：密码学界相信像离散对数这样的难题不存在高效算法，不是因为「人类还没聪明到找到它」,而是因为相信这种算法压根不存在。如果某个困难问题的高效算法确实不存在，那么无论AI多聪明都无法凭空发明出一个不存在的算法。真正的风险敞口，是「我们对不存在性的信念本身可能是错的」,而不是「AI比人类聪明所以迟早能找到」。
— Dan BonehAI的威胁范围比量子计算机更广
量子计算机的威胁只针对椭圆曲线一类系统(如ECDSA),这也是为什么业界早就在准备迁移到后量子密码学。但AI数学能力带来的威胁原则上更广——它可能同样能削弱甚至攻破那些被设计用来抵御量子计算机的格密码系统，而格密码恰恰是目前准备迁移到的「后量子」候选方案。也就是说，现在最需要知道的是最新模型能否攻破这些后量子候选方案本身。
— Dan Boneh格密码一旦出错就整体崩溃，哈希签名可以替换零件
区块链社区围绕「迁移到格签名还是哈希签名」争论不休。哈希签名的优势在于结构稳固：就算某个具体哈希函数被发现不够安全，换一个哈希函数继续用同一套结构即可。而格密码的多种方案依赖同一类共同假设，一旦这个基础假设被证明不成立，整个机制会崩溃且无法修复。代价是哈希签名牺牲了格密码具备的门限签名、非交互式密钥派生等更丰富的代数性质，密码学家因此对「被迫转向哈希方案」感到有些可惜。
— Dan BonehAI带来的是零bug软件，不是更大的攻击面
有人提出一个乐观反转：既然AI能被用来攻击密码系统，它同样能被初创公司用来在部署前扫描修复自己代码里的漏洞——过去一套密码系统往往是部署之后才真正吸引密码学界的攻击性关注，这是最糟糕的攻破时机。随着单位智能成本过去一年下降90%到95%,而软件中的bug数量是有限的，理论上可以渐进逼近「零错误」的软件。这轮变化更可能提升全世界的安全水位，而不是削弱它。
就算椭圆曲线真被攻破，互联网已经留了后手
许多主流互联网连接(包括此前升级的iMessage等系统)已经采用「混合加密」,同时用椭圆曲线和格密码加密同一条数据——其中一种被攻破也不影响整体安全，因为另一种仍然保密。如果格密码也被攻破，下一步就是标准化第三类方案，这个过程会更久、更仓促，但路径是清楚的。真正的风险不在于没有退路，而在于实验室是否会负责任地披露攻破结果，给机构留出升级时间。
— Dan Boneh原话 · 已逐字校验
everyone calm down. Don't panic. Calm down. The world today is the same as it was a year ago, two years ago.
大家都冷静下来，别恐慌，冷静。今天的世界和一年前、两年前是一样的。
Dan Boneh1:01
The fact that people try to break them and fail gives us confidence.
人们尝试攻破它们却屡屡失败，这件事本身就给了我们信心。
Dan Boneh7:04
We took our best, most fully-unconstrained, most cyber- capable model, we told it to go full throttle, and we spent $20 or $50 million trying to break this scheme.
我们用了最好的、最不受限的、网络能力最强的模型，让它全力以赴，花了两千万或五千万美元去攻破这个方案。
We believe that it simply does not exist.
我们相信它压根就不存在。
Dan Boneh16:11
I think we humans tend to struggle with unlikely risks that seem very scary to us.
我认为人类往往难以应对那些看起来很可怕、但发生概率很低的风险。
If for some reason it turns out that the basic problems on the lattices are not as difficult as we thought, the entire mechanism will collapse
如果出于某种原因，格上的基础难题被发现没有我们想象的那么难，整个机制就会崩溃。
Dan Boneh25:17
Then we asymptotically approach zero errors.
那样我们就会渐进地逼近零错误。
数字与实体
| OpenAI数学突破论文数量 | 约700篇 | 2:04 |
| 削弱安全性的参考量级 | 10比特安全性 | 8:04 |
| 单位智能能力成本降幅(一年内) | 90%-95%(有人估99%) | 35:38 |
术语
- lattice-based cryptography格密码
- 基于格上数学难题(如最短向量问题)构造的公钥密码体系，是主流后量子候选方案之一。
- cryptographic agility密码学灵活性
- 系统设计上能快速从一种密码方案切换到另一种，以应对某个假设被攻破的风险。
- SNARK recursionSNARK递归
- 用一个证明去验证另一个证明已验证过某结果，层层嵌套的零知识证明技术，安全性尚不完全明确。
- P vs NP problemP与NP问题
- 计算机科学著名开放难题，若被解决将决定许多密码学难题是否真的「困难」。
收听指南
关注区块链密码学迁移决策的工程师、投资人，以及想弄清AI数学突破和密码学恐慌推文之间关系的人。
开场前两分钟主持人介绍嘉宾身份的部分可以跳过，不影响理解后续论证。