AI 发现加密漏洞的速度，远超人类更新标准的速度

密码学家 Matthew Green 在 Twitter 上抛出了一组让人不太舒服的概率数字：他认为我们有 1% 的概率生活在 Minicrypt——也就是公钥加密在数学上根本不可能存在的那个假想世界；另有 15% 的概率，我们会实质性地失去对现有公钥加密算法的信心。

这不是密码学圈第一次有人讨论"最坏情况"，但 Green 这次真正想说的并不是概率本身，而是两件事的速度差。

1% 和 15% 分别意味着什么

Minicrypt 是密码学家 Russell Impagliazzo 提出的思想实验。他把可能存在的计算世界分成若干种，其中 Minicrypt 是一个单向函数存在、但公钥加密不可能实现的世界。我们今天几乎所有安全通信——TLS、数字签名、消息加密——都建立在公钥加密可行这个假设之上。如果真实世界是 Minicrypt，那么这些系统不是"暂时不安全"，而是理论上就无法构建。

1% 听起来很小，但 Green 把它类比为"我们可能需要重新思考整个密码学工具箱"的概率。15% 则更直接：现有公钥算法（RSA、椭圆曲线等）可能因为某种攻击突破而集体失效，导致公众和行业对它们的信心崩塌。

Russell Impagliazzo 在 1995 年的论文《A Personal View of Average-Case Complexity》中提出了著名的"五个世界"（Five Worlds）思想实验，用于刻画计算复杂性假设与密码学可能性之间的关系。这五个世界分别是：Algorithmica（P=NP，密码学不可能）、Heuristica（NP 难题仅在平均情况下困难但最坏情况容易）、Pessiland（存在 NP 难题但单向函数不存在）、Minicrypt（单向函数存在但公钥加密不可能）、以及 Cryptomania（公钥加密可行）。这五个世界构成了一个层次递进的可能性谱系，而现实世界究竟落在哪一层，至今没有定论。

Minicrypt 之所以对密码学意义重大，在于它精确地划定了一条边界：在 Minicrypt 中，对称加密、伪随机数生成器、消息认证码等基于单向函数的原语仍然可以构建，但公钥加密、密钥交换、数字签名等基于陷门函数的原语在数学上被证明不可能实现。这意味着如果我们是 Minicrypt 居民，所有依赖非对称密码学的安全基础设施——从 HTTPS 握手中的密钥交换到软件签名验证——都面临根本性的重建需求，而非简单的参数升级。Impagliazzo 的框架之所以被反复引用，正是因为它把"公钥加密是否可能"这个模糊的问题，转化为一个可以在复杂性理论框架下精确讨论的命题。

真正的问题：AI 出意外很快，标准更新很慢

Green 的核心论点不在概率，而在节奏：

"AI 产生意外的速度，和人类替换标准的速度（即使有最好的 AI 辅助），根本不在一个数量级上。你只有提前做好准备，才能从这种意外中恢复过来。"

这句话指向一个结构性矛盾。AI 系统正在被用于数学猜想探索、代码审计、密码分析辅助等任务，它可能在某一天突然给出一个让所有人措手不及的结果。而密码学标准的更新周期以年为单位——从发现漏洞、提出新方案、学术评审、到 NIST 等机构发布标准、再到全行业部署，往往需要五到十年甚至更久。

这种时间尺度的错配，意味着事后补救几乎不可能及时。等到问题暴露再启动标准更新流程，中间的空窗期足以让依赖这些加密的系统暴露在风险中。

密码学标准的制定流程是一个高度审慎的多阶段工程。以 NIST 后量子密码标准化为例，从 2016 年公开征集算法到 2024 年正式发布首批标准（FIPS 203/204/205），历时约八年。这个流程包括：公开提交、多轮学术评审与密码分析、性能与安全性权衡、草案公示、公众评议、最终标准发布，之后还要经历产业界的实现、测试、部署和迁移。每一步都需要经过全球密码学界的对抗性检验，因为一个未被发现的设计缺陷可能在部署多年后才被利用。

这种审慎并非官僚惰性，而是密码学安全的本质要求：标准一旦大规模部署，更换成本极高且窗口期漫长。正因如此，从学术发现到全社会完成迁移，十年是一个现实的估计。Green 所指的"数量级差距"正源于此——AI 可能在数天甚至数小时内揭示一个破坏性结果，而人类的响应机制以年为单位运转。历史上从 SHA-1 碰撞攻击的公开演示到主流浏览器和 CA 全面弃用 SHA-1，也花了将近十年。

准备好的组织才能恢复

Green 给出的建议本质上是提前准备：把应对密码学突发事件的能力建设在日常工作中，而不是等危机发生后再临时抱佛脚。这包括对现有加密依赖的清晰盘点、对后量子密码等替代方案的持续跟踪、以及在系统设计上保留更换加密原语的灵活性。

对于依赖公钥加密的产品团队和基础设施运营者来说，这个提醒的价值不在于那 1% 或 15% 的具体数字是否准确，而在于承认最坏情况值得被严肃对待。Green 自称是那个"不怕当傻瓜、把最坏可能性摆上台面的人"，而密码学历史上多次证明，正是这类声音推动了行业在真正出事之前做出改变。

密码敏捷性（cryptographic agility）是应对密码学突发事件的核心工程原则，指系统在设计时就将密码算法作为可替换组件抽象出来，使得在算法被攻破或标准更新时，无需大规模重写系统即可完成切换。实践中，这意味着避免在协议、数据格式和硬件中硬编码特定算法，而是通过协商机制、算法标识符和版本化接口来管理密码原语的选择。

后量子密码（PQC）迁移正是密码敏捷性的试金石。NIST 已标准化的 CRYSTALS-Kyber（密钥封装）和 CRYSTALS-Dilithium（数字签名）等算法，在密钥尺寸、计算开销和协议交互模式上与 RSA 和椭圆曲线差异显著，这意味着即使算法本身安全，现有系统的集成方式也需要重新设计。缺乏敏捷性的组织在面对这类迁移时，往往需要数年时间进行系统改造，而这恰恰是 Green 所警告的空窗期风险。提前建立密码资产清单、跟踪替代方案的成熟度、并在架构中保留切换能力，是缩短这一周期的关键手段。