抗量子开始落地：真实通信已部署，特朗普政府量子投资签下最终协议

（来源：百合说数字）

抗量子安全已经进入真实通信系统，美国政府的部分量子投资也从意向书推进到最终授奖。

与此同时，量子计算最关键的障碍之一——计算规模扩大后如何控制错误，已有可验证的实验进展。

这些变化发生在不同环节：抗量子密码保护现有数字系统，量子投资建设未来计算能力，量子纠错则验证硬件能否继续扩展。将它们分开，才能看清这一领域究竟走到了哪里。

一、抗量子已经运行在真实网络中

2026年9月29日，Cloudflare公布的部署数据，提供了一个直接观察抗量子商业应用的窗口。

公司披露，在浏览器产生、进入Cloudflare网络的流量中，约70%的“用户至Cloudflare”连接，已经采用基于混合ML-KEM的后量子保护。

原文：“about 70% of browser-generated traffic”“约70%的浏览器生成流量。”

但另一端的进展明显不同：在Cloudflare连接的源站中，约15%使用混合ML-KEM。前一个比例按浏览器流量统计，后一个按源站统计。

这组数据说明了两件事。

① 抗量子已经进入生产环境：它正在保护实际发生的网络通信，而非停留在算法研究或演示系统中。

② 一段连接完成升级，不代表整个通信链条完成升级：用户连接到网络服务商，与网络服务商连接网站后端，是不同环节。网站后端仍可能存在需要迁移的系统。

Cloudflare还推出了逐连接查看密钥交换算法的日志与分析功能，使客户能够核查自己的域名究竟有多少通信采用了后量子保护。

二、苹果将后量子机制放进日常消息通信

另一个已部署案例是苹果的iMessage PQ3。

苹果公布的协议设计，将后量子密钥机制引入消息加密，并在通信过程中周期性更新相关密钥。它采用传统密码与后量子密码结合的混合方案。

苹果对这一技术的表述是：“post-quantum cryptographic protocol”“后量子密码协议。”

这类应用的实际意义是：抗量子不要求用户拥有量子计算机，也不要求用户改变日常操作。升级发生在软件、协议和密钥管理层，用户仍然通过手机发送消息。

不过，一款通信产品部署后量子机制，并不代表其所有安全问题都已解决。设备安全、身份验证和具体实现仍然重要。

三、正式标准已经具备，重点转向存量系统改造

抗量子能够进入产品，一个重要前提是正式标准已经发布。

2024年8月，NIST发布首批三项后量子密码标准：

NIST将这三项标准视为多数后量子密码部署的重要基础。

2026年10月27日，NIST进一步发布迁移路线图，讨论哪些现有算法需要替换、不同应用如何安排迁移，以及如何处理密码供应链和混合方案。

当前工作的重心已经从“有没有抗量子算法”，转向“如何把现有系统换过去”。

对银行、政府和大型企业而言，难点在于密码使用分散在网络协议、证书、硬件设备、业务软件和外部供应商之中。升级一个入口，可能仍留下其他薄弱环节。

美国政府问责局的检查也显示，联邦机构在密码专业人才、资产清单、资金评估和测试计划方面仍有不足。

四、特朗普政府的量子投资，已有两项进入最终授奖

资金方面，值得关注的进展发生在2026年9月。

此前，美国商务部于5月宣布与9家公司签署意向书，拟提供合计20.13亿美元联邦激励。随后，两项大额安排推进到最终授奖阶段。

1．格芯：最高3.75亿美元

9月8日，美国商务部宣布，与GlobalFoundries签署最高3.75亿美元的最终授奖。

公告明确，资金用于支持建立服务多种量子技术路线的美国本土量子代工能力，并开展低温CMOS工艺设计套件、先进封装与异构集成相关研发。

原文：“a final award of up to $375 million”“最高3.75亿美元的最终授奖。”

2．IBM子公司Anderon：最高10亿美元

9月16日，美国商务部宣布，与IBM新成立的子公司Anderon签署最高10亿美元的最终研发授奖。

支持方向包括半导体研发，以及建立新的量子半导体代工厂。

原文：“a final R&D award of up to $1 billion”“最高10亿美元的最终研发授奖。”

两项安排合计上限为13.75亿美元。

这是从投资意向到正式授奖的实质推进。

这些资金主要建设量子计算的研发与制造能力，不能归为抗量子安全专项投资。

五、以太坊提出pqai27：先完成安全迁移，再解决性能成本

2026年11月11日，Ethlabs在Ethereum Magicians论坛发布pqai27提议，主张将以太坊的后量子及“可能的后AI”安全准备提前至2027年。

这里的“后AI”有两层含义：密码设计尽量减少安全假设；利用形式化验证和客户端多样性，应对先进模型规模化发现漏洞的风险。原文明确强调，这只能称为“可能具备后AI安全性”，并非可以证明能够抵御所有未来AI攻击。

1．两个阶段：先能安全运行，再实现完整容量

2．账户端：Frames配合后量子签名

原文提出，在执行层推进Frames、SPHINCS签名及相关后量子账户提案。

Frames对应EIP-8141，为交易引入分帧结构，使账户验证和执行能够更灵活地组织，为不同签名验证方式提供协议层支持。它并非单独一种抗量子算法。

账户迁移还需要钱包和工具支持，不能仅靠协议升级自动完成全部用户迁移。

3．性能端：用递归STARK聚合签名和证明

后量子签名面临一个直接问题：数据更大，验证更贵。

提议引用的EIP-8288草案估计，相关哈希签名方案约需2—3 KB，单独验证约耗费15万—20万Gas；STARK证明本身也可能很大。这些是草案讨论的技术估算，并非已上线交易费。

其解决思路是：交易声明需要验证的签名或证明；在交易池和区块构建过程中进行聚合；用一个递归STARK，证明多项验证结果有效。目的在于分摊验证和数据开销，避免每笔交易都独立承担完整成本。

EIP-8288目前仍为草案。

4．数据端：初期允许回退，随后升级Blob机制

原文区分了两条路径：

先准备：后量子账户提交交易，Rollup必要时使用这些交易的calldata承载数据，接受更高成本。

再扩容：推进后量子数据可用性，让二层网络直接使用具备相应安全性的Blob。提议引用的是EIP-8479：Post-Quantum PeerDAS and Variable-Size Blobs。

calldata回退是过渡选择，不等于Blob相关升级已经完成。

5．共识端：仍有关键路线尚未确定

Ethlabs将共识层列为最大开放问题：是改造现有Gasper，还是直接采用后量子的解耦共识。

前者可能改动较小，后者需要进一步确定规范。原文没有给出已敲定的方案，也没有公布最终主网实施日期。

6．开发安排：安全优先，推迟更快出块

六、量子计算的硬进展：规模扩大，错误可以减少

量子计算并非只缺更多量子比特，更棘手的问题是，系统扩大之后，错误是否也随之增加。

Google Willow相关研究，在这一点上给出了重要实验结果。

发表于《Nature》的论文显示，研究团队在Willow处理器上实现了低于纠错阈值运行的表面码量子存储实验。其中，一个距离为7的逻辑量子存储单元，保存信息的时间超过其最佳组成物理量子比特的两倍。

研究人员把多个容易出错的物理量子比特组合起来，形成一个经过纠错保护的逻辑单元。实验验证了：在满足一定错误率条件后，增加编码规模，确实能够改善可靠性。

这项进展的重要性，在于验证了继续扩大量子系统的一条技术路径。它并不意味着量子计算机已经具备破解银行或主流区块链密码的能力，也不能把特定纠错实验直接等同于通用商业计算能力。

七、为什么尚未出现密码破解，抗量子仍需提前部署？

原因之一是数据保密周期。

攻击者可以先收集今天的加密通信，等未来具备足够能力后再尝试解密。NIST将其称为：“harvest now, decrypt later”“现在收集，日后解密。”

抗量子迁移的紧迫性，不只取决于量子计算机什么时候成熟，还取决于数据需要保密多久、系统升级需要多久。

美国政府问责局同时指出，当前量子计算机尚不能破解相关密码。提前防御与承认现阶段技术边界，可以同时成立。

声明：本文依据官方公告、企业技术披露及研究论文整理，不构成投资建议。