AI 與密碼敏捷性的徒勞

為什麼 AI 時代需要第二層基於物理學的密碼學防禦

近期，Anthropic 發表了一項研究，展示其 Claude Mythos Preview 模型如何對 HAWK 發現了實質性的攻擊改進——HAWK 是一套專為後量子時代設計的數位簽章機制（Digital-signature scheme）。

HAWK 並非乏人問津的學術提案。它在大約兩年間歷經了兩輪專家審查，並於 2026 年 5 月入選為進入美國國家標準暨技術研究院（NIST）第三輪後量子數位簽章標準化流程的九個候選演算法之一。

Mythos 在大約工作了 60 個小時 後就發現了該缺陷。

雖然這項攻擊並未讓 HAWK 在實際應用中立刻遭到破解，但它有效讓其安全強度砍半。HAWK 團隊隨後證實，若要進行直接修補，將使該機制失去競爭力，並於次日主動從 NIST 的評選流程中撤回。

這是一連串令人矚目的事件。

但同時，我們也必須精確釐清這件事究竟代表了什麼——以及不代表什麼。

這並不代表後量子密碼學（PQC）已經破功

HAWK 只是一個候選演算法，並非已正式發布的 NIST 標準。沒有任何生產環境（Production systems）受到影響。

NIST 目前標準化的後量子演算法包括用於金鑰建立（Key establishment）的 ML-KEM，以及用於數位簽章的 ML-DSA 與 SLH-DSA。Anthropic 已明確聲明，他們在 HAWK 中發現的弱點並不影響 ML-DSA、Falcon 或其他相關的晶格（Lattice-based）密碼機制。

因此，完全可以提出一個極具正當性的論點：

HAWK 當初正處於公開評估流程中，AI 被用作該評估的一部分。在該演算法被標準化或部署之前，弱點就被發現了。這個審查機制完全照著預期在完美運作。沒什麼好大驚小怪的。

這個論點很合理，但它並不完整。

AI 已經改變了時間軸

Anthropic 這項研究的真正意義，並不在於「某個候選 PQC 演算法被削弱了」。密碼學候選演算法過去也曾被削弱或淘汰過，這正是為什麼嚴謹的演算法需要經過數年對抗性審查（Adversarial review）的原因。

真正的意義在於：如今進行這種審查的速度與規模。

根據 Anthropic 的說法，Mythos 在人類指導極少的情況下，進行了廣泛的文獻分析、數學推理、運算實驗與實作工作。Anthropic 還展示了對縮減輪數 AES（Reduced-round AES）的改進攻擊，並報告了針對其他數種密碼學構造（Cryptographic constructions）的初步結果。

AI 正成為防守方的強大工具。它將協助研究人員更全面地測試演算法、檢視冷門的密碼學實作，並在系統部署前識別弱點。

但攻擊者同樣能掌握這種能力。而且我們不能假設每一次有意義的發現都會被負責任地公開（Responsibly disclosed）。

因此，網路安全這場貓鼠遊戲已經急劇加速。進行複雜密碼分析（Cryptanalysis）的成本正在下降，具備嘗試能力的威脅對手（Actors）數量在增加，從提出假設到實現有效攻擊的時間間隔正急速縮短。

然而，更新關鍵基礎設施所需的時間，並沒有經歷同樣的飛躍。

這種時間上的不對稱性，才是真正的問題所在。

攻擊者需要數小時；基礎設施營運商需要數年

在關鍵基礎設施中替換密碼學機制，絕不等同於更新應用程式的軟體相依套件（Application dependency）。

密碼學深植於協定、應用程式、設備、硬體安全模組（HSM）、韌體、憑證、身分識別系統、金鑰管理平台以及廠商產品中。在任何遷移過程中，這些組件都必須保持互操作性（Interoperability）。

一次密碼學遷移（Cryptographic transition）可能需要：

• 跨廠商更新協定協商與互操作性

• 全新的憑證與公鑰基礎設施（PKI）

• HSM 與安全元件（Secure-element）升級

• 韌體或硬體更換

• 應用程式測試與重新認證（Recertification）

• 法規合規審查與更新安全控制措施

• 精心管理的部署與復原（Rollback）計畫

• 維護窗口（Maintenance windows）以確保服務正常運行時間（Uptime）與合約 SLA

這正是為什麼 NIST 正確地強調「密碼敏捷性」（Crypto Agility）：即在保持營運不中斷的前提下，於軟體、硬體、協定與基礎設施中替換與調適密碼學演算法的能力。

密碼敏捷性是良好的工程實踐。企業確實應該建立密碼學資產清單、消除硬編碼依賴、抽象化密碼學服務，並為未來的過渡做好準備。

但密碼敏捷性並不能消除「過渡遷移」本身，它只是減輕了過程中的痛苦。

攻擊者只需要利用一個具備實質意義的弱點；而關鍵基礎設施營運商卻必須安全地升級整個相互連接的生產環境。

AI 讓第一項任務變得極快，但它並未能讓第二項任務變得夠快。

我先前曾將那種認為「密碼學遷移可以輕鬆、即插即用（Plug-and-play）」的信念稱為「密碼敏捷性幻想」。而在 AI 時代，這種幻想變得極其危險。

問題不在於今天的 PQC 演算法是否安全

為了討論起見，讓我們假設 NIST 目前標準化的每一個 PQC 演算法都是安全的——今天確實沒有任何公開已知的原因讓人懷疑這一點。

問題在於，關鍵基礎設施的安全設計是建立在一個必須維持數十年有效的假設上： 即沒有任何具備足夠能力的對手能對所選的數學問題、參數、實作方式或周邊協定找到實質上的突破性攻擊。

也許這個假設能成立。但對於全球金融、電信、雲端與政府基礎設施中最關鍵的連結來說，「也許」並不是一個合格的安全架構。

HAWK 給我們的教訓不是「數學密碼學失敗了」，而是將安全性過度集中在單一家族的數學假設上，會產生系統性風險——特別是當 AI 正在讓破解這些假設變得更容易、更廉價時。

理性的應對方式不是放棄 PQC，而是停止單靠 PQC。

為什麼 QKD 能提供真正不同的防禦層？

量子金鑰分發（QKD）解決金鑰建立問題的方式截然不同。

PQC 的安全性源於「假設某個數學難題在運算上極其困難」；而 QKD 金鑰生成過程安全性則源於量子力學物理定律（取決於協定假設、安全性證明與實作狀況）。

在 QKD 交換過程中，端點會量測量子通道的特性。這些量測值允許他們估算並界定潛在竊聽者可能獲得的資訊量。當量測到的參數超出協定的安全營運邊界時，系統就不會生成可用的金鑰。

這有時被通俗地描述為「偵測竊聽者」。更精確地說，QKD 是在判定當前的交換過程是否能支撐具備所需安全界限的金鑰。

這樣產生的安全性可以使用明確、可量測的安全參數來表示，它不單純依賴於估算攻擊者擁有多少運算資源，或是未來是否會發現 faster 的演算法。

這並不代表 QKD 很神奇或無懈可擊。

實際的 QKD 系統必須嚴格執行其安全性證明的假設，其硬體與實作必須防止旁道攻擊（Side-channel attacks）與實作漏洞，且 QKD 仍需要一個經過身份驗證的傳統通道（Authenticated classical channel）。

QKD 無法取代數位簽章、身分識別、存取控制或 PQC。HAWK 本身是一個簽章機制，這是 QKD 無法提供的功能。

這正是為什麼正確的安全架構不是「PQC 與 QKD 二選一」，而是「PQC 加上 QKD」。

縱深防禦必須包含不同的安全基石

對大多數組織而言，PQC 應該廣泛部署於應用程式、端點與協定中。它具備擴充性、可透過軟體部署，且是取代當前易受量子攻擊的公鑰密碼學（Public-key cryptography）所必需的。

QKD 則應該選擇性地部署於：一旦發生密碼學失效將造成不可接受的影響，且緊急遷移的成本與複雜度最高的場景。

例如：

• 資料中心互連（Data-center interconnects）

• 電信骨幹網路（Telecommunications backbone links）

• 金融交易基礎設施（Financial transaction infrastructure）

• HSM 與金鑰管理系統間的備份與同步（HSM-to-HSM replication）

• 雲端存取端點（Cloud on-ramps）

• 政府與國防網路（Government and defense networks）

• 其他承載高價值或長期敏感資料的精華連結（Crown-jewel links）

在這樣的架構中，PQC 與 QKD 可以提供獨立的金鑰來源，並在用於對稱加密（Symmetric encryption）之前進行安全組合。

目標不是去證明某個防禦層永遠不會失敗；而是確保單一防禦層的失效不會立刻導致整體系統崩潰。

如果未來的密碼分析進展削弱了某個 PQC 演算法，由 QKD 產生的組件仍繼續為受保護的連結提供獨立的安全基礎；若 QKD 基礎設施遭到中斷或無法使用，PQC 層則繼續運作。

這才是真正的「縱深防禦」（Defense-in-depth）： 不是把兩個建立在高度相關數學假設上的機制疊加在一起，而是讓兩個防禦層以完全不同的方式失效。

密碼敏捷性仍有必要，但已不再足夠

Anthropic 的研究結果不應引發各界對 NIST 當前 PQC 標準的恐慌。

它應該促使大家重新審視一種安全架構——在該架構下，一旦發現弱點，就會立刻觸發一場「必須在攻擊者利用前，趕緊在龐大且相互連接的生產環境中完成密碼學替換」的死鬥賽。

這原本就是個高風險的假設。在 AI 時代，這個假設已變得不可行（Untenable）。

組織必須繼續向 PQC 遷移，也必須在其營運環境許可的範圍內，盡可能實現密碼敏捷性。

但是，對於絕不能失敗的關鍵連結，安全策略不能完全寄望於『我們的遷移速度能跑得比 AI 攻擊者發現並利用下一個弱點的速度還快』。

這些關鍵連結需要一層獨立的、基於物理學的防禦層。

不是用來取代 PQC，而是作為 PQC 之外的雙重安全保障（In addition to it）。