量子 · 破解 RSA-2048 的报价单：从一百万颗比特，降到两万三

量子 · 破解 RSA-2048 的报价单：从一百万颗比特，降到两万三

去年，谷歌的 Craig Gidney 给"量子计算机破解 RSA-2048"开出过一版价格：约一百万颗噪声比特，跑一周以内。10 月 27 日，arXiv 上多了一张新报价单（2610.37839），Alice & Bob 的十一位作者把同一道题从头编译到尾：22,593 颗物理比特，3.14 天。四十倍的差价。

这不是一次破解演示，是一份编译报告。论文 128 页、56 张图、40 张表，把 Shor 算法的每一步——模幂、加法器、受控旋转——落到了猫量子比特架构的具体门上。报价单的意思是：每一颗比特、每一次门、每一微秒都计过账。

差价从哪来？猫量子比特的买卖是用一种错误换另一种错误。超导腔里装两个相干态当 0 和 1，用双光子耗散把比特翻转压成指数级稀有事件——理想口径下约一百年才翻一次。剩下的相位翻转没被压住，还随光子数线性变多，但相位翻转只需要最简单的重复码来纠。普通超导方案两种错都要纠，表面码一层不够要叠很多层；猫方案把纠错负担砍掉一大半，每个逻辑比特的物理开销从上千颗降到几十颗。

账里最要紧的两个数字：纠错周期 1 微秒，相位噪声 5 x 10⁻⁴。理想模型下比特翻转百年一遇；要是不信这个理想，论文给了后手——外面再包一层距离 3 的比特翻转码，代价是比特数翻倍到约 45,600 颗。报价单连"讲价空间"都标好了。

附赠三条：椭圆曲线 secp256k1，不超过 30,000 颗比特，约 1 小时；512 位离散对数约 6,700 颗、21 分钟，团队提议把它当中间基准——等不动 RSA 被破那天，可以拿小题先验硬件。架构侧还添了新积木：奇偶校验 CNOT、面向 LDPC 猫码的多目标 CNOT、主动态注入，加法器直接改装自 Gidney 2025 年那版，方便逐项对账。

冷水必须给足。这是资源估计，硬件上既没有这台机器，也没有在两比特门里长时间保住小时级稳定性的实证——今年 10 月 22 日他们才第一次在猫比特上做出非 Clifford 门。理想噪声模型、编译期全部已知、无实时干扰，都是对现实友好的简化。不过报价缩水这件事本身有独立的意义：后量子密码迁移的时间表，从此多了一个更硬的参考点。迁移的对手盘刚便宜了四十倍，你的 TLS 还剩几年——这道算术题，每家基础设施团队都该重新算一遍。

顺带一提，量子行业媒体 Quantum Computing Report 11 月 2 日一篇"猫比特一小时才跳一次"的热文，实为该团队 2025 年 9 月 25 日旧博客的回锅。追进度的时候，原始发表日期比通稿日期可信。

信源与限定：arXiv 2610.37839（2026-10-27 提交，作者含 Alice & Bob 的 Élie Gouzien、Rémi de la Vieuville、Vivien Londe 等），IACR ePrint 2026/2665 同步；对比基线取 Gidney 2025 估计（约 100 万颗、一周以内，引自该论文引用关系）；所有资源数字为编译估计，无实验演示；Quantum Computing Report 10 月 30 日报道，其 11 月 2 日文章经核对 alice-bob.com 原博客确为 2025-09-25 内容。

#量子计算 #后量子密码 #猫量子比特