一、为什么现在就要行动先收割后解密保护AI系统的整个密码学基础设施——API调用的TLS、模型权重加密、软件供应链签名——都依赖量子计算机终将解决的数学难题。Shor算法在足够强大的量子计算机上运行时能以指数级速度分解大整数并求解离散对数问题。RSA加密依赖整数分解难度椭圆曲线密码依赖椭圆曲线离散对数难度两者在量子计算机上都可在多项式时间内求解。国际算法中的RSA、ECC、ECDH国密算法中的SM2、SM9均基于同类数学难题因此面临同等的量子威胁。“先收割后解密”威胁让迁移在量子计算机达到密码学相关性之前就已紧迫。国家级对手和高级威胁行为者今天就在拦截并存储加密通信预期量子计算最终能解密。对AI系统而言这意味着通过当前TLS连接传输的加密训练数据、模型权重和专有系统提示可能现在被捕获等量子计算机可用时再解密。二、国际与国密算法体系的量子威胁评估国际算法RSA / ECC / ECDH / ECDSAShor算法完全攻破面临生存性威胁必须优先迁移。AES-256Grover算法使有效安全强度减半至约128位仍计算上不可行不需要紧急迁移。AES-128等效64位高安全场景需关注。SHA-2 / SHA-3Grover影响有限256位输出仍提供128位量子安全。国密算法SM2椭圆曲线公钥密码基于椭圆曲线离散对数问题Shor算法完全攻破。SM2的192位密码强度高于RSA 2048位但量子攻击下这一优势不再成立必须迁移。SM9标识密码基于椭圆曲线双线性对Shor算法同样完全攻破。SM4分组对称密码128位密钥在Grover下等效64位安全一般数据保护可接受高安全场景建议增大密钥空间或迁移。SM3密码杂凑256位输出在Grover下等效128位安全仍计算上不可行但长期保密数据需关注。三、国际后量子密码标准化进展2024年8月NIST正式发布三项后量子密码标准这是全球迁移的基准FIPS-203ML-KEM基于模块格的密钥封装机制替代RSA和ECDH密钥交换。ML-KEM-768的封装密钥1184字节、密文1088字节远大于RSA-2048的294字节公钥和256字节密文。FIPS-204ML-DSA基于模块格的数字签名算法替代RSA和ECDSA签名。ML-DSA-65签名3293字节验证密钥1952字节。FIPS-205SLH-DSA无状态基于哈希的数字签名算法提供保守的替代方案不依赖格数学。CNSA 2.0美国国家安全局为国家安全系统制定的算法套件要求ML-KEM-1024和ML-DSA-872030年前完成迁移。ISO/IEC已将ML-KEM、Classic McEleiece、XMSS、LMS等纳入其标准体系IETF正在将PQC算法集成到TLS等核心互联网协议ETSI发布了量子威胁评估、部署案例和迁移策略的技术报告。四、中国后量子密码标准化进展中国正在积极布局抗量子密码。商用密码标准研究院已启动新一代商用密码算法全球征集活动NGCC目标明确为抵抗量子计算风险同时满足AI等新技术新应用需求研制新一代商用密码算法。征集涵盖公钥密码算法、密码杂凑算法、分组密码算法三类。公钥算法要求至少支持128、256、512比特三种经典安全强度等级对应量子安全强度分别不低于80、128、256比特。最新进展119个候选进入第一轮评估包括34个签名方案、41个密钥封装机制、9个密钥交换协议、35个哈希函数。第一周评估即发现191个有效漏洞其中78个被评为严重。这体现了NGCC对安全性的严格要求。预计2027年6月完成评估新一代密码族系的轮廓正在显现。五、迁移策略国际与国密双轨并行核心原则密码敏捷性与混合部署密码敏捷性——在不重新设计系统的情况下替换算法——是首要准备策略。对国内系统“国际PQC 国密 后量子”的多元混合体系是最务实的路径。混合部署Hybrid在同一次TLS 1.3握手中同时协商经典算法与后量子算法两者共享密钥经KDF组合。Cloudflare和Google已在生产环境部署X25519-MLKEM768混合密钥交换保护TLS连接。优先级排序最高优先级非对称加密RSA、ECC、SM2、SM9。Shor算法完全攻破面临生存性威胁。API传输安全TLS密钥交换、代码签名、API认证令牌、密钥封装必须优先迁移。中等优先级哈希算法SHA-2、SM3。Grover使有效强度减半长期保密数据应考虑增强。较低优先级对称加密AES、SM4。Grover影响有限一般数据保护可接受高安全场景需增大密钥。三阶段落地路线第一阶段2026-2030密码资产台账 混合过渡。扫描定位量子脆弱点。在TLS层部署混合握手同时协商经典算法与后量子算法。注意后量子签名体积较RSA签名膨胀数十倍高并发场景需硬件卸载。第二阶段2030-2035完全迁移。重建后量子PKI升级HSM以支持新算法。退役仅经典路径和混合回退。第三阶段持续演进。跟踪NGCC征集结果待中国后量子标准发布后将国密算法平滑升级到新一代抗量子版本。六、真实案例案例一NIST 2024年后量子标准发布2024年8月NIST正式发布FIPS-203ML-KEM、FIPS-204ML-DSA、FIPS-205SLH-DSA。这是全球后量子密码迁移的里程碑为组织提供了具体的算法替换目标。案例二Cloudflare与Google混合密钥交换部署Cloudflare于2022年默认启用X25519MLKEM768混合密钥交换截至2025年10月超过50%的人类发起流量使用PQC。Google在Chrome和QUIC协议中集成混合密钥交换。案例三SM2/3/9成为ISO/IEC国际标准我国SM2、SM3、SM9密码算法正式成为ISO/IEC国际标准标志着国密算法体系获得国际认可为“国密PQC”混合部署提供了标准化基础。案例四NGCC首轮评估发现严重漏洞NGCC第一周评估发现191个有效漏洞78个严重包括通用伪造、签名密钥恢复、哈希碰撞等。这证明中国后量子算法征集正在严格筛选真正安全的候选方案。案例五HAWK算法因AI发现漏洞被撤回2026年7月AI模型发现格基签名算法HAWK的漏洞该算法随后从NIST标准化考虑中撤回。这印证了后量子算法本身也需要持续的安全评估混合部署的回退机制至关重要。七、给开发与安全人员的行动清单立即启动密码资产清单。映射系统中每个算法RSA、ECC、AES、SM2、SM3、SM4、SM9的使用位置、密钥长度和协议版本。区分优先级。非对称加密RSA/ECC/SM2/SM9面临生存威胁必须优先迁移对称加密相对不急但需关注密钥长度。API传输安全排第一。TLS密钥交换是最高优先级使用混合经典后量子算法过渡。代码签名排第二。签名被攻破意味着恶意模型可注入部署流水线。采用混合部署。过渡期经典与后量子并行避免新算法潜在弱点导致通道裸奔。将量子就绪纳入治理仪表盘。不是独立项目而是现有合规路线图的组成部分。关注长期保密数据。“先收割后解密”追溯适用历史通信同样暴露。跟踪NGCC进展。中国后量子标准发布后规划从国密系列向新一代算法的平滑升级。制定多年计划。迁移以年计分阶段清单、评估、选型、混合、完全迁移。八、结语保护AI系统的密码学基础设施正面临量子计算带来的生存性威胁。国际RSA/ECC与国密SM2/SM9同样无法逃脱Shor算法的数学破解。但迁移路径已经清晰国际有NIST标准中国有NGCC征集混合部署是当前最务实的过渡方案。“国际PQC 国密 后量子”的多元体系既能满足合规要求又能实现真正的量子抗性。核心只有一句话量子计算机破译当前所有公钥密码只是时间问题而迁移以年计——必须用混合部署和密码敏捷性在威胁成为现实之前完成迁移。