AI 科學發現：Claude 解開 25 年密碼學懸案

Photo by Bozhin Karaivanov on Unsplash

過去兩年，AI 在「科學研究」這件事上的成績大多停在輔助層級：幫忙讀論文、整理數據、寫實驗腳本。真正的發現還是人做出來的。2026 年 10 月中旬，Anthropic 連續公布兩項結果，第一次讓這條界線變得模糊——一個模型在幾乎沒有人介入的情況下，設計出比已發表論文更省資源的量子電路；另一個模型在半小時內，解開了密碼學界懸了二十五年的數字來源之謎。

這兩件事都不是模型「聊」出來的，而是跑出來、算出來、並且被獨立的驗證程式檢查過。對關注 AI 發展的人來說，這是值得停下來看清楚的一週。

發現一：量子電路的閘數少了 17 倍

第一項成果來自 Anthropic 的 STEM Fellows 計畫，由研究者 Andi Gu 主導，哈佛大學的 Susanne Yelin 與 Mikhail Lukin 參與合作。團隊讓模型（多家外媒報導稱為 Claude Mythos 5）處理八項量子電路設計任務，涵蓋化學模擬、組合最佳化、物理模擬、數論與數值計算。結果是：在這八項任務上，模型找出的電路在量子位元數或閘數上都優於當時最好的已發表設計，部分案例的差距達到一個數量級以上。

最受注目的是橢圓曲線點加法電路。模型只拿到一段文字簡述當作題目，在一次長達 53 小時的連續運算後，產出的設計多用了 12% 的量子位元，但閘數少了 17 倍。閘數是量子電路實際執行時間的主要瓶頸之一，少一個數量級的閘，意味著同樣的演算法在未來的量子硬體上有機會早好幾年變得可行。

Photo by Tyler Daviaux on Unsplash

另一項是 DQI 解碼器。模型把原本使用的擴展歐幾里得演算法換成 Berlekamp-Massey 解碼，把需要暫存的量子位元從樸素做法的 840 個壓到單一個 19 位元的中間值，閘數約為 Google 先前建構方式的十二分之一。代價是約萬分之一的失敗率，Anthropic 表示這在該任務容許的誤差範圍內。這個取捨值得記下來：它不是單純的最佳化，而是一個有工程判斷的選擇。

方法比結果更關鍵：沒有人在迴圈裡

這些設計怎麼來的？做法比結果本身更值得討論。模型用 Python 寫出電路，一支自動評分程式檢查正確性並給分，模型再根據分數修改下一次的嘗試，一輪接一輪，中間沒有人類介入指導方向。最佳化的目標函數很樸素：量子位元數乘以閘數，當作執行時間的粗略代理指標。

換句話說，這是一個「題目 + 評分器 + 長時間迭代」的組合。這個模式之所以在量子電路上奏效，原因也很清楚：這個領域的正確性可以用程式嚴格驗證。Anthropic 的驗證方式包含自動評分器、大規模模擬（DQI 解碼器跑了 4.03 億次模擬解碼）以及對部分代數性質的 Lean 形式化證明。有可驗證的評分標準，模型就能自己爬山；沒有的話，再長的運算時間也只是累積更精緻的猜測。

也要說清楚限制。這些是論文層級的資源計數，不是在真實量子硬體上跑出來的電路；範圍僅限電路設計，不涉及錯誤更正或硬體實作；而且截至目前，尚未看到獨立團隊的複現報告。17 倍這個數字是對照 2026 年 Schrottenloher 以及 Luo 等人的論文得出的比較結果，不是對照某個理論下限。

發現二：二十五年的 NIST 曲線種子之謎

第二項成果屬於另一種類型——它解開的是歷史，而不是數學難題。

2000 年，美國 NIST 採用了一組由 NSA 提供的橢圓曲線，這些曲線後來被寫進 TLS、程式碼簽章與無數金融系統。問題是：定義這些曲線的「種子」數字從哪裡來，NSA 從未說明。參與制定標準的 Alfred Menezes 表示，他在 1997 年從 NSA 數學家 Jerry Solinas 手上拿到這些種子的；Solinas 已於 2023 年過世。資安研究者 Steve Weis 在 2018 年提出公開紀錄申請，NIST 表示沒有相關文件，NSA 則停止回覆。2023 年開始有人懸賞徵求答案，金額從 12,288 美元起跳。

二十五年來，這個空白一直是密碼學社群最常被提起的疑慮之一：如果種子是刻意挑出來的，理論上就存在置入弱點的空間。

根據 Anthropic 的說明，模型在不到三十分鐘內把五組種子追溯到 lrand48——舊版 C 標準函式庫裡的一支亂數產生器，而餵給它的種子是 1997 與 1998 年的 Unix 時間戳。模型重建了 P-256 背後的候選序列，在第 1,842 個候選值上對上了公布的種子。它同時指出「所有高位元都是 0，20 個位元，巧合機率約百萬分之一」，用來論證這不是碰巧吻合。那筆懸賞最後以 36,864 美元支付，Anthropic 將款項捐給 Let's Encrypt 背後的非營利組織 Internet Security Research Group。

Photo by Annie Spratt on Unsplash

這對使用者意味著什麼

先講結論：用到 NIST 曲線的系統不需要做任何事。Anthropic 的判斷是，既然種子可以被重新產生出來，刻意置入後門的可能性大幅降低——這個發現的方向是讓人安心，而不是相反。

不過仍有幾個空白沒有填上。研究團隊無法解釋為什麼那支程式跳過了某些可用的候選值，也無法說明曲線的其他部分是怎麼決定的；包括 B-163 在內的部分種子目前仍無法重現。

值得注意的反而是另一個角度：lrand48 搭配時間戳是可預測的。這對曲線標準本身無害，但如果有任何錢包或金鑰產生程式曾經用這種方式產生隨機數，那麼只要能推估金鑰的產生時間，就有被重建出來的風險。這是一個關於「亂數來源」而非「曲線設計」的老問題，被這次的發現重新推到檯面上。

至於比特幣，它使用的是 secp256k1，由兩個很小的固定數字定義，幾乎沒有藏東西的空間，因此不在這次的討論範圍內。量子運算對橢圓曲線的威脅是另一條獨立的線——無論曲線怎麼挑選都適用，而目前沒有任何量子電腦的規模與穩定度足以破解這類金鑰，也沒有明確的時間表。

幾點觀察

把這兩件事放在一起看，比較值得記下來的有三點。

第一，AI 開始產出的不只是「看起來對」的東西，而是可以被驗證的結果。量子電路有評分器，種子推論可以用重跑序列來核對。這和去年大量出現的「AI 寫論文」討論不同：差別在於有沒有一道任何人都能跑一次的檢驗程序。接下來一兩年，最可能先被 AI 推進的領域，大概就是那些正確性能寫成程式的領域——演算法設計、形式化證明、編譯器最佳化、電路佈局。

第二，時間尺度變了。53 小時的單次連續運算，意味著「算力換發現」成為一種真實的投入方式。過去研究的瓶頸是研究者的時間，現在多了一個可以用錢買的變數。這會改變研究機構的資源配置方式，也會讓「誰買得起長時間推理」成為一個新的不平等來源。

第三，密碼學這件事提醒我們，很多關鍵基礎設施的細節其實沒有留下紀錄。種子的來源之所以成謎，不是因為數學太難，而是因為當年沒人把過程寫下來，知情的人也陸續離開了。AI 這次扮演的角色，更接近一個不會累的考古學者——在半小時內試遍一個人要花幾週才試得完的假設空間。這個能力用在哪裡，恐怕比它有多強更值得討論。

對一般技術決策者來說，這週的新聞不會改變下個月的待辦清單。但它標記了一個轉折：AI 從「幫你做事」往「自己做出發現」移動了一小步，而這一步是在有嚴格驗證的地方先發生的。這個規律，大概也適用於判斷自己手上哪些工作最快會被改變。