如果要用一句话概括 2026 年量子计算领域的状态，那就是：硬件正在从"证明可行"走向"让硬件有用"，而密码体系的迁移已经从"要不要做"变成了"先做哪一步"。

这两件事看似一前一后，实际上高度耦合：量子计算机的能力每前进一档，今天被加密传输和存储的数据就多一分"现在被窃取、将来被解密"的风险。我公司在为客户提供信息安全服务的过程中，越来越多地被问到同一个问题——量子计算到底到哪一步了，我们是不是现在就该动？ 本文尝试给出一个不夸大、可执行的回答。

一、先说结论：三个判断

1. 量子计算机目前还不能破解 RSA 与椭圆曲线密码，但"先窃取、后解密"（Harvest Now, Decrypt Later）的威胁已经成立——今天被截获的密文，可能在十年内被解密。因此，需要保密到 2030 年代的数据，今天就应该开始迁移。
2. 密码算法的答案已经确定，不再是研究问题。NIST 已于 2024 年 8 月发布 FIPS 203/204/205，剩下的工作是迁移，不是选型。
3. 密钥交换迁移已大规模落地，签名与证书迁移明显滞后。 这是当前最容易被误判为"已完成"的地方——在负载均衡上开启混合密钥交换，只解决了大约三分之一的问题。

二、量子计算硬件：2026 年进入"逻辑量子比特"阶段

过去几年行业比拼的是物理量子比特数、相干时间、门保真度。2026 年的标志性变化是，评价指标正在从物理比特数转向逻辑量子比特数——即经过纠错编码后真正可用于计算的有效比特。

2.1 实时反馈控制实验：让系统从混沌回到有序

据《自然·物理学》最新一期报道（科技日报 2026 年 10 月 12 日报道），美国罗格斯大学、IBM 等机构的科学家在一台 156 个量子比特的 IBM Quantum Heron 处理器上，演示了量子计算机在运行过程中反复检查并重置部分量子比特的能力，使系统从混沌状态转向可控的有序状态。这是迄今规模最大的实时量子反馈控制实验之一。

实验设计得很巧妙：团队选取最多 100 个相互连接的量子比特，让系统交替执行两项任务——一项在相邻比特间混合信息、使系统逐渐陷入混沌；另一项反复检查量子比特并将其重置为指定状态、恢复有序性。团队共执行了近 5000 次双量子比特操作和近 5000 次检查与重置操作。

结果有三点值得注意：

• 当信息混合操作占主导时，系统维持混沌状态；
• 当检查与重置更频繁时，系统转向可控的有序状态；
• 当两者频率接近各占一半时，微小的频率变化就可能引发系统状态的突然转变——即"相变"，研究人员将其比作量子系统中的"蝴蝶效应"。

这项实验的意义在于：现有量子硬件已经能在较大规模的系统上协调量子操作、测量与重置，并把这一过程重复数千次。 这是通往容错量子计算的必要条件之一，但研究者也明确指出，真正的容错量子计算机尚未造出，仍需持续、可靠地检测并纠正计算过程中的错误。

2.2 各条技术路线的公开里程碑

2.3 AI 正在进入量子实验的"操作台"

一个值得关注的趋势是 AI 智能体开始直接参与量子实验的运行。2026 年 9 月，OpenAI 与 MIT 联合发布的案例研究称，基于 GPT-5.6 Sol 与 Codex 驱动的 AI 智能体实现了端到端自主运行超导量子比特实验——选择参数、调用测量程序、读取图像与原始数据、判断结果是否合格并决定继续优化还是进入下一项测量。国内方面，2026 年 9 月量智开物发布了国内首个智能体原子量子计算实验平台"白泽"，承担日常运行、校准、参数优化与状态维护工作。

这意味着量子计算行业正在从"证明硬件可行"过渡到"让硬件有用"。当硬件可以通过云端远程访问时，决定其实际价值的不再只是硬件性能，而是有多少人能有效地使用它。 对国内用户而言，这实际上降低了接触量子计算资源的门槛——真机实验能力正在变成一种可远程调用的服务。

三、密码侧的答案：标准已定，剩下的是迁移

3.1 NIST 标准与过渡时间表

时间表方面，NIST 过渡草案 IR 8547 提出：2030 年后弃用 112 位安全强度的算法（如 RSA-2048），2035 年后禁止使用 RSA、ECDSA 等量子易感算法。美国 NSA 的 CNSA 2.0 要求更紧：2027 年起新采购的国家安全系统需合规，2030 年优先使用、2033 年独占使用。欧盟方面，NIS2 与 DORA 也在推高合规压力。

3.2 落地现状：密钥交换快，签名慢

MITRE 于 2026 年 9 月发布《PQC 能力发展报告》（证据采集于 2026 年 7 月），给出了目前最系统的一张"能力地图"：

已普遍可用（General Release）——密钥协商：

• 浏览器：混合密钥交换 X25519MLKEM768（经典 X25519 + ML-KEM）已在 Chrome 与 Edge 131+、Firefox 132+ 桌面版（Android 145+）、Safari 26+ 默认开启。目前主流浏览器不支持 ML-KEM-1024 参数集，也不支持纯后量子的 TLS 密钥协商。
• Web 服务器：NGINX、F5、Microsoft、IBM 等主流产品支持同一混合交换。
• VPN：Palo Alto Networks、Fortinet、Cisco、OpenVPN 等产品在 IKEv2/IPsec 与基于 TLS 的产品中支持 ML-KEM 或混合 ML-KEM，标准为 RFC 9242 与 RFC 9370。
• 云：Cloudflare、AWS、Istio、IBM Cloud 均已支持混合 TLS。
• SSH：OpenSSH 10.0 起默认使用混合 ML-KEM 密钥交换。
• 标准：IETF 于 2026 年 8 月发布 RFC 10024，为 TLS 1.3 定义 X25519MLKEM768 及另外两个混合组。
• 真实流量：Cloudflare 于 2026 年 4 月表示，其网络上超过 65% 的人类流量已采用后量子加密，并计划于 2029 年实现包括身份认证在内的完整后量子安全。

明显滞后——签名与证书：

• 尚无主流浏览器支持验证使用后量子算法签名的 X.509 证书；浏览器厂商已发布设计并开展有限实验（包括 Merkle Tree Certificates）。
• 公共证书颁发机构目前不签发 PQC 证书。DigiCert 文档明确说明其 CertCentral 服务不签发采用后量子算法的公共 CA 证书；Keyfactor、Microsoft、DigiCert 的私有/企业 CA 产品已可签发 ML-DSA 证书，Keyfactor 与 DigiCert 还可签发 SLH-DSA。
• 代码签名方面已可在部分平台部署：Cisco、Red Hat Enterprise Linux 10.1、Android 17、AWS Private CA、Microsoft Active Directory Certificate Services 等支持 ML-DSA，部分提供混合签名。
• 注意一个隐蔽风险：IETF 于 2026 年 7 月发布的信息性文档 RFC 9955 指出，混合签名本身并不能自动建立安全的混合认证，存在剥离与降级风险。
• 硬件信任根：可信计算组织（TCG）于 2026 年 3 月发布 TPM 2.0 库规范 1.85，新增 ML-KEM 与 ML-DSA；但截至 2026 年 7 月，尚无可商用的后量子硬件 TPM，也未见 PQC 集成进主流可信启动、度量启动或远程证明流程。

一句话总结当前状态："加密"这一半已经大规模上线，"身份认证"这一半还没有真正开始。

四、企业可执行的四条迁移路线

基于上述现状，我们建议按以下顺序推进，而不是一次性"全面后量子化"。

第一步：做密码资产清单（Crypto-Inventory）

这是所有工作的前提，也是最容易被跳过的一步。需要回答的问题很朴素：

• 我们的系统里在哪里用了密码？（TLS 终结、VPN、SSH、代码签名、数据库加密、备份加密、硬件令牌……）
• 分别用的是什么算法与密钥长度？
• 哪些数据需要保密到 2030 年代以后？（这是"先窃取、后解密"攻击真正瞄准的目标）

没有清单，就无法判断优先级，也无法在算法再次变动时快速响应。这份清单本身就是最重要的交付物。

第二步：优先开启混合密钥交换

这是当前投入产出比最高的动作：

• 在对外 Web 服务、负载均衡、CDN 上启用 X25519MLKEM768 混合密钥交换；
• 将 OpenSSH 升级到 10.0 及以上（默认已启用混合交换）；
• 确认 VPN 设备固件支持 ML-KEM 或混合模式，并核对 IKEv2 相关配置。

需要注意一个实操问题：混合密钥交换会让 TLS ClientHello 变大，部分老旧服务器或中间设备可能无法正确处理更大的握手报文，导致连接失败。上线前应在真实网络路径上做灰度验证，而不是只在本地环境测试。

第三步：识别并单独处理"长期保密数据"

对确需长期保密的数据（档案、医疗、测绘、设计图纸、合同、个人信息等），应评估其保密年限是否跨越 2030 年代。如果跨越：

• 优先对这类数据的传输与存储通道做后量子加固；
• 在条件允许时对静态数据补充应用层加密，降低对单一传输层算法的依赖；
• 明确记录数据保密期限，作为后续优先级排序的依据。

第四步：建设密码敏捷性（Crypto-Agility）

这一点比替换某个具体算法更重要。密码敏捷性指的是：当算法需要更换时，你能在多长时间内完成替换，且不需要重写业务代码。

落地做法包括：把算法与参数从代码中抽离为可配置项；避免在任何协议、文件格式或数据库中硬编码算法标识；在自研协议中预留算法协商字段；在采购合同中明确要求供应商具备算法升级能力。

五、四个常见误区

1. "在负载均衡上开了混合密钥交换，迁移就完成了。" 实际上这只覆盖了密钥协商，证书签名与长期数据保密完全没有变化。迁移是三轨并行的：密钥交换、签名、长期数据保密，各有各的时间表与风险特征。
2. "选 SLH-DSA 更保险。" SLH-DSA 的哈希构造确实更保守，但签名体积可达 ECDSA 的约 112 倍，在 32 位硬件上签名能耗可能高出 243%。没有明确的保守性需求时，ML-DSA 才是更合理的默认选择。
3. 低估"签名变大"的连锁反应。 遗留固件升级机制、嵌入式 TLS 栈、老旧负载均衡配置中，常隐含对证书链大小或握手报文数量的假设，这些假设在引入 ML-DSA/SLH-DSA 后会失效。必须在真实硬件与真实网络路径上测试。
4. 过早押注 FN-DSA。 截至目前它仍未进入初始公开草案阶段，若把假设写进采购合同、供应商要求或内部路线图，等于把地基建在还在移动的目标上。

六、我公司的看法

有三点是我们想特别强调的：

1. 不要把"量子计算还没造出来"当作"还不用准备"的理由。 真正的约束不是量子计算机何时出现，而是你的数据需要保密多久。这两条时间线一交叉，结论往往是"现在就该动"。
2. 迁移的主体工作是工程问题，不是密码学问题。 算法已经由 NIST 定好，难点在于资产清单、兼容性验证、供应商协调与升级窗口编排——这些恰恰是可以立即启动、且不会因为算法变动而白做的部分。
3. 密码敏捷性是最保值的一项投入。 无论未来算法是否再次调整，"能快速替换算法"的能力都不会过时。

我公司可协助开展密码资产清单梳理、混合密钥交换部署与兼容性验证、长期保密数据识别、密码敏捷性改造方案设计等工作。如需就本单位情况做进一步评估，欢迎联系。

联系电话：0351-5255612（此为我公司唯一对外联系电话）
官方网站：www.sxslz.com（我公司对外邮箱后缀均为 @sxslz.com）
投诉与举报渠道：ts.sxslz.com

参考资料

1. NIST 后量子密码标准 FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA），2024 年 8 月 13 日发布；NIST 过渡草案 IR 8547
2. MITRE《后量子密码能力发展报告》，2026 年 9 月发布（证据采集于 2026 年 7 月）
3. IETF RFC 10024（X25519MLKEM768 等混合组，2026 年 8 月）、RFC 9955（混合签名，2026 年 7 月）、RFC 9242 与 RFC 9370（IKEv2 后量子扩展）
4. Cloudflare 官方说明（2026 年 4 月，超过 65% 人类流量已后量子加密，2029 年目标）；AWS 后量子支持说明
5. 《自然·物理学》量子实时反馈控制实验，科技日报 2026 年 10 月 12 日报道
6. Google《自然》论文（2026 年 7 月，Willow 处理器上强化学习与量子纠错结合）
7. Quantinuum Helios / Helix、Infleqtion Sqale、QuEra、IBM Starling 路线图、Microsoft Majorana 2 公开资料
8. 可信计算组织 TPM 2.0 Library 规范 1.85（2026 年 3 月）
9. OpenAI 与 MIT 关于 AI 智能体自主运行超导量子比特实验的案例研究（2026 年 9 月）；量智开物"白泽"平台（2026 年 9 月）

本文整理自公开论文、标准文档与厂商公告，仅供技术参考。具体方案请结合自身环境评估后确定。