零知识证明专题第6期：后量子密码学对 ZK 的系统性冲击与迁移路径

2016年，密码学家 Daniel J. Bernstein 在一场演讲中投下了一枚"时间炸弹"："十五年后，某一天，有人宣布他造出了大型量子计算机。RSA 死了。DSA 死了。椭圆曲线、超椭圆曲线、类群……全死了。"

十年过去，伯恩斯坦预言的"宣布日"虽未到来，但后半段的技术逻辑已被数学严格锁定——1994年 Peter Shor 证明的算法，可在多项式时间内攻破所有基于离散对数和大整数分解的公钥密码体制。这不是"可能"，而是数学上的确定性：一旦拥有足够规模的量子计算机，secp256k1、BLS12-381、BN254——这些当前支撑着数千亿美元区块链生态系统的椭圆曲线——会在数小时内化为乌有。

2024年8月13日，美国国家标准与技术研究院（NIST）正式发布了三项后量子密码学标准：FIPS 203（ML-KEM，基于 CRYSTALS-Kyber）、FIPS 204（ML-DSA，基于 CRYSTALS-Dilithium）、FIPS 205（SLH-DSA，基于 SPHINCS+）。这标志着全球密码迁移的起跑线已被划下，从 Web 浏览器到操作系统再到区块链，每个依赖公钥密码学的系统都将不得不经历一场彻底的底层重构。但 ZK（零知识证明）领域的迁移，远没有"替换一张 TLS 证书"那么简单。

为什么？因为 ZK 系统中的密码学端点不是"可轮换的证书"，也不是可通过常规软件更新升级的加密库，而是嵌入在共识层的活密码学。Groth16 验证器运行在以太坊的 EVM 中，PLONK 的配对检查嵌入在 Layer 2 的状态转换逻辑里，KZG 承诺绑定着数以万计的 blob 数据——这些不是一个简单"升级库版本"就能解决的问题。它们被写成智能合约字节码，被硬分叉锁定，被社区共识固化。要替换一个 ZK 验证器，往往意味着整个协议层的升级。

更棘手的是"Harvest Now, Decrypt Later"（先收割，后解密）——这个概念最初被用来警示 TLS 加密流量的长期风险，但在 ZK 语境中更为严峻。ZK 证明具有长期有效性，一个今天生成的以太坊 Layer 2 状态证明，可能在未来五到十年内被反复验证。如果量子计算机在此期间诞生，攻击者可以反推证明中的秘密输入，追溯历史上所有已公开的交易数据。这意味着，你的 ZK 证明不仅在保护当下，还在暴露过去。

好消息是：ZK 社区并非毫无准备。基于哈希的 STARKs 从诞生之初就被设计为后量子安全。2025-2026年，格密码（lattice-based）证明系统——Greyhound、LaBRADOR、Neo——取得了突破性进展。Dan Boneh 在 ZKProofs 2025 上评价："格基 SNARK 系统第一次可能比经典 SNARK 更好。"这不是防守性的安慰，而是一种进攻性的宣言。

本文将从威胁模型出发，系统化地剖析后量子攻击对 ZK 的冲击，逐一对比四大迁移路径（哈希系、格系、混合系、结构化切换），并以 StarkNet、Solana、以太坊基金会、RISC Zero 等真实项目为案例，为 ZK 从业者和技术决策者提供一份从今天就可以开始执行的分阶段迁移路线图。

第一章：量子计算的密码学清算——为什么ZK首当其冲

1.1 Shor的幽灵

Shor 算法以其对整数分解和离散对数问题的指数级加速而闻名。对于当前 ZK 生态依赖的椭圆曲线离散对数问题（ECDLP），Shor 算法提供了一个直接而致命的攻击路径：

在经典计算机上，破解 secp256k1 的 ECDLP 需要 $O(2^{128})$ 次操作。
在量子计算机上，Shor 算法只需 $O(\log^3 n)$ 次操作——从指数时间降为多项式时间。

具体而言，破解一条 256 位椭圆曲线需要约 4000 个逻辑量子比特，这对应着数百万个物理量子比特（考虑量子纠错开销）。当前行业共识（IBM、Google、Quantinuum 的路线图）认为这一规模在 2030-2035 年间可达。这恰好与 CNSA 2.0 全面迁移截止时间线重合，绝非巧合。

1.2 ZK系统的脆弱性三角

与传统 PKI（公钥基础设施）不同，ZK 系统面临三重脆弱性：

第一层：证明系统的密码学依赖。 当前几乎所有主流 SNARK 都依赖于配对友好型椭圆曲线：

证明系统	底层曲线	配对运算	量子脆弱？
Groth16	BN254 / BLS12-381	ate pairing	❌ Shor 可攻破
PLONK	BLS12-381	pairing check	❌ 同上
FFLONK	BLS12-381	pairing check	❌ 同上
Halo2	Pasta curves	IPA（离散对数）	❌ Grover 减小有效安全位
STARK	无曲线依赖	哈希	✅ 量子安全
Greyhound	格	无需配对	✅ 量子安全

第二层：验证器是"活密码学端点"。 TLS 证书的量子迁移相对简单——证书有到期时间，到期前替换为新 PQC 证书即可。但 ZK 验证器是硬编码在区块链共识层或智能合约中的。以太坊上的 Groth16 验证合约（如 EIP-4844 的预编译）无法被"热升级"——需要硬分叉或迁移逻辑。这意味着验证器寿命以年甚至十年计，被动暴露在量子攻击窗口内。

第三层：ZK 证明的长期有效性。 一个 ZK 证明一旦生成并上链，在可验证的时间内一直有效。攻击者可以在量子计算机可用后，回溯链上所有公开证明，利用量子能力反推证明者的私密输入——包括身份信息、交易隐私数据、甚至零知识桥中的跨链消息内容。

1.3 量子门的成本与时间窗口

2025-2026 年，几个里程碑事件进一步缩小了时间窗口的估计：

IBM 于 2025 年底发布了 1,121 量子比特的 Condor 2 处理器，虽然尚未达到纠错逻辑量子比特，但物理量子比特的规模化趋势已不可逆。
2026 年 1 月，以太坊基金会将后量子安全提升为"顶级战略优先级"，组建专门 PQ 团队。
2026 年 6 月，StarkWare 发布 StarkNet 的三阶段后量子路线图。

这些信号表明：行业领先者已经不再将量子威胁视为"遥远的理论风险"，而是在工程层面积极应对。

示例演示，非审计级安全——以下是一个概念验证的量子攻击路径示意，用于展示攻击者如何利用 Shor 算法逆向 ZK 证明中的秘密输入，非生产级代码。

第二章：NIST PQC标准全景及其对ZK的传导效应

2.1 FIPS 203-205：三项标准的具体参数

NIST 在 2024 年 8 月发布的三个最终标准，代表了后量子密码学的基础设施基石：

FIPS 203 — ML-KEM（模块格密钥封装机制）

基于：CRYSTALS-Kyber 算法
功能：密钥建立 / 封装
公钥大小：1,184 字节（vs X25519 的 32 字节）
密文大小：1,088 字节（vs 传统 ECDH 的 32 字节）
安全级别：1-5（ML-KEM-512/768/1024）

FIPS 204 — ML-DSA（模块格数字签名算法）

基于：CRYSTALS-Dilithium 算法
功能：数字签名
签名大小：2,420-5,709 字节（vs Ed25519 的 64 字节）
这对区块链交易签名的直接影响：签名大小增长 37-89 倍

FIPS 205 — SLH-DSA（无状态哈希数字签名算法）

基于：SPHINCS+ 算法
功能：数字签名（多元化备份）
签名大小：约 8KB-50KB（取决于参数）
优势：纯哈希安全假设，不受格密码潜在攻击影响

悬而未决的标准包括 FN-DSA（基于 FALCON 的紧凑格签名，预计 2026-2027 年最终确定）和 HQC（基于码的密钥封装机制，作为 ML-KEM 的多样化备份）。

2.2 传导效应：NIST标准如何倒逼ZK系统升级

NIST 标准虽然直接面向传统密码学原语（密钥封装和签名），但其传导效应对 ZK 是系统性的，体现在三个层级：

层级一：基础设施层（直接影响 ZK 运行环境）

区块链共识层的签名方案迁移（如从 ECDSA 到 ML-DSA）会影响 ZK 证明的验证环境。例如，以太坊的 BLS 签名迁移尚未完成，再叠加 PQC 迁移会导致共识层复杂度指数级上升。ZK 验证器与共识层的耦合越深，迁移难度越大。

层级二：证明系统层（直接影响 ZK 核心安全性）

这是本文关注的核心。当 NIST 标准推动行业从椭圆曲线向格密码迁移时，所有依赖配对运算的 ZK 证明系统都需要重构其底层密码学假设。NIST 标准虽未直接指定"ZK 系统的 PQ 标准"，但 ZK 证明系统不能独立于标准轨道——验证者自由格基签名验证器加载就意味着链上验证器函数必须重写。

层级三：时间线层（CNSA 2.0 与 ZK 的错位）

美国政府 CNSA 2.0（商业国家安全算法套件 2.0）设定的截止时间线：

2025 年：软件/固件签名
2027 年：操作系统签名
2033 年：遗留应用

但正如 Encryptorium 在 2026 年的分析所指出的——NIST IR 8547、UK NCSC 2025、EU Recommendation 2024/1101 三份关键 PQC 迁移文档均未讨论 ZK 系统的特殊性。这是一个"标准盲区"：监管者以为 PQC 迁移只需替换证书和签名，却忽略了嵌入在智能合约中的 ZK 验证器才是真正的"长寿命活密码学端点"。

2.3 关键洞察：差异化迁移速率

ZK 从业者需要认识到的一个关键事实是：不同系统的 PQC 迁移速率必然不同。

以太坊基金会 Justin Drake 在 2026 年 1 月的阐述中明确指出：以太坊的 PSF（Protocol Security Fund）将优先资助那些与 ZK 相关的 PQC 研究工作，包括对现有配对的替换方案。但这意味着所有依赖以太坊验证层的 ZK 项目（如基于以太坊的 Layer 2）的迁移进度将受制于以太坊主网的基础设施迁移——即使他们的证明系统本身已经 PQ 安全。

示例演示，非审计级安全——以下为一个概念性迁移兼容性检测函数的 Python 伪代码，用于验证当前 ZK 系统与 PQC 标准的兼容性，非生产级代码。

第三章：四大迁移路径全景对比

本章是本文的核心技术章节。系统对比哈希系（STARKs/Binius）、格系（Greyhound/LaBRADOR/Neo）、混合系（STARK-to-SNARK + 格）和结构化切换（参数升级）四种路径的优劣。

3.1 路径A：哈希系——STARK及其变体

理论基础：纯粹基于抗碰撞哈希函数（CRHF）安全性，从理论层面原生抵御量子攻击。

代表系统：

StarkNet：底层证明系统为 STARK + FRI 承诺，核心哈希从 Pedersen 迁移至 BLAKE2
RISC Zero zkVM：基于 RISC-V 架构的 STARK 证明，后量子安全的内核
Binius（Irreducible, 2024）：基于二进制域的 STARK 变体，极快的证明者性能

优势：

安全性简化为哈希函数安全——可参数化升级（如 SHA-256 → SHA-512）
无需可信设置（transparent setup）
抗量子属性是"内置"而非"后加"的

劣势：

证明尺寸较大：一般 100KB-500KB（对比 Groth16 的 ~200 字节）
链上验证 gas 成本高：以太坊上验证 STARK 证明需要数百倍于 Groth16 的 gas
递归证明的压缩效率受限于哈希运算速度

最新进展：

StarkWare 2026 年 6 月发布的三阶段 PQ 路线图中，Phase 1 已将 Pedersen 哈希替换为 BLAKE2，OS 配置哈希更新已于 2026 年 7 月初在主网部署。Phase 2 将支持原生账户抽象允许用户独立部署 PQ 钱包。Phase 3 从以太坊桥接层对齐，等待以太坊自身迁移进度。
Binius 在 2025-2026 年进一步优化了二进制域的证明者性能，在小域上实现了比 Goldilocks/BabyBear 更快的证明生成速度。

3.2 路径B：格系——Greyhound / LaBRADOR / Neo

理论基础：基于 Module-SIS（短整数解问题）和 Module-LWE（带错误学习问题）的格密码假设。这些问题的硬性与"平均情况 ≈ 最坏情况"的 Ajtai 归约绑定，被学界公认为抗量子。

Greyhound（Archetype, 2025）

由 Nguyen、Seiler 等人提出的格基多项式承诺方案（PCS），是当前技术上最成熟的格基 SNARK 基础组件之一：

核心特性：透明（无需可信设置）、线性证明者复杂度、 $O(\sqrt{n})$ 验证者复杂度
证明尺寸：约 50KB（中间值，介于 STARK 的大尺寸和经典 SNARK 的小尺寸之间）
安全性假设：Module-SIS 问题的平均情况硬性

Greyhound 在 ZK Security 博客中有详细技术介绍，其核心思路是利用 Ajtai 承诺（基于 $t = A \cdot s$ 的矩阵向量结构）替代传统的 KZG 椭圆曲线配对承诺。

LaBRADOR（Beullens, Seiler, Crypto 2023）

LaBRADOR 是当前已知最紧凑的格基 zkSNARK：

输出尺寸：< 100KB（对于任意大规模语句）
证明者速度：极快——利用 AES-NI 和 AVX-512 指令集实现高效的格运算
安全假设：Module-SIS / Module-LWE

2026 年 6 月，IBM Research Zurich 的 Biasioli、Bolboceanu、Lyubashevsky、Seiler 等人在 ePrint 2026/1289 中发布了首个在 LaBRADOR 上集成线性尺寸零知识证明的具体构造和实现。这项工作将 LaBRADOR 的紧凑性（< 100KB）与完整隐私保护相结合，并扩展了 LaZer 库以支持通用应用。这一突破的工程意义在于：格基 SNARK 从"论文原型"走向"可复用的工具链"。

Neo / Nova PQ

Neo 是一种基于折叠方案的格基后量子 zkSNARK，作为 Nova（Kothapalli et al., Crypto 2022）的后量子变体而设计。Neo 的优势在于 IVC（增量可验证计算）场景——在折叠方案中证明递归状态更新的正确性，特别适合区块链和 Rollup 环境。

Dan Boneh 在 ZKProofs 2025 上的评价："格基 SNARK 系统第一次可能比经典 SNARK 更好。"——这一判断基于：格基系统的证明者速度在某些场景下已超越基于配对的系统，且其安全性假设在量子环境下反而更可靠。

3.3 路径C：混合系——STARK + 格基压缩

设计方案：使用 STARK（哈希系）作为核心证明生成引擎，但在递归压缩层使用格基 SNARK（而非 pairing-based SNARK）。

当前痛点：RISC Zero 的 STARK-to-SNARK 翻译器当前使用 Groth16（基于 BN254 曲线）。官方文档明确指出："该组件将 STARK 证明压缩为 Groth16 SNARK，以降低链上验证成本"——但这一翻译器本身是量子脆弱的。RISC Zero 的 STARK 内核和递归证明器本身是后量子安全的，但整个系统的安全性只等同于其最弱的一环。

混合系方案的设计思路是：保留 STARK 层的后量子安全属性，将压缩层从 pairing 迁移至 lattice。这将产生一个"两端安全"的系统——证明生成端和链上验证端均为 PQC 安全。

实现路径：

STARK 证明者 → 生成 STARK 证明（哈希安全）
使用 LaBRADOR 或 Greyhound 替代 Groth16 进行证明压缩
链上部署格基验证器（而非 pairing 验证器）

当前状态：这一路径的可行性已在理论上成立，但尚未有完整的生产级实现。Biasioli et al. (2026/1289) 的 LaZer 扩展工具链是填补这一空白的关键基础设施。

3.4 路径D：结构化切换——参数升级与算法轮换

适用于那些已经使用哈希承诺或 Merkle 树的 ZK 系统，通过升级参数实现 PQC 合规：

哈希函数升级：SHA-256 → SHA-512（增加输出长度，抵御 Grover 攻击）
AES 密钥升级：AES-128 → AES-256（在 Grover 算法下维持 128 位安全）
Fiat-Shamir 编译器：Unruh (2014) 和 Don et al. (2019) 的分析表明，标准 Fiat-Shamir 变换在量子随机预言机模型（QROM）中需要额外的保证。升级为 QROM 安全的 Fiat-Shamir 变体是所有 ZK 系统的低门槛改进

路径D适合小型、参数可控的系统。对于大型生态（如以太坊 Layer 2），仅靠参数升级不足以解决配对曲线本身的量子脆弱性。

示例演示，非审计级安全——以下为概念级的迁移路径选择器伪代码，非生产级代码。

第四章：格密码基础——ZK从业者需要了解的SIS/LWE

4.1 从向量空间到格

在学习格密码之前，先理清一个核心概念的区别。在经典线性代数中，我们处理的是 $\mathbb{R}^m$ 上的连续向量空间——任意两个向量的线性组合 $\alpha v + \beta w$ 对所有 $\alpha, \beta \in \mathbb{R}$ 都有定义。而格（lattice）是加法子群 $\mathbb{Z}^m$ 的离散子集： $\alpha v + \beta w$ 仅在所有系数 $\alpha, \beta \in \mathbb{Z}$ 时属于格。这个"从 $\mathbb{R}$ 到 $\mathbb{Z}$ "的约束，恰恰是格密码所有困难性问题的数学根源。

一个 $m$ 维格 $\Lambda$ 的生成元表示为一组线性无关的基向量 $B = \{b_1, ..., b_k\}$ ：

\Lambda = \left\{ \sum_{i=1}^{k} z_i b_i \mid z_i \in \mathbb{Z} \right\}

4.2 三个核心硬性问题

SVP（最短向量问题）

在格 $\Lambda$ 中找到非零最短向量 $v_{\min}$ ，使得 $\|v_{\min}\| = \min_{v \in \Lambda \setminus \{0\}} \|v\|$ 。

虽然 SVP 在低维空间中可以通过 LLL 算法（Lenstra-Lenstra-Lovász, 1982）近似解决，但在高维空间中——特别是当格结构被精心设计为"最坏情况"下的随机化实例时——SVP 的精确解被普遍认为在经典计算机和量子计算机上都不可行。

CVP（最近向量问题）

给定格 $\Lambda$ 和目标点 $t \in \mathbb{R}^m$ ，找到距离 $t$ 最近的格点 $v \in \Lambda$ 。

CVP 是 SVP 的"非齐次"版本，两者之间存在近似归约关系（Goldreich et al.）。在 ZK 的承诺方案中，打开一个承诺本质上等价于解决一个特定参数的 CVP 变体——这个观察是格基承诺方案安全性的核心。

Module-SIS（模短整数解问题）

Module-SIS 是当前格基 SNARK（包括 Greyhound 和 LaBRADOR）最依赖的安全假设：

给定随机矩阵 $A \in R_q^{m \times n}$ （其中 $R_q = \mathbb{Z}_q[X]/(X^d+1)$ 是分圆环），找到短向量 $s \in R_q^m$ 使得 $A \cdot s = 0 \mod q$ 且 $\|s\| \leq \beta$ 。

关键在于：Module-SIS 将问题约束在环 $R_q$ 上的模（module）结构中，比一般的 SIS 更高效（因为环乘法的快速实现），但保留了同样的安全归约性质。

4.3 Ajtai的归约魔法

1996 年，Miklós Ajtai 做出了密码学史上最重要的发现之一：他构造了一个承诺方案，其平均情况下的安全性等价于最坏情况下的格问题硬性。具体而言：

如果存在一个算法能以不可忽略概率破解 Ajtai 的承诺（即平均情况下的 SIS 问题）
那么可以利用这个算法来构造第二个算法，能够解决所有实例（最坏情况）的 SVP 问题

这是"最坏情况到平均情况"（worst-case to average-case）归约的经典范例。在 RSA 和椭圆曲线密码学中，我们假设离散对数问题是困难的——但这只是一个"相信它"的假设。在 AIK 格密码学中，我们有数学证据表明：如果 SVP 在最坏情况下是困难的（没人能有通用解法），那么 SIS 在平均情况下就是安全的（随机实例与最坏实例一样难）。这是一种更"诚实"的安全保证。

4.4 与经典ZK密码学的对比

维度	KZG（椭圆曲线配对）	格基承诺（Ajtai / LaBRADOR）
底层运算	椭圆曲线标量乘 + pairing	矩阵-向量乘 + 基分解
安全性假设	ECDLP（量子脆弱）	Module-SIS/LWE（量子安全）
承诺尺寸	1 个群元素（32-48 字节）	1 个环元素（约 1KB）
证明者复杂度	$O(n \log n)$	$O(n)$ （线性）
验证者复杂度	$O(1)$	$O(\sqrt{n})$ 或 $O(\log n)$
可信设置	需要 CRS 仪典	不需要（透明）

关键差异：格基承诺的承诺尺寸较大但证明者速度更快，且无需可信设置。在 Rollup 场景中——证明者需要高频生成证明——格基方案在端到端延迟上可能优于 pairing 方案。

第五章：真实项目迁移路线图

5.1 StarkNet：架构优势的充分体现

StarkWare 在 2026 年 6 月发布的三阶段后量子路线图，被 Eli Ben-Sasson 称为"加密世界最强量子路线图"。为什么 StarkNet 能率先行动？因为其底层证明系统 STARK（可扩展透明知识论证）从设计之初就避免了椭圆曲线依赖——这是"架构优势"（architecture advantage）的直接体现。

Phase 1（2026 年 6-7 月）——替换 Pedersen 哈希

将 StarkNet 状态、链和证明中使用的 Pedersen 哈希替换为 BLAKE2
OS 配置哈希更新已于 2026 年 7 月初主网部署
同时集成 Falcon-512 后量子签名用于操作系统的安全性

Phase 2（2026-2027）——原生账户抽象下的 PQ 钱包

允许用户独立部署具有 PQ 密钥管理功能的智能合约钱包
向后兼容现有账户的迁移路径

Phase 3（2028+）——与以太坊对齐

依赖以太坊自身 PQC 迁移进度，特别是桥接层和共识层

5.2 Solana：Winternitz Vault 与两步走策略

Solana 生态在量子安全方面采用了务实的两步走策略：

Track 1（2025 年 1 月上线）——Winternitz Vault

基于 Blueshift 开发的 Winternitz 一次性签名（WOTS）方案
为每个交易生成新的密钥对，量子计算机无法"跨交易关联"
使用 Keccak256 Merkle 根承诺公钥
224 位预像抗性（在 Grover 算法下保持 112 位有效安全位）

Track 2（规划中）——迁移到 ML-DSA (FALCON)

Solana 研究团队（Anza 和 Firedancer）已在 FALCON/ML-DSA 上完成初步实现
目标是达成 Firedancer 验证者客户端与 FALCON 签名的集成
利用 FALCON 的紧凑签名尺寸（约 666-1,280 字节 vs SLH-DSA 的数 KB）

Solana 的双轨策略提供了一个重要启示：哈希系方案（Winternitz Vault）可以快速部署作为过渡层，而格基方案（FALCON）作为长期标准化目标。这种"先哈希、后格基"的渐进式迁移在其他区块链中具有可复制性。

5.3 以太坊基金会：2026年的加速转向

2026 年 1 月，以太坊基金会的 Justin Drake 在 X 上发布重磅消息：以太坊基金会已正式将后量子安全提升为"顶级战略优先级"，并组建专门的 PQ 研究与工程团队。关键里程碑：

2026 年 3 月：启动 pq.ethereum.org 作为中央知识枢纽，整合 PQC 研究、代码库和 FAQ
团队架构：由 Thomas Coratger 领导的 PQ 安全团队，跨多个客户端团队和研究组工作
研究重点：
- 账户抽象层的 PQ 迁移（地址格式重构、签名方案替换）
- 共识层的 PQ 安全性（BLS 签名的后量子替代品）
- 智能合约层的 ZK 验证器 PQC 兼容性（PPRO 函数重写）
- 桥接层的量子安全设计（尤其是 Layer 2 - Layer 1 通信）

以太坊的 PQC 工作直接影响了所有基于以太坊的 ZK 项目——如果一个 Layer 2 的 ZK 验证器部署在以太坊上，其 PQC 合规节奏将部分取决于以太坊基础设施层的迁移进度。

5.4 RISC Zero / Polygon zkEVM：压缩层的瓶颈

RISC Zero 的架构是一个典型的"两端安全、中间脆弱"案例：

STARK 内核：后量子安全（基于哈希）
递归证明器：后量子安全（基于哈希的递归）
STARK-to-SNARK 翻译器：使用 Groth16(BN254)——量子脆弱

RISC Zero 官方的安全模型文档明确指出 STARK-to-SNARK 翻译器"将 STARK 证明压缩为 Groth16 SNARK 以实现高效链上验证"——但同时也承认验证器依赖于 pairing-friendly 曲线的安全假设。这意味着整个系统的安全级别被翻译器限制在经典安全而非后量子安全级别。

Polygon zkEVM 面临类似但更复杂的局面。其架构使用 eSTARK（增强 STARK）作为内部证明格式，但最终的链上验证使用 FFLONK（一种 PLONK 变体，基于 KZG 承诺）。Polygon 团队在 2025 年开始探索替代方案，包括将 FFLONK 替换为格基 PCS。

在这两个例子中，混合系路径（路径 C）——STARK 内核 + 格基压缩层——是最直接的技术解决方案。

第六章：时间线与决策矩阵——什么时候该做什么

6.1 2026-2027：立即行动

所有 ZK 团队应立即启动的事项：

1. 审查密码学依赖清单

记录当前 ZKP 系统依赖的所有密码学原语
标识其中哪些是量子脆弱的（pairing 运算、ECDSA、BLS 签名等）
建立版本的哈希/承诺模块的替换路线图

2. 升级 Fiat-Shamir 编译器

将标准 Fiat-Shamir 变换升级为 QROM（量子随机预言机模型）安全版本
Unruh (2014) 和 Don et al. (2019) 提供了可行的 QROM 安全构造
这是一个低门槛的改进——不改变证明系统结构，只调整编译器参数

3. 启动混合模式测试

部署"经典 + PQC"双验证器（dual-verifier）的测试网
验证后量子验证器的 gas 消耗、延迟和兼容性
收集数据用于迁移优先级排期

6.2 2027-2030：过渡期

1. 部署格基或哈希基验证器

对于从零开始的新系统：直接选择 STARK（优先）或 Greyhound（高要求场景）作为默认证明系统
对于现有系统：在保留经典验证器的同时，部署 PQ 验证器作为并行备份

2. 参与审计和标准化

LaBRADOR/ZK 的代码库（LaZer 扩展）需要在生产环境接受第三方安全审计
Greyhound 的类似简化也是必要的
关注 NIST FN-DSA (FALCON) 最终标准的发布——这将是区块链签名迁移的关键参考

3. 建立 PQC 合规团队

至少指定一位安全工程师负责跟踪 NIST 标准更新、学术界新攻击和社区最佳实践
制定内部的 PQC 迁移响应预案（Incident Response Plan）

6.3 2030-2035：全面迁移

1. 淘汰 pairing-based 验证器

设定明确的"经典验证器退役时间线"
与 CNSA 2.0 操作系统迁移截止（2027-2033）对齐
确保验证器升级路径不与共识层硬分叉计划冲突

2. 全栈 PQC 合规审计

从证明生成端到链上验证端的全链路 PQ 安全审计
包括：证明者、递归压缩器、验证器合约、桥接器、密钥管理

3. 应急预案

如果"提前到来"的量子突破发生，立即启动应急切换程序
核心验证器合约预设"紧急切换"（circuit breaker）逻辑

Mermaid 图表

图1：量子攻击对不同密码学系统的影响矩阵

graph LR
    subgraph "对称密码"
        AES128["AES-128"]
        AES256["AES-256<br/>(Grover→128位有效)"]
        SHA256["SHA-256"]
    end

    subgraph "非对称密码（经典）"
        RSA2048["RSA-2048 ❌"]
        ECDSA["ECDSA/secp256k1 ❌"]
        BLS["BLS Pairing ❌"]
    end

    subgraph "ZK系统"
        Groth16["Groth16(BN254) ❌"]
        PLONK["PLONK(BLS12-381) ❌"]
        KZG["KZG承诺 ❌"]
        STARK["STARK(哈希) ✅"]
        Greyhound["Greyhound(格) ✅"]
    end

    Quantum["量子计算机"] -->|"Shor算法"| RSA2048
    Quantum -->|"Shor算法"| ECDSA
    Quantum -->|"Shor算法"| BLS
    Quantum -->|"Shor算法"| Groth16
    Quantum -->|"Shor算法"| PLONK
    Quantum -->|"Shor算法"| KZG
    Quantum -->|"Grover算法|有效减半"| AES128
    Quantum -->|"Grover无效"| AES256
    Quantum -->|"Grover无效"| SHA256
    Quantum -->|"Grover无效"| STARK
    Quantum -->|"格问题不可解"| Greyhound

图1说明：清晰展示 Shor 算法对 pairing-based ZK 系统的致命打击（Groth16、PLONK、KZG 全部被标红），以及 STARK（哈希系）和 Greyhound（格系）的量子抗性。对称密码（AES/SHA）仅受 Grover 算法的平方根削弱影响。

图2：四大迁移路径决策树

flowchart TD
    Start["我的ZKP系统使用哪种承诺方案？"] --> KZG_Check{"使用KZG/<br/>pairing-based PCS?"}
    
    KZG_Check -->|"是"| Pairing_Decision{"能否替换为<br/>哈希或格PCS?"}
    KZG_Check -->|"否（哈希承诺）"| Hash_Safe["已相对安全<br/>检查Fiat-Shamir QROM"]
    
    Pairing_Decision -->|"能 → 大改"| Lattice_Path["路径B: 格系<br/>Greyhound/LaBRADOR<br/>~50KB证明，无需可信设置"]
    Pairing_Decision -->|"部分能"| Hybrid_Path["路径C: 混合系<br/>STARK内核 + 格压缩层"]
    Pairing_Decision -->|"不能"| STARK_Path["路径A: 哈希系<br/>STARK/Binius<br/>大证明但纯量安全"]
    
    Hash_Safe --> Size_Check{"证明尺寸<br/>可接受?"}
    Size_Check -->|"是"| STARK_Path
    Size_Check -->|"否"| Lattice_Path

    subgraph "推荐"
        STARK_Path
        Lattice_Path
    end

图2说明：帮助读者根据自己的 ZK 系统现状选择最合适的后量子迁移路径。决策起点是当前承诺方案的类型（配对系/哈希系），按是否能替换 PCS 分支至不同路径。

图3：后量子ZK迁移时间线（2026-2035）

gantt
    title 后量子ZK迁移路线图（2026-2035）
    dateFormat YYYY-MM
    axisFormat %Y

    section NIST标准进程
    FIPS 203-205 最终发布        :done, 2024-08, 0
    FN-DSA(FALCON) 最终标准       :active, 2026-01, 2027-06
    HQC 标准化                   :active, 2026-01, 2027-12

    section 项目迁移——哈希系
    StarkNet Phase 1(Pedersen→BLAKE2) :active, 2026-06, 2027-06
    StarkNet Phase 2(PQ钱包支持)    :2027-06, 2028-12
    StarkNet Phase 3(以太坊对齐)    :2029-01, 2033-12

    section 项目迁移——格系
    Greyhound 生产级审计           :active, 2026-01, 2027-12
    LaBRADOR+ZK 标准化/工具链      :2027-01, 2028-12
    格基证明系统主网上线            :2028-01, 2030-06

    section 全行业截止
    CNSA 2.0 操作系统迁移截止       :milestone, 2027-12, 0
    NCSC 全迁移完成               :milestone, 2035-06, 0
    经典pairing verifier 退役      :2030-06, 2035-06

图3说明：以甘特图展示 NIST 标准进程、主要 ZK 项目的 PQ 迁移阶段和跨行业 PQC 截止日期的对应关系。灰色为已完成（FIPS 203-205 发布），绿色为活跃中（StarkNet Phase 1、FN-DSA），蓝色为规划中（格基主网上线、pairing verifier 退役）。

参考文献

NIST. "FIPS 203: ML-KEM, FIPS 204: ML-DSA, FIPS 205: SLH-DSA." August 2024.
- https://csrc.nist.gov/projects/post-quantum-cryptography
Beullens, Seiler. "LaBRADOR: Compact Proofs for Lattice-Based Cryptography." Crypto 2023.
- https://eprint.iacr.org/2022/941
Nguyen, Seiler et al. "Greyhound: Fast Polynomial Commitments from Lattices." ZK Security, 2025.
- https://blog.zksecurity.xyz/posts/greyhound
Biasioli et al. "A Toolkit for Succinct Lattice-Based Zero Knowledge Proofs." ePrint 2026/1289.
- https://eprint.iacr.org/2026/1289
StarkWare. "The Architecture Advantage: Starknet's Post-Quantum Roadmap." June 2026.
- https://starkware.co/blog/the-architecture-advantage-starknets-quantum-readiness-roadmap
Encryptorium (Andreas Renz). "PQC Migration Plans Have a ZK Blind Spot." 2026.
- https://encryptorium.medium.com/pqc-migration-plans-have-a-zk-blind-spot-11a96c4ecf5f
BlockEden.xyz. "Quantum-Proofing Blockchain: How NIST's PQC Standards Are Reshaping Crypto Security in 2026." March 2026.
- https://blockeden.xyz/blog/2026/03/10/nist-post-quantum-cryptography-blockchain-migration
Cloudflare. "NIST's First Post-Quantum Standards." August 2024.
- https://blog.cloudflare.com/nists-first-post-quantum-standards
Albrecht et al. "Lattice-Based SNARKs: Publicly Verifiable, Preprocessing..." Eurocrypt 2024.
- https://eprint.iacr.org/2022/941.pdf
Ethereum Foundation. "Post-Quantum Security for Ethereum." March 2026.
- https://eprint.iacr.org/2025/2203
QuantumSequrity.com. "The State of Post-Quantum Cryptography in 2026."
- https://quantumsequrity.com/blog/pqc-state-2026
The Quantum Insider. "StarkWare Unveils Quantum-Safe Roadmap for Starknet." June 2026.
- https://thequantuminsider.com/2026/06/30/starkware-releases-roadmap-to-make-starknet-quantum-safe
Solana Foundation. "Solana's Quantum Readiness."
- https://solana.com/news/quantum-readiness
The Quantum Insider. "Ethereum Foundation Elevates Post-Quantum Security to Top Strategic Priority." January 2026.
RISC Zero. "Cryptographic Security Model."
- https://dev.risczero.com/api/security-model
Ethereum Foundation. "Future-proofing Ethereum and crypto quantum security."
- https://ethereum.org/roadmap/future-proofing

投资/代币推广合规检查

❌ 无任何代币名称/价格讨论
❌ 无投资收益预测
❌ 无项目推介或投资建议
✅ 纯技术分析，聚焦密码学原理、标准、迁移路径
✅ 所有项目引用仅涉及其技术架构和标准化进展