清华段斯斯谈AI与密码学：数学难题未破，真实系统风险更近

币安在 10 月 30 日公开了热钱包遇袭一事，失窃的代币资产约 63 亿美元。初步排查下来，钱包私钥外泄的迹象并没有出现。按币安的说法，问题可能出在一名运维工程师的电脑被入侵，攻击究竟怎么进来的，眼下仍在查。

签名和共识协议在原理上没问题，钱包和提现流程照样可能出风险。这件事让外界再次关注区块链安全：底层协议安全，能不能保住真实金融系统里的资产？系统又该怎么应对这些风险？

另一边，AI 在数学研究和自动找漏洞上不断有进展。人们难免担心：AI 会不会攻破现代密码学依赖的数学难题？在系统安全上，AI 是让防守方获益更多，还是让攻击方更占先机？

围绕 AI 时代的安全挑战和密码学的应用，近日 DeepTech 在清华大学与段斯斯聊了聊。

段斯斯是清华大学高等研究院研究员，长期研究分布式系统、区块链和应用密码学。她提出过 BChain、Dashing 等共识协议，其中 BChain 的衍生方案被用于超级账本 Iroha 项目以及多国的央行数字货币，Dashing 协议则用在数字人民币、多边央行数字货币桥等项目上。2021 年，因为在区块链共识协议领域的突出贡献，她入选《麻省理工科技评论》中国区 “35 岁以下科技创新 35 人”（TR35）。

段斯斯认为，眼下没有证据表明 AI 已经攻破现代密码学所依赖的数学难题。相比之下，代码和真实系统中的安全问题更迫近。AI 能帮研究者分析算法、编写形式化模型，也可能让攻击者找漏洞找得更快。她和团队正从实际系统入手，检查共识协议的安全性，并尝试用 AI 辅助寻找攻击路径。

AI Agent 一旦进入支付、多方协作这些场景，安全问题的形态也会跟着变。段斯斯团队此前做测试时就碰到过 Agent 越权读写、越权支付的情况。Agent 代替人去付款，系统不光要判断这笔操作合不合法，还得确认它有没有越过用户的授权边界。在她看来，密码学可以提供验证手段，但安全机制的设计仍要落在真实场景里的具体问题上。

以下为 DeepTech 与段斯斯的对话。

后量子密码何时换，形式化验证能验到哪

DeepTech：你长期关注密码学、区块链和系统安全，能说说近几年聚焦的工作吗？

段斯斯：严格讲，我的方向偏应用密码学，主要关注密码协议及其应用。

密码学作为一个大范畴，可以分成几类。一类是底层密码算法，以及这些算法依赖的数学困难问题和模型。很多密码算法在设计时都基于某个数学困难问题，安全性分析和证明一般会归约到这个问题在现有计算条件下难以求解。研究者再在这个基础上构建出各类密码算法。

另一类是密码协议。它在算法之上考虑两方或多方参与者要相互通信的场景，设计一套交互流程。协议安全性也有对应的分析方法，通常又依赖底层密码算法的某些性质。

我从读博士起就一直关注分布式协议，研究最多的是共识协议：多方参与、部分节点可能出错甚至被攻击者控制时，诚实节点怎么达成共识。

共识作为理论问题，提出的时间其实很早。1982 年，图灵奖得主 Leslie Lamport 等人对拜占庭将军问题做了研究，距今四十多年。到 2000 年前后，实用化的共识协议已经出现不少。2008 年比特币问世，拜占庭容错共识借区块链被更多人所知。但话说回来，能容忍节点宕机、离线这类故障的协议，早就在分布式数据库等系统里广泛使用，至今仍是重要的基础技术。

DeepTech：近年来量子计算发展很快，它对区块链系统安全的潜在影响也一直受关注。量子计算可能威胁区块链的哪些安全基础？学界和业界目前怎么应对？

段斯斯：区块链大量依赖公钥密码来验证交易，量子计算的潜在威胁也集中在这里。

传统公钥密码里有 RSA、现在广泛使用的 ECDSA，以及我国商用密码体系中的 SM2。RSA 基于大整数分解难题，ECDSA 和 SM2 则基于椭圆曲线离散对数难题。

眼下公钥密码所倚仗的数学难题，将来或许会被足够强大的量子计算机快速解出。后量子密码的思路不同，它建立在目前看来量子计算机同样难以高效求解的问题之上，用来抵御量子计算的攻击。美国国家标准与技术研究院已经征集并敲定了一批后量子密码算法；国内同样启动了算法征集与评审，日后会形成自己的标准。

金融系统和区块链系统眼下都在权衡一件事：现有公钥密码要不要提前换成后量子方案。新方案的密钥和签名一般更大，通信、存储的开销可能随之上涨，系统跑起来也会变慢。真正棘手的是怎么平稳过渡，这是落地时绕不开的难题。

DeepTech：后量子密码正在一步步走向标准化，可一条已经跑起来的区块链，不可能一夜之间把所有签名都换掉。在您看来，后量子方案从标准确定到大规模应用要多久，区块链又该从什么时候动手迁移？现实中会碰到哪些阻力？

段斯斯：迁移后量子密码，区块链并不是唯一的对象。美国国家标准与技术研究院（NIST）在 2024 年发布了首批后量子密码标准，2026 年起要求各机构拿出迁移计划，目标是 2030 年完成迁移。国内近期也启动了新一代商用密码算法的征集，投稿算法已经公布，打算一边征集一边试点，让迁移过程平缓一些。

落到区块链上，以太坊基金会在 2026 年 9 月给出了技术路线，要在 2029 年底之前把后量子密码迁移做完。国内这边，相关科研项目也在陆续部署，研究方向是区块链系统的后量子密码迁移。

就目前来看，现实阻力集中在性能和兼容性上，更多还是密码工程层面的问题。这里面也有可研究的方向，比如设计基于对称密码和哈希函数的共识协议，让共识本身具备后量子安全性，性能压力或许也能减轻一些。

DeepTech：以你的研究经验来看，一个系统达到什么程度才算安全可靠？底层协议在理论上已被证明安全，实际系统为什么还是可能出事？

段斯斯：系统安全这件事本身就相当复杂。特别是那些靠密码协议搭起来的系统，安全范围既覆盖算法和协议，也覆盖软件实现。

理论研究证明的往往只是一小段伪代码。从伪代码走到真实代码，中间还隔着系统设计这一关：系统拆成哪几个模块、每个模块维护什么变量、收到消息后做哪些检查，全都得定下来。一行伪代码落到实际系统里，可能对应几十行甚至上百行代码，换个人来写，结果也不一样。段斯斯举例说，伪代码大致只交代了节点收到消息、满足条件后在超时触发时投票，看着就两步；可实际代码要校验消息和签名、处理各种状态，光收到一条消息后的检查就可能占几十行，真正对应“超时后投票”的部分反倒只是后面很短的一截，而这还只是整个系统里的一个函数。

眼下不少漏洞挖掘工作是从代码本身查安全问题，很少去核对代码有没有实现协议的理论设计。对可证明安全的协议来说，这种匹配恰恰很关键。

DeepTech：协议的理论设计与真实代码之间存在落差，诞生于半个多世纪前的形式化验证因此重新受到关注。在这项工作里，你认为 AI 能帮上什么忙？

段斯斯：AI 如今的代码生成能力很强。形式化验证是用数学方法严格证明系统是否符合设计规范的技术，本质上也要靠类似代码的语言来构建，所以 AI 多少能加快这个过程。

不过从我们的观察看，AI 写 Java、C 这类常见语言已经比较拿手，写形式化方法的代码却还没那么成熟。原因之一可能是：互联网上常规代码海量可学，高质量的形式化代码却少得多。

比如我们去年做、今年发表的一项工作，就是试着让大语言模型生成形式化验证所需的代码，再引入专家知识来提升质量。这也是我近两年越发关注真实系统安全的原因之一。

DeepTech：你前面提到 AI 已经能辅助编写形式化验证所需的代码，现在也有企业在探索相关产品。未来三到五年，你预计 AI 在形式化验证上能做到什么程度？结合你团队的研究，要让 AI 独立为共识协议建立可靠的验证模型，最大的难点在哪里？

段斯斯：以往形式化验证高度依赖专家知识，还很费时间。现在有 AI 辅助，专家依然少不了，但不少工作已经能更快做完。我认为，往后用形式化验证辅助代码编写和科研，甚至让 AI 同时生成代码及其形式化验证，都会是重要的发展方向。

近期我们研究 TLA+ 这类模型检查工具时，仍能看到一些难题。比如建模无法与共识理论完全对上、模型状态容易膨胀到检查做不完。其中一些问题跟 TLA+ 自身的局限有关。所以除了提升 AI 能力，基础工具也得继续往前走。

币安遭袭，金融系统安全如何守？

DeepTech：币安热钱包遭袭后，区块链是否安全再次引发热议。从目前披露的信息看，初步线索指向运维终端被入侵，完整攻击路径还没查清。你怎么判断这起事件的症结？

段斯斯：从目前的新闻报道看，一种可能是攻击者控制了存放钱包私钥的电脑，让签名服务执行了异常提现。若真是这样，被攻破的是系统的运行环节，底层密码学机制或共识机制并没有被攻破。这也说明，密码学机制落到真实系统里之后，仍会碰到许多安全风险。

DeepTech：对币安这类加密资产交易平台来说，哪些环节最容易变成攻击入口？你觉得今后最该优先加固的是哪一道关口？

段斯斯：其实币安是一家中心化交易所，它面临的不少风险与传统金融业务很像。在我看来，系统安全牵扯多个环节，只加固某一道关口很难解决问题。只有把各个环节都做系统性设计，风险才可能尽量降下来。

DeepTech：从交易所的热钱包再延伸到区块链应用本身，一般来说，你认为哪些安全风险最容易被忽视？

段斯斯：国内和国外区块链的技术路线不一样，我觉得可以先按链的类型分开看。国内很多项目是联盟链，由特定机构在相对封闭的网络里运营；国外受关注较多的是公链，面向公网，大量数据和代码都是公开的。公开方便外界检查，同时也给攻击者送去更多可分析的素材。

我们看到的很多安全事件，其实出在应用层，比如钱包被盗、资产被转走，和常见的网络攻击很像。AI 发展起来后，自动找代码漏洞可能让系统漏洞更容易被利用。智能合约审计了这么多年，新问题还是不断冒出来，软件安全也很难一劳永逸。此外，业界也在讨论后量子密码的迁移。

DeepTech：区块链交易里的经典安全问题，比如双花攻击，现在有没有比较好的解决办法？

段斯斯：双花是金融系统都得防的问题。它的意思是：我手里只有 100 元，付给你之后，就不能拿同一笔钱再付给另一家商户。区块链靠底层共识协议，保证相互冲突的交易不会同时被记成有效记录。

共识机制各有各的做法。经典拜占庭容错协议一般靠节点投票推进；不少权益证明（PoS）系统同样由验证者投票，决定认可哪些区块。比特币用的工作量证明（PoW）要消耗大量算力，耗电也多。投票类机制通常没有这样规模的计算开销。

双花有没有解决，不能只看系统选了哪种机制。理论上，底层共识协议正确、其安全前提得到满足，相应的共识层攻击就不该发生；协议设计或安全证明不充分，实际运行照样可能出问题。

还有一层：软件实现是否对得上理论设计。协议本身正确，实现偏离设计也会引入漏洞；底层设计本身有缺陷，系统同样可能被攻破。过去几年发现的一些共识攻击，就与底层安全分析不够完备有关。

DeepTech：团队分析过以太坊、BNB Chain 等真实系统。能否举一个例子，说明会遇到什么样的安全问题，以及可以怎样改进？

段斯斯：研究主要沿两个方向展开。第一类关注底层共识本身的安全性。团队从真实系统中梳理实际运行的协议，再检查设计和安全证明是否严谨。缺口一旦存在，系统可能发生双花，也可能无法正常出块。

另一类关注的是经济安全，即奖励与惩罚会怎样作用于系统本身。联盟链大多由已知机构运营，环境相对可控，还配有专用网络、机房门禁等防护手段；公链则不同，参与者能自行启动或停掉节点，系统只能靠奖励来吸引他们持续出块、参与投票。

以以太坊为例，验证者按规则参与就能获得代币奖励。奖惩会影响验证者的资产和相对质押权重，传统共识分析却通常只考虑多少节点受到攻击，较少把激励机制纳入同一个框架。

2024 年，团队研究过这样一条攻击路径：诚实的验证者照协议正常投票，攻击者却能让其他节点最终把这些票判为无效。也就是说，验证者做对了事，奖励照样可能拿不到，甚至还要挨罚。

这种情况长期持续，诚实验证者的收益会下降，攻击者的质押权重占比可能上升，进而威胁底层共识安全。团队提出了可证明安全的改进方案，但证明只在特定条件下成立。

以往，攻击者在什么时间点控制哪些节点、做哪些动作，主要靠研究者凭经验去推演。团队眼下也在尝试引入 AI。今年发表的一项工作用强化学习来调整攻击参数，让攻击效果更好，可最早的攻击路径还是人找出来的。大模型能不能自己去搜路径，仍有待摸索。

DeepTech：从金融应用来看，你参与设计的很多共识协议进入了实际项目。从你的观察看，区块链目前主要用在哪些场景？

段斯斯：跨境支付就是一个比较典型的场景。参与方来自不同国家和地区，不存在单一的管理主体，相互之间也未必信任，这就需要一套多方协作的机制。

团队与中国人民银行数字货币研究所合作的多边央行数字货币桥（mBridge）便是一例。该项目已有真实交易在跑，参与方来自多个国家和地区，主要服务跨境大额转账。

这类场景对区块链的需求更明确。国内一些有统一管理主体的场景，可能更需要解决隐私问题，因此不一定非要用区块链。

DeepTech：即便技术可靠，用户仍可能误点钓鱼链接或误签交易。金融应用应怎样分配人的判断与系统的保护责任？

段斯斯：我自己就犯过困得不行时点开钓鱼邮件的错。加密货币钱包在支付或授权时会弹窗，界面和以前看着差不多，用户没准没细看内容就点了签名，结果授权了本不该发生的操作。现实里，这类攻击确实比攻击底层协议更容易出现。

应对方案之一是对公众进行网络安全培训，近年来关注度不低。不过，安全培训有用，却很难保证人在每次操作时都不出错。

另一个方式是把工具设计得更好，降低用户需要自己学习和判断的成本。自动化未来究竟会增加还是减少安全风险，现在还不能下定论，仍要看 AI 能力和工具设计如何发展。

“AI for Crypto” 与 “Crypto for AI”

DeepTech：现代密码学建立在一些很难求解的数学问题之上。眼下 AI 在数学研究上进展很快，对“AI 会攻破密码学”这种说法，你怎么看？

段斯斯：AI 进步很快，这个问题我不一定判断得特别权威。按现在的认识，AI 给安全带来的挑战，可能先落在实际系统的代码和运行层面；底层那些数学难题，目前还没有被 AI 攻破的证据。

Anthropic 最近公开了一个案例：模型把 NIST 部分椭圆曲线参数中随机种子的生成方式追溯了出来。这些种子此前来源不明，外界一度猜测是否存在后门。随机数质量直接关系到密码系统的实际安全，因为分析算法或协议的安全性时，通常都假定所用随机数满足一定条件，而 AI 能加快这类分析。

密码算法真正跑起来，还会碰到侧信道攻击。攻击者未必只盯着传输的密文，也可能去看设备运行时的功耗、时间等信息，或者用物理手段制造故障，再据此推测密钥。

面对上面这些应用层面的风险，AI 能持续、大规模地分析实际系统，甚至一天二十四小时不停歇，漏洞被发现的速度因此可能明显提升。眼下 AI 在软件安全领域找漏洞已经很快，尽管报出来的漏洞有不少最后被证明是误报，它也可能挖出更多真实存在的问题。

理论研究这块，我觉得AI能帮的忙或许更大。以前有些基础分析得靠手算或者半自动跑，如今它能把计算提速，也让人更早察觉到算法有问题。我们团队里就有老师在做用AI辅助密码算法分析的尝试。

眼下被认定安全的密码算法，其核心安全性还是归约到对应的数学困难问题。除非我们对这些问题的认知出现根本性转变，否则说AI已经撼动其理论基础还站不住脚——至少目前没有看到这类证据。

DeepTech：区块链和AI Agent的结合现在也是受关注的方向，你看哪些应用场景的需求更清晰？

段斯斯：支付就算一个比较清楚的场景。以后Agent可能替人买东西、抢演唱会门票，或者去调用别人的服务。

打个比方，我让它每天八点查新闻、查天气，它调用的接口或许要收费。总不能每付一小笔钱都让我在场输密码、验指纹。人可以事先设好额度，比如一天不超过2,000元，让Agent在授权范围内完成支付。

现在已经有人试着让Agent走区块链支付，比如x402；也有人提出不靠区块链的路子，谷歌的AP2就能接信用卡等支付方式。除了付钱，Agent的身份和信誉怎么管，同样值得讨论。

反过来，用区块链分享闲置算力这类设想，在我看来需求还不如支付来得明确。当然，机器一旦能替人花钱，授权和金融安全就会变成新难题。

DeepTech：支付绕不开授权。再往下想，当Agent能读文件、调服务甚至付款，密码学在哪些环节能派上用场？

段斯斯：我们最近测多Agent协作，发现越权读写相当普遍。比如只许一个Agent读A文件、把结果写进B文件，稍微来点提示注入，它就可能去读别的文件、写到别处。越权支付我们也观察到过。所以权限管理是很关键的一环。

验证权限和支付操作，密码学能出力。不过Agent支付还压着更深一层的问题：传统支付里买不买通常由人拍板，系统主要核验操作合不合法；Agent支付时，付款意图有时是模型代人生成的。这时不光要验证这笔操作，还得判断它符不符合用户的授权。

我们正在试着给Agent支付设计安全协议，但更在意真实场景里会冒出什么问题，希望照着真实需求去设计对应机制。

DeepTech：你也在关注“AI for crypto”和“crypto for AI”。你觉得AI眼下最拿手的是什么？日常研究里你又是怎么用它的？

段斯斯：它现在更擅长那些费时费力的活，比如基础分析、搜集和整理资料。要说它已经能代替人思考、独立发现新的科学规律，我觉得还差得远。在我看来，AI更像一个“超级厉害的计算器”。关键是学会用好它，帮我们完成更多、更好的工作。

具体到怎么用，日常工作中我会拿AI辅助项目管理和论文写作。它能帮我总结文献，读起来快一些；但研究问题怎么提、论文的核心逻辑怎么搭，还是得我自己定。碰上关键技术观点，我会翻回原文核对。搜索、阅读和整理确实快了不少，可证据靠不靠得住、论证成不成立，最终还是要研究者来判断。

DeepTech：未来三到五年，你最关注哪些密码学和系统安全问题？AI会怎样改变研究者挑问题的方式？

段斯斯：一头是AI系统本身需要可靠的安全保障，密码学能在这里发挥作用，比如Agent支付、多Agent协作，还有实际运行中的系统安全。

多个Agent协同工作，本身就带着分布式系统的特点，有了AI，这些系统也不会自动变安全。密码学可以为安全的AI生态提供底层支撑。

另一头，AI也会改变哪些问题值得研究。过去要花大量时间做的分析，只要问题定义得足够清楚，AI就可能接手搜索、基础运算和部分验证，有时还能找到不错的技术组合。研究者就能把精力挪到新问题上。

至于AI时代会冒出哪些新的开放问题，还得继续摸索。未来两年我会把更多精力投到实际系统上：先搞清楚问题到底出在哪儿，再想办法解决。

运营/排版：何晨龙

注：封面/首图由 AI 辅助生成