谷歌去年在Willow芯片上跑出的那组数据，圈外人看个热闹，圈内人其实盯着另一个东西——表面码纠错把逻辑量子比特的寿命推过了物理比特的临界点。这个门槛一过，意味着量子计算从实验室里的“能算但算不准”开始往“算得准”的方向挪了半步。别小看这半步，对密码学界来说，这半步踩下去的声音比外面听到的要响得多。

RSA和ECC这些撑了互联网二十多年的老骨架，靠的是大数分解和离散对数这两个数学难题。经典计算机解不动，所以大家用得心安理得。但Shor算法1994年就把话撂在那儿了：量子计算机一旦规模够、噪声够低，这两个难题就是纸糊的。过去三十年密码学家还能安慰自己“量子比特数不够”，现在纠错效率上来了，这个安慰的保质期肉眼可见地在缩短。

真正让业内坐不住的不是哪一天突然冒出一台能破解RSA的机器，而是“先存后解”这件事已经在发生了。情报机构大规模截获加密流量存着，等量子硬件成熟了再回头解，这不算什么阴谋论，属于公开的秘密。所以NIST从2016年就开始搞后量子密码标准化，去年终于把CRYSTALS-Kyber和Dilithium这几个算法定下来了。但标准定了和部署到位之间，隔着一条很宽的沟。

这条沟有多宽？举个具体的。Kyber的密钥尺寸比现在ECDH大不少，公钥从几十字节跳到八百字节，密文也膨胀了一圈。对手机App来说可能咬咬牙就过去了，但物联网设备呢？那些跑在LoRa或者NB-IoT上的传感器，内存按KB算，每次握手多传几百字节，电池寿命和网络容量都得重新算账。更别提工业控制系统里那些设计寿命二十年的PLC，固件升级周期以年为单位，你让它们怎么跟上算法迁移的节奏。

还有一层麻烦是协议栈的惯性。TLS 1.3的握手流程里塞进后量子密钥交换，不是换个库就完事。中间设备、负载均衡器、CDN节点，整条链路上任何一个环节对包大小的假设被打破，都可能出幺蛾子。去年Cloudflare做过一轮测试，混合密钥交换在某些企业代理后面直接握手失败，原因就是中间设备对ClientHello长度的硬编码限制。这种坑在实验室里测不出来，上了生产环境才一个个往外冒。

密码学界内部对迁移节奏也有分歧。一派觉得“Harvest Now, Decrypt Later”的威胁已经实打实了，长周期敏感数据现在就得换算法；另一派认为量子硬件离破解RSA还有十年以上的距离，大规模迁移带来的兼容性风险和运维成本反而可能制造新的安全漏洞。两边都有道理，但落到企业安全团队头上，预算和人力就那么多，先换哪个系统、后换哪个系统，这个优先级排序比选算法本身更让人头疼。

一个容易被忽略的点是，后量子算法本身也不是铁板一块。Kyber在提出后的几轮评估里被找出过侧信道方面的弱点，虽然最终版本做了修补，但这提醒大家：新算法没有经过二十年实战攻击的淬炼，数学上安全不等于实现上安全。传统RSA虽然理论上有量子威胁，但它的实现坑在过去二十年里被踩得差不多了，工程成熟度反而是一种隐性资产。迁移到新算法，某种程度上是把工程风险重新打开一遍。

国内这边，商用密码的迁移路径跟NIST标准不完全重合。国密SM2、SM3、SM4的体系有自己的节奏，后量子算法的征集和评估也在推进，但具体时间表没有对外说得太细。对做出海业务的公司来说，这意味着可能要在不同市场维护不同的密码套件，合规成本和工程复杂度都得往上抬一截。

说到底，量子计算这波冲击不是某天早上一睁眼世界就变了，它是一个缓慢渗透的过程。纠错突破加快了这个进程，但真正决定加密技术什么时候换代的，不是实验室里的量子比特数，而是标准落地速度、工程适配能力和全球协同的节奏。密码学史上每一次算法迁移都拖了十几年，这次大概也不会例外。只是拖归拖，该动手的事，现在就得排上日程了。