苏黎世联邦理工学院首次创造出完美随机数：量子纠缠如何终结数字安全的信任危机

随机性放大如何将弱随机性“提纯”为完美随机性

整套协议分为三个阶段：

1. 从不完美的随机性起步。 这个过程中，你甚至不需要一个受信任的随机种子。起点可以是一个带有偏差的随机数生成器，也可以是一串人人都知道其弱可预测性的公开字符串——前提是它至少保留了一点点真正的不可预测性 。

2. 跨越30米的纠缠态搭建。 两块超导量子芯片被冷却至接近绝对零度，并通过一段长达30米的低温链路连接起来 。它们被置入一种纠缠态，这意味着测量其中一块芯片会立刻与另一块芯片的状态产生关联——这种“鬼魅般的超距作用”正是量子非定域性的标志。

3. 经无漏洞贝尔检验认证随机性。 那束“弱随机性”被用来决定测量纠缠比特时采用的设定。当测量结果之间的关联性以超出任何局域隐变量理论解释的方式违背了贝尔不等式时，就意味着这些结果是本质不可预测的——不是我们“不知道”，而是物理规律决定了它只能是随机的 。这番贝尔不等式的违背，就这样把低品级的输入随机性“放大”成了近乎完美的私密输出比特。

整项技术的精髓在于：无漏洞贝尔检验并不只是用来确认纠缠态的存在，更是对量子测量过程本身的随机性进行了动态探询和认证 。

这对数字安全意味着什么

可被数学证明的完美随机性，从根本上拔除了密码系统中的一处基础性隐患：

• 无条件安全的密钥与签名成为可能：当底层的随机性被数学证明为不可预测时，即使对手拥有无限算力也无从破解 。
• 零信任部署成为常态运行方式：认证过程甚至不要求使用者信任量子硬件，哪怕设备厂商本身不可信任、或者设备有隐藏的后门，随机性依然可以得证 。
• 公共过程的公正性获得提升：对于彩票开奖、选举审计、密码学抽选这类环节，只要过程中的所谓“随机”存在哪怕最细微的隐藏偏差，整个公正性就会被毁掉。现在这种偏差可以被彻底排除 。

需要面对的权衡是速度。要想获得完美的认证，目前所需的实验复杂程度使得随机比特的输出速率远低于市面上的非认证量子随机数生成器。

ETH方法与摩根大通“认证随机性扩展”的横向对比

就在ETH团队于2026年5月发布成果的一年多以前，另一项重要里程碑已经先期到来：2025年3月，来自摩根大通、Quantinuum、阿贡国家实验室、橡树岭国家实验室和得克萨斯大学奥斯汀分校的联合研究团队，利用一台56量子比特的阱离子量子计算机，同样在《自然》杂志上展示了认证随机性扩展（certified randomness expansion）。这两项成就分别代表了解决同一道问题的互补路线，各有侧重。

ETH的随机性放大从海量不完美、公开的随机源出发，将其过滤为少量却经得起完美认证的随机比特。这一技术路线是设备无关注的：数学上的安全保底不依赖对硬件的任何信任，即便是面对蓄意作恶的硬件供应商也依然成立 。它解决的是一道更为根本的难题——你从一开始就不需要任何可信任的完美种子。

摩根大通的随机性扩展基于Scott Aaronson于2018年提出的协议，它接收一小段受信任的随机种子，然后将其扩展为规模大得多的、可认证的随机输出 。在那次实验中，研究者利用Quantinuum的H2处理器运行随机电路采样，再用百亿亿次级超级计算机进行经典验证，最终认证了至少71,313比特的熵 。该保证具有抗对手特性——即便量子计算机在恶意运行也同样安全——但它仍然需要一个初始的受信任种子，而这正是ETH方案已经绕开的前提 。

两种方法分别对应不同的现实场景。摩根大通的随机性扩展能够产出明显更多的随机比特，并且更容易与已有的量子计算基础设施进行集成 。ETH的随机性放大则在更基础层面解决了“种子”难题，证明了在一个一开始就没有任何可信随机源的世界里，完美随机性也照样可以从物理规律中抽取出来 。

目前，这两种方法都还不能即插即用地替换生产环境中的标准随机数生成器，但它们共同画出了一条清晰的技术路径：从以往那种无法被验证的统计随机性——在高安全等级场景中，这背后总残存着几分挥之不去的不安——通向可经由数学手段严格保底的、真正的随机性。接下来要啃的硬骨头，是让这些原理验证性质的原型系统能够在工程上规模运转，同时保持认证保底不丢失。