Simon 嘅 DCP 量子算法震驚學界？專家話：等驗證完先講，ML-KEM 同 ML-DSA 暫時無事

DCP 呢個問題之所以重要，係因為早喺 2002 年，密碼學家 Oded Regev 已經提出歸約（Reduction），將好多格問題（例如最短向量問題 SVP、學習差錯問題 LWE）同 DCP 掛鉤 。換句話講，如果你量子解得開 DCP，理論上你就可以用相同方法去破解成個格密碼系統。

Simon 嘅算法仲號稱可以容忍高達 1/O(log n) 嘅故障樣本率，呢個特性令佢可以同現有嘅歸約路徑結合，用嚟有效求解格問題 。

但係，呢個算法係咪真係 work？

答案係：暫時無人知，而且好多專家睇完之後都話「好有保留」。

由 8 月初預印本上載以嚟，成個學術界嘅反應可以話係「審慎懷疑」。主要原因有幾個：

• 未經同行評審：呢份文件清楚標明係「初步草稿」，只係放上 ePrint 伺服器，並未經過任何正式嘅學術期刊或會議審核 。
• 證明係草圖：多位專家指出，論文入面幾個關鍵嘅支撐證明只係以草稿形式呈現，細節欠奉 。
• 依賴未公開通訊：論文最後關於 SVP 同 LWE 嘅參數結論，部分依賴於未發表嘅私人通訊，而唔係嚴謹嘅已出版推導 。
• 無獨立驗證：截至 8 月中，完全無任何獨立嘅第三方實驗室成功複製或推翻呢個結果 。業界普遍態度係「先睇事實，再作反應」。

有行業分析師更直接形容，初期反應係「極大懷疑」（heavy skepticism）。

對 ML-KEM 同 ML-DSA 嘅實際影響？

對於喺香港或全球各地部署緊後量子密碼嘅機構嚟講，最重要嘅訊息係：暫時乜都唔使改。

• 無實際攻擊：呢份預印本完全冇實現對任何標準化密碼系統嘅攻擊，包括 ML-KEM（FIPS 203）同 ML-DSA（FIPS 204）。
• 理論距離好遠：即使 DCP 真係被量子算法解決到，由 DCP 到具體攻破 ML-KEM 同 ML-DSA 所基於嘅 Module-LWE 同 Module-SIS 假設，仲有好大段理論路要行 。
• 格問題 vs 特定結構：一般嘅「格問題」係一個大類別，同 NIST 標準所用嘅特定結構性質格假設並非完全等同 。
• 對比前人成果：值得留意嘅係，2025 年 Bai 等人已經針對 DCP 嘅一個受限變體（EDCP over power-of-two moduli）提出咗準多項式時間算法 。Simon 嘅聲稱如果屬實，將係重大躍進，但現階段無人敢確認。

專家社群嘅共識：唔好自己嚇自己

總括嚟講，Daniel Simon 呢份預印本係一個重要嘅理論聲稱，如果最終被驗證為真，將會對格密碼學嘅基礎產生深遠影響。但喺現階段，佢只係一個未經證實、存在重大缺憾嘅草稿，完全唔應該被解讀為對現有標準嘅實際威脅 。

各大標準機構（如 NIST）暫時亦未有發表任何正式聲明，因為成件事只係發生咗幾日 。社群嘅普遍取態係：呢個聲稱值得仔細審查，但絕對唔係一個需要立即更改後量子密碼部署時間表或參數集嘅理由 。