Simon 的量子演算法宣稱破解 DCP：深入解析其主張、驗證狀態與對 ML-KEM、ML-DSA 的真實影響

Simon 預印本的主張

Simon 的論文提出一個能在量子電腦上以多項式時間解決 DCP 的演算法，這是一個長期被視為連結格密碼學的關鍵問題 。其核心主張如下：

• 多項式時間 DCP 求解器。 該演算法能在量子電腦上以多項式時間解決 DCP，其基礎建立在 Regev 於 2002 年提出的將二面體子群問題 (Dihedral Subgroup Problem) 歸約至 DCP 的理論 。
• 填補 20 年的理論空白。 若此主張為真，將解決自 Regev 在 2004 年左右建立 DCP 與格問題連結以來懸而未決的疑問 。
• 新的技術方法。 該演算法用一種「區塊與查詢 (block-and-query)」技術取代了先前方法中使用的關鍵 oracle，以提取隱藏子群資訊 。
• 對格問題的潛在影響。 論文指出，該演算法能與 Regev 的歸約法 以及 Brakerski、Kirshanova、Stehlé 和 Wen 的改進方案 結合，進而產生能在多項式時間內解決格問題（例如尋找最短向量 (SVP) 的多項式因子近似解，以及帶誤差學習問題 (LWE)）的量子演算法 。

該論文也聲稱，此演算法能夠容忍高達 1/O(log n) 的錯誤樣本率，這使得它能與歸約路徑結合，有效解決格問題 。

驗證狀態：懷疑與「等待驗證」的立場

截至 2026 年 8 月 7 日至 8 日，密碼學社群的態度是謹慎且懷疑的 。

• 未經同儕審查。 該草稿標示為「初步草稿」，於 2026 年 8 月 6 日張貼在 IACR ePrint 伺服器上 。它尚未經過同儕審查或刊登在期刊或會議論文集上。
• 早期反應偏向懷疑。 多份專家分析指出，數個關鍵的證明僅以草稿形式呈現，而關於 SVP 和 LWE 的最終推論，部分依據的是未發表的私人通訊，而非已發表的推導結果 。一位業界分析師將初步反應描述為「高度懷疑」 。
• 尚未有獨立驗證。 在預印本出現後的幾天內，尚未有獨立驗證或反駁的報告發布 。當前社群的主流態度是「先有事實，再作反應」 。
• 並非實際攻擊。 所有報導一致強調，這是關於 DCP 的理論性宣稱，並非針對任何標準化密碼系統的實作攻擊 。

這對 ML-KEM 和 ML-DSA 意味著什麼

對於正在部署或評估 NIST 標準化後量子密碼學的組織而言，現階段答案很明確：沒有理由因為這份預印本而改變既有計畫 。

• 沒有立即的實質威脅。 該預印本並未對 ML-KEM (FIPS 203) 或 ML-DSA (FIPS 204) 實施攻擊 。沒有任何 NIST 參數集遭到破解 。
• 理論影響是間接的。 DCP 透過已知的歸約法與格問題相關聯，但這些歸約法是否能轉化為對 Module-LWE 或 Module-SIS（ML-KEM 和 ML-DSA 所依賴的特定困難假設）的具體攻擊，則是需要更進一步驗證的理論步驟，目前尚未確立 。
• 屬於結構性而非實務上的疑慮。 若經證實，這項宣稱將強化「量子電腦能有效解決某些格問題」的理論基礎。然而，「格問題」這個廣泛類別與 NIST 標準中使用的特定結構化格假設仍屬不同層級 。
• 先前研究的脈絡。 2025 年，Bai 等人在 DCP 的一個限制變體（在 2 的冪次模數上的外推 DCP）上實現了準多項式時間演算法 。Simon 宣稱的完整多項式時間將是超越該成果的重大飛躍，但此宣稱尚未被證實。

專家社群的反應：高度懷疑與呼籲謹慎

密碼學與後量子安全社群的反應一致：等待、驗證、不要過度反應 。

• 報導指出「高度懷疑」。 後量子產業分析師指出，證明過程的草稿性質以及對未發表參考文獻的依賴，是需要仔細審查的重大警訊，在得出任何結論前仍需謹慎看待 。
• 有條件的影響。 即使 DCP 能在多項式時間內解決，其對基於格的 PQC 之理論影響仍是「有條件的」——這取決於特定的歸約路徑，而不僅僅是 DCP 本身能被解決 。
• 尚無主要機構發表正式聲明。 NIST、學術實驗室和標準制定組織目前尚未發布正式聲明，考量到預印本公開僅數日，此為預期中的情況 。
• 整體態度。 學術界將此視為一項重要的理論宣稱，需要仔細檢驗，但尚不足以構成改變 PQC 部署時間表或參數集的理由 。

總結來說，Daniel Simon 的預印本是一項重大的理論宣稱，若經證實，將可能對格密碼學的基礎產生深遠影響。但就目前而言，它仍是一份未經驗證、且被指出存在顯著缺陷的預印本，並未改變像 ML-KEM 和 ML-DSA 這類 NIST 標準化後量子演算法的實際安全態勢。