何があったのか

公表された論文は、256ビットの楕円曲線離散対数問題をsecp256k1という曲線上で解く工程を、アルゴリズムからコンパイラ、ハードウェア構成、誤り訂正層まで一貫して組み上げた初の資源試算とされる。結論として、19397物理量子ビットを備えた誤り耐性機であれば、1回の試行あたり25.7日で計算が完了し、単発での成功確率は63.3%程度と見積もられているとみられる。発表では約2万量子ビットで26日弱という丸めた表現が用いられ、同社が推進中の量子計算基盤Walking Catの改良版を土台にしていると説明されている。

技術的な内訳としては、論理層で1457論理量子ビットと約3900万のトフォリゲートまで演算を圧縮し、従来の基準である5800万ゲートから削減したとされる。逐次実行では400日を超える見込みだった処理を、qLDPC符号の記憶領域内で魔法状態を直接生成する2段構成の工場によって短縮したと説明されているようである。同社はこの成果を、暗号の安全性に関する発見というより、30年来の課題を端から端まで再設計してみせた能力の到達点として位置づけているとされる。secp256k1を選んだ理由は、ビットコインやイーサリアムの署名に用いられ、最も検証が進んだ実運用の暗号標準の1つであるためと説明されているとみられる。

なぜ起きたのか

この試算が今の時点で出てきた背景には、資源要件が数年で桁違いに縮んできた経緯があるとされる。かつて同種の解読には数百万物理量子ビットが必要とされていたのに対し、今回は2万量子ビット規模まで圧縮されており、同社はこれを単一の飛躍ではなく、階層のあらゆる層での継続的で複利的な進歩の積み重ねと説明しているとみられる。アルゴリズム、コンパイラ、ハードウェア、誤り訂正を個別最適ではなく同時に最適化する全体設計の手法が、要件圧縮の主因に当たると考えられる。