ИИ штурмует математические крепости: не является ли «математический апокалипсис» криптовалюты надуманной тревогой?

Автор: hosseeb, партнер Dragonfly

Перевод: AididiaoJP, Foresight News

Два дня назад OpenAI разом опубликовала 722 математических препринта, назвав это «самым важным моментом в истории математики». Загадочные фундаментальные проблемы, мучившие математиков более века, одна за другой были решены, причем на каждую задачу ушло всего 3 часа вычислительных мощностей. Математики впали в ступор — они больше не могут предсказать, что произойдет дальше.

Сейчас кажется, что следующим мишенью может стать криптография.

Скотт Ааронсон утверждает, что OpenAI уже нацелилась на взлом криптографии.

Криптоиндустрии пора всерьез столкнуться с «математическим апокалипсисом» — что случится, когда кластеры искусственного сверхразума направят внимание на основы криптографии?

Мэтью Грин в ответе @kmad и @matthew_pines от 8 октября написал: «Я думаю, мы можем потерять публично-ключевую криптографию».

Давайте проясним сразу: речь идет не об ускорении ИИ развития квантовых вычислений. Это, конечно, возможно, но квантовые вычисления требуют масштабной физической инженерии, и ИИ не сможет решить эту задачу за ночь. Этот процесс требует времени, и он протекает публично. Подготовка к эре квантовых компьютеров крайне важна, но пути к ней относительно ясны.

Речь идет о каком-то непредвиденном математическом прорыве — чем-то, что опрокинет базовые допущения классической криптографии, позволив обычным компьютерам вычислять дискретные логарифмы и тем самым сломать современную публично-ключевую криптографию.

Это станет катастрофой экзистенциального уровня.

Джастин Дрейк 7 октября заявил: «Сегодня я призываю блокчейн-индустрию спокойно начать планировать „режим бункера“. Мои личные рекомендации — запустить контролируемый массовый перенос активов на новые адреса, где публичные ключи по-прежнему скрыты за хэшами».

В его вирусном посте о «режиме бункера» суть призыва Джастина сводится к следующему: спасай себя и защищай свои токены. Катастрофа может обрушиться на других, но хотя бы ты будешь знать, что в безопасности.

Это криптографический апокалиптизм. По сути, это значит: раз ты знаешь, что мир вот-вот рухнет, начинай закупаться продовольствием.

Проблема апокалиптизма не в его ключевых выводах. Разумеется, существует хвостовой риск катастрофического сбоя. Нельзя просто утверждать, что риск равен нулю.

Проблема апокалиптизма заключается в предлагаемом им варианте действий: а что именно нам делать, если это правда?

Мы не можем точно оценить вероятность наличия у публично-ключевой криптографии какой-либо фундаментальной уязвимости. Она может быть низкой, но绝非 равна нулю. Для удобства дискуссии допустим, что эта вероятность составляет 5%. Это означает, что в 95% случаев все останется как прежде. Мы напишем пост в блоге, помедлим, посоветуемся и в итоге ничего страшного не произойдет.

По факту, в тех самых 95% сценариев ИИ скорее всего лишь подтвердит наши первоначальные убеждения: публично-ключевая криптография надежна.

Но если я сейчас скажу вам, что у меня есть криптографическая схема, которая с вероятностью 95% защитит ваши средства, вы явно не будете испытывать к ней полного доверия. Криптографы оценивают риски безопасности, исходя из вероятности отказа порядка 2^-128, то есть «почти наверняка не откажет», а не «скорее всего не откажет».

Кто-то скажет: верно, но если ECDSA будет взломан, проблемы, которые столкнется общество, будут куда масштабнее, чем в блокчейне! Вспомните банки, TLS, центры сертификации — блокчейн окажется самой последней сферой, о которой стоит беспокоиться.

Но не стоит воспринимать это как успокоение. Банки смогут восстановиться, TLS сможет восстановиться, центры сертификации смогут восстановиться. Они смогут заново пройти KYC и переключиться на новые криптографические стандарты.

Криптоиндустрия нет. Как только публично-ключевая криптография даст сбой, блокчейн не сможет восстановиться. В худшем случае любой человек сможет вычислить чужие приватные ключи, а значит, любой сможет забрать чужие деньги. Мы не будем знать, кому принадлежит что, и не сможем доказать ничьих прав. Это перестанет быть криптовалютой и превратится в холст для бесконтрольных надписей, и нам придется начинать всё с нуля.

Поэтому нам необходимо застраховаться от такого исхода. Мы не можем гарантировать, что криптография никогда не откажет, но мы можем гарантировать, что её отказ не разрушит блокчейн. Эта «оптимизация» должна происходить одновременно на уровне протокола и на социальном уровне, требуя немедленных действий и координации.

Обычно говорят: «это не учение». Но на самом деле это абсолютное необходимое учение.

Мы подобны странам, которые вводят обязательную мобилизацию и учат всех стрелять. Война может наступить, и с большой вероятностью вас не отправят на передовую. Но если вдруг отправят, нам нужно, чтобы вы могли мгновенно превратиться в настоящего бойца.

Противоположностью апокалиптицизма является решительный план действий. Не отступать, а подготовиться к отражению возможной катастрофы, а это значит, что нам необходимо начинать изменения уже сейчас.

Почему система управления должна измениться

Исторически наша уверенность в криптографии строилась на определенном социальном процессе.

Криптографы тратят годы на попытки взлома конкретной схемы. Если она не падает, мы говорим, что она, вероятно, в порядке. Если она продержалась десять лет, мы заявляем, что она почти наверняка надежна, и начинаем беспрекословно доверять ей в продакшене. Но практически все криптографические решения со временем компроментируются — методы атак совершенствуются, запас прочности сужается, и в конечном итоге приходится переходить на более надежные схемы.

Такой ритм для блокчейна всегда казался довольно медленным: миграция могла занимать годы, а социальное согласие успевало следовать за изменениями в криптографии.

Но этот фундамент трещит по швам. Мы стоим перед лицом криптоаналитиков сильнее любых людей, которые будут проверять эти схемы с небывалой ранее тщательностью. Во всем мире насчитывается лишь несколько тысяч по-настоящему квалифицированных криптоаналитиков, и эта цифра вскоре возрастет на несколько порядков.

Все достижения человечества в области криптоанализа, накопленные за последние 40 лет, могут оказаться менее значимыми, чем то, что ИИ предстоит сделать в ближайшее время. Работы, на которые раньше уходило десять лет, могут быть выполнены за пару месяцев. Или даже за одну ночь.

Тот ритм управления, к которому привык блокчейн, в таких условиях абсолютно не работает.

Сейчас криптография находится в состоянии войны, и нормы мирного времени больше не применимы. Мы должны действовать исключительно быстро, потому что ситуация может меняться молниеносно. Если социальное согласие больше не успеет за скоростью технологических и криптографических изменений, оно должно быть немедленно пересмотрено.

Разве это не вызовет панику?

Виталик 8 октября заявил: «Я не советую никому сегодня спешить переводить средства в новый кошелек. Но мы должны серьезно относиться к рискам, которые ИИ, ускоряющий математику, несет для криптографии, и минимизировать нашу подверженность не только квантово-уязвимым, но и потенциально ИИ-уязвимым криптосхемам».

Паника тоже не решение. Я согласен с позицией Виталика: если стимулировать людей к панике, они с большей вероятностью понесут убытки из-за спешной миграции, что хуже реального риска перехвата ключей ECDSA.

Так называемый «режим бункера» также не является истинным выходом. Если вы лично переведете ключи на новый адрес, возможно, окажетесь в безопасности. Но что потом? Суть «режима бункера» в том, что ваши монеты заблокированы. Пока вы их не трогаете, они защищены. Но если рухнет вся сеть, какое удовольствие от вашей личной безопасности? Если все остальные монеты воруют и сливают, ваши тоже станут бесполезными. Даже если ваш адрес останется целым, в чем здесь смысл?

Нет, решение должно носить системный характер. Призыв к тому, чтобы каждый действовал самостоятельно, проблему не решает.

Кроме того, тезис «главное — не паниковать» становится всё менее убедительным. Нам следует честно и прямо озвучивать риски, чтобы люди относились к ним серьезно и предпринимали действия.

Этот момент постоянно возвращает меня к холодной войне. В годы холодной войны западное общество многократно предупреждали: возможна ядерная война. Для большинства граждан гражданская оборона выглядела бессмысленной — прятаться под столом совершенно бесполезно против ядерной бомбы. Но именно благодаря участию каждого человека в учениях, всё общество действительно осознуло серьезность рисков. Политический курс сместился в сторону избегания войны любой ценой, параллельно в профилактических целях начали строить бомбоубежища. Фактически, нам действительно несколько раз повезло остаться на волосок от ядерной войны. История Карибского кризиса и Станислава Петрова доказывают: вероятность никогда не была равна нулю.

В вопросах криптографии нам тоже может повезти. Вероятнее всего, так и будет, но мы должны быть готовы к ситуации, если удача отвернется.

Итак, каким образом должна измениться система управления?

1) В условиях кризиса скорость важнее децентрализации. Те сети, которые смогут быстро координировать действия, получат преимущество. Децентрализованное социальное согласие по своей природе не синхронизировано со сверхбыстрыми техническими изменениями. Механизмы управления должны быть адаптированы как можно скорее. Даже если это потребует смягчения правил принятия решений или расширения полномочий валидаторов — жертвы неизбежны. Потенциальные кризисы требуют быстрого и решительного ответа.

2) Вся экосистема должна быть приведена в полную готовность. Это касается не только разработчиков протоколов, но и кошельков, бирж, поставщиков RPC, приложений, издателей активов и конечных пользователей. Все участники должны действовать в едином темпе, реагируя на вызовы вместе.

3) Планы должны быть разработаны заранее. Если ситуация уже рухнула, а плана нет — времени на его создание не останется.

Рынок будет внимательно следить за теми сетями, которые отнесутся к этому серьезно. Я уже получаю запросы от крупных инвесторов, которые понимают причины беспокойства и хотят знать, есть ли у всей нашей отрасли ответ.

Поэтому давайте предоставим этот ответ.

Режим криптографического восстановления

Я предлагаю каждой крупной блокчейн-сети как можно скорее внедрить механизм, который я называю «режим криптографического восстановления». Это стратегический резервный план военного уровня, который активируется только в случае худшего сценария.

Основная идея выглядит следующим образом:

В следующем обновлении протокола добавить совершенно новую, предельно простую систему публичных ключей на основе хэшей. (Хэш-подписи опираются на минимальное количество криптографических допущений.) Это аналог криптографии уровня холодной войны — предельно примитивной. Эта схема медленная и дорогая, пользоваться ею крайне неудобно. Мы категорически не хотим до неё добираться — любое другое решение почти наверняка лучше. Но если придётся прибегнуть к ней, сеть замедлится до улиточной скорости, а DeFi практически впадет в ступор.

Но она рабочая. Техническая работоспособность всё же лучше, чем полная бессильность.

Каждый должен создать резервный ключ, используя эту ужасную схему подписи. Всех пользователей настроят на привязку обычных адресов к этому резервному хэш-ключу. Сначала это будет опционально, но через несколько месяцев станет обязательным. После введения требования нельзя будет подписывать новые транзакции ключом ECDSA, пока пользователь не настроит свой резервный хэш-ключ. Без него транзакция будет автоматически отклоняться.

Каждая биржа также начнет генерировать резервные ключи для своих адресов. Coinbase, MetaMask и Ledger, обнаружив отсутствие у пользователя резервного ключа, запросят его создание до момента подписания транзакции. Таким образом, у каждого появится резервный вариант. Разумеется, в обычном режиме мы продолжим использовать ECDSA.

Мы заранее предусматриваем аварийный переключатель. Если случится беда и ИИ обнаружит уязвимость в ECDSA, валидаторы смогут прийти к консенсусу и активировать план чрезвычайных мер, перейдя в кризисный режим. Обновление протокола не потребуется: достаточно воли валидаторов, чтобы проголосовать за включение переключателя.

Как только переключатель будет активирован, все адреса перейдут в режим криптографического восстановления. На этом этапе ECDSA полностью выходит из строя. Абсолютно и безвозвратно.

Что дальше?

К тому моменту сеть превратится в хаос. Ничего не будет работать, использовать её будет практически невозможно, но технически она продолжит функционировать. Разработчикам придется срочно искать решения: каков реальный масштаб ущерба, какие криптографические компоненты еще целы, как совершить миграцию на новую сеть, чтобы вернуть производительность на приемлемый уровень. По крайней мере, на данном этапе балансы каждого остаются в безопасности, а механизмы восстановления существуют.

А что делать тем, кто не успел перейти? Практически наверняка часть адресов будет исключена из процесса.

Те, у кого остались сид-фразы, смогут в любой момент создать хэш-доказательство с нулевым разглашением (ZKP) для своей сид-фразы (по аналогии с предложением @VitalikButerin из 2024 года) и назначить себе новый адрес на основе хэша. Если их старые адреса никогда не подписывали транзакции («режим бункера»), восстановление через ZKP будет простым.

Однако многие просто не способны на это. Для них стартовал обратный отсчет. Чтобы восстановить доступ, им придется применить единственно возможный путь: одновременно создать ECDSA-подпись и решить хэш-задачу Proof of Work, чтобы разблокировать адрес и вывести активы. Сложность этой задачи будет масштабироваться в зависимости от объема нативных токенов на адресе. То есть, если у вас 100 ETH, сложность составит 100N.

Причем значение N растет экспоненциально. Через один день оно будет равно 100N, через два — 200N, затем 400N, 800N и так далее. Валидаторы смогут голосованием ограничить величину N или темпы её роста, основываясь на характеристиках уязвимости и своих моделях риска. Возможно, у нас будет несколько месяцев, а может быть, лишь часы.

Стоит пояснить: в сценарии реальной атаки это превратится в гонку. Если кто-то действительно найдет эффективный способ взлома ключей ECDSA, единственным преимуществом настоящих владельцев будет следующее: атакующему сначала придется взломать ключ, а затем выполнить Proof of Work; тогда как легитимному владельцу нужно лишь выполнить Proof of Work, что позволит двигаться быстрее. Это существенно усложнит массовые кражи. Как только будут выявлены признаки масштабной кражи, валидаторы смогут резко увеличить темпы роста сложности, остановив дальнейший отток средств (в случае полной потери контроля сложноść можно будет возвести в бесконечность, чтобы навсегда заморозить все уязвимые активы).

Я наверняка упустил множество важных деталей. Это всего лишь предложение, я ни криптограф, ни проектировщик протоколов. Но общая концепция ясна: подобные механизмы должны быть как можно быстрее внедрены во всех блокчейнах.

Рынок вскоре потребует этого. Учитывая изменения в математике, каждая блокчейн-сеть нуждается в резервном плане восстановления, и консенсус по нему должен быть достигнут заранее, чтобы в тот самый момент никто не начал спорить о том, как именно пройдет миграция.

В условиях кризиса решающую роль играет скорость.

В такой ситуации не стоит мешкать ради поиска идеального решения. Если OpenAI активно работает в этом направлении, мы не знаем, сколько времени понадобится для случайного криптографического прорыва. Первая версия режима криптографического восстановления может быть грубоватой (и, вероятно, так и задумывалась), но как только набросок будет готов, его можно постепенно шлифовать. (Обратите внимание: если внезапно произойдет квантовый прорыв, этот механизм также подойдет. Но главная цель данной системы — защита от фундаментального взлома базовой криптографии).

Главное — перестать просто обсуждать это и перебиваться в Твиттере, а реально начать действовать.

Ничто не бывает навечно

Несколько недель назад я писал статью с аргументацией, что Zcash после завершения постквантовой миграции больше не следует изменять.

Теперь я беру эти слова обратно. Когда математический фундамент, на котором мы стоим, шатается так сильно, как сейчас, ничего не может быть раз и навсегда.

Возможно, через несколько лет мы станем увереннее относиться к основам криптографии. Но сейчас всё еще меняется.

Это требует от нас более быстрых реакций, большего доверия к решениям команды протокола и более честного взгляда на текущие компромиссы. В конечном счете, задача состоит в том, чтобы сохранить фундамент безопасности всей криптоиндустрии на фоне стремительно меняющихся технологий.

«Математический апокалипсис» для криптографии уже на пороге, и мы должны быть готовы.

Я хочу прояснить один момент: скорее всего, ничего плохого не произойдет, и всё обойдется. ИИ затратит колоссальные вычислительные мощности и в итоге придет к выводу, что всю применяемую криптографию можно считать надежной.

Но мы обязаны убедиться в одном: даже в худшем сценарии блокчейн останется защищенным.