光子盒研究院出品
2022年，人工智能大火。
最近，电影《流浪地球2》中，名为“莫斯”（MOSS）的AI以及它的实体量子计算机550系列，又为这一领域的发展提供了新思路。
MOSS负责管理空间站事务，是流浪地球计划与火种计划的监督者和执行者；它能够在最短的时间内做出正确决定，是趋于完美的智慧体：只要数据存在，MOSS就存在。未来真的会这样吗？量子＋人工智能，究竟是大势所趋，还是一场舆论炒作的狂欢？
本期量子纠缠π，节目组特邀芝加哥大学博士后刘峻宇、光子盒产业研究员舒颜，一起从学界、业界等角度，探讨量子算法在机器学习、人工智能、密码学等领域的现状、前景。
智颖
主持人
“量子+机器学习”如何实现应用？实验室有哪些研究方向、具体用例？
刘峻宇
芝加哥大学博士后，师从蒋良教授；SeQure创始人
目前量子机器学习这个行业正蓬勃发展，但是对不同的研究者，具体的“量子机器学习”的定义可能有所不同。顾名思义，“量子机器学习”一般指的是利用量子设备来运行某些机器学习算法，力求达到或者超过类似的经典机器学习算法的功能；不过，也有人用经典机器学习研究量子物理（例如，用机器学习方法研究计算机噪声）。
从量子计算本身的尺度和规模出发，我们可以简单分类为：
1）在含噪量子设备上运行的NISQ算法。目前，绝大多数的量子机器都存在噪声，并且这些误差难以消除。因此，如果想要在当前机器上实验这些算法，我们需要把量子电路，或称量子神经网络做的比较浅，以限制噪声对结果的负面影响；很多量子机器学习算法目前处于早期阶段、能够在NISQ阶段使用。如果要在已有设备上实现这类算法，需要把量子电路/量子神经网络设置地比较浅，这样才可以容忍噪声。从应用的角度，目前NISQ上的各种算法，包括量子化学的VQE算法、量子优化的QAOA算法，还有量子机器学习的监督学习算法，都基于数学上相似或者一致的原理：把量子电路上的参数当做机器学习来训练。这类算法也是经典-量子混合的，并且和目前的经典机器学习框架兼容，但量子优势和有效性尚不清晰，缺乏严格证明。本质上，机器学习（梯度下降）的部分是经典的，但使用量子的方法制作机器学习中的误差函数和神经网络。目前，本源量子、德国拜耳这类量子机器学习应用，都基于类似的原理。
2）在容错量子设备上运行的量子算法。目前大规模的容错量子计算设备还不存在，因此这类算法基本处于理论和模拟上的探讨阶段。这类算法的优点是可能可以严格证明存在量子优势。目前主要分为两类：基于幅度放大(amplitude amplification)的算法，比如量子采样、Grover搜索算法；或者基于HHL的线性代数算法，比如量子主成分分析等。有一些公司的应用团队会对这些算法有所研究、关注：但目前无法做实验验证是否一定存在优势。
除此以外还有别的分类方法，比如是基于量子数据还是基于经典数据（前段时间，加州理工和谷歌团队的一系列合作论文主要是利用统计学习理论来论证量子数据本身的优势，这些算法也属于量子机器学习，但主要是针对量子数据的处理，主要用途可能是科学发现或者量子精密测量。但至少目前，我们也希望能够处理经典数据，因为人类世界上绝大多数有价值的数据目前大概都是经典的）。一些别的算法有时候也被叫做“量子机器学习”，例如用经典机器学习研究量子物理，或者量子物理学启发的经典学习算法等。
不少公司也有这方面的探索，也有很大的空间做早期科研。
2）“量子+机器学习”这一领域有相关商业应用吗？
刘峻宇：目前，量子机器学习的主要商业应用还处于早期阶段、没有广受认可的量子优越性出现。但是，现在已经有大量公司对量子计算和量子机器学习感兴趣，希望能做一些早期的概念验证和产品。
主要包括：
1）化学与生物制药。这个方向主要和AI结合，利用量子化学的第一性原理进行快速计算，来达到预测和开发新药的目的。更一般的，也关注在开发新药，新材料过程中的智能化。这个方面，结合经典机器学习的NISQ算法，以及长远的容错量子计算增强的机器学习算法，可能有广泛应用。
2）优化、供应链、商业与金融。这个方向主要是基于QAOA算法等相关的量子优化算法，也能够在NISQ阶段使用，特别是在模拟类量子计算的设备上使用，例如冷原子、离子阱、中性原子等。这些算法可能可以应用在商业，保险，金融等一系列优化问题上，尤其是图论相关问题。一些来自机器学习的技巧，例如强化学习，甚至带数据的监督学习，都可以自然的结合进来。
另外，量子机器学习可能还有一些别的应用，例如航线设计、语言模型等。这些我们就不具体一一介绍了。目前，这一系列探索都处于早期阶段。NISQ类算法容易操作但其优势不清晰，容错类算法目前缺乏硬件支持。
综合来看，量子算法需要和硬件协同发展，最后才可能导致量子计算的大规模部署和应用。
3）生成式AI、ChatGPT在内的人工智能在2022年非常火热，最近《流浪地球2》中的“莫斯+量子计算机550系列”也很有热度。“量子+人工智能”会是未来的实现形式吗？
刘峻宇：我认为是的，也可能量子+AI混合应用会是未来最有前景的一种模式。
其实，我从GPT3开始就一直在思考：量子计算最重要的应用会在哪里？另外，如果我们有一台很好的量子计算机、大语言模型，该怎么去赋能应用？
其实我最新的研究和这个方面有关。如果我有一台大规模的容错量子计算机，比如一千个干净的逻辑量子比特，什么是最重要的应用？当然，用量子设备研究基础物理是一个很好的应用，但在全社会的尺度和社会期待上来看，这肯定不是最重要的应用。我认为按照目前经典人工智能的发展来看，和通用人工智能最接近的东西可能是目前大热的大语言模型，例如聊天机器人ChatGPT。人工智能的未来和强人工智能的出现还很难直接预测，但至少我们现在可以思考，如果这个就是人工智能的成熟形式，那么量子计算能给这个问题提供什么样的帮助呢？这个实际上我觉得就很像流浪地球里”MOSS”这样的一个人工智能。至少从目前的技术来看，我认为它是以经典大语言模型为主体，然后一些关键的步骤可以利用来自量子设备的指数加速。
最近，我和芝加哥大学蒋良教授，柏林自由大学Jens Eisert教授，美国阿贡实验室Yuri Alexeev博士，伯克利和MIT的联合博士后刘锦鹏博士，以及芝加哥大学的博士生刘敏钊和叶子瑜做了一个新的工作：我们证明了对大规模的机器学习模型，在满足稀疏性、耗散性的技术要求的情况下，能够构造出量子算法，其效率比现在已知的经典机器学习算法都指数的快。这个量子加速来自端对端的HHL算法的一个延伸版本。为了实际测试这个算法对人工智能的加速，我们测试了超过一亿参数的大型机器学习模型，发现在正式训练阶段有相当一部分的时间，是有量子优势的。我们的工作目前应该是结合大语言模型与量子计算的第一个工作。当然，运行这个算法需要大型的容错量子计算机，所以现在还不能进行真正的实验。
我认为在未来，像上面这样的量子人工智能才是量子计算真正最有用的地方。现在训练大语言模型极为消耗资源：可能一整个城市的一年电量，只用来训练一个ChatGPT这样的语言模型，耗资可能动辄上亿。如果量子计算能给这个过程提供帮助，甚至是指数的帮助，这个可能才是真正能使得人工智能可以可持续发展的，量子计算有用的地方。
恰巧的是，我看到流浪地球中提到的量子计算机，和这个确实非常的像。当然，或许目前我们还没有找到量子机器学习的真正正确的形式，也远没有理解量子计算设备的计算极限。
但目前的工作我认为对未来是有一些指导意义的。
舒颜
光子盒产业研究员
当前的状态下，以ChatGPT为例的人工智能是否会取代已有工作？我认为是不会的。不过随着机器学习、模型库发展的深度、广度逐步推进，未来能够做的事情会更多。
再说回到电影中的MOSS，我专门为了“量子计算机”这个概念观看了整部电影、评论、解说，这部科幻电影确实很好地科普到了量子这项先进技术。其他类似的美国大片提到量子计算机的背景场景大多关乎国家、军队的“遇事不决、量子力学”，目前认知都认为量子计算会是人类的“巅峰状态”；当然，我们也正在朝着更好、更进步地方向去迈进。
当然，也像刘博刚才提到的，许多新的技术在发展过程中不可能离开已有技术、会相互交叉结合发展。所以，我们也期待已有人工智能会与量子算力结合。
4）未来，量子计算机有望取代经典计算机吗？
刘峻宇：我不认为量子计算会取代经典计算，在处理普通任务时，量子计算机甚至会表现地更差。它们二者应该是一个互补的作用。
照我们目前的理解，量子计算会对一些特定的问题有很大作用。更具体地说，如果这个问题本身更像一个量子力学问题（比如求解量子化学系统），那么量子计算更可能带给你一些加速；如果这个问题本身是一个纯经典的问题，那么对应的量子算法可能就不一定超过经典算法。
例如，用量子计算机模拟量子物理系统，相关算法肯定有用；客观来说，现在有用的量子算法很少，以后也需要更多学者专注于这一领域。
5）除了量子计算的相关算法，在抗量子密码领域也有相应发展。目前，艾睿电子已经成为QSaas软件分销商，抗量子加密会逐渐步入商业化吗？网络安全的下一代会是抗量子加密吗？
刘峻宇：是的。
抗量子加密是个必然发生的事情，并且已经写入美国法律。15年内，所有的传统加密算法必须需要增加抗量子的成分。这个东西主要的威胁是来自于Shor发现的分解质因数的算法。不幸的是，这个算法是基本所有常用的非对称加密算法的基础，包括RSA，椭圆曲线（区块链）和离散对数加密的算法。量子算法在这些问题上指数的快，因此这个替换是必须发生的，否则的话会导致银行系统的不安全。所以想要长时间保证数据安全，肯定需要抗量子算法。
目前美国这边，是主要想要花10-15年时间，对传统加密算法做技术迁移。
舒颜：关于抗量子密码商业化的问题，很多公司在宣传时喜欢说自己时“首个”、“第一个”，不过，大规模的商业化需要得到更多下游的验证。特别是密码，NIST也需要很长时间、实际案列对其进行验证和改正，PQC笼统地对于产业来说，会是一个缓慢替代的过程。这主要包括两个原因：
1）部分产业现在对于安全的需求并不高。当市场需求并不够强健时，PQC的大规模替代会比较缓慢。现在，对信息安全有高需求的企业会更需要为PQC迁移做准备。
2）PQC目前属于新兴发展技术，还需要时间和案例去验证其自身的安全性。所以，当前已有的密码体系并不会立马被PQC替代，PQC可能会和当前密码融合、逐步替代。
网络安全是方方面面的，在商业中，不可能一个PQC可以解决一切问题。
QKD也可以基于物理的方法、建设通信网络。所以，我认为PQC它可能只是对当前经典算法的替代、升级、迭代。
6）SIKE算法曾两次被经典计算机攻破，抗量子算法的地位会受到威胁吗？
刘峻宇：按照定义，抗量子算法从复杂度的角度也更能抗经典攻击（而且防御力一般是更强，更安全的），不然的话这个算法就没有意义了。目前主流的，被广泛接受的抗量子算法是格密码学算法：它是现在研究最成熟的抗量子算法，当然这个是否百分之百的安全，还需要时间的检验。
SIKE是基于超奇异椭圆曲线的算法，本来就非常小众，研究的人也很少。破解者懂了一些关于数论和椭圆曲线的知识，这些知识比较高深，也比较小众，所以之前没有发现是可能的。超奇异椭圆曲线的算法是不是好的算法本来也很有争议。SIKE也没有进入正式的NIST推荐名单，只是一个辅助的名单；它被攻破可能也宣告这一算法确实存在漏洞。
不过，我相信对于格密码学算法，学界比较认可，被破解的可能性会低得多。
7）介绍美国和中国的抗量子密码市场？目前，主要的产品形式是QSaas吗？
刘峻宇：在美国，目前抗量子密码市场热度很高。各国政府，大型和小型企业都对抗量子密码很关注。想象一下，如果我是一个坏人，我可能会直接把现在所有的敏感银行数据存起来，然后等待能运行Shor算法的量子设备出现。一旦出现，我直接就把这些关键数据给破译了。按照美国目前公布的一些信息，一些黑客已经开始做这样的事情了。因此不管现在量子设备有没有出现，出于各种原因，抗量子是必须要做的，尤其是你如果想把数据保存超过十年以上。因此社会各界都是很关注的，拜登政府甚至把这个写进了法律。目前领军的独角兽公司是从谷歌母公司Alphabet分离出来的SandboxAQ。还有一系列其他的公司：PQshield、QuSecure。
我也合作创立了一个公司SeQure。这个公司坐落于美国芝加哥，以格密码学算法和人工智能在区块链领域的应用为主要业务。针对抗量子算法，我认为现在最大的市场在区块链。
区块链这个产业本来就是以先进的密码学算法为基础的，也是我目前工作的领域之一。区块链上每天都要产生大量的交易数据和私钥、公钥，但是目前这个网络安全问题非常大，有很多黑客攻击事件。我们其中的一个主要业务是把传统的加密算法（椭圆曲线算法）替换为格密码学算法，或别的抗量子密码学算法，让它具备量子安全的功能（当然也有一些其他的功能，包括全同态加密，安全多方计算等）。这样的产品，我认为既是利用了目前抗量子时代的高新技术，又能解决目前很紧迫的网络安全问题，因此有比较高的product-market fit，产品和市场的一个一致性。
QSaaS的确是主要的产品形式，我们也是QSaaS或者SaaS。这方面有很多针对传统市场的网络安全公司，例如SandboxAQ，也有别的区块链公司，比如Algorand。
舒颜：国内开始有PQC的初创公司了。例如，在杭州有一家由大学、实验室结合成立的公司，有许多应用验证型合作，主要业务方向是隐私计算。除了机密信息，企业发展也和个人需求、市场应用场景相关；相信，随着NIST进一步确立抗量子算法规则，我们国内也会开始相关PQC的商业行动。现在，国内已经有公司、大学开始测试抗量子算法了。
在美国以外的其他国家，也有许多PQC相关产品：
1）QSaas软件类服务部分可以结合QKD等产品功能：市场有类似需求，需要在一个平台上结合QKD和PQC这两种功能，以共同服务网络安全。
2）另外，还有IT核、芯片等产品。例如，IDQ的主要产品就是随机数发生芯片，它有和法国一家公司联合研发一种芯片，以用于手机、金融应用、车联网等领域。
3）还有网络安全套件。
8）为什么相较于同样属于量子安全与通信的“量子密钥分发（QKD）”，PQC在国内的发展、宣传并不那么“声势浩大”？
刘峻宇：这个和各国政府资金的倾向有关。
美国的一些研究基金，出于某些历史上的原因，非常不倾向量子密钥分发：这个领域主要发展在中国、欧洲。这样的话，抗量子的市场自然就流向了后量子密码学。这个也是美国目前主要的抗量子方案和倾向。美国有非常多的密码学人才。抗量子密码学，尤其是格密码学技术，和别的新兴密码学技术是自然结合在一起的，包括全同态加密，零知识证明，多方计算，等等。这些算法和一些新兴企业以美国这边的研究团队为主。
在中国，目前主要是以量子密钥分发为主要的发展方向。这个方向在美国原来是不怎么重视的，但是现在出于国际竞争的需求，也是逐渐重视了起来。后量子密码学和量子密钥分发的原理是很不一样。前者以密码学家为主，以计算复杂度为理论基矗后者以物理学家为主，以量子力学测量的基本原理为基矗我从科学的角度看，认为这两者是一个互补的作用。量子密钥分发一直都是中国的优势学科，当然这个应该是继续保持的。相比之下，后量子密码学的宣传就不是特别多。这个我认为是一个可能的原因。除此之外，可能还有人才储备的原因，或者别的原因，我也不是很清楚。当然，这个也只是我个人观点，仅供参考。
舒颜：首先，确实存在人才问题。全球PQC研究也有20多年，不是说我们现在开始培养人才、引进人才就能够解决PQC的发展问题。其次，就是政策。美国一直很重视国家安全，从QIS政策开始就一直在强调通信安全。但是，在去年NIST除了4个算法后，也通过立法、国家安全备忘录支持PQC发展，美国官方也公开质疑过QKD的安全隐患。
不过，QKD其实在美国有一些发展。例如，一些实验室和大学合作，联络QKD网络和传输；也确实没有像中国、欧洲这样大规模、远距离发展QKD。
另外，中国、欧洲已经在QKD上投入了大量人力和资金，美国也会出于经济考虑等综合方面，或许不会过多支持QKD。欧洲的一些重大会议中，学术单位也大多发布了PQC，虽然没有像美国这么明显，不过也有相关应用。
