⚛️ quantum physics

More is Less:Optimal Security for Haar Quantum Money and More

Diese Arbeit stellt fest, dass Quantengeld-Schemata, die auf Haar-zufälligen Zuständen und Reflexions-Orakeln basieren, eine optimale Sicherheit erreichen, indem sie sicherstellen, dass sich die Fähigkeit eines Nutzers zur Fälschung nicht asymptotisch verbessert, es sei denn, er besitzt eine Anzahl von Banknoten, die für eine Zustands-Tomographie ausreicht, ein Ergebnis, das über ein neues komprimiertes Orakel-Framework zur Analyse von Fortschrittsmaßen bei Quantenklon-Aufgaben bewiesen wurde.

Ursprüngliche Autoren: Zihan Hao, Xingjian Li, Qipeng Liu, Wei Zhan

Veröffentlicht 2026-10-01

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Zihan Hao, Xingjian Li, Qipeng Liu, Wei Zhan

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Im Bereich der Kryptographie besteht das Ziel oft darin, Systeme zu schaffen, die unknackbar sind, selbst für einen Angreifer mit unbegrenzter Rechenleistung. Eines der faszinierendsten Grenzgebiete auf diesem Feld ist das Quantengeld, ein Konzept, das bereits vor Jahrzehnten vorgeschlagen wurde und sich auf die grundlegenden Gesetze der Physik statt auf komplexe Mathematik stützt, um Fälschungen zu verhindern. Im Gegensatz zu einem Dollarschein, der ein physisches Objekt ist, das gescannt und kopiert werden kann, ist ein Quantengeldbanknote eine spezifische Anordnung von subatomaren Teilchen, die als Qubits bekannt sind. Die einzigartige Eigenschaft dieser Teilchen ist, dass sie nicht perfekt kopiert werden können, ohne das Original zu zerstören – eine Regel, die als No-Cloring-Theorem bekannt ist. Das bedeutet: Wenn ein Dieb versucht, eine Quantenbanknote zu scannen, um ein Duplikat herzustellen, verändert der Akt des Scannens unweigerlich den Schein und macht ihn unbrauchbar. Damit ein System sicher ist, muss es gewährleisten, dass niemand, ungeachtet dessen, wie viele echte Banknoten er bereits besitzt, eine einzige zusätzliche gültige Note erstellen kann.

Jahrelang übersattete eine anhaltende Sorge diese theoretischen Systeme: Macht es einen besser im Stehlen, wenn man mehr Geld besitzt? In klassischen Systemen kauft Reichtum oft bessere Werkzeuge, doch bei Quantengeld war die Sorge subtiler. Wenn ein Fälscher bereits eine große Sammlung echter Banknoten besaß, könnten diese Noten selbst einen Abkürzungsweg zur Erstellung weiterer Noten bieten? Frühere Untersuchungen deuteten darauf hin, dass mit steigender Anzahl der Noten, die ein Nutzer besitzt, die Schwierigkeit, eine neue zu fälschen, abnehmen könnte, was den Wohlhabenden effektiv einen leichteren Weg zum Verbrechen ebnete. Dies würde eine gefährliche Rückkopplungsschleife schaffen, in der der Besitz von mehr Währung die Macht verleiht, noch mehr zu generieren, was die Stabilität des Systems untergraben würde.

Eine neue Studie von Forschern der UC San Diego, der Tsinghua-Universität und der Purdue University befasst sich direkt mit dieser Frage und beweist, dass für eine spezifische und vielversprechende Art von Quantengeld die Antwort ein definitives Nein ist. Das Team demonstrierte, dass, solange ein Fälscher eine Anzahl von Banknoten hält, die klein im Vergleich zur Gesamtzahl der möglichen Quantenzustände ist, seine Fähigkeit, eine neue Note zu fälschen, sich überhaupt nicht verbessert. Ob er eine Note oder eine Million hält, der Aufwand, um eine zusätzliche gültige Note zu erstellen, bleibt exakt gleich. Dieses Ergebnis etabliert ein entscheidendes Prinzip für zukünftige digitale Währungen: Größerer Reichtum sollte nicht mit größerer Fälschungsmacht einhergehen.

Die Forscher konzentrierten sich auf eine Konstruktion, bei der Banknoten aus zufälligen Quantenzuständen erstellt werden, die durch eine spezielle Art von Messung verifiziert werden. Um die Sicherheit zu testen, stellten sie sich einen Angreifer vor, der mit einer bestimmten Anzahl dieser Noten beginnt und versucht, eine weitere zu produzieren. Sie berechneten die Anzahl der Versuche, oder Abfragen, die der Angreifer bräuchte, um erfolgreich zu sein. Ihre Analyse ergab eine strikte mathematische Grenze: Die Anzahl der Versuche, die zur Erstellung einer neuen Note erforderlich sind, hängt nur von der Größe des Quantensystems ab, nicht davon, wie viele Noten der Angreifer bereits besitzt. Selbst wenn der Angreifer die Noten, die er besitzt, nutzt, um mehr über das System zu erfahren, gewinnt er keinen Vorteil. Der einzige Weg, die Aufgabe zu erleichtern, besteht darin, eine Anzahl von Noten zu besitzen, die so gewaltig ist, dass sie sich der Gesamtzahl der möglichen Konfigurationen nähert – eine Schwelle, die weit über das hinausgeht, was ein praktischer Nutzer jemals halten könnte.

Dieses Fazit wurde durch die Entwicklung eines neuen mathematischen Rahmens erreicht, um den Fortschritt eines Quantenalgorithmus zu verfolgen. Die Forscher behandelten den Prozess des Kopierens eines Quantenzustands wie eine Reise durch eine Landschaft der Möglichkeiten. Sie definierten ein Maß für den Fortschritt, das zeigte, wie nah ein Algorithmus daran war, eine Kopie erfolgreich zu erstellen. Durch die Analyse, wie sich dieser Fortschritt mit jedem Versuch änderte, bewiesen sie, dass der Algorithmus nicht einfach schneller werden kann, nur weil man mit mehr Kopien startet. Der Pfad zu einer erfolgreichen Fälschung bleibt ebenso lang und schwierig, unabhängig vom Ausgangspunkt. Dieses Ergebnis ist nicht nur eine theoretische Beobachtung; es ist eine strikte, bewiesene Grenze, die der Leistung des bestmöglichen Angriffs entspricht, was bedeutet, dass keine bessere Methode existiert.

Die Implikationen dieser Arbeit erstrecken sich über das Geld hinaus. Dieselben Prinzipien gelten für den Quanten-Kopierschutz, eine Methode zur Verhinderung von Softwarepiraterie. In diesem Szenario möchte ein Softwareentwickler ein Programm verbreiten, das zwar genutzt, aber nicht kopiert werden kann. Wenn ein Pirat es schafft, mehrere Kopien des Programms zu erhalten, hofft er vielleicht, diese zu kombinieren, um eine neue, unbefugte Version zu erstellen. Die Forscher zeigten, dass es für Programme, die auf diesen zufälligen Quantenzuständen basieren, dem Piraten nicht hilft, mehrere Kopien zu besitzen. Um den Schutz zu brechen, muss der Pirat entweder ein schwieriges Lernproblem lösen, um die Funktion der Software zu verstehen, oder versuchen, dieselbe unmögliche Aufgabe des Klonens des Quantenzustands zu bewältigen. Das Vorhandensein zusätzlicher Kopien senkt die Barriere für keine dieser Aufgaben.

Die Studie untersuchte auch die Effizienz der Erstellung dieser Kopien. Während der Besitz von mehr Noten das Fälschen nicht einfacher macht, fanden die Forscher heraus, dass es effizienter ist, wenn man versucht, viele neue Kopien gleichzeitig zu generieren, als dies einzeln zu tun. Diese Effizienzsteigerung bezieht sich jedoch auf die Methode der Produktion, nicht auf den Vorteil des Besitzes. Die Kerngarantie der Sicherheit bleibt intakt: Das System wird nicht schwächer, wenn die Anzahl der ehrlichen Nutzer oder die Menge der im Umlauf befindlichen Währung steigt.

Indem sie bewiesen haben, dass die Sicherheit dieser Quantensysteme nicht mit der Anzahl der verfügbaren Kopien abnimmt, haben die Forscher ein bedeutendes theoretisches Hindernis für die Lebensfähigkeit von Quantengeld beseitigt. Sie haben gezeigt, dass die „Reichen werden reicher“-Dynamik, bei der Reichtum die Macht zum Stehlen verleiht, für diese spezifische Quantenkonstruktion nicht gilt. Die Gesetze der Physik, die in diesem Design genutzt werden, stellen sicher, dass die Schwierigkeit der Fälschung konstant bleibt, und bieten so ein stabiles Fundament für eine Zukunft, in der digitale Währungen durch die unknackbaren Regeln der Quantenwelt geschützt sind.

Technisches Resümee: More is Less: Optimale Sicherheit für Haar-Quantengeld und mehr

1. Problemstellung

Die Arbeit adressiert eine fundamentale Sicherheitslücke in Quantengeld- und Kopierschutzschemata: das Potenzial, dass der bestehende Besitz eines Angreifers die Fälschung erleichtert. In der klassischen Kryptografie senkt der Besitz von mehr Ressourcen (z. B. mehr Banknoten) typischerweise nicht die Rechenkosten zum Brechen eines Systems. In quantentechnischen Settings kann der Besitz mehrerer Kopien eines Quantenzustands jedoch unter Umständen die Zustandsbestimmung oder das Klonen unterstützen.

Konkret untersuchen die Autoren das $k \to k+r$ Klonproblem: Gegeben seien $k$ Kopien eines unbekannten Quantenzustands $|\psi\rangle$ und Zugriff auf ein Reflexionsorakel $C|\psi\rangle Z$ ; wie hoch ist die Abfragekomplexität (Query Complexity), die erforderlich ist, um $k+r$ gültige Kopien zu erzeugen?

Bestehende Schranken, wie etwa jene von Aaronson und Christiano [AC12], legen nahe, dass die Abfragekomplexität für das Klonen mit steigendem $k$ abnimmt (z. B. $\Omega(\sqrt{N/k})$ ). Dies impliziert, dass die Reichen im Sinne der Kryptografie „reicher werden“: Der Besitz von mehr Banknoten macht die Fälschung einfacher. Die vorliegende Arbeit untersucht, ob diese Verschlechterung inhärent ist oder ob Konstruktionen existieren, bei denen die Kosten für die Erzeugung zusätzlicher Kopien unabhängig von $k$ bleiben, sofern $k$ unter dem Schwellenwert liegt, der für eine vollständige Zustands-Tomografie erforderlich ist ( $k \ll N$ , wobei $N=2^n$ ).

2. Methodik

2.1 Untergrenzen-Rahmenwerk: Komprimiertes Orakel für Quantenaufgaben

Der zentrale technische Beitrag ist eine neuartige Adaption der Zhandry-Technik des komprimierten Orakels [Zha19] auf die inhärent quantenmechanische Aufgabe des Klonens.

Orakel-Purifizierung und Diskretisierung: Die Autoren reduzieren zunächst die kontinuierliche Haar-zufällige Verteilung auf eine diskrete Verteilung von Phasenzuständen, die durch Zufallsfunktionen $f: [N] \to [M]$ definiert sind. Dies ermöglicht die Purifizierung des Orakels in ein Quantenregister.
Fourier-Basis und Multimengen: Durch die Betrachtung des Orakel-Registers in der Fourier-Basis wird der Zustand des Orakels als „Multiplizitäts-aufzeichnende Tabelle“ (eine Multimenge mit Vorzeichen) dargestellt.
- Bilanz (Balance): Die Summe der Einträge in der Multimenge (invariant unter Reflexionsabfragen).
- Negative Größe (Negative-size): Die Anzahl der negativen Einträge in der Multimenge.
Fortschrittsmaße: Die Autoren definieren eine Menge von Projektoren $\Gamma_\ell$ $Γ_{ℓ}$ , die auf Zustände projizieren, in denen die Multimenge genau $\ell$ $ℓ$ negative Elemente besitzt.
- Der Ausgangszustand (mit $k$ Kopien) hat eine negative Größe von 0.
- Der Zielzustand (mit $k+r$ Kopien) erfordert, dass der Zustand auf Unterräumen mit einer negativen Größe von mindestens $r$ unterstützt wird.
- Eine einzelne Reflexionsabfrage kann die negative Größe um höchstens 1 erhöhen.
Begrenzung der Inkremente: Der Beweis begrenzt die Wahrscheinlichkeitsamplitude des Übergangs von einem Unterraum mit $\ell-1$ negativen Elementen zu einem mit $\ell$ negativen Elementen. Entscheidend ist, dass die Autoren zeigen, dass dieser Übergang einen Straffaktor im Zusammenhang mit $1/\sqrt{N}$ nach sich zieht und dass das Akkumulieren von $r$ solchen Schritten zu einem exponentiellen Abfall der Erfolgswahrscheinlichkeit führt, sofern die Anzahl der Abfragen $T$ nicht ausreichend groß gewählt wird.

2.2 Obergrenze: Verdoppelungsalgorithmus

Um die Tightness (Schärfe) zu demonstrieren, konstruieren die Autoren einen Algorithmus, der die Untergrenze erreicht:

Zustandsschätzung: Der Algorithmus nutzt eine optimale POVM (Symmetrische Reinzustands-POVM), um den unbekannten Zustand $|\psi\rangle$ aus $k$ Kopien zu schätzen, und erzeugt eine klassische Beschreibung eines Zustands $|g\rangle$ .
Amplitudenverstärkung: Unter Verwendung des geschätzten Zustands $|g\rangle$ wendet der Algorithmus eine Fixed-Point-Amplitudenverstärkung an, um eine neue Kopie von $|\psi\rangle$ zu generieren.
Verdoppelungsstrategie: Der Algorithmus verwendet eine „Verdoppelungsstrategie“. Beginnend mit $k$ Kopien werden $2k$ Kopien erzeugt, dann $4k$ und so weiter. Es wird gezeigt, dass die erwartete Abfragekomplexität für die Generierung von $r$ zusätzlichen Kopien $O(\sqrt{rN})$ beträgt, was unabhängig vom ursprünglichen $k$ ist (solange $k+r = o(N)$ ).

2.3 Kryptografische Reduktionen

Die Kloning-Schranken werden auf zwei kryptografische Primitiven angewandt:

Public-Key Quantengeld: Die Autoren zeigen, dass für Haar-zufällige Zustands-Geldsysteme mit Reflexionsorakel-Verifizierung die Sicherheit gegen die Fälschung von $r$ zusätzlichen Scheinen nur von $r$ und $N$ abhängt, nicht aber von der Anzahl der bereits gehaltenen Scheine $k$ .
Quanten-Kopierschutz: Durch Adaption des Rahmens von [ALL+21] konstruieren die Autoren ein Kopierschutzschema für unlernbare Funktionen. Sie beweisen eine Sicherheitsdichotomie: Ein Angreifer lernt entweder die Funktion (was die Unlernbarkeit-Annahme bricht) oder klont erfolgreich den Haar-zufälligen Programmazustand. Die Barriere für das Klonen bleibt hoch, unabhängig davon, wie viele Kopien der Pirat besitzt.

3. Kernergebnisse

3.1 Tighte Kloning-Schranken

Das Paper etabliert enge Schranken für die Abfragekomplexität des Klonens. Sei $N=2^n$ .

Theorem 1.1 ( $k \to k+1$ ): Für einen Haar-zufälligen Zustand $|\psi\rangle$ erfüllt jeder Algorithmus, der $T$ Abfragen an $C|\psi\rangle Z$ vornimmt und $k+1$ Register ausgibt:
$\mathbb{E}_{|\psi\rangle} \text{Tr}[(|\psi\rangle\langle\psi|)^{\otimes(k+1)} \rho_\psi] \leq O\left(\frac{T^2}{N} + \frac{k+1}{N}\right)$
Folglich ist $T = \Theta(\sqrt{N})$ erforderlich, um eine konstante Erfolgswahrscheinlichkeit zu erreichen, vorausgesetzt $k = o(N)$ . Die Anwesenheit von $k$ Kopien reduziert die Abfragekosten asymptotisch nicht.
Theorem 1.3 ( $k \to k+r$ ): Für die Generierung von $r$ zusätzlichen Kopien gilt:
$\mathbb{E}_{|\psi\rangle} \text{Tr}[(|\psi\rangle\langle\psi|)^{\otimes(k+r)} \rho_\psi] \leq \left( O\left(\frac{T^2}{rN} + \frac{k+r}{N}\right) \right)^r$
Die optimale Abfragekomplexität ist $\Theta(\sqrt{rN})$ . Bemerkenswerterweise sinken die Kosten pro neuer Kopie, wenn $r$ steigt (Batch-Generierung ist effizienter), aber der Besitz von mehr ursprünglichen Kopien ( $k$ ) bietet keinen Vorteil.

3.2 Kryptografische Implikationen

Quantengeld (Theorem 1.5): Die Konstruktion basierend auf Haar-zufälligen Zuständen und Reflexionsorakeln erreicht optimale Abfragesicherheit. Die Fälschung eines zusätzlichen Geldscheins erfordert $\Theta(2^{n/2})$ Abfragen, unabhängig davon, ob der Angreifer 1 oder $o(2^n)$ Geldscheine besitzt. Dies löst das „More is Less“-Paradoxon auf: Größerer Reichtum (mehr Geldscheine) verleiht keine größere Fälschungsmacht.
Kopierschutz (Theorem 1.6): Die Sicherheit des vorgeschlagenen Kopierschutzschemas wird durch die Summe aus dem Lernvorteil und dem Kloning-Vorteil begrenzt. Der Kloning-Term $HClone_{N,k}(T^*)$ skaliert als $T^2/N$ ohne multiplikativen Verlust in Abhängigkeit von $k$ . Somit senkt der Besitz mehrerer Kopien eines geschützten Programms die Barriere zur Piraterie nicht.

4. Bedeutung und Ansprüche

Das Paper beansprucht, ein von Aaronson [Aar09] aufgeworfenes Problem bezüglich der Parameter des komplexitätstheoretischen No-Cloning-Theorems gelöst zu haben.

Optimalität: Die Autoren demonstrieren, dass die „More is Less“-Eigenschaft (wo mehr Kopien nicht helfen) für Haar-zufällige Zustände erreichbar und optimal ist. Die Sicherheit solcher Systeme verschlechtert sich nicht, wenn der Angreifer mehr Kopien akkumuliert, bis der Punkt erreicht ist, an dem eine vollständige Zustands-Tomografie machbar wird ( $k \approx N$ ).
Technische Neuheit: Die Arbeit stellt eine der ersten Anwendungen der komprimierten Orakel-Technik auf eine rein quantenmechanische Aufgabe (Klonen) statt auf klassische Probleme (wie Kollisionsfindung) dar. Die Entwicklung eines mehrstufigen Fortschrittsmaßes (Verfolgung negativer Elemente in der Multimenge) ermöglicht enge Schranken für den $k \to k+r$ Übergang.
Kryptografische Robustheit: Durch den Beweis, dass die Kloning-Barriere unabhängig von $k$ ist, stärkt das Paper das theoretische Fundament für Quantengeld und Kopierschutz und stellt sicher, dass diese Systeme auch gegen Angreifer mit signifikanten Anfangsbeständen sicher bleiben.

Die Autoren geben explizit an, dass ihre Beweise für die Untergrenzen ohne KI-Unterstützung entwickelt wurden, während für die Obergrenze im allgemeinen $k \to k+r$ Fall KI für die initiale Skizzierung des Beweises genutzt wurde, welche anschließend von den Autoren verifiziert und umgeschrieben wurde. Die Ergebnisse lassen sich auf Phasenzustände im Quantum Random Oracle Model (QROM) übertragen, was auf potenzielle Wege für effiziente Plain-Model-Konstruktionen hindeutet, wenngleich die Autoren anmerken, dass die Etablierung der Sicherheit für solche Instanziierungen eine offene Forschungsrichtung bleibt.