破解金融：量子计算的威胁

安联研究 | 2026年7月29日 破解金融：为何量子威胁可能先于回报到来 总而言之 苏博兰 首席投资官兼首席经济学家 • 大多数技术是在产生问题之前创造价值，但量子计算可能会打破这一模式。想象有两个时钟并排嘀嗒作响：一个测量量子计算机变得经济实用的时间，另一个测量它们能够破解支撑金融体系密码学的时间。哪个时钟先敲响，是一场真正开放的比赛。 olivier.salomon@allianz.com安联集团（Allianz SE）量子中心负责人 奥利维耶·萨洛蒙 (Olivier Salomon) • 其上行潜力真实存在，但主要集中在衍生品定价及其他复杂金融模拟领域。在这些领域之外，其对金融业的影响可能有限。量子计算加速了金融模拟背后的蒙特卡洛方法，但在投资组合优化和金融机器学习方面改进传统方法上，目前尚未显示出持续优势。保险公司处于有利地位，因为模拟和优化是责任评估、风险定价、资本建模和资产负债管理的核心。量子货币可以利用不可复制的量子态来认证价值并防止伪造，尽管商业部署仍很遥远。目前，其回报仍停留在理论层面，受到纠错开销和经典基准不断提升的威胁，直到大型量子计算机出现。但受量子启发的方 法如今就能在经典硬件上提供运营价值，并且在此过程中建立的人才、工具和专业知识将得以延续。 bjoern.griesbach@allianz.com布约恩·格里斯巴赫 大型经济体与资本市场研究主管 乔瓦尼·斯卡帕托 中东欧经济学家 jordi.basco_carrera@allianz.comJordi Basco Carrera 私募市场投资策略主管 • Q日可能比我们预想的更早到来：今天收集的数据将来可能被解密。破解当今加密的方法自1994年起就已存在，只等待那台机器——也就是更小的那台——它需要大约1250-1450个逻辑量子比特，而目前领先的金融应用则需要大约4700-7500个。健康记录、机密政府信息和敏感财务数据必须保持数十年机密，但专家将Q日（即存在密码学相关量子计算机的时间点）在十年内出现的概率评估为28-49%。防御标准自2024年起就已存在，监管机构也设定了时间表：美国国家标准与技术研究院（NIST）将在2030年后淘汰当今的算法，欧盟要求关键金融基础设施在同年完成迁移。 simone.percoco@allianz.com西蒙内·维托里奥·佩科科 研究助理 数字资产使风险暴露：4000亿美元的比特币已面临风险，这仅仅是冰山一角。到2026年春季，大约600万枚比特币（供应量的30%）背后的公钥已暴露，而以太坊则将风险扩展至稳定币、桥梁和代币化资产。对主流金融体系的溢出效应将是系统性的：国际清算银行预计损失将超过GDP的1%以上，时间跨度为15-20年，而赫德森研究所提出的严重情景则预测在6个季度内，损失将高达3.3万亿美元（全球GDP的3%）。 • 私营和公共部门都明显在追逐利益，而关于威胁的担忧则大多在幕后进行。投资者主要押注硬件：在2025年量子初创公司估计筹集的126亿美元资金中，每一美元约有97%用于机器，不到1%用于应用程序。公共部门的努力揭示了地域不平衡：美国通过并行执行总统令来准备应对利益和威胁，而欧洲吸引的私人量子投资仅占5%，远低于美国的超过一半，正通过零散的政策工具寻求其自身的回应，这有重蹈其人工智能先采用者后监管者之覆辙的风险，因为其并未拥有这项技术。应对威胁的准备纯粹是内部IT预算决策，与人工智能争夺资源，而且只有大约35%的大型组织完成了加密资产清点。机构需要在倒计时归零前，具备加密敏捷架构、优先清点清单、迁移路线图和经过测试的回退方案：为只有一个倒计时做准备是错误策略，无论哪个先敲响。 两座以不同速度滴答作响的钟 大多数技术是在产生问题之前创造价值的。汽车在交通拥堵成为政策关注点之前提供了交通便利；互联网在制造网络犯罪之前创造了一个数字经济。即使收益来得缓慢——电气化花了数十年时间才提高工厂的生产力，正如罗伯特·索洛所著名观察的那样，计算机曾经是“无处不在，却不见于生产力统计数据”的可见事物——方向也是一样的：回报先来，风险随后。量子计算可能会打破这种模式。想象两个时钟并排嘀嗒作响。一个测量量子计算机变得经济有用之前的时间；另一个测量它们能够破解支撑金融体系密码学之前的时间。有一个可信的观点是，威胁时钟至少和回报时钟一样快，而且机构们被可见的利好所吸引，正悄悄地为这两种情况中的一种做准备。 要理解为什么两台时钟可以以不同的速度运行，首先从机器本身开始。量子计算机并非传统计算机的简单加速版本，也并非“同时尝试所有答案”。它是一种不同类型的机器，能够以传统系统仍难以处理的方式解决特定的一组数学问题。其基本单元是量子比特（qubit），它是经典比特的量子对应物。而传统比特必须是0或1，量子比特可以占据一种允许信息以不同方式被处理的量子状态。困难在于量子比特非常脆弱。当今实验室中构建的物理量子比特具有足够的易错性，以至于长时间的计算会迅速演变成噪声。因此，实用的大规模量子计算依赖于纠错：将大量物理量子比特捆绑成数量远少且更稳定的逻辑量子比特。逻辑量子比特，而非原始的物理量子比特数量，才是衡量机器实际计算能力的更有意义的指标。即便如此，量子优势也高度特定。银行、保险公司和资产管理公司执行的大多数操作将很少从量子硬件中获益。然而，量子计算机特别擅长解决的问题之一是因子分解和离散对数，它们是当今许多公钥密码学的数学基础。 纸面上，并且只有在空间最小化估算的情况下，破译机才可能更小。攻击比特币密钥背后的椭圆曲线密码学据估算需要大约1250-1450个逻辑量子比特，具体取决于电路设计和量子比特数量与运行时间之间的权衡。对于RSA-2048——一个与椭圆曲线案例不同的独立问题——随着架构和算法的改进，其破解所需最低估算量级已降至类似水平，尽管标准的单次运行估算值仍高出数倍。相比之下，用于定价和风险分析的容错方案中，基于振幅估计的方法需要大约4700-7500个逻辑量子比特，而具有普遍性和经济相关性的投资组合优化优势可能需要更多资源，目前尚未得到验证（图1）。 然而，仅仅统计逻辑量子比特并不能解决这一问题。门数、保真度和电路深度同样重要，正如量子比特一样；更深层次的不对称性体现在竞争而非技术上。对于破解密码学，量子计算机本质上是目前唯一能完成这项工作的工具；没有经典捷径，因此破译机器只需存在即可。对于金融领域，量子必须参与竞争：经典硬件和算法已经能进行这些计算且不断改进，因此即使是理论上更小的机器也必须达到远更高的标准才具有价值。因此，密码学攻击似乎是最小的、明确规定的容错应用之一，而最成熟的金融应用案例则要求更大、更快的机器，并且必须超越一个攻击者永远无法面对的、不断变化的经典基准。这种不对称性也塑造了制造这些机器的经济性：用于追逐金融优势的资金投入与更廉价的经典改进竞争，而用于防御的资金投入则购买了对抗只有量子才能做到的事情的保护。 然而，决定性的不对称性在于食谱而非机器。肖尔算法——彼得·肖尔于1994年发表的一种量子程序，能够高效分解大数并解决公钥密码体制所依赖的相关离散对数问题——已经存在了三十年。该算法已被证实、发表，并具有明确的目标：在拥有足够强大容错硬件的情况下，它能够恢复公钥密码体制背后的私钥，而公钥密码体制用于验证和加密几乎所有的数字交换，无论是银行转账、私人消息还是社交网络帖子。剩下的不确定性在于，一台拥有足够规模、速度和纠错能力的机器何时才能出现以运行该算法。 金融量子算法并非不存在，但它们通往经济价值的道路远未明确。量子振幅估计为加速蒙特卡洛计算提供了坚实的数学基础，而其他方法则针对优化、机器学习和线性代数。然而，对于振幅估计，其潜在收益是二次方的而非指数级的，而对于优化和机器学习，许多声称的优势仍然是启发式的或高度依赖于特定问题。破坏性应用场景已经拥有其解决方案，主要等待的是机器。生产性应用则需要同时具备两样东西：对手也在等待的硬件，以及仍需被发现、实现并证明优于强大经典方法的金融算法。然而，这两个时钟在不同的维度上竞争，都值得探索，很难说哪个时钟会先敲响。 奖励时钟 金融领域量子计算最有力论据源于一个简单的观察：该行业已投入巨大计算能力来模拟不确定性。衍生品定价、市场风险度量、经济资本计算和压力测试都高度依赖蒙特卡洛方法——即对成千上万甚至上百万种可能未来结果进行重复模拟。原则上，量子振幅估计能在少于经典蒙特卡洛方法评估次数的情况下达到给定统计精度。其潜在结果并非全新的计算方式，而是能更快、更频繁或更高精度地执行现有计算：压缩隔夜风险回测、更频繁地更新资本头寸、评估更广泛情景范围。由于蒙特卡洛方法应用于多种场景（如复杂衍生品定价、VaR与预期缺额计算、交易对手敞口估计或经济资本衡量），该行业与少数几个获得严格数学加速支持量子应用领域高度契合。 尽管如此，收益也不应被过分夸大。二次加速可能很有价值，特别是对于深度嵌套的模拟，但这里的移动经典基准具有具体形式：专用芯片、GPU、分布式云基础设施、方差减少以及持续改进的经典算法。一个具有商业用途的量子系统在结合纠错、数据加载、状态准备和完整工作流程的成本之后，必须超越它们。这是任何金融量子应用必须通过的最重要测试，这也是为什么纸面上的真实加速可能无法转化为实践中的真实优势的原因。 保险公司处于一个竞争的关键点：其拥有最强数学基础的量子优势直接对应着其最复杂的监管计算以及投资流程的某些部分。在承保和资本方面，评估人寿、健康和长期财产-意外险负债可能需要模拟未来数十年。这些评估结果会用于准备金、压力测试、经济资本计算和偿付能力II覆盖率比率，通常通过多层嵌套模拟来实现。 计算成本高昂。振幅估计正是针对此类工作负载：最佳负债估值、偿付能力资本和风险价值计算，以及为其提供输入的经济情景生成。更快的模拟可以提高效率，但更重要的是，它可以改变风险管理节奏，将资本和偿付能力监控从定期练习转变为更频繁的更新和更具动态性的指导与对冲。同样的技术也适用于资产和资产负债管理方面。在数千种经济情景下评估拟议的分配方案、生成这些情景以及衡量尾部风险和交易对手风险，这些都属于振幅估计可以加速的模拟密集型家族。 这也是整个行业集中进行实验的领域。高盛已探索用量子蒙特卡洛方法进行衍生品定价；摩根大通已测试用于投资组合和抵押品问题的优化程序；农业信贷银行已试点混合信用风险模型。诚实地讲，评估配置是其中已证明能提升速度的部分，而选择最优配置则是一个组合优化问题，量子方法尚未显示出稳健的优势。因此，可信的机遇首先在于更快、更丰富场景地评估配置，而不是期待量子计算机能自动发现最优投资组合。 超越模拟，所提出的潜在应用领域众多，但相关证据基础却相对薄弱。投行和投资银行正在测试抵押品分配、资产负债表优化以及更快的定价系统。资产管理公司则在探索投资组合构建、资产建模和情景分析。支付企业看到了在欺诈检测、合规性方面的潜在应用，以及更远期的量子安全结算。零售银行最终可能会使用量子或受量子启发的 方法进行信用评估和大规模决策问题（见图2）。 在最前沿的实验领域是量子货币。这一概念最早由斯蒂芬·韦斯纳提出，后由查尔斯·贝内特和吉勒斯·布拉萨德进一步发展。它并非描述一种可与加密货币或央行数字货币相媲美的新型货币，而是指编码在量子状态中的支付代币，这种代币在不破坏其状态的情况下无法被完美复制。原则上，量子力学因此可能提供一种新的价值认证和防伪方式。然而，字面意义上的量子钞票在技术上仍遥不可及，因为它们需要确保脆弱的量子状态能够被可靠地存储、传输和验证，同时安全的公开验证仍是一个悬而未决的研究问题。最近的实验已转向量子支付代币和一次性密码组，利用量子通信使支付授权更难伪造，而无需用户无限期地保持量子状态。这些方法距离商业化部署还很遥远，但它们展示了更广泛潜在的回报。 这些机会中的大多数，其确定性不如蒙特卡洛案例。优化和机器学习应用面临着来自过去十年中快速进步的经典求解器的激烈竞争，因此，在小规模或合成问题上展示的结果，未必适用于在