Quando arriverà il Q-Day? Cosa mostra la ricerca del 2025 e del 2026

Che cosa si intende per Q-Day

«Q-Day» indica il giorno in cui un computer quantistico sarà in grado di violare la crittografia a chiave pubblica oggi diffusa. Si tratta soprattutto di RSA e degli algoritmi su curve ellittiche, su cui si basano TLS, VPN, firme del codice, PKI e identità digitali. Gli specialisti parlano di un computer quantistico crittograficamente rilevante, in breve CRQC.

Che una macchina del genere possa violare questi algoritmi è noto dal 1994, quando Peter Shor pubblicò i relativi algoritmi quantistici. Resta aperto quando si potrà costruire una macchina abbastanza grande e con un tasso di errore abbastanza basso. Su questa domanda la ricerca ha fatto passi avanti significativi nel 2025 e nel 2026. Questo articolo riassume i lavori più importanti e chiarisce che cosa dimostrano e che cosa no.

Un concetto preliminare: i computer quantistici attuali lavorano con qubit fisici, soggetti a errori. Con la correzione quantistica degli errori molti qubit fisici vengono combinati in un qubit logico più stabile. Le stime delle risorse riportano quindi di solito entrambi i numeri. Per capire quanto sia ancora lontano l'hardware, conta il numero di qubit fisici.

Che cosa si aspettano gli specialisti: il Quantum Threat Timeline Report

Il sondaggio di lungo periodo più noto è il Quantum Threat Timeline Report del Global Risk Institute. Michele Mosca e Marco Piani di evolutionQ interpellano a tal fine ogni anno specialisti della ricerca e dell'industria. La settima edizione, datata 9 marzo 2026, si basa sulle risposte di 26 specialisti. Global Risk Institute

Il risultato: gli intervistati ritengono «del tutto possibile» un computer quantistico crittograficamente rilevante entro i prossimi dieci anni, con una probabilità dal 28 al 49%. Entro 15 anni lo ritengono «probabile», dal 51 al 70%. La serie di report definisce una macchina di questo tipo come in grado di violare RSA-2048 entro 24 ore.

Un sondaggio tra 26 persone non è una misurazione. Il suo valore sta nella serie storica: la stessa domanda viene posta da anni e le stime si sono spostate in avanti di edizione in edizione.

Che cosa si aspetta il BSI

Il BSI, l'Ufficio federale tedesco per la sicurezza informatica, fa valutare dal 2017 lo stato di sviluppo dei computer quantistici in uno studio dedicato, aggiornato l'ultima volta nel 2025. La linea guida nazionale tedesca sulla migrazione post-quantistica ne riassume così il risultato: è probabile che un computer quantistico di questo tipo sia realizzabile entro al massimo 15 anni, quindi entro il 2040 o prima. Le ipotesi di base della correzione quantistica degli errori sono state completamente verificate nel 2024, e ulteriori progressi potrebbero accorciare sensibilmente questo intervallo. Linea guida, PDF

Per l'ambito di massima sicurezza il governo federale tedesco è più prudente. Lì lavora sull'ipotesi che computer quantistici crittograficamente rilevanti saranno disponibili all'inizio degli anni 2030. La linea guida cita in proposito un documento stampato del Bundestag (Drucksache) del febbraio 2025.

Le valutazioni del BSI e degli specialisti sono quindi vicine: nessuna svolta domani, ma una possibilità concreta entro la durata di vita dei sistemi che si progettano oggi.

Le stime sull'hardware scendono

A muoversi sono state soprattutto le stime di quanto grande dovrebbe essere un computer quantistico per un attacco. Tre lavori del 2025 e del 2026 sono al centro dell'attenzione.

RSA-2048 con meno di un milione di qubit. Nel maggio 2025 Craig Gidney di Google Quantum AI ha stimato che un computer quantistico con meno di un milione di qubit rumorosi potrebbe fattorizzare un numero RSA a 2048 bit in meno di una settimana. arXiv:2505.15917 Nel 2019 la sua stima insieme a Martin Ekerå era ancora di 20 milioni di qubit. arXiv:1905.09749 Le ipotesi sull'hardware sono rimaste le stesse: una griglia quadrata con collegamenti solo tra vicini, un tasso di errore dello 0,1% per porta e un ciclo di correzione degli errori di un microsecondo. Il risparmio deriva da algoritmi migliori e da una correzione degli errori più efficiente, non da un hardware migliore. Il prezzo è un tempo di esecuzione più lungo.

RSA-2048 con circa 100.000 qubit. Nel febbraio 2026 l'azienda australiana Iceberg Quantum ha presentato l'architettura «Pinnacle». Sostituisce la correzione degli errori finora comunemente usata con i cosiddetti codici qLDPC. Con le stesse ipotesi su tasso di errore e frequenza di ciclo, Iceberg stima circa 98.000 qubit fisici con circa un mese di esecuzione, oppure circa 471.000 qubit per circa un giorno. arXiv:2602.11457 Finora l'architettura è stata verificata solo in simulazione. Richiede collegamenti tra qubit molto distanti e una decodifica degli errori molto rapida, due cose non ancora dimostrate su questa scala.

Curve ellittiche in pochi minuti. A fine marzo 2026 Google Quantum AI, insieme a ricercatori della Ethereum Foundation e della Stanford University, ha pubblicato stime delle risorse per le curve a 256 bit che proteggono, tra gli altri, Bitcoin ed Ethereum. Due circuiti ottimizzati richiedono meno di 1.200 qubit logici e meno di 90 milioni di porte di Toffoli, oppure meno di 1.450 qubit logici e meno di 70 milioni di porte di Toffoli. Su hardware superconduttivo con un tasso di errore dello 0,1% ciò corrisponde a meno di 500.000 qubit fisici e a un tempo di esecuzione di pochi minuti. Google la quantifica come una riduzione di circa 20 volte rispetto alla migliore stima precedente. Google Research, arXiv:2603.28846

Notevole è anche il modo in cui Google ha pubblicato. I circuiti stessi non sono stati resi pubblici, per non fornire istruzioni agli attaccanti. Al loro posto, una prova a conoscenza zero dimostra che le stime sono corrette. Per le aziende è un segnale: la ricerca stessa tratta ormai il tema come rilevante per la sicurezza.

Che cosa i numeri non dicono

Per quanto impressionante sia la curva, i lavori hanno limiti chiari.

• La macchina non esiste. Il chip Willow di Google aveva 105 qubit al momento della presentazione nel dicembre 2024 e ha dimostrato la correzione degli errori al di sotto della soglia critica. Google L'hardware è ancora molto lontano da centinaia di migliaia di qubit che calcolano con correzione degli errori per giorni o settimane.
• Le ipotesi sono ottimistiche, ma non esotiche. Tutte le stime citate presuppongono un tasso di errore dello 0,1% e tempi di ciclo nell'ordine dei microsecondi. Alcune piattaforme raggiungono oggi questi valori, ma non a queste dimensioni e non in modo continuativo.
• La maggior parte dei lavori sono preprint. Non sono ancora stati sottoposti a peer review. Nel caso di Iceberg si aggiunge che i risultati derivano solo da simulazioni.
• Il progresso viene dagli algoritmi. È anche il lato inquietante. Ogni riduzione degli ultimi anni è venuta da una matematica migliore e da una migliore correzione degli errori. Progressi di questo tipo sono difficili da prevedere e possono arrivare all'improvviso.

Chi ne ricava una data precisa legge nei lavori più di quanto dicano. L'affermazione solida è un'altra: in sette anni l'asticella si è abbassata di oltre un ordine di grandezza, senza che le ipotesi sull'hardware siano cambiate.

Perché l'incertezza non è un motivo per aspettare

Per la pianificazione aiuta un ragionamento semplice che risale a Michele Mosca. Vanno confrontati tre intervalli di tempo:

• per quanto tempo i dati devono restare riservati,
• quanto dura la migrazione alla crittografia post-quantistica,
• quanto manca a un computer quantistico crittograficamente rilevante.

Se la somma dei primi due è maggiore del terzo, la migrazione arriva troppo tardi. I dati intercettati e conservati oggi potranno allora essere decifrati in seguito («Store now, decrypt later»).

La roadmap UE per la migrazione post-quantistica si basa proprio su questo. Classifica i casi d'uso ad alto rischio quando i dati devono restare riservati per almeno dieci anni e stima la durata di una migrazione completa tra cinque e dieci anni. Roadmap UE, PDF Anche chi si aspetta il Q-Day solo nel 2040 arriva, con dieci anni di riservatezza e cinque di migrazione, a un avvio al più tardi nel 2025.

Per le firme la pressione è minore, perché una firma deve reggere solo fino a quando il computer quantistico esisterà. In compenso i tempi di migrazione sono lì i più lunghi: PKI, aggiornamenti firmware e dispositivi a lunga durata non si trasformano in un anno. Per questo la roadmap UE chiede che entro il 2030 gli aggiornamenti software e firmware siano firmati per impostazione predefinita in modo resistente ai computer quantistici.

Conclusione

La ricerca non fornisce una data per il Q-Day, ma una direzione chiara. Gli specialisti ritengono del tutto possibile un computer quantistico crittograficamente rilevante entro dieci anni, il BSI lo ritiene probabile entro il 2040 e i requisiti hardware stimati sono calati fortemente nel 2025 e nel 2026. Per le aziende l'anno esatto non è comunque la domanda decisiva. Decisivo è se i propri dati devono restare riservati più a lungo di quanto la migrazione consenta. Quali scadenze le autorità ne ricavano e quali sono vincolanti lo trovate in Crittografia post-quantistica: le scadenze del 2026, 2030 e 2035 e cosa è vincolante.

Fonti

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9 marzo 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (linea guida comune di BMDS, BMI e BSI, 12 ottobre 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21 maggio 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, pubblicato su Quantum nel 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, febbraio 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney et al., arXiv, 30 marzo 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31 marzo 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9 dicembre 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream del gruppo di cooperazione NIS (NIS Cooperation Group), giugno 2025)