Kiedy nadejdzie Q-Day? Co pokazują badania z 2025 i 2026 roku

Co oznacza Q-Day

„Q-Day” to dzień, w którym komputer kwantowy będzie w stanie złamać powszechnie dziś stosowaną kryptografię klucza publicznego. Chodzi przede wszystkim o RSA i algorytmy oparte na krzywych eliptycznych, na których opierają się TLS, sieci VPN, podpisy kodu, infrastruktury PKI i tożsamości cyfrowe. Specjaliści mówią o kryptograficznie istotnym komputerze kwantowym, w skrócie CRQC.

To, że taka maszyna mogłaby złamać te algorytmy, wiadomo od 1994 r., kiedy Peter Shor opublikował odpowiednie algorytmy kwantowe. Otwarte pozostaje, kiedy uda się zbudować maszynę wystarczająco dużą i wystarczająco mało podatną na błędy. W tej kwestii badania wyraźnie posunęły się naprzód w 2025 i 2026 r. Ten artykuł podsumowuje najważniejsze prace i porządkuje, czego dowodzą, a czego nie.

Najpierw jedno pojęcie: dzisiejsze komputery kwantowe działają na fizycznych kubitach, które są podatne na błędy. Dzięki kwantowej korekcji błędów wiele fizycznych kubitów łączy się w jeden stabilniejszy kubit logiczny. Dlatego szacunki zasobów zwykle podają obie liczby. Dla pytania, jak daleko jest jeszcze sprzęt, liczy się liczba kubitów fizycznych.

Czego oczekują eksperci: Quantum Threat Timeline Report

Najbardziej znaną długoterminową ankietą jest Quantum Threat Timeline Report Global Risk Institute. Michele Mosca i Marco Piani z evolutionQ co roku pytają w nim ekspertów ze świata nauki i przemysłu. Siódma edycja, datowana na 9 marca 2026 r., opiera się na odpowiedziach 26 ekspertów. Global Risk Institute

Wynik: kryptograficznie istotny komputer kwantowy w ciągu najbliższych dziesięciu lat respondenci uznają za „całkiem możliwy”, z prawdopodobieństwem od 28 do 49 procent. W ciągu 15 lat uważają go za „prawdopodobny”, z prawdopodobieństwem od 51 do 70 procent. Seria raportów definiuje taką maszynę jako komputer zdolny złamać RSA-2048 w ciągu 24 godzin.

Ankieta wśród 26 osób nie jest pomiarem. Jej wartość tkwi w szeregu czasowym: to samo pytanie zadaje się od lat, a oceny z edycji na edycję przesuwały się na wcześniej.

Czego oczekuje BSI

BSI, niemiecki federalny urząd ds. bezpieczeństwa informacji, od 2017 r. zleca ocenę stanu rozwoju komputerów kwantowych we własnym badaniu, ostatnio zaktualizowanym w 2025 r. Niemieckie wytyczne krajowe dotyczące migracji postkwantowej podsumowują wynik następująco: prawdopodobne jest, że taki komputer kwantowy da się zbudować w ciągu maksymalnie 15 lat, czyli do 2040 r. lub wcześniej. Podstawowe założenia kwantowej korekcji błędów zostały w 2024 r. w pełni zweryfikowane, a dalsze postępy mogą znacznie skrócić ten okres. Wytyczne, PDF

W obszarze wysokiego bezpieczeństwa niemiecki rząd federalny jest ostrożniejszy. Przyjmuje tam hipotezę, że kryptograficznie istotne komputery kwantowe będą dostępne na początku lat 30. Wytyczne powołują się w tym miejscu na Bundestagsdrucksache (oficjalny druk parlamentarny niemieckiego Bundestagu) z lutego 2025 r.

Oceny BSI i ekspertów są zatem bliskie: żadnego przełomu jutro, ale realna możliwość w okresie eksploatacji systemów planowanych dziś.

Szacunki dotyczące sprzętu spadają

Zmieniły się przede wszystkim szacunki, jak duży musiałby być komputer kwantowy zdolny do ataku. W centrum uwagi są trzy prace z lat 2025 i 2026.

RSA-2048 z mniej niż milionem kubitów. W maju 2025 r. Craig Gidney z Google Quantum AI oszacował, że komputer kwantowy z mniej niż milionem zaszumionych kubitów mógłby rozłożyć na czynniki 2048-bitową liczbę RSA w mniej niż tydzień. arXiv:2505.15917 W 2019 r. jego szacunek wraz z Martinem Ekeråem wynosił jeszcze 20 milionów kubitów. arXiv:1905.09749 Założenia sprzętowe pozostały przy tym takie same: kwadratowa siatka z połączeniami tylko do sąsiadów, poziom błędów 0,1 procent na bramkę i cykl korekcji błędów trwający jedną mikrosekundę. Oszczędność wynika z lepszych algorytmów i wydajniejszej korekcji błędów, a nie z lepszego sprzętu. Ceną jest dłuższy czas obliczeń.

RSA-2048 z około 100 000 kubitów. W lutym 2026 r. australijska firma Iceberg Quantum przedstawiła architekturę „Pinnacle”. Zastępuje ona dotychczas powszechną korekcję błędów tzw. kodami qLDPC. Przy tych samych założeniach dotyczących poziomu błędów i taktowania Iceberg szacuje ok. 98 000 fizycznych kubitów przy ok. miesiącu obliczeń lub ok. 471 000 kubitów przy ok. jednym dniu. arXiv:2602.11457 Architektura była dotąd sprawdzana wyłącznie w symulacjach. Wymaga połączeń między odległymi kubitami i bardzo szybkiego dekodowania błędów; żadnej z tych rzeczy nie wykazano jeszcze w tej skali.

Krzywe eliptyczne w kilka minut. Pod koniec marca 2026 r. Google Quantum AI wraz z badaczami z Ethereum Foundation i Uniwersytetu Stanforda opublikował szacunki zasobów dla krzywych 256-bitowych, które zabezpieczają m.in. Bitcoin i Ethereum. Dwa zoptymalizowane obwody wymagają poniżej 1200 kubitów logicznych i poniżej 90 milionów bramek Toffoliego albo poniżej 1450 kubitów logicznych i poniżej 70 milionów bramek Toffoliego. Na sprzęcie nadprzewodzącym z poziomem błędów 0,1 procent odpowiada to mniej niż 500 000 fizycznych kubitów i czasowi obliczeń wynoszącemu kilka minut. Google określa to jako mniej więcej 20-krotną redukcję w porównaniu z dotychczas najlepszym szacunkiem. Google Research, arXiv:2603.28846

Na uwagę zasługuje także sposób publikacji przez Google. Samych obwodów nie opublikowano, aby nie dostarczać atakującym instrukcji. Zamiast tego dowód z wiedzą zerową potwierdza, że szacunki są poprawne. Dla firm to sygnał: sama nauka traktuje już ten temat jako istotny dla bezpieczeństwa.

Czego liczby nie mówią

Choć krzywa robi wrażenie, prace mają wyraźne ograniczenia.

• Takiej maszyny nie ma. Układ Willow firmy Google miał w chwili prezentacji w grudniu 2024 r. 105 kubitów i wykazał korekcję błędów poniżej progu krytycznego. Google Do setek tysięcy kubitów, które przez dni lub tygodnie liczą z korekcją błędów, sprzętowi jeszcze daleko.
• Założenia są optymistyczne, ale nie egzotyczne. Wszystkie wymienione szacunki zakładają poziom błędów 0,1 procent i czasy cyklu rzędu mikrosekund. Niektóre platformy osiągają dziś takie wartości, ale nie w tej skali i nie w sposób trwały.
• Większość prac to preprinty. Nie zostały jeszcze zrecenzowane. W przypadku Iceberg dochodzi do tego, że wyniki pochodzą wyłącznie z symulacji.
• Postęp pochodzi z algorytmów. To zarazem strona niepokojąca. Każda redukcja ostatnich lat wynikała z lepszej matematyki i lepszej korekcji błędów. Takie postępy trudno przewidzieć i mogą nastąpić nagle.

Kto wyprowadza z tego dokładną datę, odczytuje więcej, niż prace pozwalają. Wiarygodny wniosek jest inny: w ciągu siedmiu lat próg spadł o ponad rząd wielkości, choć założenia sprzętowe się nie zmieniły.

Dlaczego niepewność nie jest powodem do czekania

W planowaniu pomaga proste rozumowanie, które pochodzi od Michele'a Moski. Należy porównać trzy okresy:

• jak długo dane muszą pozostać poufne,
• jak długo trwa przejście na kryptografię postkwantową,
• ile czasu minie do powstania kryptograficznie istotnego komputera kwantowego.

Jeśli suma dwóch pierwszych jest większa niż trzeci okres, przejście nastąpi za późno. Dane przechwycone i zapisane dziś będzie można wtedy później odszyfrować („Store now, decrypt later”).

Unijna mapa drogowa migracji postkwantowej opiera się właśnie na tym. Klasyfikuje przypadki użycia jako wysokiego ryzyka, jeśli dane muszą pozostać poufne przez co najmniej dziesięć lat, a czas pełnego przejścia szacuje na pięć do dziesięciu lat. Unijna mapa drogowa, PDF Nawet ten, kto spodziewa się Q-Day dopiero w 2040 r., przy dziesięciu latach poufności i pięciu latach przejścia dochodzi do startu najpóźniej w 2025 r.

W przypadku podpisów presja jest mniejsza, ponieważ podpis musi wytrzymać tylko do chwili, gdy komputer kwantowy powstanie. Za to właśnie tam czasy przejścia są najdłuższe: infrastruktur PKI, aktualizacji firmware'u i urządzeń o długim okresie eksploatacji nie da się przebudować w rok. Dlatego unijna mapa drogowa wymaga, aby do 2030 r. aktualizacje oprogramowania i firmware'u były domyślnie podpisywane w sposób odporny na ataki kwantowe.

Podsumowanie

Badania nie dają daty Q-Day, ale wyznaczają wyraźny kierunek. Eksperci uznają kryptograficznie istotny komputer kwantowy w ciągu dziesięciu lat za całkiem możliwy, BSI uważa go za prawdopodobny do 2040 r., a szacowane wymagania sprzętowe w 2025 i 2026 r. mocno spadły. Dla firm dokładny rok i tak nie jest kluczowym pytaniem. Kluczowe jest to, czy własne dane muszą pozostać poufne dłużej, niż pozwala na to czas przejścia. Jakie terminy wyprowadzają z tego władze i co z nich jest wiążące, przeczytasz w artykule Kryptografia postkwantowa: terminy 2026, 2030 i 2035 i co z nich jest wiążące.

Źródła

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9 marca 2026 r.)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (wspólne wytyczne BMDS, BMI i BSI, 12 października 2026 r.)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21 maja 2025 r.)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, opublikowano w Quantum w 2021 r.)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, luty 2026 r.)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney i in., arXiv, 30 marca 2026 r.)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31 marca 2026 r.)
• Meet Willow, our state-of-the-art quantum chip (Google, 9 grudnia 2024 r.)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream w ramach NIS Cooperation Group, czerwiec 2025 r.)