谷歌量子AI于周四表示，一项名为“魔态培育”的技术将其Willow芯片上的错误降低了约40倍，并制造出逻辑保真度达创纪录99.99%的魔态。该公司表示，其已将量子计算领域最有前景的理论技巧之一转化为在芯片上真正可行的技术，相关成果已于周四发表于《科学》杂志。

魔态是运行实用量子程序所必需的一次性资源，谷歌表示，一些估计认为制备魔态的成本可占量子计算机整个容量的95%。

降低量子计算机的制造成本，其意义远超物理学实验室的范畴。这意味着机器能够执行实际任务（如设计药物和新材料）的日子将会提前——同样，其可能破解保护网上银行登录和比特币钱包的加密技术的那一天也会提前。

魔态为何重要

量子计算机依靠量子比特运行——量子比特可以同时保持0和1的叠加态，使其能够并行探索多个答案。它们也极其脆弱：一点热量或电噪声就可能翻转一个量子比特并毁掉整个计算，这正是整个行业痴迷于纠错的原因，即把一份信息分散到多个量子比特上，以便发现并修复错误。谷歌于2024年12月发布的Willow芯片在真实硬件上验证了这一原理：随着纠错码规模的扩大，错误率不升反降。

纠错能很好地处理简单操作，但真正实用的程序还需要一类更难的操作，这类操作无法以同样的方式受到保护。要执行这些操作，机器必须首先制造魔态，其作用类似于这些操作的一次性燃料电池：每一个在使用时即被消耗。

制备纯净魔态一直成本极高。据谷歌介绍，一些估计认为其成本可占量子计算机整个容量的95%，留给实际计算的空间非常有限。

从蒸馏到培育

物理学家Sergei Bravyi和Alexei Kitaev于2004年提出了标准解决方案——魔态蒸馏，即把许多含噪的魔态提炼成少数几个纯净的魔态。这种方法有效，但需要占用庞大的量子比特“工厂”，而这些工厂不能执行其他任何任务。

2024年，谷歌研究人员提出了一种更低成本的路线，他们将其命名为魔态培育。这种方法不像工厂，而更像一个过滤器：将一个粗糙的魔态注入芯片的一小块区域，对其运行一系列检查，剔除每一个检测到缺陷的尝试，并让通过检查的魔态继续“生长”。他们的论文甚至提出，进一步的蒸馏“在实践中可能永远不再需要”。

"在谷歌量子AI的Willow处理器上，我们的协议相比未培育的魔态实现了高达40倍的错误减少。我们获得了逻辑保真度达创纪录99.99%的T态，"谷歌在其公告中表示。T态是应用T门时所消耗的特定类型的魔态，T门属于纠错无法自行保护的较难操作之一。

只有约8%的尝试通过了所有检查，这意味着芯片为了保留一个纯净魔态，每十次尝试中要丢弃九次以上。

密码学层面的利害关系

培育技术是Gidney在2025年的估计背后的技巧之一，他估计破解-2048加密所需的有噪量子比特不到一百万个，比他在2019年估计的2000万个减少了20倍。

谷歌在3月进一步加大力度，当时一份由以太坊基金会研究员Justin Drake和斯坦福大学密码学家Dan Boneh共同撰写的量子AI白皮书估计，破解比特币的椭圆曲线密码学——即防止任何人从公开地址推导出私钥的数学机制——所需的物理量子比特少于50万个。此前的去年10月，该公司进行了Quantum Echoes实验，这是首次在真实硬件上得到验证的量子加速。

防御方面的进展也有着自己的时间表：NIST于2024年8月敲定了其首批后量子密码学标准——专为抵御未来大型量子机器攻击而设计的算法——并提议在2035年后禁止在联邦系统中使用RSA和椭圆曲线密码学等易受量子攻击的公钥方案。

距离破解密码仍然很远

目前还没有人能借此掏空任何钱包。该实验最多使用了Willow 105个量子比特中的54个，而且论文指出，对RSA-2048密钥进行因数分解所需的魔态错误率约为百亿分之一，比谷歌刚刚达到的水平还要纯净大约一百万倍。

下一步

谷歌表示，下一步是在更大规模上运行培育技术。团队预计，如果将Willow芯片底层硬件噪声减半，魔态错误率将降至约十万分之二，因为过程中的错误随芯片噪声水平的立方而缩小。约8%的通过率是另一个值得关注的数字：通过所有检查的尝试越多，机器容量中用于最终被丢弃的尝试的部分就越少。