利用AI为我们的后量子迁移规划路线
内容提要
Cloudflare为2029年实现全面后量子就绪，开发了AI工具CryptoLabe，用于扫描代码库中的加密用法并规划迁移。该工具分两阶段扫描：先发现原始观察，再分析加密用途并分类，如经典加密、签名、令牌及后量子就绪等。它还能识别迁移前提条件和“硬案例”，帮助团队优先处理高影响系统。Cloudflare强调，多数组织无需全面清点，应先保护关键系统并逐步迁移。
延伸解读
AI如何超越传统代码扫描
传统grep搜索会因未使用代码而高估加密使用，又因忽略依赖和配置中的默认值而低估，且无法判断加密的具体用途。CryptoLabe利用AI跨文件追踪证据，结合内部文档和工单系统，能解释加密在运行时如何被使用，并给出迁移建议。这解决了单纯模式匹配无法区分同一算法在不同协议中迁移路径不同的问题。
迁移前提条件与硬案例的识别
CryptoLabe通过“前提条件”标记无法由单个产品团队独立解决的阻塞点，例如后量子JWT需要库和令牌发行方支持。同时，它用专门提示词发现“硬案例”，如HTTP头中的证书，因后量子签名更大可能引发尺寸限制问题。这些发现帮助团队提前协调外部依赖，避免迁移后期出现意外障碍。
对多数组织的务实建议
Cloudflare强调，多数组织无需全面清点所有加密使用，因为那会浪费资源。应优先保护关键系统：选择处理敏感数据、认证用户或暴露于互联网的仓库，运行加密发现，由团队验证结果，并区分可立即升级和受阻塞的项。同时，可利用Cloudflare提供的后量子加密作为补偿控制，为内部迁移争取时间。
Q&A
Cloudflare 的后量子迁移目标是什么？
Cloudflare 的目标是在 2029 年实现全面后量子就绪，包括支持后量子加密和后量子认证。
CryptoLabe 是什么工具？它如何帮助后量子迁移？
CryptoLabe 是 Cloudflare 内部开发的 AI 工具，用于扫描代码库中的加密用法，分两阶段：发现原始观察和分析加密用途并分类，帮助团队理解加密使用、获取迁移指标并识别前提条件。
CryptoLabe 的扫描过程分为哪两个阶段？
第一阶段是发现阶段，映射仓库并搜索源代码、配置等中的加密用法，产生原始观察；第二阶段是分析阶段，重新检查观察、调查运行时用途和依赖，并分类。
CryptoLabe 如何对加密发现进行分类？
分类包括经典加密、经典签名、经典令牌、PQ-ready 混合密钥交换、PQ-ready 等，还有 More evidence needed、External dependency、Unknown 等兜底类别。
什么是后量子迁移中的“前提条件”和“硬案例”？
前提条件是指无法由单个产品团队立即修复的依赖，如需要库或标准支持；硬案例是指缺乏基本生态系统支持的加密用法，如自定义协议、大小受限字段中的密钥等。
对于大多数组织，Cloudflare 建议如何开始后量子迁移？
建议先保护关键系统，无需全面清点。步骤包括：选择一个重要系统的仓库，运行加密发现，验证结果，优先处理高影响系统和前提条件。
