Problem A ist immer noch RSA

NVIDIAs Pressemitteilung zur Rekordsimulation eines Quantencomputers in Jülich nennt die Felder, die davon profitieren sollen. Die Medikamentenentwicklung steht an erster Stelle. Kryptographie kommt nicht vor.

Die Simulation ist ernsthafte Arbeit. Forschende von NVIDIA und Jülich modellierten ein Protokoll zur Präparation magischer Zustände über 104 physikalische Qubits auf 8.192 GH200-GPUs von JUPITER, Europas erstem Exascale-Rechner. Das Protokoll beginnt in einem Farbcode der Distanz 3 und wächst zu einem Hybrid aus Farb- und Oberflächencode der Distanz 7, wobei es unterwegs auf Fehler prüft. Das Rauschmodell enthält kohärente Phasenfehler und Leakage, ausgewählte Qubits erhalten ein drittes Energieniveau; diese Physik fehlt in einem Modell zufälliger Bitflips. Allein der Quantenzustand belegte 512 TiB GPU-Speicher.

Die Technik hat einen Namen, und ein Google-Paper von 2025 erklärt, warum sie jeden angeht, der einen RSA-Schlüssel hält. Craig Gidney senkte seine Schätzung für die Faktorisierung von RSA-2048 von 20 Millionen verrauschten Qubits auf unter eine Million, und Magic State Cultivation ist eine der Einsparungen, die er anführt. Magische Zustände verbraucht ein fehlertoleranter Quantencomputer für die Operationen, die seine Fehlerkorrektur nicht billig ausführen kann, und Gidneys Schätzung speist sie in 6,5 Milliarden Toffoli-Gatter. NVIDIA richtete achttausend GPUs auf eine tragende Annahme der führenden Schätzung für den Bruch von RSA. Dann sprach es über Medizin.

Vier Tage zuvor hatte Google in Science berichtet, dass Cultivation auf seinem Willow-Chip funktioniert und die Fehler magischer Zustände etwa um den Faktor 40 senkt. Willow pfropfte einen Farbcode der Distanz 3 in einen Oberflächencode der Distanz 5. JUPITER modellierte eine größere Konfiguration, mit Leakage im Rauschmodell. Zwei Unternehmen testeten in einer Woche dieselbe Komponente der führenden Schätzung für den Angriff auf RSA, das eine auf einem Chip, das andere auf einem Exascale-Rechner. NVIDIAs Mitteilung erwähnt weder Google noch Willow.

Problem A

Das Betriebsprotokoll des ENIAC verzeichnete seinen ersten echten Auftrag als "Problem A", datiert auf den 10. Dezember 1945. Das Problem kam aus Los Alamos. Es prüfte Tellers Ansatz für die "Super", die Wasserstoffbombe, und beanspruchte etwa 95% der Steuerkapazität der Maschine. Die Physiker vereinfachten die Rechnung, um ihre Geheimhaltungsstufe zu senken, und das Programm ist bis heute geheim.

Zwei Monate später ließ die Armee die Presse herein. Bei der öffentlichen Vorstellung am 15. Februar 1946 berechnete der ENIAC die Flugbahn einer Artilleriegranate in 20 Sekunden, schneller als die 30 Sekunden, die die Granate flog. Die Bombe war das erste Problem. Die Granate war die Vorführung.

Großbritannien begrub seine Maschine ganz. Colossus lief Ende 1943 in Bletchley Park und brach die Lorenz-Chiffre des Oberkommandos des Heeres. Nach dem Krieg ließ Churchill die meisten Maschinen zerlegen. Zwei gingen an das GCHQ, das sie gegen sowjetische Codes weiterbetrieb. Das offizielle Schweigen über Bletchley dauerte bis 1974.

Die Gründungsmaschinen der elektronischen Datenverarbeitung waren eine Codebrechmaschine und ein Waffenrechner. Die öffentliche Geschichte beider ließ ihren ersten Auftrag aus.

Die Linie führt nach Jülich. Das Forschungszentrum Jülich wurde 1956 als Atomforschungsanlage gegründet und widmete seine ersten Jahrzehnte der Kernenergie. JUPITER kostete für Bau und sechs Jahre Betrieb etwa 500 Millionen Euro, je zur Hälfte vom EuroHPC Joint Undertaking und vom Bundesforschungsministerium und Nordrhein-Westfalen getragen. Sein Booster läuft auf 24.000 NVIDIA-GH200-Superchips. Bundeskanzler Merz weihte ihn im September 2025 als Europas Chance zum Aufholen ein. Ein Jahr später ging ein Rekord auf dieser öffentlichen Maschine unter der Überschrift "NVIDIA Runs Record Simulation" hinaus, mit einem Link zu Huangs GTC-Keynote in Berlin.

Diesmal ist nichts verborgen. Gidney veröffentlichte seine Schätzung offen, und Google führt eine öffentliche Grafik der sinkenden Kosten der Quantenfaktorisierung. Das Schweigen steckt in der Pressemitteilung, dem Dokument, das ein Vorstandsmitglied oder ein Investor tatsächlich liest.

Magie

Sergey Bravyi und Alexei Kitaev lieferten den Namen in einem 2004 eingereichten Paper. Ihre Protokolle verbrauchen mehrere verrauschte Kopien eines Quantenzustands, um eine sauberere Kopie zu erzeugen, und sie funktionieren nur entlang bestimmter Richtungen, die die Autoren magisch nannten. Oberhalb einer Schwelle von etwa 65% Polarisation konvergiert die Reinigung gegen einen reinen Zustand, den sie magischen Zustand nannten. Clifford-Operationen, die fehlerkorrigierende Codes bequem beherrschen, werden universell, sobald magische Zustände hinzukommen. Das Fachgebiet beschrieb den Vorgang mit dem Wort der Alchemisten: Destillation.

Destillation ist teuer. Fabriken dafür belegten in früheren Schätzungen einen großen Teil der Maschine, und Gidneys Paper von 2025 holt einen Teil seiner Einsparungen, indem es ihnen weniger Platz zuweist. 2024 schlugen Gidney, Noah Shutty und Cody Jones etwas vor, das eher einem Garten gleicht. Cultivation pflanzt einen groben Zustand in ein kleines Beet des Chips und prüft ihn wiederholt. Jeder Versuch, der eine Prüfung nicht besteht, wird verworfen, und die Überlebenden wachsen in einen größeren Code hinein. Auf Willow bestanden etwa 8% der Versuche jede Prüfung.

Auf die Alchemie folgte der Ackerbau. Verteidiger haben für die Bedrohung schon ein Wort aus der Landwirtschaft: harvest now, decrypt later, jetzt ernten, später entschlüsseln.

Die fallende Linie

Peter Shor veröffentlichte seinen Faktorisierungsalgorithmus 1994. Jahrelang konnte niemand sagen, wie groß die Maschine sein müsste, und erst um 2009 wurden die Schätzungen genau genug, um Qubits zu zählen. Seitdem ist die Zahl nur gesunken.

Google merkt an, dass die Zahlen von 2012 und 2019 auf denselben physikalischen Annahmen beruhen, und Gidneys Schätzung von 2025 behielt sie bei. Pinnacle ersetzt Oberflächencodes durch Quanten-LDPC-Codes. Gidney hat bezweifelt, dass die klassische Dekodierung, die die Fehlerprüfungen auswertet, Schritt halten kann, im angenommenen Tempo.

Das sind vier Größenordnungen weniger Qubits in vierzehn Jahren. Reale Maschinen wuchsen im selben Zeitraum ungefähr um das Hundertfache. Eine Linie fällt, während die andere steigt.

Jeder Punkt auf der fallenden Linie ist ein Stapel von Annahmen über Komponenten, die niemand gebaut hatte. Cultivation war eine davon in der Schätzung von 2025. Diesen Monat lief sie in kleinem Maßstab auf einem Chip und wurde auf einem Exascale-Rechner unter einem Rauschen modelliert, das Leakage einschließt. Das Gegengewicht gehört ebenfalls ins Protokoll. Das Willow-Paper hält fest, dass RSA-2048 magische Zustände mit Fehlern nahe eins zu zehn Milliarden braucht, rund eine Million Mal sauberer als das, was Willow erzeugte. Bewegt hat sich diese Woche eine Annahme, vom Papier in Richtung Messung.

Die Annahmen bewegen sich nicht nur in eine Richtung. Das Cultivation-Paper von 2024 bewertete seine größere Schaltung an einem Stellvertreter, mit S-Gattern anstelle von T-Gattern, damit ein schneller Clifford-Simulator sie rechnen konnte. Seine Kennzahl, ein Fehler von 2 zu einer Milliarde, stammt aus diesem Stellvertreter. Im Dezember 2025 rechnete ein Team der Chinesischen Akademie der Wissenschaften die echte Schaltung, 200 Milliarden Durchläufe auf 16 NVIDIA-H800-GPUs in 20 Tagen, und fand eine logische Fehlerrate fast eine Größenordnung über dem veröffentlichten Wert. Im September zeigten Forschende aus Oxford und vom Imperial College, warum: Die Schaltung erkennt weniger Fehlerkombinationen als vorgesehen: Schon drei Fehler können alle Prüfungen unerkannt passieren, beim Stellvertreter braucht es fünf. Das wecke, so ihre Warnung, Bedenken für Ressourcenschätzungen, die auf Cultivation beruhen. Eine zweite Gruppe bestätigte diese Zahl durch exakte Rechnung. Gidneys RSA-Schätzung entnimmt kultivierte Zustände mit einem Fehler von 1 zu 10 Millionen den Kurven desselben Papers und speist sie in eine Destillationsstufe, die den Fehler quadriert. Ein zehnmal größerer Fehler an dieser Stelle kostete fehlgeschlagene Läufe und Fabrikzeit, keine Größenordnung an Qubits. Die Korrektur verkleinert eine Reserve. Die Linie verschiebt sie nicht.

Pressemitteilung und Engineering-Beitrag trennen sich bei der Messung. Die Mitteilung sagt, die Simulation bestätige einen Ansatz, der 90% weniger physikalische Qubits braucht, und verkürze den Weg zu brauchbaren Quantencomputern um Jahre, und sie misst die Arbeit an einem früheren rauschfreien 50-Qubit-Lauf in Jülich. Der Engineering-Beitrag beschreibt eine detaillierte Referenzsimulation und einen Maßstab, an dem sich günstigere Näherungen prüfen lassen. Seine Zahlen beschreiben die Simulation selbst, etwa den Speicher pro GPU und die Übereinstimmung mit Tensornetzwerk-Methoden in kleinem Maßstab. Er nennt keine logische Fehlerrate für den kultivierten Zustand und keine Akzeptanzrate und bezeichnet es als längerfristiges Ziel, die Simulation mit Qualität und Kosten logischer Operationen zu verbinden. Sechzehn GPUs haben diese Zahl für die Schaltung der Distanz 5 geliefert. Die 8.192 auf JUPITER haben keine gemeldet.

Die Berichterstattung nennt den Engineering-Beitrag als technischen Bericht hinter der Mitteilung, und die 90% kommen in ihm nicht vor. Die nächstliegende veröffentlichte Zahl ist die Aussage des Papers von 2024, Cultivation brauche eine Größenordnung weniger Qubit·Runden als Destillation, ein Maß für Raum und Zeit zusammen, nicht für Qubits. Die GPU-Zahl gibt der Beitrag an drei Stellen mit 8.192 an, an einer vierten mit 8.912.

Fünfzehn bis dreißig Jahre

NVIDIAs eigener Zeitplan hat sich schneller bewegt als irgendjemandes Qubits. Auf der CES im Januar 2025 sagte Jensen Huang Analysten, 15 Jahre bis zu sehr nützlichen Quantencomputern wären eher früh und 30 eher spät. Reine Quantenaktien verloren an einem Tag rund ein Drittel ihres Werts. Zwei Monate später eröffnete er NVIDIAs ersten Quantum Day mit dem Scherz, er habe seine Gäste eingeladen, um ihm zu erklären, warum er falsch lag, und kündigte das Forschungszentrum in Boston an, das später als Entwicklungsplattform für den JUPITER-Lauf diente. Einundzwanzig Monate liegen zwischen "15 bis 30 Jahre" und "verkürzt den Weg um Jahre".

Die steigende Linie

Die Verteidiger begannen ihre Kurve in einer seltsamen Woche. Die NSA kündigte Suite B, ihre öffentliche Elliptische-Kurven-Suite zum Schutz eingestufter Informationen, am 16. Februar 2005 an. Sechs Tage später veröffentlichte Physical Review A das Paper von Bravyi und Kitaev über magische Zustände. Die Kurven und eine Zutat der Maschine, die sie bricht, traten in derselben Woche in die Aufzeichnungen ein.

Zehn Jahre später riet die Behörde Partnern und Herstellern, die noch nicht auf Suite B umgestellt hatten, nicht mehr nennenswert darin zu investieren und sich stattdessen auf quantenresistente Algorithmen vorzubereiten. Michele Mosca fasste das Rennen 2018 in eine Ungleichung: Wenn die Jahre, die Daten geheim bleiben müssen, plus die Jahre, die eine Migration dauert, die Jahre bis zu einem fähigen Quantencomputer übersteigen, sind die Daten exponiert. NIST verabschiedete seine ersten drei Post-Quanten-Standards im August 2024. Executive Order 14412, unterzeichnet am 22. Juni 2026, benennt das Risiko, dass Gegner Informationen jetzt sammeln, um sie später zu entschlüsseln, und setzt Fristen für Post-Quanten-Schlüsselvereinbarung und digitale Signaturen.

Die steigende Linie lässt sich an Europas kritischer Infrastruktur messen. Von 1.484 öffentlichen Endpunkten in NIS2-Sektoren handeln 42,3% einen Post-Quanten-Schlüsselaustausch aus, so der [PQ]probe NIS2 Monitor. Sie gewinnen etwa zwei Punkte im Monat, was eine vollständige Migration im Jahr 2028 ergibt. Der Schlüsselaustausch beantwortet die Ernte, und Hersteller können ihn standardmäßig einschalten. Signaturen beantworten den Tag, an dem die Maschine kommt, und sie bewegen sich im Tempo von Zertifizierungsstellen und Hardware.

Schneller als die Granate

Die ENIAC-Vorführung beeindruckte die Reporter aus einem Grund. Die Maschine war mit der Flugbahn fertig, bevor die Granate einschlug. Moscas Ungleichung fragt, ob eine Migration ankommt, bevor die Maschine es tut. Die Angriffslinie ist in vierzehn Jahren um vier Größenordnungen gefallen. Diesen Monat lief eine ihrer tragenden Annahmen auf Googles Willow-Chip und wurde auf JUPITER modelliert, Wochen nachdem Forschungsarbeiten erklärt hatten, warum sie hinter ihrer veröffentlichten Zahl zurückbleibt und wie sie sich reparieren lässt. NVIDIA zeigte der Öffentlichkeit die Medikamentenentwicklung.

Problem A ist immer noch RSA.