ECDSA.Fail: Open Autoresearch for Optimizing Elliptic-Curve Point Addition in Shor's Algorithm
Jieyi Long, Theodore Pender, Zhao Huang, Manuel B. Santos, Samrendra Kumar Singh, Bartosz Naskręcki, Bit Wonka, Joe Doyle, Pierre-Luc Dallaire-Demers, Francesco Giannicola, Ruben M. L. Paschoarelli, Oli Freuler, Jackie Chia-Hsun Lee, Vasily Gnuchev, Gopi Kannappan, John Boyer, Xavier Butler, Akash Balasubramani, Jordan Newman, Bereket Dereje, Alexander Hertlein, Robert Kodra, Lucas Levy, Shaan Patel, JT Rose, Matt Zweil, Okechukwu Wisdom, Tarek El-Eter, Edison Lee, Michael Dong, Alan Li, Anto Joseph, Gajesh Naik, Gautham Anant, Soubhik Deb, Justin Drake
quant-ph, cs.CR
2026-09-09
ECDSA.Fail 让百余人机智能体对着公开评测榜刷分，约八周把可逆 secp256k1 点加电路的 Q×T 从 107.5 亿压到 14.96 亿，低于 Google 公开阈值一半以上。
比特币和以太坊的签名都跑在 secp256k1 上。一台能跑 Shor 算法的容错量子机一旦出现，公开密钥就能被反推出私钥。点加是这条攻击链里最重的内核：窗口化日程大约要调 28 次，逻辑宽度和 Toffoli 次数几乎全压在这一步。
过去这类电路由小团队手工抠。Google Quantum AI 用零知识证明报过一组不上电路的阈值，Schrottenloher 随后给出开源对照，两边都把 Q×T 压到约 30 亿量级。Eigen Labs 在 2026 年 5 月底开了 ECDSA.Fail，把同一件事做成公开竞赛：人和编码智能体对着同一套可机检评测器刷榜。
竞赛优化的是可逆混合点加：量子累加器 R 加上一个经典给定的加数 A。打分是时空代理 S = Q × T。Q 是峰值逻辑量子比特数，T 是评测分布上平均执行的 Toffoli 当量。提交必须过三类检查：经典输出对、辅助比特回到 |0⟩、反计算后没有残留相对相位。电路语言被锁在 kickmix 子集里，这样评测器能对每个测试输入做经典仿真，而不是抽样或信任提交者。
测试集不是公开固定集。评测器把提交的操作流哈希进 SHAKE256，展开成 9,024 个曲线点。功能相同的电路只要改一段恒等 nonce 尾巴，就能换到另一组测试。提交者可以搜 nonce 找干净岛，但 1% 错误率下干净 nonce 密度大约 2^{-130}，48 比特空间里藏不住。
Open Autoresearch 的工作方式很直白：从公共仓库挑一个底（当前最优、Pareto 点，或者故意离前沿的设计），人机一起改，评测器过了就晋升为大家的新底。失败也留记录。约八周里一百多人用 Claude Code、Codex、GPT、Grok、GLM、Kimi 等模型交了四百多份晋升提交。
电路层面，点加的瓶颈是模逆。产品分最高的路线走 dialog-GCD：前向欧几里得只记分支决策，反向再回放 Bézout 系数。Jump-2 把相邻 divstep 收成宏步；base-5 编码把三个符号从 9 比特压进 7 比特，261 步转录从 783 比特降到 609。平方走 Karatsuba 加伪梅森约化，直接累加进目标寄存器，不留 512 比特乘积。低宽度路线换了一套寄存器共享的扩展欧几里得，把收缩余数和增长的 Bézout 系数塞进同一对物理寄存器。
截止后出现的 ping-pong dialog-GCD 更狠：用最低两位决定加减，固定交替更新两个操作数，把全宽比较和数据相关交换从欧几里得行走里拿掉。
相对基线，截止最优把 Q 降 57.6%、T 降 67.2%、乘积降 86.1%，约 7.19 倍。Google/Babbush 低门电路公开阈值约 29.9 亿，这条电路的乘积比它低一半以上。对照是语境性的：接口、记账和正确性假设并不对齐。
| 电路 | Q | T | Q×T |
| 基线 30c8ded | 2,715 | 3,960,753 | 107.5 亿 |
| 截止最优 8e9c9a2 | 1,151 | 1,299,453 | 14.96 亿 |
| 窗口兼容变体 | 1,162 | 1,684,161 | 约 19.61 亿（除以成功率） |
| 截止后 ping-pong | 1,321 | 952,707 | 12.59 亿 |
| 低宽度 b6f2b0a | 825 | 约 4.89 亿 | 约 4036 亿 |
窗口兼容变体给加数接上 QROM 查找、使用、反查找，多 11 个量子比特、Toffoli 约多 29.6%。10 万组独立输入上经验成功率 0.99809，错误率 0.191%，和原电路 0.192% 分不出差别。低宽度端 825 比特（后来公开到 813），Toffoli 跳到约 4.89 亿，那是另一条时间换空间的枝。400 份计分提交里，死代码和冗余消除占 244 份（61%），nonce 搜岛占 19 份（4.8%）。结构性换架构的提交很少，把前沿往前推的主要是那几次。
对量子密码分析，这是目前公开可审计的 secp256k1 点加内核里数字最低的一批工作点。它还不是完整 Shor，也不是物理资源估计。对做 agent 科研的人，这篇更像一份可复现的案例：目标要能便宜地机检，中间产物要公开，人和模型要能分头搜。FunSearch、AlphaEvolve、The AI Scientist 是中心化闭环；这里把评测器和仓库放到公开网上，一百多个互不认识的人机小队接着改。
智能体擅长实现、回归和局部诊断。跨领域的架构迁移仍然靠人读论文接上。dialog-GCD 是 Khattar 等人提出、Schrottenloher 接到 ECDLP 上之后，榜上才出现对应提交。智能体没有自己从文献里把这条路挖出来。
分数是有限、提交相关支撑上的经验代价，不是全输入域上的证明。近似电路可以靠 nonce 躲开失败用例过关。评测加数是经典的，窗口化 Shor 需要相干查表；窗口变体只验证了单次调用，完整 28 次窗口、傅里叶变换和后处理还没接上。分数不含深度、并行、布线和纠错开销。公开记录也没有完整的尝试分母：本地失败、没提交的分支都不在统计里。观察性轨迹证明不了「没有智能体同样的人会慢多少」。