Radio Script — Quantumglow: can Solana stay fast after quantum?

Hello and welcome back to the show. Today we are talking about something with a wonderful name: Quantumglow. It is a research proposal from Anza, the team behind much of Solana's core engineering, and it asks one dramatic question. When quantum computers arrive, can Solana stay fast?

番組へようこそ。今日のテーマは、すてきな名前のものです。クアンタムグロウ。ソラナのコア開発の多くを担うチーム、アンザによる研究提案で、ひとつの劇的な問いを投げかけています。量子コンピュータが来たとき、ソラナは速いままでいられるのか。

That is exactly the right first question, so let us start there. Every blockchain, including Solana, protects your money with digital signatures. And those signatures rely on a simple fact: deriving your private key from your public key would, by any realistic estimate, take a normal computer longer than the age of the universe.

それこそ最初に出るべき問いなので、そこから始めましょう。ソラナを含むあらゆるブロックチェーンは、あなたのお金を電子署名で守っています。そしてその署名は、単純な事実に頼っています。公開鍵から秘密鍵を導き出すには、どんな現実的な見積もりでも、普通のコンピュータでは宇宙の年齢より長い時間がかかる、という事実です。

Precisely. It is not that the math is unbreakable. It is that breaking it takes too much time. And that is the one assumption a quantum computer removes. There is a famous quantum method called Shor's algorithm, and it does not brute force anything. It solves the mathematical structure of the key directly. Elliptic curves, the math behind Solana's signatures, are exactly the kind of structure it eats for breakfast.

そのとおりです。数学が破れないのではありません。破るのに時間がかかりすぎるのです。そして量子コンピュータが取り払ってしまうのは、まさにその前提ひとつだけ。ショアのアルゴリズムという有名な量子の手法があるのですが、これは総当たりを一切しません。鍵の数学的な構造を直接解いてしまう。ソラナの署名を支える数学である楕円曲線は、まさにそれが朝食代わりに平らげる種類の構造なのです。

Here is the honest picture, and I want to be careful with the numbers because they come straight from Anza's own blog post in April of twenty twenty-six. Their updated estimate gives a three to five percent chance that within five years, a quantum computer can break the elliptic curve problem behind these signatures. For the next two to three years, they still consider the risk almost negligible.

正直な見取り図をお話しします。数字は慎重に扱いたいので断っておくと、これは二千二十六年四月のアンザ自身のブログ記事から直接来ています。彼らの更新後の見積もりでは、五年以内に、この署名の背後にある楕円曲線の問題を量子コンピュータが破る確率が、三から五パーセント。今後二年から三年については、リスクはほぼ無視できると、いまも考えています。

Right. And for perspective on today's hardware: the largest number ever factored by Shor's algorithm on a real quantum computer is twenty-one. Not twenty-one digits. The number twenty-one, as in three times seven.

そのとおりです。そして今日のハードウェアの感覚をお伝えすると、実機の量子コンピュータでショアのアルゴリズムによって素因数分解された最大の数は、二十一です。二十一桁ではありません。数の二十一、三かける七の、あれです。

Because replacing the consensus protocol of a running blockchain is, as a rule, a multi-year effort. Design, verification, audits, staged migration. If you start preparing on the day the quantum computer arrives, you have already lost. That is the spirit of Quantumglow: design the defense while there is still slack.

稼働中のブロックチェーンの合意プロトコルを置き換えるのは、一般に何年もかかる仕事だからです。設計、検証、監査、そして段階的な移行。量子コンピュータが来た日から準備を始めるのでは、もう負けています。それがクアンタムグロウの精神です。まだ余裕があるうちに、守りを設計しておく。

Several places use elliptic curve cryptography. Your account keys, obviously, so an attacker could forge signatures and drain funds. Block propagation, where each fragment of a block, called a shred, carries a signature. On-chain programs that verify signatures. And the one today's story focuses on: consensus. The voting layer where validators agree on which blocks are final.

楕円曲線暗号は、いくつもの場所で使われています。まず当然、あなたの口座の鍵。攻撃者が署名を偽造して資金を抜けてしまいます。ブロックの伝播もそうです。ブロックの断片はシュレッドと呼ばれ、一枚ずつ署名を持っています。署名を検証するオンチェーンのプログラムもそう。そして今日の話が焦点を当てるのが、合意です。どのブロックを確定とするかをバリデータが合意する、投票の層ですね。

Exactly. Alpenglow is Solana's next-generation consensus protocol, designed to bring finality from around twelve point eight seconds down to roughly one hundred fifty milliseconds in simulation. And here is the painful irony. Alpenglow's speed depends heavily on signatures being tiny. So the obvious fix, just swap in quantum-safe signatures, would cripple it. Anza's own words. Cripple.

そのとおり。アルペングロウはソラナの次世代の合意プロトコルで、確定までを約十二・八秒から、シミュレーションでおよそ百五十ミリ秒まで縮める設計です。そしてここに、痛烈な皮肉があります。アルペングロウの速さは、署名が極小であることに強く依存している。ですから、素直な対処、つまり量子に強い署名にそのまま差し替える、をやると、プロトコルは機能不全に陥る。アンザ自身の言葉です。機能不全にする、と。

Two problems. Wall number one is size. Alpenglow was built around one assumption: a vote, a shred, or a certificate fits inside a single network packet. On Solana, a packet carries twelve hundred thirty-two bytes. Solana's current signatures are sixty-four bytes. Tiny. Now, the smallest post-quantum signature on track for standardization is called Falcon five-twelve, and it weighs six hundred sixty-six bytes.

問題は二つあります。第一の壁は、大きさ。アルペングロウは、ひとつの前提のうえに作られました。投票も、シュレッドも、証明書も、ネットワークのパケット一つに収まる、という前提です。ソラナではパケットが千二百三十二バイトを運びます。ソラナの現行の署名は六十四バイト。極小です。ところが、標準化が進んでいるもののなかで最小の耐量子署名はファルコン・ファイブトゥエルブといい、その重さは六百六十六バイト。

And Falcon is the small one. Per Anza, the other alternatives run into kilobytes. They simply stop fitting. Once your signature does not fit in a packet, the whole design collapses.

しかもファルコンは小さいほうです。アンザによれば、ほかの選択肢はキロバイト級になる。そうなると、もう収まりません。署名がパケットに収まらなくなった瞬間、設計全体が崩れます。

Wall two is aggregation, and Anza's article flatly calls it the hard one. But let us do size first, because the solution is beautiful. Instead of using an off-the-shelf scheme, Quantumglow tailors its own signature to Alpenglow. It is hash based, in the family of a scheme called X M S S, and they named it Ax. Spelled A X, short for Alpenglow X M S S.

第二の壁は集約です。そしてアンザの記事は、こちらをきっぱりと難しいほうだと呼んでいます。ただ、まず大きさの話を片付けましょう。解き方が見事なので。クアンタムグロウは、既製の方式を使うのではなく、アルペングロウ専用に自前の署名を仕立てました。ハッシュに基づくもので、エックス・エム・エス・エスと呼ばれる方式の系譜にあり、名前はエーエックス。アルファベットのエーとエックスで、アルペングロウ・エックス・エム・エス・エスの略です。

Meaning the entire security rests on one assumption only: hash functions cannot be run backwards. No elliptic curves, no algebraic structure at all. And remember, structure is exactly what Shor's algorithm attacks. With a hash function there is nothing to grab. Anza calls this about as conservative an assumption as possible.

安全性のすべてが、たったひとつの仮定に乗っているという意味です。ハッシュ関数は逆向きに走らせられない、という仮定だけ。楕円曲線もなければ、代数的な構造もいっさいありません。そして思い出してください、ショアのアルゴリズムが攻撃するのは、まさにその構造です。ハッシュ関数には、つかむところがない。アンザはこれを、可能なかぎり保守的な仮定だ、と表現しています。

Here is the toy version. Pick a secret random value, call it S. Push it through the hash function and you get a public value, H. Publishing H commits you. Later, revealing S is the signature, because anyone can hash what you revealed and check it matches H. Only you knew S, so it proves it was you.

おもちゃ版で説明しましょう。秘密のランダムな値をひとつ選び、これをエスと呼びます。それをハッシュ関数に通すと、公開の値、エイチが出てきます。エイチを公開することが、あなたの約束になる。あとで、エスを明かすことが署名になります。なぜなら、明かされた値を誰でもハッシュしてエイチと一致するか確かめられるから。エスを知っていたのはあなただけなので、本人だと証明されるわけです。

Sharp catch, and that is exactly the problem. So the real construction prepares secrets in pairs, one pair per bit of the message. Which secret you reveal encodes each bit. The catch is scale. Messages get hashed to two hundred fifty-six bits first, so a naive version needs to reveal two hundred fifty-six secrets. At thirty-two bytes each, that is roughly eight kilobytes for one signature.

鋭い。まさにそこが問題です。そこで実際の構成では、秘密の値を対で用意します。メッセージの一ビットにつき、一対。どちらの秘密を明かすかで、各ビットを表すわけです。ただし落とし穴は規模です。メッセージはまず二百五十六ビットにハッシュされるので、素朴な作りでは二百五十六個の秘密を明かす必要がある。一つ三十二バイトとすると、署名ひとつでおよそ八キロバイトです。

Which is why Ax runs a three-step diet. Step one. Normally, each of these one-time keys must carry a proof, called a Merkle path, showing it belongs to the signer's published key tree. Quantumglow has validators exchange and cache each other's one-time public keys in advance. If the receiver already holds your key, there is nothing left to prove. The whole path disappears from every signature.

だからこそエーエックスは、三段階のダイエットをします。第一段階。通常、これらの使い捨ての鍵は一つずつ、署名者の公開した鍵の木に属することを示す証明、マークル経路と呼ばれるものを携えなければなりません。クアンタムグロウでは、バリデータどうしが使い捨ての公開鍵を事前に交換して手元に保持しておきます。受け取る側がすでにあなたの鍵を持っているなら、もう証明することは何も残っていない。経路まるごとが、すべての署名から消えます。

Step two is my favorite trick in the entire proposal. Some consensus messages carry no real content at all. Anza's article gives two examples: the skip vote, which just says skip this slot, and the finalize vote, which just says finalize it. There is literally nothing to encode.

第二段階は、この提案全体のなかで僕がいちばん好きな工夫です。合意のメッセージのなかには、中身をまったく運ばないものがあります。アンザの記事は例を二つ挙げていて、ひとつはスキップ投票、このスロットを飛ばす、としか言わないもの。もうひとつはファイナライズ投票、確定する、としか言わないもの。文字どおり、符号化すべきものが何もありません。

Because the meaning is moved into the key itself. Each one-time key number is pre-assigned to a slot and a vote type, an idea the authors describe in their companion research paper. So key number one-oh-two might mean, finalize vote for slot twelve thirty-four, from this specific validator. To cast that vote, you reveal a single secret value. One value, about thirty-two bytes. The receiver hashes it, matches it to your pre-shared key, looks up the meaning, done.

意味のほうを、鍵そのものに移してあるからです。使い捨ての鍵は番号ごとに、スロットと投票の種類があらかじめ割り当てられている。これは著者たちが姉妹論文で述べている考え方です。ですから、鍵番号百二は、このバリデータによる、スロット千二百三十四のファイナライズ投票、といった意味になりうる。その票を投じるには、秘密の値をひとつ明かすだけ。値ひとつ、およそ三十二バイトです。受け取る側はそれをハッシュして、事前に共有された鍵と突き合わせ、意味を引く。それで終わりです。

One caveat for honesty: this trick only works for empty votes. A notarize vote names which block it approves, so it has content and does not get this discount. The exact size for those lives in section five of the Alpenglow whitepaper version one point two, which is where the full formal design is published.

誠実さのために但し書きをひとつ。この工夫が効くのは、中身が空の票だけです。ノータライズ投票はどのブロックに賛成するかを名指しするので、中身があり、この割引は受けられません。そちらの正確な大きさは、アルペングロウ・ホワイトペーパー、バージョン一・二の第五章にあります。形式的な設計の全体が公開されているのが、そこです。

Step three is about shreds, the block fragments. Today the leader signs every single fragment. Quantumglow removes all of those stamps and instead sends one block commitment, a short signed message sealing the entire block, while the links between nodes are protected by lightweight symmetric authentication. A validator only accepts a block after the matching commitment arrives. And Anza states they show that cheating by a leader, sending two conflicting blocks, stays just as hard as before.

第三段階は、ブロックの断片であるシュレッドの話です。今日はリーダーが断片の一枚一枚に署名しています。クアンタムグロウはその押印をすべて取り払い、代わりにブロック・コミットメントをひとつ送ります。ブロック全体を封じる、短い署名付きのメッセージです。そしてノード間のリンクは、軽い対称認証で守られる。バリデータは、対応するコミットメントが届いてはじめてブロックを受理します。さらにアンザは、リーダーによる不正、つまり矛盾する二つのブロックを配ることが、以前とまったく同じだけ難しいままであることを示した、と述べています。

This is the crown jewel of Alpenglow's current design. When validators vote, someone needs proof that a quorum agreed. Alpenglow uses signatures called B L S, which have a magical property: you can fold thousands of signatures into a single one hundred ninety-two byte signature, plus a small bitmap saying who signed. A whole quorum's agreement, one packet. That object is called a certificate.

これはアルペングロウの現行設計の、王冠の宝石です。バリデータが投票したとき、クォーラムが賛成したという証拠が誰かに必要になります。アルペングロウはビー・エル・エスと呼ばれる署名を使っていて、これには魔法のような性質がある。何千もの署名を、たった百九十二バイトの署名ひとつに畳み込めるのです。それに、誰が署名したかを示す小さなビットマップが付く。クォーラムまるごとの賛成が、パケット一つ。この物体が、証明書と呼ばれます。

Correct, and it is worse than you would hope. There is currently no post-quantum scheme with constant-size aggregation. Per Anza, the candidates all grow with the number of signers, into tens or hundreds of kilobytes, take seconds to aggregate, and in the most compact proposals even verification is unacceptably slow. Seconds, on a network that finalizes in milliseconds.

正解です。しかも、期待するよりひどい。現時点で、大きさが一定のまま集約できる耐量子方式は存在しません。アンザによれば、候補はどれも署名者の数とともに膨らんで数十から数百キロバイトになり、集約に数秒かかり、もっとも小型の提案では検証さえ受け入れがたいほど遅い。数秒ですよ、ミリ秒で確定するネットワークで。

You change what a certificate is. And this is the deepest idea in Quantumglow. Certificates stop being messages that travel the network, and become local events. A node collects votes, and once it has seen enough evidence, it records finality inside itself. Nothing to fold, nothing to send. The conclusion is not an object anymore. It is something that happens to you.

証明書とは何かを、変えるのです。そしてこれがクアンタムグロウでいちばん深い発想です。証明書は、ネットワークを渡り歩くメッセージであることをやめ、ローカルな出来事になります。ノードは票を集め、十分な証拠を見た時点で、自分の内側に確定を記録する。畳み込むものもなければ、送るものもない。結論はもう物体ではありません。あなたの身に起きること、なのです。

Brilliant question, because that is exactly the gap. The answer is a new lightweight message called an approval. When a node has seen enough votes, it broadcasts a tiny signed note that says, I have seen it. And crucially, a node that has seen enough approvals from others also gains confidence, and broadcasts its own approval. Reports beget reports. Evidence chains across the network until even the node that missed everything accumulates enough to record the certificate itself. Readers of distributed systems papers will recognize this as a Bracha-style reliable broadcast.

すばらしい問いです。まさにそこが空白なので。答えは、アプルーバルと呼ばれる新しい軽量メッセージです。十分な票を見たノードが、私は見た、と言う小さな署名付きの通知を放送します。そして決定的なのは、他者からのアプルーバルを十分に見たノードもまた確信を得て、自分のアプルーバルを放送するということ。報告が報告を生みます。証拠がネットワークを連鎖していき、すべてを取りこぼしたノードにさえ、やがて証明書を自分で記録できるだけの量が積み上がる。分散システムの論文を読む方なら、これをブラチャ型の信頼できる放送だと気づくでしょう。

Here is the punchline, and it is the whole reason this proposal works. Quantumglow splits the certificate's two jobs between two types of local events. A fast certificate lights up directly from votes, and per the article it is as fast as Alpenglow's certificates. A slow certificate, backed by the approval machinery, guarantees that everyone eventually catches up. And in the normal case, when eighty percent of stake votes to notarize a block, it fast-finalizes immediately, with no additional approval round at all. The extra step only appears under serious misbehavior or network problems.

そこが落ちどころで、この提案が成立している理由そのものです。クアンタムグロウは、証明書の二つの仕事を、二種類のローカルな出来事に分けました。速い証明書は票から直接点灯し、記事によればアルペングロウの証明書と同じ速さです。遅い証明書は、アプルーバルの仕組みに支えられて、いずれ全員が追いつくことを保証します。そして通常の場合、ブロックをノータライズする票がステークの八十パーセントに達すれば、その場で高速確定します。追加のアプルーバルのラウンドは、いっさいありません。余分な段階が現れるのは、深刻な不正やネットワークの問題があるときだけです。

Perfect metaphor. And the numbers back it up. In the authors' companion paper, they simulated this machinery inside Alpenglow on Solana's real geographic distribution of roughly seven hundred fifty nodes. Median finalization went from one hundred thirty milliseconds to one hundred forty milliseconds. Ten milliseconds slower, with zero extra network hops. The entire difference comes from transmitting bigger signatures. And I should stress: those are simulation numbers, not measurements from a live network.

完璧なたとえです。そして数字も裏付けています。著者たちの姉妹論文では、この仕組みをアルペングロウに組み込み、およそ七百五十ノードというソラナの実際の地理的分布のうえでシミュレーションしました。確定の中央値は、百三十ミリ秒から百四十ミリ秒になった。十ミリ秒遅くなり、ネットワークのホップの増加はゼロ。差はすべて、より大きな署名を伝送することから来ています。そして強調しておきたいのですが、これらはシミュレーションの数値であって、稼働中のネットワークの実測ではありません。

According to Anza, other than upgrading the cryptography, the security assumptions did not change from Alpenglow. Same safety, same liveness. The famous twenty plus twenty model, tolerating up to twenty percent malicious stake plus twenty percent offline, carries over. And because Quantumglow sits on top of Alpenglow and swaps only the cryptography, Alpenglow's familiar finality rules carry over with it: eighty percent for the one-round path, which the article states explicitly, and sixty percent twice for the two-round path.

アンザによれば、暗号を更新した以外に、安全性の仮定はアルペングロウから変わっていません。同じセーフティ、同じライブネス。悪意あるステークが最大二十パーセント、オフラインが最大二十パーセントまで耐えるという、有名な二十プラス二十のモデルも引き継がれます。そしてクアンタムグロウはアルペングロウの上に乗って暗号だけを差し替えるので、アルペングロウでおなじみの確定の規則も一緒に引き継がれます。一ラウンドの経路なら八十パーセント、これは記事が明示しているものです。そして二ラウンドの経路なら六十パーセントを二回、です。

And that is the achievement. The article's takeaway is essentially five swaps. The B L S votes become Ax signatures. Aggregation is replaced by the approval mechanic, off the hot path. Certificates as messages become local certificate pools. Certificate events split into the two types. And per-shred signatures become one block commitment plus symmetric authentication. Everything else stays put.

そして、それこそが成果なのです。記事の要点は、突き詰めれば五つの置き換えです。ビー・エル・エスの投票がエーエックスの署名になる。集約は、主要な経路から外れたアプルーバルの仕組みに置き換わる。メッセージとしての証明書は、ローカルな証明書プールになる。証明書の出来事は二種類に分かれる。そしてシュレッドごとの署名は、ブロック・コミットメント一つと対称認証になる。それ以外は、そのままです。

Important disclaimer time. As of August twenty twenty-six, Quantumglow is a research proposal. We could confirm no implementation and no formal improvement proposal filed. The full design, with definitions and proofs, lives in section five of the Alpenglow whitepaper version one point two, published at the end of July. The latency figures we quoted are simulations. And of course, nothing in this episode is investment advice.

大事な但し書きの時間です。二千二十六年八月時点で、クアンタムグロウは研究提案です。実装も、正式な改善提案の提出も、確認できませんでした。定義と証明を含む設計の全体は、七月末に公開されたアルペングロウ・ホワイトペーパー、バージョン一・二の第五章にあります。ここで挙げたレイテンシの数値はシミュレーションです。そしてもちろん、この回の内容はいっさい投資助言ではありません。

Two to three years, almost negligible, per Anza. Three to five percent within five years. Not a countdown, but no longer a rounding error. The point is not fear. The point is that the boring, multi-year homework of protecting a network is being done early, while it is still boring.

アンザによれば、二年から三年ならほぼ無視できる。五年以内なら三から五パーセント。カウントダウンではありませんが、もう誤差でもありません。要点は恐怖ではありません。要点は、ネットワークを守るという退屈で何年もかかる宿題が、まだ退屈でいられるうちに、早めに進められているということです。

That is the whole proposal in three sentences, and honestly better than my script. If you want to explore this visually, there is an interactive guide with animations in five languages, English, Japanese, Spanish, Portuguese, and Korean, built by Yuki Takahashi, covering everything we discussed today with sources linked, including both Anza blog posts and the companion research paper.

それがこの提案の全体を三文にしたもので、正直、僕の台本より上出来です。目で見て確かめたい方のために、アニメーション付きの対話型ガイドがあります。英語、日本語、スペイン語、ポルトガル語、韓国語の五言語で、高橋雄基さんが作ったものです。今日お話ししたすべてを扱っていて、アンザのブログ記事二本と姉妹論文を含む出典へのリンクも付いています。

That is the show. Thanks for listening, and see you next time.

今回はここまで。お聴きいただきありがとうございました。それではまた次回。