hero

一篇來自克羅埃西亞理論物理研究所的論文，把秘密共享從密碼學問題重構成網路物理問題。作者不問「加密演算法夠不夠強」，而問「如果你把祕密切成碎片分散在網路上，碎片該放哪些節點，才能在節點掛掉和被駭客攻破之間找到最佳平衡？」——這問題本身比答案更有趣。

原文摘要

秘密共享（secret sharing）的經典問題是：把一個祕密分成 N 個份額（share），只有蒐集到足夠數量的份額才能重構。但這篇論文問的是一個通常被跳過的問題：這些份額應該放在網路的哪些節點上？

作者 Vinko Zlatić（克羅埃西亞 Rudjer Bošković 研究所理論物理部門）把這個問題表述為一個穩健性泛函（robustness functional）的最佳化，平衡兩個互相競爭的目標：

  1. 生存能力（survivability）S(p, χ)：網路節點以機率 p 隨機失效後，資訊仍能完整保留在至少一個倖存子圖中的機率
  2. 被駭能力（hackability）H(q, χ)：攻擊者以機率 q 隨機攻破節點後，能收集到足夠份額來重構祕密的機率

穩健性泛函定義為：

F(α, S, H) = α·S + (1-α)(1-H)

其中 α 從歷史資料推斷——反映網路故障和駭客攻擊的相對頻率。α 越大，系統越偏重生存能力；α 越小，越偏重防駭。這個架構的美妙之處在於：它把安全決策從「工程師的直覺」變成了一個可以計算的數量。

MICS：最小資訊攜帶子圖

論文最重要的分析貢獻之一是引入 MICS（Minimal Information-Carrying Subgraphs，最小資訊攜帶子圖） 的概念。MICS 是包含完整資訊的最小連通子圖——換句話說，只要這個子圖還活著，祕密就能被還原；而它的任何真子圖都不足以重構資訊。你可以把 MICS 想成「最小可行重構單元」：網路裡有一堆這樣的單元，只要任何一個還活著，資訊就還在。

有了 MICS，生存能力就可以寫成一個精確的 inclusion-exclusion 多項式：

S(p, χ, Γ) = Σ a_r(χ, Γ) · p̄^r

其中 p̄ = 1-p 是節點存活機率，係數 a_r 由大小為 r 的 MICS 聯集數量決定。被駭能力也可以用類似的多項式表示，基於不同符號子集的覆蓋計數：

H̄ = Σ q̄^{N(X_i)} - Σ_{i<j} q̄^{N(X_i)∘N(X_j)} + …

這些公式在數學上是嚴格的，但問題在於：對於實際規模的網路，枚舉所有子圖和 MICS 在計算上完全不可行。倖存子圖的大小隨子圖規模指數衰減，這意味著大部分倖存元件都很小——但數量極其龐大，窮舉不可能。

半局部近似：不需要知道整個網路長什麼樣

論文接著提出了一個半局部（semi-local）近似方法，這是全篇最有實用潛力的部分。核心洞察是：你只需要知道局部鄰域資訊，不需要整個圖的結構。

方法透過限制最大子圖大小 Γ_M 來控制計算複雜度——這個上限由半徑 R 的鄰域決定。雖然系統的狀態依賴整個網路 Γ，但最佳化可以局部進行：例如在 simulated annealing 中，你只需要評估要改變的那個節點 i 的鄰域，而不是整張圖。這意味著這個方法原則上可以在分散式設定中運作，不需要一個知道全貌的中央規劃者。

論文中也給出了誤差界限的分析：

ε_cover ≤ Γ · p̄ · (z·p̄)^M / (1 - z·p̄)

其中 z 是平均度數。誤差隨著截斷半徑 M 增大而指數衰減，這給了近似方法一個理論保證。

實驗：在小網路上驗證

作者在 N = 8, 10, 12, 14, 16 的 Erdős–Rényi 隨機網路上進行了數值驗證。使用二階 MICS（R2 近似，涵蓋半徑 2 內的鄰域結構）的結果遠比一階（R1）精確：平均相對誤差在 10⁻⁴ 到 10⁻³ 量級。殘餘的有限尺寸波動隨網路增大而減小——這暗示方法在更大網路上可能表現更好。

在 N = 20、平均度數 z = 4、使用 3 到 4 個符號的網路上，作者使用 max-sum message passing 作為半局部啟發式演算法，近似結果與精確計算非常吻合。這些實驗規模看起來很小，但重點不是規模——是驗證「局部資訊就夠用」這個核心主張。

自旋系統對應：祕密儲存就是一個物理系統

論文最令人意外的部分在第五章。當資訊只有兩個符號（X₁ 和 X₂）時，整個穩健性泛函可以映射到一個等效的自旋 Hamiltonian：

F ≃ 1-α + h·n_{X₁X₂} + J·(l_{X₁X₂} - C(n_{X₁X₂}, 2))

其中：

  • h = α·p̄ - (1-α)·q：外部場，作用在同時攜帶兩個符號的節點上——正值表示冗餘是好事（生存優先），負值表示應該避免（安全優先）
  • J = α·p̄²：反鐵磁耦合，獎勵攜帶互補符號的相鄰頂點——這讓不同符號傾向分散到網路的不同區域，降低被一鍋端的風險
  • n_{X₁X₂}：攜帶兩個符號的頂點數量
  • l_{X₁X₂}：一邊是 X₁、另一邊是 X₂ 的邊數

等效 Hamiltonian 寫成 E = -h·n - J·(l - C(n,2))。換句話說：最佳祕密配置的物理圖像，就是一個自旋系統找到最低能量態的過程。 你把祕密碎片放在網路上，等於是在定義一個自旋系統的初始狀態；系統往低能量態演化，就是往最佳配置收斂。

作者給出了一維鏈的精確相圖，三種相態取決於 h 和 J 的相對大小：

  • h < J：純符號交替狀態（節點像 1212… 交錯攜帶不同符號）——最分散、最安全
  • J < h < 2J：混合態——鏈的一端連續出現 k 個雙符號節點（像 333…），其餘交替（1212…），其中 k = ⌊h/J⌋
  • h > 2J：全冗餘狀態（每個節點都攜帶所有符號，像 33333…）——最不怕節點掛掉，但被駭一個就全洩漏

這個對應關係不是數學上的巧合。它意味著統計力學中發展了幾十年的整套工具箱——平均場理論、replica trick、cavity method、belief propagation——可以直接借來分析祕密儲存問題。這才是這篇論文真正想說的事：你們密碼學家一直在問「演算法夠不夠強」，但物理學家會問「系統的態是什麼」。

討論與局限

論文坦承此方法只對相對較小的符號集合有效——符號一多，計算量就會爆炸。這是方法本身的根本限制，不是工程可以繞過的。

但作者指出，這個框架的應用範圍遠不止秘密共享。任何需要「關鍵分散式資源在網路上的穩健配置」的問題都可以套用：關鍵基礎設施保護、關鍵產品供應鏈、微生物群落的 functional redundancy、功能性生物多樣性、醫療服務網路的冗餘設計——只要你能把問題表述成「某些節點攜帶某些符號、需要滿足某些覆蓋條件」，這個框架就能派上用場。

論文的核心貢獻可以歸納為四點：(1) 首次將秘密共享的網路放置問題表述為形式化的穩健性最佳化；(2) 引入 MICS 作為分析工具，讓生存能力的計算有了明確的組合基礎；(3) 提出僅需局部資訊即可運作的最佳化方法，不需要中央規劃者；(4) 發現與自旋系統的深層對應關係，打開了借用統計力學工具的大門。

城武觀點

這篇論文的有趣之處不在它解決了什麼——它什麼都沒解決，沒有可部署的系統，沒有開源程式碼，甚至實驗只跑到 N=20——而在它提出問題的方式。

把秘密共享從「哪個加密演算法比較強」重構成「碎片要放在網路哪裡，才能在節點死掉和被駭之間找到最佳平衡」——這是一個把密碼學問題轉譯成物理問題的動作。MICS、inclusion-exclusion 多項式、自旋 Hamiltonian，這些工具以經不是密碼學家的標準配備，是統計力學家的。作者 Zlatić 的本行是理論物理，他看祕密儲存的方式自然就跟資安背景的人不一樣。而正是這個不一樣，讓這篇論文值得被讀——不是因為它給出了答案，而是因為它把問題從新想了一遍。

但最讓我無法忽視的，是這篇論文與現實世界之間的荒謬對比。

論文的整個前提是「資訊分散在網路節點上，沒有單點故障」——這是分散式系統的理想狀態。而今天，2026 年，所有 coding agent 都把 API key、使用者資料、模型權重上傳到同一個 S3 bucket 或 GCS bucket。你的祕密不在分散的網路上，它們在同一個雲端儲存桶裡，由同一家公司的同一個 IAM role 管著。

論文在算「節點以機率 p 隨機失效後的存活機率」，現實是某個 intern 把 .env 檔案 commit 到公開 repo，全部祕密一秒鐘就沒了。論文假設攻擊者以機率 q 隨機攻破節點，現實是攻擊者只需要拿到一個 AWS access key，整個 bucket 都是他的。

這不是論文的錯——論文從來沒有宣稱要解決這個問題，它寫得很清楚：這是一個形式化框架，不是一個系統。但讀完之後你很難不覺得：我們花了這麼多精力在研究如何讓 AI 更聰明，卻幾乎沒有人在乎這些 AI 的祕密是怎麼被儲存的。論文裡那條優雅的 inclusion-exclusion 多項式，在一個 .env 檔案面前毫無用武之地。

論文還有一個坦承的局限：符號集合要小。超過一定數量，計算量就爆炸。這讓它停留在理論層次——同樣不是批評，是分類。把它當成祕密儲存的終極解方是讀錯了；把它當成一個重新思考問題的起點，才是對的讀法。而那個起點提出的問題——「你的祕密為什麼都在同一個地方？」——可能是這整篇論文最有實務價值的一句話。

城武的未解檔案——在一個所有祕密都放在同一個 S3 bucket 的世界裡，一篇討論「資訊應該分散在網路哪裡」的論文，讀起來像是一封來自平行宇宙的明信片。