Quantova 仮想マシン上の自律エージェントのための耐量子証跡

要旨

自律エージェント及び超知能エージェントは、現在、銀行、政府、医療及び金融の各分野において、企業に代わって支払、意思決定及び届出を行っている。これらのエージェントが何を行ったかの記録は、その記録が記述する行為の主体である運用者によって保管されている。このような記録はその保管者によって書き換えられ得るものであり、仮に署名されているとしても ECDSA、EdDSA 又は RSA によって署名されているが、Shor のアルゴリズムによれば、量子コンピュータはこれらの署名を多項式時間で偽造することができる。

Qstamp は、オープンな SDK 及び Quantova 仮想マシン（QVM）上の一連の Quanta スマートコントラクトであり、記録そのものを運用者の手元で非公開に保ったまま、エージェントの記録を誰でも検証できる永続的な証跡に変換する。各記録は SHA3 256 ダイジェストに縮約され、新規の256ビットのソルトに束縛される。得られたリーフは、最大 2²⁰ 個のリーフからなる RFC 9162 ハッシュツリーに結合され、当該ツリーは、チェーン、コントラクト、署名者、記録種別及びバッチサイズを束縛する、ドメイン分離された1つの32バイトの値によってコミットされる。このコミットメントは、ML DSA 65 で署名されたトランザクションにおいて、証明済みの Quanta スマートコントラクトによりアンカーされ、ジェネシス以来すべてのブロックに ML DSA 65 で署名してきたバリデーター委員会によって確定される。

本稿は証跡偽造ゲームを定義し、古典的又は量子的な任意の敵対者の優位性が、SHA3 256 に対する衝突及び第二原像の優位性、ML DSA 65 に対する q 重の EUF-CMA 優位性、並びに合意の失敗確率によって上から抑えられることを証明する。さらに、レシートが何を証明し何を証明しないかを厳密に述べ、コントラクトのコンパイル、証明及び展開の方法を記述し、Quantova テストネットワークにおける具体例とともに裁判所及び規制当局の命令に適した検証手順を示し、本構成を欧州連合、英国、米国、日本、韓国及び香港における記録保持義務と関連付ける。

キーワード

1. 序論及び貢献の概要

大規模モデルを基盤とするソフトウェアエージェントは、現在、個人及び機関に代わって、ツールを呼び出し、資金を移動し、与信を承認し、コンテンツを生成している。このようなアクションが後に争われる場合、裁判所、監督当局又は保険者に対して提起される問いは事実に関するものである。すなわち、エージェントは、どのモデル及びポリシーの下で、いつ、何を行ったのか。その答えは、ほぼ常に、エージェントの運用者が保管する記録から得られるが、当該運用者はまさにその行為が問われている当事者でもある。

ここから2つの弱点が生じる。第一は保管である。運用者の管理権限の下にあるデータベースに保持された記録は、運用者によって変更され得るものであり、記録それ自体にはその変更を示すものは何もない。第二は耐久性である。記録が暗号学的に保護されている場合、その保護は ECDSA、EdDSA 又は RSA によるデジタル署名であり、公表されたリソース見積もりによれば、十分な規模の誤り耐性量子コンピュータは、このような署名を数時間ないし数日で偽造し得る [10, 11, 8]。多くの記録は6年から10年にわたり保存されなければならず [37, 35]、この期間は、そのような計算機がいつ実現し得るかに関する不確実性と比較して長い [13]。

Qstamp は、1つの構成によって両方の弱点に対処する。各記録は、運用者の境界の内部で、ソルト付きの SHA3 256 コミットメントに縮約される。最大 2²⁰ 個のコミットメントからなるバッチはハッシュツリーに集約され、当該ツリーをそのチェーン、コントラクト、署名者、種別及びサイズに結び付ける単一の32バイトの値が、Quantova 仮想マシン上の Quanta スマートコントラクトを通じてアンカーされる。当該アンカーが依拠するすべての署名は、それを送信するアカウントからそれを確定する委員会に至るまで、ML DSA 65 署名であり [24]、このことはネットワークのジェネシスブロック以来変わっていない。記録が運用者の外部に出ることはなく、記録及びそのレシートを保有する者は、運用者又は Quantova Inc を信頼することなく、後にこれを検証することができる。

本稿の貢献は以下のとおりである。

1. 内部者である敵対者としての運用者、及び古典的な署名に対する量子的な敵対者の形式的モデル、並びに現行規制の記録保持要件を捉える述語（第2節及び第3節）。
2. SDK リリース 0.1.4 において実装されたとおりの Qstamp の構成の完全な仕様。符号化、スタンプアルゴリズム及び検証アルゴリズム、並びに3値の検証結果を含む（第5節）。
3. Qstamp に対する証跡偽造が、SHA3 256 の衝突困難性及び第二原像困難性、ML DSA 65 の偽造不可能性、並びに合意の安全性によって上から抑えられることを証明する帰着。併せて、束縛性、秘匿性及び活性の各性質、並びに古典的及び量子的な具体的上界を示す（第6節）。
4. 自律エージェントに関してレシートが何を証明し何を証明しないかの厳密な記述（第7節）、及び実際のテストネットワークにおける実行例により例示する、裁判所及び規制当局の命令のための検証手順（第8節）。
5. 法的義務から、提供される形式的性質及びその限界への対応付け（第9節）、当該性質が証明済みのコントラクトコードを備えた耐量子のレイヤー1を必要とする理由の分析（第10節）、並びに実測されたコスト及びレイテンシ（第11節）。

本稿は、バージョン 1.0 の日付において稼働しているもののみを記述する。本構成は Quantova テストネットワーク上で稼働しており、そのレシートは証拠としての効力を有しない。本番利用は、Quantova メインネットワークの開始後、同ネットワーク上で行われる。計画中の機能は、第6.7節及び第12節においてその旨を明示する。

2. 問題の数学的定式化

本稿全体を通じて、H は SHA3 256 [22] を表し、‖ はバイト連結を表し、λ はセキュリティパラメータを表す。また、アルゴリズムが効率的であるとは、古典コンピュータ上（PPT）又は量子コンピュータ上（QPT）において λ の多項式時間で動作することをいう。

2.1 運用者が管理する記録と内部者である敵対者

O が計算した署名はこの状況を変えない。各エントリが σ_j = Sign(sk_O, e_j) を伴う場合、sk_O を保有する O は、任意の置換 e′ に対して有効な σ′ を計算する。保管者の署名は、第三者に対して出所を認証するものの、保管者自身に対する完全性については何も示さない。O に対する完全性を得るには、O がその状態を変更できない当事者又はシステムである証人 W が、t_a より前に Λ から導出された値を固定することが必要である。現在の実務において、W の状態に対する V の信頼は、W による署名、すなわちほぼ常に secp256k1 又は P 256 上の ECDSA [26, 29]、Ed25519 [30] 又は RSA に依拠しており、証人が運用者の内部システムである場合には、いかなる署名にも依拠していない。

2.2 Shor のアルゴリズムとその公表されたコスト

2.2.1 位数発見への帰着

N を素数冪ではない奇数の合成数とし、a を N を法とする単数から一様に選ぶ。a の位数は次のとおりである。

r が偶数であり、かつ a^r/2 ≢ −1 (mod N) であるならば、N は (a^r/2 − 1)(a^r/2 + 1) を割り切るが、いずれの因子も割り切らない。したがって、

は非自明な因数である。相異なる奇素因数を少なくとも2つ持つ N について、この事象は a の選択に関して少なくとも2分の1の確率で生じる [2, 12]。したがって、素因数分解は古典的な多項式時間で位数の計算に帰着し、Shor の貢献は後者のための量子アルゴリズムである [1, 2]。

2.2.2 量子フーリエ変換

N² ≤ Q < 2N² を満たす Q = 2^ℓ を選ぶ。ℓ 量子ビットのレジスタを一様な重ね合わせ状態に置き、写像 x ↦ a^x mod N を第二のレジスタに可逆的に計算する。

ℤ_Q 上の量子フーリエ変換は、第一のレジスタに次のように作用する。

これは O(ℓ²) 個の1量子ビットゲート及び2量子ビットゲートによって厳密に実装される。第二のレジスタは x について周期 r の周期性を持つため、変換後に第一のレジスタを測定すると、確率 Ω(1/log log N) で、次を満たす値 y が得られる。

ここで s は r と互いに素なある整数である。このとき Legendre の定理により、s/r は y/Q の連分数展開の近似分数であり、これにより古典的に r が得られる。コストの大部分を占めるのはべき剰余演算であり、筆算的な算術では O(ℓ³) 個のゲートを要する。

2.2.3 離散対数と楕円曲線

⟨P⟩ を素数位数 q の巡回群とし、Q′ = dP を公開鍵とする。関数

は、部分群 L の剰余類上でちょうど定数となる。ℤ_q² 上の2レジスタのフーリエ変換とそれに続く測定により、v ≡ ud (mod q) を満たす (u, v) が得られ、したがって u ≠ 0 である限り d = v·u⁻¹ mod q となる [2]。楕円曲線群については、群演算は基礎体上の算術により可逆的に評価される [9]。Roetteler、Naehrig、Svore 及び Lauter は、ビット長 n の素体上の曲線に対する具体的な回路を与えており [8]、その回路は次を用いる。

また、n = 256 に対して 10¹¹ のオーダーの Toffoli ゲート数を用いる。この見積もりは、大部分の ECDSA の導入の基盤である secp256k1 及び P 256 に適用され、Ed25519 の255ビット曲線にもほとんど変更なく適用される。これらは論理量子ビットである。誤り耐性のある実装では、物理量子ビット数は誤り訂正符号のオーバーヘッドの分だけ乗算される。

2.2.4 RSA 2048 に対するリソース見積もり

RSA について、Gidney 及び Ekerå は2019年に、物理ゲート誤り率 10⁻³、表面符号のサイクル時間1マイクロ秒及び制御システムの反応時間10マイクロ秒を仮定して、2048ビットの法を2000万個のノイズのある量子ビットにより約8時間で素因数分解できると見積もった [10]。Gidney は2025年に、同一のハードウェア仮定の下で、この見積もりを100万個未満のノイズのある量子ビット及び1週間未満の実行時間に改訂した [11]。

2.3 署名、台帳及びログへの帰結

証拠上の帰結は遡及的である。エントリ e が時刻 t_c に pk の下で署名されたとし、t_q を敵対者が A_Shor を実行できる最初の時刻とする。任意の時刻 T ≥ t_q において、敵対者は Verify(pk, e′, σ′) = 1 を満たす (e′, σ′) を生成する。T における検証者は、いずれも検証に成功する2つの組を保持することになり、署名検証は、そのいずれが t_c に存在したかについて何の情報も与えない。敵対者が必要とするのは pk のみであり、これは公開されており、台帳においてはアカウントの最初のトランザクションとともに公開される。したがって、公開鍵及び署名済みの記録は、今収集し、後に偽造することができる。証跡が健全であり続けなければならない期間を x、その移行に要する時間を y、t_q までの時間を z とすると、Mosca の条件 [13]

は、証跡が危険にさらされる時期を特定する。保存期間は長い。Rule 17a 4 に基づくブローカー・ディーラーの記録は最長6年間保存され [37]、高リスクAIシステムの技術文書は、当該システムが市場に投入された後10年間保存される [35]。

現在本番稼働しているスマートコントラクトプラットフォームは、ECDSA 又は EdDSA によってトランザクションを認可している。このようなプラットフォーム上では、あるアカウントがトランザクションを認可したという事実は古典的な署名によってのみ証明され、t_q 以降は、公開鍵が知られている任意のアカウントに任意の内容を署名させることができる。過去のブロックの順序が信頼に足るものであり続けるか否かは、検証者が正規の履歴をどのように知るかに依存する。チェーンを継続的に追跡してきた参加者は、その知識を保持する。他方、裁判所や監査人がそうするように、t_q 以降に署名のみから履歴を再構成する検証者は、合意そのものが古典的な署名によって認証されている場合、正規の履歴と、復元された鍵で署名された代替の履歴とを区別することができない。順序付けがプルーフ・オブ・ワークによって保護されている場合、順序付けはハッシュに基づく安全性を維持するが、各トランザクションの認可は依然として古典的である。破られるのは署名の層である。

ハッシュ関数は弱められるが、破られはしない。Grover のアルゴリズムは、n ビット関数の原像を O(2^n/2) 回の評価で発見し [3]、これは汎用的な探索に対して最適である [4]。Brassard、Høyer 及び Tapp のアルゴリズムは、同規模の量子アクセス可能なメモリを前提として、O(2^n/3) 回の評価で衝突を発見し [5]、これも汎用的な関数に対して最適である [6]。Bernstein は、そのメモリのコストを算入すれば、量子的な衝突探索は約 2^n/2 の古典的な並列衝突探索よりも安価ではないことを示している [7]。n = 256 の場合、安全性の余裕は、攻撃者にとって最も有利なモデルにおいても少なくとも 2⁸⁵、現実的なコストの下では約 2¹²⁸ にとどまる。署名とハッシュとの間のこの非対称性が、第5節の設計の基礎である。

2.3.1 エージェント基盤における古典的プリミティブ

現在、エージェントの識別、認可及び監査に用いられる基盤は、少数の公開鍵プリミティブに依拠している。下表は、それぞれについて、その依拠する問題及び Shor のアルゴリズムの影響を示す。

共通鍵プリミティブは異なる振る舞いを示す。HMAC 及び SHA2 ファミリーは Shor のアルゴリズムの影響を受けず、Grover のアルゴリズムによって弱められるにとどまるため、256ビット鍵の HMAC は、鍵探索に対して約128ビットの安全性を維持する。しかし、メッセージ認証コードは、第三者に対して何も証明しない。鍵を保有する者は、改変された任意のエントリについて有効なタグを再計算することができ、監査ログにおいて鍵を保有するのは運用者であるから、観察1がそのまま適用される。外部のアンカーを持たずに運用者が保持するハッシュチェーンについても同様であり、運用者は改変した任意の時点以降についてこれを再計算することができる。

2.4 規制上の空白

法域を問わず、規則は、一定の記録が作成され、定められた期間保存され、かつ改変から保護されること、又は改変が検知可能な形で保持されることを求めている。EU AI法は、高リスクAIシステムに対し、そのライフタイムにわたる事象の自動記録を可能にすることを求め（第12条）、提供者及び導入者に対し、当該ログを意図された目的に照らして適切な期間であって少なくとも6か月間保持することを求めている（第19条及び第26条第6項）[35]。eIDAS 2 改正は、電子台帳に法的承認を与え、適格電子台帳に完全性及び時系列順序の推定を付与している（第45h条及び第45i条）[36]。SEC Rule 17a 4 は、ブローカー・ディーラーに対し、電子記録を、タイムスタンプ付きの完全な監査証跡を伴って、又は書換え不能かつ消去不能な形式で保持することを求めている [37]。英国GDPR 第5条第1項(f)は、無権限の処理並びに偶発的な滅失又は毀損からの保護を含め、個人データの適切な安全性を求めている [38]。日本の電子帳簿保存法は、タイムスタンプ又は訂正及び削除を記録するシステムなど、電子記録の真実性を確保する措置を求めている [39]。韓国の個人情報保護法第29条に基づき求められる安全性確保措置には、アクセス記録を保管し、これを偽造及び変造から保護することが含まれる [40]。香港の個人データ（プライバシー）条例のデータ保護原則第4原則は、データ利用者に対し、無権限の又は偶発的なアクセス、処理、消去、滅失又は使用から個人データを保護するため、実行可能なあらゆる措置を講じることを求めている [41]。

同じ期間は、現在、耐量子移行に関する義務によっても規律されている。NIST IR 8547 は、その初期公開草案において、112ビットの安全性水準にある量子脆弱な公開鍵アルゴリズムを2030年以降非推奨とし、量子脆弱なすべての公開鍵アルゴリズムを2035年以降不許可とすることを提案している [27]。Executive Order 14412 は、米国連邦政府のシステムに対し、2030年12月31日までに耐量子の鍵確立を、2031年12月31日までに耐量子のデジタル署名を採用するよう指示している [28]。したがって、現在作成される記録は、その保存期間内において、それを保護する署名が正式に不許可とされている時点で検査されることになる。

法令は、Ret を保存期間を通じて明示的に定め、Int を改変若しくは偽造からの保護、書換え不能なストレージ又は監査証跡といった文言で定めている。Ver 及び Time は、監督及び証拠の目的から導かれる。空白とは、Int が古典的な署名に依拠するすべての仕組みは、𝒜 を t_q より前に活動する敵対者に限定した場合にしか Int を満たさないという点にある。t₀ + R > t_q である場合には常に、当該期間の残りについて述語は成立しない。Qstamp は、第3節の仮定の下で、古典的及び量子的な敵対者に対し、当該期間内のすべての t について Int、Ver 及び Time を提供するよう設計されている。Ret は引き続き保管者の義務である。ここで引用したいずれの法令も Qstamp を要求するものではない。法令が要求するのは性質であり、第9節はそのうちどれを Qstamp が提供するかを示す。

3. システムモデル及び脅威モデル

3.1 当事者

• 運用者 O。1つ以上のエージェントを運用し、その記録を保持し、署名鍵 sk_S を管理する。その ML DSA 65 公開鍵がチェーン上のアドレス S を定める。O は Qstamp SDK を実行する。
• 検証者 V。裁判所、規制当局、監査人、保険者又は取引相手方。V は、公開パラメータ、すなわちチェーンのジェネシスハッシュ G、公式 Qstamp コントラクトのアドレス C 及び公表されたバリデーター集合と、O が提出するものとのみを保持する。
• ネットワーク。QVM、ブロックを確定するバリデーター委員会 𝒱、並びにチェーンデータを提供する RPC エンドポイント及びエクスプローラーから構成される Quantova チェーン。
• 敵対者 A。記録に関する虚偽の言明を V に受理させようとする任意の当事者。

3.2 仮定

3.3 敵対者のクラス

古典的な敵対者は PPT である。量子的な敵対者は QPT であり、Shor のアルゴリズム及び Grover のアルゴリズムをオフラインで実行することができ、ランダムオラクルモデルが用いられる場合には H への量子アクセスを有する [16]。いずれのクラスも、時刻 t* 以降に運用者を不正に支配することができ、これは、後に履歴を書き換えようとする内部者、又は後の時点における sk_S の侵害をモデル化するものである。いずれのクラスも、他の任意のアカウントを支配し、T3 の上限まで委員会の構成員を不正に支配し、ネットワークメッセージを遅延させ、並べ替え又は破棄し、自ら RPC エンドポイントを運用することができる。誠実な運用者は、t* より前には正しくスタンプを行うものと仮定する。

次の3つの事項はモデルの対象外であり、保証と誤解されないよう明記する。スタンプされた時点で虚偽であった記録は虚偽のままである。Qstamp は内容を固定するものであり、その当否を判断するものではないからである。記録がスタンプされる前に sk_S を保有する敵対者は、S の名においてスタンプを行うことができるが、これは鍵の保管の問題である。記録及びそのレシートの可用性は保管者の責任である。ソルトが失われれば、対応する包含を証明することができなくなるからである。

4. Quantova フレームワーク

本節では、Qstamp が依拠する構成要素について、本稿の日付において稼働しているとおりに記述する。

4.1 スマートコントラクト言語 Quanta

Quanta は Quantova チェーンのコントラクト言語である。Quanta コントラクトは QVM コンテナにコンパイルされる。コントラクト内の権限は、検証済みの署名からのみ導かれる。エントリポイントの呼出し元はトランザクションの検証済みの署名者であり、コントラクトは、QVM 命令 VERIFY_ML を通じて、署名済みオーダーに対するさらなる ML DSA 署名を検証することができる。そのような検証はすべて FIPS 204 のコンテキスト文字列 QVM/contract/v1 を用い、FIPS 204 はこれを次のように署名対象メッセージに組み込む。

したがって、コントラクトのオーダーのために生成された署名を、他のいかなるコンテキストにおける署名としても提示することはできない [24]。オープン Qstamp コントラクトは次の Quanta ソースであり、状態、資金及び所有者のいずれも保持しない。

発行者テンプレート及びカウンシルテンプレートは、コントラクトが保持するノンス、期限及び展開ごとのドメイン値を伴う署名済みオーダーを追加する。これにより、オーダーの再送、期限後の使用及び他の展開における使用が防止される。

4.2 証明済みコンパイラ

コンテナ c は id(c) = H(c) によって識別される。チェーンは、識別子がコンパイラの出所鍵による ML DSA 65 署名を伴う場合にのみ展開を受け入れる。

この署名は、展開されたコンテナが証明済みコンパイラによって生成されたことを立証する。レビューされたソースとの同一性は、再現によって立証される。レビュー担当者は、公開されたソースをコンパイルし、得られたコンテナを展開されたものとバイト単位で比較し、これにより C にあるコードがレビューされたコードであることを確認する。オープン Qstamp コントラクトの公開ソースは、テストネットワーク上に展開されたコントラクトとバイト単位で一致するようにコンパイルされる。この保証は、Quantova Inc による出所鍵の安全な保管を前提とする。これは、コードの同一性という性質に限り、T1 から T5 に加えられる信頼の仮定である。

4.3 Quantova 仮想マシン及び実行層

QVM は計量付きのレジスタマシンであり、ML DSA 及び SLH DSA [25] の検証、ハッシュ計算並びにハッシュツリーのためのネイティブ命令を備える。実行の前に、QVM はトランザクションの検証済みの送信者を caller としてコントラクトのメモリに書き込むため、記録される署名者は呼出しデータによって影響を受けない。実行はアトミックである。S を状態、tx をトランザクション、m をその計量上限とすると、

ここで E は発行されたイベントのリストである。イベント及び状態の変更は成功時にのみ記録され、イベントはブロックヘッダーのイベントルートにコミットされる。したがって、イベントを伴わない確定済みトランザクションはスタンプについて何も証明せず、第5節の検証はイベントを必要とする。

4.4 合意及びファイナリティ

Quantova チェーン上のすべてのアカウント、すべてのトランザクション及びすべてのファイナリティ証明書は、ジェネシスブロック以来 ML DSA 65 で署名されており、SLH DSA は上述の代替のアカウント方式として利用可能である。アドレスは、ML DSA 65 公開鍵から導出される32バイトの値である。ブロックは、ファイナリティの閾値を満たす ML DSA 65 署名を伴う証明書を有する抽出された委員会によって確定され、ファイナリティには約0.2秒で到達する。ブロック時刻は整数秒で提案される。T4 の下で、親 P を持つ受理されたブロック B は次を満たす。

したがって、ブロック時刻が減少することはなく、誠実な時計よりも15秒を超えて進むことはない。

4.5 手数料

実行は計量され、m 単位の計量を消費する呼出しの手数料は次のとおりである。

未使用の予約分は返還される。スタンプ呼出しは固定長の呼出しデータを持ち、固定長のイベントを1つ発行するため、その手数料はバッチサイズ N に依存しない。テストネットワーク上では、1回のスタンプの費用は N にかかわらず 0.005 TQTOV、すなわち 5000 quon である。TQTOV は金銭的価値を持たないテストネットワークの単位である。

5. Qstamp の構成

5.1 記法

5.2 リーフ、ツリー及びコミットメント

ダイジェスト d_i = D_alg(r_i) を持つ記録 r_i に対して、リーフは次のとおりである。

これは、ちょうど 1 + 14 + 1 + 32 + 32 = 80 バイトに対する H の評価である。リーフは RFC 9162 第2.1節のツリーを構成し [31]、その内部ノードは次のとおりである。

これは、ちょうど65バイトに対する H の評価である。

コミットメントは次のとおりである。

これは、ちょうど 1 + 14 + 32 + 32 + 32 + 8 + 8 + 32 = 159 バイトに対する H の評価である。3つの役割は、その先頭バイト及び長さによって分離されており、この性質は補題1において用いられる。本構成は、Merkle のハッシュツリー [18] 及び Haber と Stornetta の連結の着想 [19] に従い、RFC 9162 のドメイン分離と、サイズ及びコンテキストの明示的な束縛とを加えたものである。

5.3 アンカリング

K は2つの16バイトの半分 (hi, lo) に分割され、S から公式コントラクト C への呼出しにおいて送信される。

呼出しデータは固定長であり、4バイトのセレクタ、120バイトのホストコンテキスト、32バイトのコミットメント及び8バイトの種別から構成される。イベントデータは72バイトである。コントラクトは状態を保持しないため、任意のコミットメントの任意の数のスタンプが併存することができ、いかなるスタンプも他のスタンプの記録を妨げることはできない。

5.4 レシート

各記録は、次の組である固有のレシートを受け取る。

ここで、fmt = qstamp-receipt/1、チェーン名 id 及びジェネシス G、コントラクト C、10進文字列としての種別 k、ダイジェストアルゴリズム、ダイジェスト及びソルト、位置、バッチサイズ及び包含パス、ツリールート、並びにアンカリングトランザクション、ブロック高 h、ブロック識別子 B、1970年以降の秒数によるブロック時刻 t 及び署名者 S である。レシートは記録のいかなる部分も含まない。ただし、ダイジェスト及びソルトは含んでおり、このことは第6.5節にとって重要である。

5.5 アルゴリズム

検証は3つの結果のいずれかを返す。「有効」は、すべての検査に合格したことを意味する。「無効」は、記録もダイジェストも提供されなかった場合を含め、少なくとも1つの実質的な検査が失敗したことを意味する。「判定不能」は、失敗した検査がすべて、到達不能なエンドポイントや途中で切れたイベントリストのような通信上の失敗であったことを意味する。「判定不能」が有効として報告されることはない。検査は、format、contract、content、inclusion、chain、transaction、event 及び block と名付けられ、全部で8つである。

$ npm install @quantovainc/qstamp
added 2 packages

$ npx @quantovainc/qstamp --version
0.1.4

$ openssl rand -hex 32 > signer.key && chmod 600 signer.key
$ node account.js
address  Q1NUR6ETECQXEVE77TJ9YPZ6WAWYMT45WCJANV5J43X93SF79DWE0S0D572X
status   registered, ready to stamp

{
  "evaluation": {"approved_by": "Model Risk Committee", "auc": 0.871},
  "model": "risk-model 3.2.1",
  "time": "2026-10-09T09:39:27.273Z",
  "training_data": "dataset manifest 2026-09-30",
  "weights_sha3": "f01483b8e6269760c5c2e2025875b6e5d1b16402443e9a98d73e0a43156bf17b"
}

const qstamp = require('@quantovainc/qstamp');
const batch = [];

agent.on('action', (action) => {
  const bytes = Buffer.from(canonicalJson(action));
  log.write(bytes);
  batch.push({ digest: qstamp.digestBytes(bytes) });
});

setInterval(async () => {
  const records = batch.splice(0);
  if (records.length === 0) return;
  const receipts = await qstamp.stamp({
    seed, index: 0, kind: 'ai_agent_action', records,
    onPending: savePending,
  });
  receipts.forEach(storeBesideAction);
}, 60000);

{
  "agent": "credit-decision-agent-07",
  "amount_usd": 125000,
  "applicant": "APP-54a49c823275",
  "decision": "approve",
  "human_review": false,
  "model": "risk-model 3.2.1",
  "operator": "Example Bank plc",
  "policy": "retail-lending-policy 2026-10",
  "reasons": ["score_above_threshold"],
  "risk_score": 645,
  "time": "2026-10-09T09:39:25.132Z",
  "tool": "credit_bureau.lookup"
}

$ npx @quantovainc/qstamp hash action-04.json
  action-04.json

$ npx @quantovainc/qstamp verify action-04.json.qstamp.json --file action-04.json
pass format · pass contract · pass content · pass inclusion
pass chain · pass transaction · pass event · pass block
VALID  stamped no later than 2026-10-09T09:39:25Z in block 2011753

$ npx @quantovainc/qstamp verify action-04.json.qstamp.json --file altered.json
FAIL content  the content does not match the fingerprint in the receipt
INVALID

6. 安全性解析

6.1 証跡偽造ゲーム

このゲームは、事後に履歴を書き換える内部者を捉える。A は sk_S を取得しても、なお r′ を t* より前のアンカーに結び付けなければならないからである。また、内容をすり替える外部者、及び S が一度もスタンプしていない記録によって S を陥れようとする第三者も捉える。t* 以降における r′ の新たなスタンプは偽造ではない。そのレシートはより後の時刻を示すからである。

6.2 ドメイン分離

役割プレフィックスがなければ、内部ノードをリーフとして提示することが可能となる。これは、プレフィックスのない Merkle ツリーにおける古典的な第二原像の曖昧性であり、RFC 9162 はこれを排除している [31]。u64(N) がなければ、ルートはそのツリーの形状を決定せず、1つのパスが複数のサイズの下で検証に成功し得る。

6.3 主定理

証明の概略. A が出力 (r′, ρ′) で勝利したとする。ここで ρ′ は alg′、d′、s′、位置 i、サイズ N′、パス π′、root′、種別 k′、トランザクション tx、高さ h、時刻 t ≤ t* 及び署名者 S を示す。8つの検査のすべてが有効であることから、次の事実が得られる。G 及び C は公式の値である。D(r′) = d′ である。L′ を (alg′, d′, s′) のリーフとして、RootFromPath(L′, i, N′, π′) = root′ である。T5 の下で、高さ h の確定済みブロックは、S から C への tx と、データ S ‖ K′ ‖ u64(k′) を持つ C のイベントとを含む。ここで K′ = Commit(G, C, S, k′, N′, root′) である。勝利事象を次のように分割する。

1. 合意の失敗。高さ h において報告されたブロックが、その高さにおける唯一の確定済みブロックではない。これは、次の場合に該当する委員会署名の偽造を除外すれば、確率 Adv_consensus を除いて T3 に矛盾する。
2. 署名の偽造。高さ h の正規のブロックが、挑戦者が t* より前に署名しなかった S からのトランザクション、又はいかなる誠実な構成員も生成しなかった委員会署名を含む。t* より前において、誠実なスタンプはちょうど署名クエリであるから、B₃ は q 個の鍵のうちどれが偽造されるかを推測し、そこに自らの挑戦鍵を埋め込み、偽造を出力する。そのコストは高々 q · Adv^EUF-CMA である。
3. 誠実なアンカー。それ以外の場合、t* より前の S からのトランザクションはすべて誠実であり、イベントデータは S を示すため、当該イベントは、バッチ (r₀, …, r_N−1)、ソルト s_i、種別 k 及びコミットメント K を伴う誠実なスタンプによって発行されたものである。イベントの照合により K′ = K かつ k′ = k が得られる。補題1により、(N′, root′) = (N, root) であるか、又は B₁ 若しくは B₂ が2つの159バイト文字列の衝突を出力する。
4. 同一のツリー。サイズ及びルートが等しい場合、アルゴリズム3は、その形状が (i, N) のみに依存するパスに沿って L′ からルートを再計算する。ルートからリーフに向かってたどる。誠実なノード入力と提示されたノード入力とが異なる最初のレベルにおいて、両入力は同一の出力にハッシュされ、これは補題1により2つの65バイト文字列の衝突である。いずれのレベルでも異ならなければ、L′ = L_i である。
5. 同一のリーフ。補題1により、(alg′, d′, s′) = (alg, d_i, s_i) であるか、又は2つの80バイトの入力が衝突する。
6. 同一のダイジェスト。このとき、A が勝利するから r′ ≠ r_i であり、かつ D(r′) = d_i = D(r_i) である。これは D = SHA3 256 の衝突である。

残るは、場合3から6において発見された各衝突を B₁ 又は B₂ に帰属させることである。衝突する組の誠実な入力が A のみによって選ばれた値の関数である場合、すなわち A がバッチを選び、衝突する入力が新たなソルトを含まない場合には、当該組は衝突であり、B₁ によって出力される。誠実な入力が A によって選ばれていない値、すなわちソルト s_i 又は誠実な当事者が提供した記録を含む場合には、誠実な入力は A が探索を行う前に固定された標的であり、A は同一の像を持つ第二の入力を発見したことになる。これは、誠実な分布から抽出された標的に対する Rogaway と Shrimpton の意味での第二原像であり [17]、B₂ によって出力される。2つの帰属は互いに排他的であるから、場合1から6にわたる和集合上界により (22) が得られる。∎

alg = 2 の場合、場合6のダイジェストの段階は SHA 256 に依拠し、上界には対応する SHA 256 の項が加わる。束縛性は、標準モデルにおいて T1 から T3 のみを必要とする。第6.5節の秘匿性は、ランダムオラクルモデルを用いる [15, 16]。

6.4 コンテキストの束縛、再送及びフロントランニング

これは補題1から導かれ、5つの帰結を持つ。あるチェーン上でアンカーされたコミットメントは、G が異なるため、他のチェーンに対しては検証に成功せず、新たなジェネシスで再始動されたネットワークは古いレシートを検証することができない。レシートは、C が異なるため、別のコントラクトに対しては検証に成功しない。保留中のトランザクションから K を複製し、自らのアカウントから stamp(K, k) を送信するフロントランナー F は、F を示すイベントを得るが、F を示すレシートが検証に成功するのは K = Commit(G, C, F, k, N, root) の場合、すなわち衝突の場合に限られる。オープンコントラクトは状態を持たないため、複製は S の元のトランザクションの記録を妨げず、したがってフロントランニングはスタンプを奪うことも妨げることもない。宣言された種別は、アンカリング後にラベルを付け替えることができない。バッチサイズは固定されており、これにより、素の RFC 9162 ルートが持つサイズの曖昧性が排除される。

6.5 秘匿性

この留保は本質的である。レシートの保有者は s_i 及び d_i を知っている。d_i = D(r_i) にはソルトが付されていないため、レシートの保有者は、金額や短いコードのような低エントロピーの記録に対する推測を、1回のハッシュ評価で検証することができる。したがって、レシートは、それが記述する記録と同様に保護されなければならない。秘匿性は、チェーンの観察者に対して内容を保護するものであり、レシートの保有者に対して保護するものではない。

6.6 具体的な上界

NIST カテゴリー3とは、方式を破るために、192ビット鍵のブロック暗号に対する鍵探索と同等以上のリソースを要することを意味する [24]。FIPS 202 は、古典的な攻撃に対する SHA3 256 の衝突困難性を128ビット、原像困難性及び第二原像困難性を256ビットと定めている [22]。

6.7 活性、判定不能性及び信頼されるエンドポイント

スタンプの活性。スタンプは、委員会がそのトランザクションを確定した時点で完了する。タイムアウト内にファイナリティが観測されない場合、アルゴリズム1は永続化された保留中のバッチを返し、これはソルト、コミットメント及びトランザクション識別子を保持する。レシートは、二重の支払いなしに、後にそのバッチから完成される。トランザクションの送信中に発生したエラーも保留中のバッチを伴うため、ソルトがネットワーク障害によって失われることはない。

リリース 0.1 における信頼されるエンドポイント。検査1から4は検証者のマシン上で実行され、いかなる外部の当事者にも依存しない。chain、transaction、event 及び block の各検査は RPC エンドポイントによって応答されるため、T5 が必要となる。不誠実に運用されるエンドポイントは、存在しないアンカーを報告し得る。リリース 0.1 は、既定で公式エンドポイントを使用すること、すべてのエンドポイントがレシートに示されたチェーンを提供していることを検査すること、参照されるすべてのエンドポイントの一致を要求すること、及びどのエンドポイントが参照されたかを報告することにより、これを緩和する。T5 がなければ、(22) には、参照されるすべてのエンドポイントが一貫して虚偽を報告する確率に等しい項 Adv_endpoint が加わる。T5 は各エンドポイントへの通信路も対象とする。応答は TLS を通じて伝送され、これは Quantova プロトコルの外部にあるトランスポートセキュリティであって、古典的な鍵交換及び証明書を用いる場合がある。したがって、トランスポート層においてエンドポイントになりすますことのできる敵対者も同じ項に算入される。

計画中のオフラインのファイナリティ証明。今後のリリースでは、各レシートに、高さ h のブロックヘッダー、委員会のファイナリティ証明書、及びヘッダーのイベントルートに対する Stamped イベントの包含証明を含める。その場合、検証に必要なのはレシート、記録及び公表されたバリデーター集合のみとなる。エンドポイントの項は消滅し、チェーンの検査は T2 及び T3 の下での ML DSA 65 の検証に帰着するため、(22) は T5 なしに成立する。

7. 自律エージェント及び超知能エージェントへの適用

7.1 正規化されたアクション記録

エージェントのアクション a は、バイト符号化 canon(a) を通じてのみ証跡となり、ダイジェストは d = D(canon(a)) である。同一の内容の2つのシリアライズは異なるダイジェストを与えるため、符号化は運用者によって固定され、バージョン管理されなければならない。シリアライズの変更は誤った invalid の判定をもたらすが、誤った valid の判定をもたらすことはない。RFC 8785 の方式 [32] のように、キーを辞書式順序で整列し、意味を持たない空白を含まない正規化された JSON 形式は、この要件を満たす。SDK は与えられたバイト列をそのままハッシュし、シリアライズを強制しない。有用なアクション記録は、エージェント、運用者、モデル及びそのバージョン、適用されるポリシー、呼び出されたツール、依拠した入力、判断又は出力、人間によるレビューの有無、並びにエージェントが主張する時刻を示す。

7.2 バッチ化

運用者は、時間窓 Δ にわたり、又は一定件数に達するまでアクションを収集し、これらを1つのバッチとしてスタンプする。このとき、時刻 τ に行われたアクションは、τ + Δ + t_fin までに確定されたブロックを持つアンカーを有する。ここで t_fin はスタンプのレイテンシである。アクション1件当たりのコストは fee / N である。閾値を超える支払いのような重要なアクションは、アクションの完了前に記録が確定するよう、実行の前又は後に個別にスタンプすることができる。onPending フックにより、運用者は、ファイナリティを待つ前に、送信された各バッチを永続化することができる。

7.3 記録種別

種別は、K に束縛され、イベントにおいて発行される64ビットの値である。それは、S がバッチの内容として宣言したものを示す。それは内容の検証済みの分類ではない。

7.4 モデルパスポート

モデルパスポートは利用のパターンであり、別個の仕組みではない。リリース時に、運用者は、種別 ai_model により、モデル成果物のダイジェスト、種別 ai_dataset でスタンプされたデータセットマニフェストのダイジェスト、及び評価報告書のダイジェストを列挙した記録をスタンプする。その後の各アクション記録は、モデルのバージョン及びそのパスポートのダイジェストを示すため、アクションのレシートから、当該アクションが依拠したモデルを固定したレシートへとたどることができる。

7.5 レシートが証明するもの及び証明しないもの

8. 裁判所の命令に対する証拠提出手順

裁判所又は規制当局が、SI 企業に対し、特定の事案においてそのエージェントが何を行ったかを示すよう命じたとする。以下の手順は、企業に対しては文書の提出以外に何も求めず、検証者に対しては公開パラメータ及び計算以外に何も求めない。

1. 提出。企業は記録 r 及びそのレシート ρ を提出する。命令は、当該種類の記録に用いられた正規化の規則の提出を求めることもできる。
2. 再計算。検証者は、d = H(r)、(alg, d, s) からリーフ L、アルゴリズム3により (L, i, N, π) からルート、及び (G, C, S, k, N, root) から K を再計算する。この段階はネットワークへのアクセスを必要とせず、SDK、コマンド qstamp verify、又は第5節の独立した実装によって実行することができる。
3. アンカー。検証者は、1つ以上の独立した RPC エンドポイントを通じて、及びエクスプローラーにおいて、公開チェーン上で、ρ に示されたトランザクションが S から公式コントラクト C に送信されたこと、並びにブロック h がデータ S ‖ K ‖ u64(k) を持つ C の Stamped イベントを含むことを検査する。エクスプローラーは、技術者でない読者が同じ事実を確認できるようにするチェーンデータの表示である。それは別個の信頼の基点ではない。
4. ファイナリティ。検証者は、トランザクションが確定していること、並びに高さ h のブロックが識別子 B 及び時刻 t を持つことを検査する。
5. 結果。すべての検査に合格した場合、結果は有効であり、命題5が立証された事項を述べる。実質的な検査が失敗した場合、結果は無効であり、失敗した検査がどのリンクが成立しないかを特定する。ネットワークを参照できなかった場合、結果は判定不能であり、手順を繰り返す。

8.1 Quantova テストネットワークにおける具体例

与信判断エージェントが次の記録を生成した。この記録は、キーを整列し、意味を持たない空白を含まない正規化された JSON としてシリアライズされている。

この記録は、6件の記録からなるバッチとしてスタンプされた。以下の値はその実行から得られたものである。

アンカリングトランザクションは https://qvmscan.io/tx/QTX1V53JW528S64SZYD6EDZ563N0PUUA2ARGNQHV4LTJMNH24PQS5VPQTAH8RQ で確認することができる。

記録に対するレシートの検証は有効を返し、8つの検査のすべてに合格した。

次に、記録中の金額を1000だけ変更し、同一のレシートにより検証を繰り返した。content の検査が失敗し、結果は無効であった。他の検査はこの変更の影響を受けず、これは意図された動作である。判定が、破綻した正確なリンクを示すからである。例として、125000 を 126000 に置き換えると、次のダイジェストが得られる。

この例について2つの点を付言する。第一に、記録内の時刻フィールド 09:39:25.132 はエージェントの主張であり、証明されたものではない。ブロック時刻は整数秒の 09:39:25 であり、その分解能において記録と一致する。第二に、送信から確定の観測までに計測された時間は約0.7秒であり、これには SDK のポーリング間隔が含まれる。

9. 規制との対応

下表は、各義務を、Qstamp が提供する形式的性質及びその性質の限界と関連付けるものである。言い換えは概要の把握のための要約であり、法令の本文に代わるものではない [35, 36, 37, 38, 39, 40, 41, 27]。引用したいずれの法令も Qstamp を要求するものではない。各法令は記録の性質を要求しており、Qstamp はそのうちのいくつかを提供する。

各組織は、自らに適用される法令の要件全体を満たす責任を引き続き負い、自ら法的助言を得るべきである。

10. 本構成を特徴付けるもの

我々は、エージェントのための永続的な証跡には4つの性質がそろって必要であること、及び古典的なチェーンは、移行のみによっては、その既存の履歴についてその第一の性質を獲得できないことを論じる。

1. R1. 履歴全体の耐量子認証。送信するアカウントからファイナリティに至るまで、アンカーが依拠するすべての署名がジェネシスまで遡って耐量子であり、かつ、プロトコルが、競合する事実を成立させ得る古典的な署名を一切受け入れないこと。
2. R2. 独立した証人。アンカーが、保管者又は単一の機関によってではなく、保管者から独立した委員会によって固定されること。
3. R3. 証明済みコード。アンカーを記録するコードがレビューされたコードであることが証明可能であり、かつ同一のアドレスにおいて置き換えられ得ないこと。
4. R4. プログラム可能な権限。権限を有する発行者、複数当事者による承認及び失効といった組織のポリシーが、耐量子認証の下で実行されること。

命題6の条件は現実の救済策を表しており、公正に述べられるべきである。証跡は更新によって保全することができる。更新とは、Haber と Stornetta による更新 [19] や RFC 4998 の Evidence Record Syntax [34] のように、古いプリミティブが破られる前に、古い証跡をより強いプリミティブの下でコミットすることである。更新は t_q より前に行われなければならず、それ自体が検証可能でなければならず、また更新されたもののみを保護する。ジェネシスから耐量子であるネットワークには、自らの履歴について更新すべきものは何もない。古典的なチェーンへの事後的な改修は、適時に更新されない限りその過去の履歴を偽造可能なまま残すというのは、この意味においてである。

耐量子のタイムスタンプ局は R1 を満たすが、単一の機関に依拠し、プログラム可能なポリシーを提供しない。証明済みコードを持たない台帳は R2 及び R4 を満たすが、検証者はコントラクトアドレスにあるバイトコードを独立に監査しなければならない。下表は、2026年時点における各カテゴリーの典型的な導入形態をまとめたものである。それはカテゴリーを記述するものであり、特定の製品を記述するものではない。

我々の知る限り、本稿の日付の時点で、ジェネシスから R1 から R4 までを兼ね備えた本番ネットワークはわずかである。我々は、この組合せが Quantova に固有のものであると主張するものではなく、本節の議論は性質のみに依存し、いかなるネットワークの同一性にも依存しない。

11. 経済性及び性能

(15) により、スタンプの手数料は固定長の呼出しが消費する計量のみに依存するため、テストネットワーク上では、任意の N について1回のスタンプの費用は 0.005 TQTOV、すなわち 5000 quon である。記録1件当たりの償却コストは次のとおりである。

オンチェーンでは、各スタンプは N に依存せず、164バイトの呼出しデータ及び72バイトのイベントを追加する。ローカルでの検証のコストは、記録のダイジェスト1回と、固定長の入力に対する高々 ⌈log₂N⌉ + 2 回の追加の SHA3 256 評価である。チェーンにおける検証のコストは、エンドポイント当たり、チェーンの同一性、トランザクション、イベント及びブロックについての4回のクエリである。

第8節の例を生成したテストネットワークでの実行において、スタンプの送信から確定の観測までの時間は約0.7秒であり、これに対してチェーンのファイナリティは約0.2秒であった。この差は、送信と、SDK がファイナリティを観測する際の400ミリ秒のポーリング間隔とに起因する。4回のスタンプの費用は合計 0.02 TQTOV、すなわち1回当たり 0.005 TQTOV であった。これらの数値はテストネットワーク上での計測値であり、メインネットワークの性能又は価格を保証するものではない。

12. 限界及び今後の課題

1. オフラインのファイナリティ証明。リリース 0.1 は、RPC エンドポイントを通じてチェーン上の事実を確認するため、T5 に依拠する。第6.7節に述べたとおり、ブロックヘッダー、ファイナリティ証明書及びイベントの包含証明を各レシートに埋め込むことが計画されており、これによりその依拠は解消される。
2. テンプレートにおける展開ごとのドメイン。発行者テンプレート及びカウンシルテンプレートは、ドメイン値が展開のものと異なるオーダーを拒否する。この値は展開者が選択する64ビットの数値であり、その新規性の確保は運用上の義務である。コントラクトアドレスは、展開するアカウント及びそのトランザクション数のみに依存するため、再始動後又はフォーク上では、新たな展開が以前の展開のアドレスを受け取る可能性があり、その場合、以前の展開のために署名されたオーダーが受け入れられることを防止するのは新たなドメイン値のみである。
3. 失効は SDK によってまだ検査されない。発行者テンプレートはコミットメントの撤回を理由コードとともに記録するが、Verify はその状態を参照しない。撤回されたコミットメントのレシートは依然として有効として検証され、撤回に依拠する検証者は、発行者コントラクトに別途照会しなければならない。
4. 第三者による監査。SDK 及びコントラクトは、公開前に内部でレビューされた。コントラクトテンプレートは例として公開されており、それらを本番環境に展開する前には、資格を有する第三者による独立した監査が必要であり、SDK に本番環境で依拠する前にも、そのような監査が推奨される。
5. 時刻の分解能。ブロック時刻の分解能は1秒であり、上方は T4 によって、下方は親ブロックの時刻によってのみ制約される。レシートは、ファイナリティまでの存在を立証するものであり、最も早い時刻を立証するものではない。
6. 網羅性。レシートは包含を証明するが、網羅性は証明しない。第7.5節において提案した連番の付与及びバッチの連鎖は、運用者の実務であり、コントラクトによって強制されるものではない。
7. ネットワークの状態。本稿のすべての結果はテストネットワークに関するものである。そこで生成されたレシートは証拠としての効力を有せず、本番利用は、Quantova メインネットワークの開始後、同ネットワーク上で行われる。

13. 本稿の法的位置付け

本稿は、Quantova Inc が情報提供を目的として提供する Qstamp の技術仕様書及び説明書である。本稿は、それ自体としていかなる契約上の義務、保証、表明又は約束も生じさせるものではなく、法律、規制、税務又は投資に関する助言を構成するものでもない。Qstamp、Qstamp SDK 及び Quanta コントラクトテンプレートの利用は、利用規約、ソフトウェアが公開される際のライセンス、及び Quantova Inc との間で締結された契約に準拠し、これらは、本稿と抵触する場合には本稿に優先する。法令及び規制に関する記述は、概要の把握のための要約である。将来の機能に関する記述は現時点の意図を述べるものであり、変更される場合がある。

注記。Quantova 又は Qstamp が耐量子であること、又は古典的な署名に依拠しないことに関する本稿のすべての記述は、Quantova プロトコル、すなわちアカウント、トランザクション及びファイナリティ証明書の署名、コントラクトコードの証明並びに合意に関するものである。当該記述は、ウェブサイト、エクスプローラー、RPC ゲートウェイその他のウェブホスティングが用いる TLS 接続、証明書及び鍵交換など、プロトコルの外部にあるトランスポートセキュリティには及ばず、これらは古典的なアルゴリズムを用いる場合がある。リリース 0.1 においては、検証におけるチェーンの検査は RPC エンドポイントから受信した応答の完全性に依拠し、当該応答は伝送中、当該トランスポートセキュリティによって保護される（仮定 T5 及び第6.7節）。レシートがオフラインのファイナリティ証明を含むようになるまでは、これらの検査について耐量子の保証を必要とする検証者は、自らが信頼する通信路を通じて、又は独立に運営される複数のエンドポイントから、チェーンデータを取得すべきである。

© 2026 Quantova Inc. Qstamp 及び Quantova は Quantova Inc の商標である。

14. 参考文献

1. [1]P. W. Shor. Algorithms for quantum computation: discrete logarithms and factoring. In Proceedings of the 35th Annual Symposium on Foundations of Computer Science (FOCS), IEEE, 1994, pp. 124 to 134.
2. [2]P. W. Shor. Polynomial-time algorithms for prime factorization and discrete logarithms on a quantum computer. SIAM Journal on Computing 26(5), 1997, pp. 1484 to 1509.
3. [3]L. K. Grover. A fast quantum mechanical algorithm for database search. In Proceedings of the 28th Annual ACM Symposium on Theory of Computing (STOC), 1996, pp. 212 to 219.
4. [4]C. H. Bennett, E. Bernstein, G. Brassard and U. Vazirani. Strengths and weaknesses of quantum computing. SIAM Journal on Computing 26(5), 1997, pp. 1510 to 1523.
5. [5]G. Brassard, P. Høyer and A. Tapp. Quantum cryptanalysis of hash and claw-free functions. In LATIN '98: Theoretical Informatics, Lecture Notes in Computer Science 1380, Springer, 1998, pp. 163 to 169.
6. [6]S. Aaronson and Y. Shi. Quantum lower bounds for the collision and the element distinctness problems. Journal of the ACM 51(4), 2004, pp. 595 to 605.
7. [7]D. J. Bernstein. Cost analysis of hash collisions. Will quantum computers make SHARCS obsolete? In Workshop Record of SHARCS 2009, Special-purpose Hardware for Attacking Cryptographic Systems, 2009.
8. [8]M. Roetteler, M. Naehrig, K. M. Svore and K. Lauter. Quantum resource estimates for computing elliptic curve discrete logarithms. In Advances in Cryptology, ASIACRYPT 2017, Lecture Notes in Computer Science 10625, Springer, 2017, pp. 241 to 270.
9. [9]J. Proos and C. Zalka. Shor's discrete logarithm quantum algorithm for elliptic curves. Quantum Information and Computation 3(4), 2003, pp. 317 to 344.
10. [10]C. Gidney and M. Ekerå. How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits. Quantum 5, 433, 2021. First circulated as arXiv:1905.09749, 2019.
11. [11]C. Gidney. How to factor 2048 bit RSA integers with less than a million noisy qubits. arXiv:2505.15917, 2025.
12. [12]M. A. Nielsen and I. L. Chuang. Quantum Computation and Quantum Information. Cambridge University Press, 2000.
13. [13]M. Mosca. Cybersecurity in an era with quantum computers. Will we be ready? IEEE Security and Privacy 16(5), 2018, pp. 38 to 41.
14. [14]S. Goldwasser, S. Micali and R. L. Rivest. A digital signature scheme secure against adaptive chosen-message attacks. SIAM Journal on Computing 17(2), 1988, pp. 281 to 308.
15. [15]M. Bellare and P. Rogaway. Random oracles are practical. A paradigm for designing efficient protocols. In Proceedings of the 1st ACM Conference on Computer and Communications Security (CCS), 1993, pp. 62 to 73.
16. [16]D. Boneh, Ö. Dagdelen, M. Fischlin, A. Lehmann, C. Schaffner and M. Zhandry. Random oracles in a quantum world. In Advances in Cryptology, ASIACRYPT 2011, Lecture Notes in Computer Science 7073, Springer, 2011, pp. 41 to 69.
17. [17]P. Rogaway and T. Shrimpton. Cryptographic hash-function basics. Definitions, implications, and separations for preimage resistance, second-preimage resistance, and collision resistance. In Fast Software Encryption, FSE 2004, Lecture Notes in Computer Science 3017, Springer, 2004, pp. 371 to 388.
18. [18]R. C. Merkle. A digital signature based on a conventional encryption function. In Advances in Cryptology, CRYPTO '87, Lecture Notes in Computer Science 293, Springer, 1988, pp. 369 to 378.
19. [19]S. Haber and W. S. Stornetta. How to time-stamp a digital document. Journal of Cryptology 3(2), 1991, pp. 99 to 111.
20. [20]L. Ducas, E. Kiltz, T. Lepoint, V. Lyubashevsky, P. Schwabe, G. Seiler and D. Stehlé. CRYSTALS-Dilithium. A lattice-based digital signature scheme. IACR Transactions on Cryptographic Hardware and Embedded Systems 2018(1), pp. 238 to 268.
21. [21]E. Kiltz, V. Lyubashevsky and C. Schaffner. A concrete treatment of Fiat-Shamir signatures in the quantum random-oracle model. In Advances in Cryptology, EUROCRYPT 2018, Lecture Notes in Computer Science 10822, Springer, 2018.
22. [22]National Institute of Standards and Technology. SHA-3 Standard. Permutation-Based Hash and Extendable-Output Functions. FIPS PUB 202, August 2015.
23. [23]National Institute of Standards and Technology. Secure Hash Standard (SHS). FIPS PUB 180-4, August 2015.
24. [24]National Institute of Standards and Technology. Module-Lattice-Based Digital Signature Standard. FIPS 204, August 2024.
25. [25]National Institute of Standards and Technology. Stateless Hash-Based Digital Signature Standard. FIPS 205, August 2024.
26. [26]National Institute of Standards and Technology. Digital Signature Standard (DSS). FIPS 186-5, February 2023.
27. [27]D. Moody, R. Perlner, A. Regenscheid, A. Robinson and D. Cooper. Transition to Post-Quantum Cryptography Standards. NIST Internal Report 8547, Initial Public Draft, National Institute of Standards and Technology, November 2024.
28. [28]Executive Order 14412. Securing the Nation Against Advanced Cryptographic Attacks. The White House, Washington, signed 22 June 2026.
29. [29]Certicom Research. SEC 2. Recommended Elliptic Curve Domain Parameters. Standards for Efficient Cryptography, Version 2.0, 2010.
30. [30]S. Josefsson and I. Liusvaara. Edwards-Curve Digital Signature Algorithm (EdDSA). RFC 8032, Internet Engineering Task Force, January 2017.
31. [31]B. Laurie, E. Messeri and R. Stradling. Certificate Transparency Version 2.0. RFC 9162, Internet Engineering Task Force, December 2021.
32. [32]A. Rundgren, B. Jordan and S. Erdtman. JSON Canonicalization Scheme (JCS). RFC 8785, Internet Engineering Task Force, June 2020.
33. [33]C. Adams, P. Cain, D. Pinkas and R. Zuccherato. Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP). RFC 3161, Internet Engineering Task Force, August 2001.
34. [34]T. Gondrom, R. Brandner and U. Pordesch. Evidence Record Syntax (ERS). RFC 4998, Internet Engineering Task Force, August 2007.
35. [35]Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024.
36. [36]Regulation (EU) 2024/1183 of the European Parliament and of the Council of 11 April 2024 amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework. Official Journal of the European Union, L series, 30 April 2024.
37. [37]United States Securities and Exchange Commission. Rule 17a-4, Records to be preserved by certain exchange members, brokers and dealers. 17 CFR 240.17a-4.
38. [38]Regulation (EU) 2016/679 as it forms part of the law of the United Kingdom (UK GDPR), Article 5(1)(f).
39. [39]Japan. Act on Special Provisions concerning Preservation Methods for Books and Documents Related to National Tax Prepared by Means of Computers (Act No. 25 of 1998), and its Enforcement Regulation.
40. [40]Republic of Korea. Personal Information Protection Act, Article 29, and the standards on safety measures for personal information issued under it by the Personal Information Protection Commission.
41. [41]Hong Kong Special Administrative Region. Personal Data (Privacy) Ordinance (Cap. 486), Schedule 1, Data Protection Principle 4.