Cloudflare 用 AI 辅助后量子密码迁移：CryptoLabe 工具与经验

用途与背景

据 Cloudflare 官方博客（2026 年 9 月 29 日）说明，Cloudflare 以 2029 年实现全面后量子（PQ）就绪为目标，正在推进加密算法迁移。多数产品已完成 TLS 1.3 上的后量子加密，但后量子认证仍处早期。为此其内部开发了 CryptoLabe 工具，帮助产品与工程团队理解代码中密码学的使用方式并规划升级。

工具的工作方式

CryptoLabe 分两阶段扫描：先“发现”阶段遍历仓库的源码、配置、清单、脚本、测试与文档，产出原始观察；再“分析”阶段复核代码、判断运行时用途与依赖方，并给出分类（如经典加密、经典签名、经典令牌、PQ 就绪混合密钥交换、PQ 就绪等），证据不足时标注需更多证据、外部依赖或未知，而非猜测。工具基于 Cloudflare 开发者平台构建，使用 Workers、Agents SDK、Durable Objects 与 Workflows 编排，模型调用经 AI Gateway 路由至 Workers AI 上的开源权重模型；仓库快照存于 R2，并在隔离沙箱中以只读方式供模型分析。

目标与生态前提

该工具用于三项内部目标：发现并解释密码学用法、提供按仓库与产品的迁移进度指标、提前暴露“前提条件”与“硬案例”——即单个产品团队无法独立解决、依赖库、标准或外部方支持的问题，例如后量子 JWT、后量子 SAML 以及尺寸受限字段中的证书等。

限制与待核实

CryptoLabe 高度定制于 Cloudflare 内部系统，仍在演进，未向客户开放。官方表示尚无基准数据集可复现地比较不同提示词效果，也不确信已 100% 覆盖全部密码学用法，且每个发现仍需熟悉系统的工程师人工复核。公开的提示词仅是起点，效果取决于模型、工具、上下文与工程评审。文中提及的 PQ 可见性功能、Cloudflare One 的免费后量子加密等属厂商自述，建议以官方文档为准。