O documento se chama Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities, e a lista de autores por si só já obriga a levar a sério: é o Google Quantum AI (com Craig Gidney, o mesmo das estimativas recentes pra quebrar RSA), mais a Ethereum Foundation (Justin Drake) e Stanford (Dan Boneh, um dos pais da criptografia de curva elíptica). É gente que constrói computador quântico sentada na mesma mesa que gente que inventou boa parte da criptografia que roda hoje. Peso raro pra um assunto que costuma atrair muito chute de quem nunca leu uma linha do que critica.

Antes de qualquer coisa: leia o paper direto. Ele é longo, denso, mas escrito com um cuidado raro, inclusive num esforço explícito de não virar FUD.

O que eu faço aqui é minha própria leitura, depois comparo com o que o GLM, o Kimi e o ChatGPT acharam quando pedi pra eles rasgarem o texto, e no fim tento responder a pergunta que interessa pra quem tem meia dúzia de satoshis ou de ether na carteira: qual é, no mundo real, a chance de um computador quântico roubar dinheiro seu nos próximos anos?

Adianto o espírito da coisa: o céu não está caindo. Mas o recado de “comece a se mexer agora” tem fundamento, e a razão é mais sutil do que “o quântico vem aí”.

O resumo, pra quem tem pressa:

• O paper é sério e a conta fecha. Google, Ethereum Foundation e Stanford mostram que quebrar a secp256k1 caiu pra menos de 500 mil qubits físicos e cerca de 9 minutos, num cenário condicional já confirmado por reprodução aberta e independente.
• Isso mede o tamanho da máquina; a data continua em aberto. O melhor hardware de hoje trabalha com uns 12 qubits lógicos, e o ataque pede mais de 1.200. Pelo roteiro da IBM, o hardware do tamanho certo aparece lá por 2033.
• O Bitcoin não vai acabar. O risco atinge quem tem a chave pública exposta, um subconjunto de endereços (uns 6,9 milhões de BTC, boa parte já perdida). Carteira moderna sem reuso fica segura em repouso, e a mineração não corre risco nenhum.
• O que dá pra fazer. Como usuário, higiene de chave: endereço novo a cada uso, sem reuso (senha mais forte não ajuda contra o quântico). Como indústria, começar a migração pós-quântica agora, em camadas, sem jogar tudo fora.

Abaixo, cada um desses pontos com calma: o que o paper diz, onde eu concordo e discordo dos outros modelos, a chance real com prazos, e o que fazer na prática.

O que o paper realmente diz, em português de engenheiro

Deixa eu tirar o jargão da frente primeiro. A segurança do Bitcoin, do Ethereum e de quase toda cripto se apoia num problema matemático: dado uma chave pública, é inviável calcular a chave privada correspondente. Todo mundo vê sua chave pública; ninguém consegue voltar dela pra sua chave privada. É essa mão única que faz uma assinatura digital valer alguma coisa.

O algoritmo de Shor, rodando num computador quântico grande o suficiente, quebra exatamente essa mão única. Ele transforma “inviável” em “questão de minutos”. Isso não é novidade desde 1994. A novidade do paper é outra, e são cinco pontos.

Primeiro: o custo despencou. O time do Google apresenta circuitos novos pra resolver o problema da curva secp256k1 (a curva do Bitcoin e das contas do Ethereum) usando muito menos recurso do que se imaginava. São duas receitas: uma com menos de 1.200 qubits lógicos e 90 milhões de portas Toffoli, outra com menos de 1.450 qubits lógicos e 70 milhões de portas.

Em hardware supercondutor, com premissas padrão de correção de erro, isso caberia em menos de 500 mil qubits físicos — quase 20 vezes menos que estimativas anteriores — e rodaria em 9 a 12 minutos a partir de um estado pré-computado. Guarde esse número: 9 minutos. Ele é o que assusta, porque é menor que o intervalo médio de um bloco do Bitcoin.

Segundo: eles não publicaram o circuito. Aqui tem uma jogada elegante e polêmica ao mesmo tempo. Pra provar que têm um circuito daquele tamanho sem entregar a arma carregada pra qualquer um, eles publicaram uma prova de conhecimento zero: uma prova matemática de que possuem o circuito, sem revelar o circuito. É responsável na intenção. Só que, como eu conto mais pra frente, essa parte foi o ponto mais frágil da história.

Se “prova de conhecimento zero” soa esotérico, a ideia é simples e velha na criptografia: provar que você sabe ou tem alguma coisa sem revelar a coisa em si. Dá pra provar que você é maior de idade sem mostrar a data de nascimento, ou que sabe a senha sem digitá-la.

É o mesmo truque por trás da privacidade de várias criptomoedas: o Zcash usa ZK (os tais zk-SNARKs) pra validar transações blindadas sem expor valor nem endereço, o Monero usa provas de faixa (os bulletproofs) pra esconder quanto foi enviado, e os zk-rollups do Ethereum usam ZK pra comprovar que um lote de transações é válido sem reprocessar tudo. No paper, o Google usa a mesma família de ferramenta pra provar que possui o circuito, sem entregar o circuito.

Terceiro: nem todo computador quântico serve pra tudo. O paper cria uma distinção que é a melhor contribuição prática do texto. Existe o “relógio rápido” (supercondutor, fotônico) e o “relógio lento” (íons aprisionados, átomos neutros), com uma diferença de 100 a 1.000 vezes na velocidade. Dessa velocidade saem três tipos de ataque:

• Ataque no gasto (on-spend): o atacante intercepta sua transação no mempool, quebra a chave e injeta uma transação rival antes do seu gasto entrar num bloco. Precisa de relógio rápido, porque é uma corrida contra o relógio do bloco.
• Ataque em repouso (at-rest): a chave pública já está exposta na blockchain (carteira parada, chave reusada). O atacante tem dias ou meses pra trabalhar. Serve até relógio lento.
• Ataque na configuração (on-setup): uma única computação quântica extrai um segredo de uma cerimônia criptográfica e vira um gabarito reutilizável, que depois roda em computador clássico comum. Esse é o mais insidioso, e ataca coisas como o mecanismo de dados do Ethereum.

Quarto: o mapa de quem sangra. No Bitcoin, os alvos em repouso são os scripts antigos P2PK (cerca de 1,7 milhão de BTC, quase tudo da era Satoshi e provavelmente perdido), o Taproot (P2TR, que expõe a chave), e qualquer endereço reusado.

Somando tudo, o paper estima cerca de 6,9 milhões de BTC vulneráveis hoje, dos quais uns 2,3 milhões estão dormentes há mais de cinco anos. Os endereços modernos que escondem a chave atrás de um hash e nunca gastaram continuam seguros em repouso.

E tem uma boa notícia enterrada aqui: a mineração do Bitcoin não corre risco. O algoritmo de Grover, que atacaria a mineração, tem ganho pequeno demais e não paraleliza; o overhead de correção de erro come tudo. O paper enterra esse mito de propósito.

A mineração do Bitcoin não corre risco. O quântico derrubando o Proof-of-Work é o mito que este paper enterra de propósito.

Quinto: o Ethereum tem uma superfície bem maior. O modelo de contas expõe a chave pública permanentemente depois da primeira transação, ao contrário do modelo de UTXO do Bitcoin. Some a isso as chaves administrativas de contratos (stablecoins, pontes, oráculos), as assinaturas BLS que seguram o consenso Proof-of-Stake, e os compromissos KZG da camada de dados. É mais coisa exposta, e boa parte não dá pra “trocar de endereço” pra escapar.

E como o paper argumenta tudo isso? Três pernas: as estimativas de recurso (com a prova de conhecimento zero pra dar credibilidade), dados reais da blockchain (as quantidades de BTC e ETH em risco vêm de consultas públicas ao BigQuery), e o enquadramento honesto de que o objetivo é acender o alerta pra migrar, deixando claro que a máquina ainda está por vir.

O paper, aliás, não dá uma data. Ele mede o tamanho da máquina e para aí; o calendário fica em aberto.

Onde eu concordo e onde discordo dos outros modelos

Pedi pro GLM 5.3, pro Kimi K3 e pro ChatGPT (GPT 5.6) analisarem e criticarem o paper. O interessante é que os três, e eu, convergimos no essencial e divergimos exatamente nos mesmos pontos. Isso é um bom sinal: quando modelos diferentes batem no mesmo prego, o prego costuma existir.

No que todo mundo concorda (e eu também):

• A estimativa de recurso lógico é crível. Não é um número solto: segue a trajetória histórica (o custo pra quebrar RSA-2048 caiu de ~1 bilhão de qubits em 2012 pra menos de 1 milhão em 2025) e vem justamente do grupo que produziu as melhores estimativas da área.
• A distinção relógio rápido / relógio lento e o par gasto / repouso é a lente certa pra pensar mitigação.
• A imunidade da mineração é correta e precisava ser dita em voz alta.
• Os assets dormentes são um problema real que nenhum fork de software resolve sozinho, porque ninguém tem a chave privada pra mover as moedas perdidas.

No que todo mundo faz ressalva (e eu reforço):

O ChatGPT foi o mais preciso numa distinção que vale ouro: existe um abismo entre “valor em risco” e “perda esperada”. Quando o paper diz “20,5 milhões de ETH em contas vulneráveis” ou “6,9 milhões de BTC expostos”, isso mede o quanto o sistema depende de criptografia frágil. É um número bem maior do que o que um atacante conseguiria de fato roubar.

Tem sobreposição, tem multisig, tem chave administrativa que dá pra rotacionar, tem contrato com conselho de emergência que pausa tudo. Empilhar esses números numa manchete de “trilhões em risco” é desonesto com o próprio paper.

“Valor em risco” mede o quanto o sistema depende de criptografia frágil. É um número bem maior do que o que um atacante conseguiria de fato roubar.

O mesmo vale pro famoso 41% de chance de roubo no Bitcoin. Esse número é só a probabilidade de a computação de 9 minutos terminar antes do próximo bloco aparecer (o bloco chega em média a cada 10 minutos, mas com muita variância). Não é a chance de roubar seu dinheiro.

Pra roubar, o atacante ainda precisa propagar a transação rival, convencer um minerador a incluí-la, vencer a corrida de taxa. E o próprio paper assume condições favoráveis ao atacante (rede sem congestionamento, entrega instantânea). Kimi e ChatGPT batem nisso, e eu concordo.

O ponto mais importante, e que eu acho que o paper deixa nas entrelinhas de propósito: os 500 mil qubits físicos e os 9 minutos descrevem um cenário de engenharia condicional. De data, o paper não fala. É um projeto de máquina que poderia fazer o ataque, assumindo taxa de erro de 0,1%, ciclos de correção de 1 microssegundo, decodificação de baixa latência, fábricas de estado mágico suficientes, e meio milhão de qubits operando estáveis por minutos a fio.

Cada premissa é razoável isolada. A corrente inteira funcionando junta, nessa escala, ninguém demonstrou.

E aqui entra o ponto mais interessante, que o Kimi e o ChatGPT pegaram e eu confirmei buscando fora: o mecanismo da prova de conhecimento zero tinha um bug. A Trail of Bits conseguiu forjar uma prova explorando falhas de memória e de lógica no código Rust do verificador do Google, a ponto de gerar uma prova que reportava zero portas Toffoli pra um circuito que nem era reversível.

Repare no que isso quebra e no que não quebra. O furo estava no software que checa a prova, não numa demonstração de que o circuito do paper está errado. A prova deixou de ser confiável, e a alegação científica em si ficou de pé, sem prova nem contraprova. O Google corrigiu o verificador na versão 2.

A lição é sobre confiança: em vez de confiar na palavra do Google, a prova te pedia pra confiar no parser, no compilador e no simulador dele.

E é justamente por isso que a reprodução independente importa tanto. Em junho de 2026, o pesquisador André Schrottenloher refez os circuitos de forma aberta, chegando na mesma região: cerca de 56 milhões de portas Toffoli, com o circuito inteiro publicado e reproduzível.

O próprio Gidney reconheceu que a reprodução capturou o avanço essencial, e depois disso outros já empurraram o número pra baixo de mil qubits lógicos. Ou seja: a alegação central do paper se sustentou, mas por um caminho que não depende de confiar no software de prova de ninguém. Quem fechou a conta foi a ciência aberta.

Um último ponto que quase ninguém levanta e eu acho que precisa ser dito: conflito de interesse. Sete autores são do Google Quantum AI, cujo roteiro de hardware é justamente a arquitetura supercondutora que o paper faz parecer a ameaça mais próxima. E tem um coautor da Ethereum Foundation num paper que classifica o Ethereum como mais exposto e recomenda migração urgente.

Os autores declaram posições compradas em cripto e nenhuma vendida, o que é honesto. Isso não invalida nada — a competência técnica do time é a melhor da área — mas pede leitura calibrada, de cabeça fria.

A pergunta que interessa: qual a chance real, e quando?

Vamos separar o teórico do real, que é onde a maioria das discussões vira sopa.

No teórico, a resposta é sim, com folga. Se existir uma máquina grande e estável o suficiente, o algoritmo de Shor quebra a secp256k1. Do lado matemático já está resolvido; o que falta é engenharia. A pergunta toda se resume a: quando essa máquina existe?

Qubit físico contra qubit lógico

Aqui vale um parêntese pra separar dois números que confundem quase todo mundo: qubit físico e qubit lógico. O qubit físico é o hardware real, e ele é ruidoso; perde o estado num piscar, por interferência, calor, vibração. Sozinho, erra demais pra qualquer conta séria.

A saída é a correção de erro: você junta centenas ou milhares de qubits físicos, todos representando um único qubit lógico, e usa a redundância pra detectar e consertar os erros em tempo real. O qubit lógico é o qubit “de verdade”, estável, que o algoritmo enxerga.

E é aí que a dificuldade se esconde atrás dos números. O ataque não pede só 1.200 qubits lógicos; pede 1.200 qubits lógicos funcionando juntos, todos estáveis ao mesmo tempo, por minutos a fio, executando dezenas de milhões de operações sem que o sistema de correção seja soterrado por erro.

É como manter mil pratos girando de uma vez, cada prato feito de mil peças que querem cair, durante a apresentação inteira. Manter um único prato desses de pé por um instante já foi o feito histórico de 2024. O salto pra mil pratos, girando por minutos, é o abismo de verdade.

Onde o hardware está hoje

Na realidade de hoje, estamos longe. O próprio Google ajuda a medir a distância. O Willow, o chip de ponta deles, provou em 2024 correção de erro abaixo do limiar, um feito histórico. Só que o resultado foi um único qubit lógico bem corrigido, montado a partir de 101 físicos, que viveu mais que qualquer um deles.

Se a régua for quantidade de qubits lógicos rodando juntos, o recorde público hoje anda perto de uma dúzia (a Quantinuum chegou a 12). O paper pede mais de 1.200. Nas duas réguas, qualidade e quantidade, a distância fica na casa das cem vezes, e cada qubit lógico ainda custa milhares de qubits físicos com a estabilidade que falta.

Em qubits físicos, o maior sistema anunciado está na casa dos milhares; o ataque quer quase meio milhão. São várias ordens de grandeza de distância, em várias dimensões ao mesmo tempo. Nada que um ajuste fino resolva.

Hoje o melhor hardware trabalha com qubits lógicos na casa da dúzia. O ataque pede mais de mil. A distância é de ordens de grandeza.

Tem ainda uma aposta que foge desse jogo de força bruta: a topológica, da Microsoft. A ideia é um qubit protegido por hardware, naturalmente mais resistente a erro, o que reduziria muito a conta de qubits físicos por lógico. O Majorana 2, de 2026, trocou o alumínio por chumbo e pulou a coerência de milissegundos pra 20 segundos, e a Microsoft antecipou a meta de tolerância a falhas de 2033 pra 2029.

Só que é a aposta mais contestada de todas. Boa parte da comunidade duvida que exista um qubit topológico funcionando de verdade ali; o paper mais recente mostra só metade das medições que provariam o qubit. Se der certo, é atalho pra todo mundo; se não, é beco sem saída. Eu destrinchei esse caso num artigo à parte.

Os roteiros e os prazos

No futuro próximo, aí mora a discussão de verdade. O jeito honesto de falar disso é por estimativa, porque certeza ninguém tem aqui. A referência mais citada é o Quantum Threat Timeline do Global Risk Institute, uma pesquisa anual com especialistas da área.

A edição de 2025 dá algo como 34% de chance de um computador quântico criptograficamente relevante até ~2030 e ~49% até ~2035, com a mediana das opiniões caindo entre 2029 e 2032. E essas estimativas são pra um CRQC genérico, tipicamente pensado pra quebrar RSA-2048.

Do lado de quem fabrica, o roteiro mais explícito é o da IBM. Ele prevê o Starling em 2029, a primeira máquina tolerante a falhas de larga escala, com 200 qubits lógicos e 100 milhões de operações.

Repare que 200 ainda fica abaixo dos mais de 1.200 que o ataque pede. A máquina do tamanho certo só aparece no passo seguinte, o Blue Jay, marcado pra 2033, com 2.000 qubits lógicos e 1 bilhão de operações.

Pelo próprio roteiro mais agressivo da indústria, então, o hardware com qubits lógicos suficientes pra ameaçar a secp256k1 chega lá por 2033, com a ressalva de sempre: roteiro de quântica escorrega. A IBM aposta em códigos qLDPC pra isso, que reduzem em cerca de 90% os qubits físicos por trás de cada lógico ante o surface code do Willow.

E a China? Ela está lado a lado na fronteira, o que derruba a ideia de corrida de um cavalo só. O Zuchongzhi 3.2, da USTC, cruzou em 2025 o mesmo limiar de correção de erro do Willow, com um qubit lógico de superfície na distância 7, e foi o primeiro time fora dos EUA a chegar lá.

Mas repare que é o mesmo marco: um único qubit lógico bem corrigido, o mesmo abismo de cem vezes até os 1.200. E, no público, a China ainda não colocou na mesa um roteiro datado pra máquina grande como o da IBM; o plano declarado é incremental, empurrar a distância do código pra 9 e 11. Na ciência de fronteira, empatam; num calendário até a máquina que quebra cripto, ninguém dos dois lados tem uma data fácil.

Um aviso sobre todas essas datas: elas são o melhor cenário, com cada roteiro publicado entregando no prazo. Roteiro é declaração de intenção, e o histórico da computação quântica é de prazos que escorregam pra frente.

Vou além, e aqui é opinião minha: eu aposto num prazo pelo menos uma ordem de grandeza maior que esses roteiros. Manter milhares de qubits lógicos em sincronia, sem erro, por minutos seguidos, é um problema tudo menos linear. Sinto que cada qubit lógico a mais deixa o conjunto exponencialmente mais difícil de segurar junto: a dificuldade de sincronizar multiplica a cada peça nova, em vez de só somar.

Minha leitura, em números

Colando isso na realidade específica da cripto, minha leitura em números redondos, tomando os roteiros pelo valor de face (bem mais otimista que a minha aposta ali de cima), e sempre como estimativa e opinião:

• Nos próximos 2 a 3 anos (até ~2029): perto de zero. Sair de 12 pra 1.200 qubits lógicos estáveis nesse prazo não está em nenhum roteiro público sério.
• No horizonte 2030–2032: baixo, mas não desprezível. Talvez 10% a 20% de a máquina existir em princípio. A chance de roubo de fato é ainda menor, porque os alvos de maior valor (exchanges, carteiras modernas) terão se mexido antes.
• Lá por 2035: aí a moeda vira coin flip pra um CRQC genérico, na casa dos 40% a 50% segundo os especialistas. Só que “existe um CRQC” não é o mesmo que “roubaram seu dinheiro”. Até lá, a migração já deveria estar bem andada.

O detalhe que decide tudo, e que o Mosca resume num teorema simples: o que importa é a data da máquina menos o tempo que a sua migração leva. Se migrar leva anos, e a máquina pode chegar em cinco a dez, você já está no aperto, mesmo com probabilidade baixa no curto prazo. É por isso que “comece agora” faz sentido mesmo com o céu limpo. Gestão de risco assimétrico, com a cabeça fria.

Por que isso não é “acabou, tá tudo perdido”

Mesmo no cenário de uma máquina pronta e um atacante mal-intencionado, o estrago é cirúrgico, atinge alvos específicos em vez de apagar tudo. E o porquê é simples de entender.

Seu dinheiro em cripto não mora no seu HD nem no seu Ledger. Ele mora na blockchain pública, à vista de todo mundo, o tempo todo. O dispositivo só guarda a chave privada que autoriza mover aquilo. Qualquer pessoa pode ir num explorador de blocos, digitar um endereço e ver o saldo. O que decide sua exposição ao quântico é uma coisa só: a sua chave pública já apareceu em algum lugar?

Nos endereços modernos do Bitcoin (os bc1q, que escondem a chave atrás de um hash), enquanto você nunca gastou daquele endereço, a chave pública não está exposta. O atacante quântico não tem por onde começar, porque ele quebra a chave pública, e ela não está lá. Esses fundos estão seguros em repouso.

A exposição só nasce no momento em que você gasta, e mesmo aí é uma janela de minutos, contra um relógio de bloco, precisando da tal máquina de relógio rápido que ainda não existe.

Vale o cuidado com a palavra: “resistente ao quântico” é grande demais pra esses endereços. O que eles oferecem é proteção em repouso, válida enquanto a chave fica escondida atrás do hash. No dia em que você gasta, a chave pública vai pro bloco e abre a janela de gasto. A blindagem permanente vem mesmo com a migração pra assinatura pós-quântica; o hash só compra tempo até lá.

Por isso o paper fala em cerca de 6,9 milhões de BTC vulneráveis, de um total de quase 20 milhões. A maior fatia disso é chave reusada e os P2PK da era Satoshi, que provavelmente estão perdidos de qualquer jeito.

Isso se concentra num subconjunto de endereços com um comportamento específico, a chave exposta, enquanto o resto da rede segue de fora. Quem usa endereço novo a cada recebimento e não fica gastando do mesmo lugar já está, na prática, fora da mira em repouso.

A cripto vulnerável é um subconjunto de endereços com um comportamento específico: chave já exposta. Carteira nova, sem reuso, fica de fora.

O que você pode fazer hoje

Aqui vem a pergunta que sempre aparece, e a resposta que decepciona quem esperava um botão mágico.

“Se eu criar uma carteira com uma senha/passphrase mais forte, isso ajuda?” Não. E entender o porquê ensina o problema inteiro.

Uma passphrase forte protege a sua seed — aquelas 12 ou 24 palavras — contra alguém que tente adivinhar ou roubar o backup. É ótimo e você deve fazer, mas contra ataque clássico.

E cuidado pra não misturar os problemas: seed mal gerada é uma falha separada, do mundo clássico. Foi o que rolou no RNG fraco da Coinkite, em que a própria ColdCard cuspia chaves previsíveis por entropia ruim na origem. Lá o defeito está em como a chave nasce; o quântico ataca a matemática da chave já pronta.

O computador quântico não adivinha sua seed. Ele pega a sua chave pública, que está na blockchain à vista, e calcula a chave privada correspondente com o Shor. Não importa se a sua chave privada nasceu de uma passphrase de 4 caracteres ou de 40: uma vez que a chave pública apareceu, a força da senha é irrelevante. O quântico ataca a matemática da curva, e essa matemática é a mesma pra todo mundo.

O quântico não adivinha sua seed. Ele calcula sua chave privada a partir da chave pública que já está à vista. A força da senha não entra nessa conta.

O que de fato move o ponteiro é higiene de exposição de chave:

• Não reuse endereços. Um endereço por recebimento. No momento em que você gasta de um endereço, a chave pública dele vai pra blockchain; se você continuar usando aquele endereço, o saldo restante passa a ficar exposto em repouso.
• Mantenha o grosso em endereços modernos que escondem a chave atrás de um hash (bc1q, P2WPKH) e dos quais você nunca gastou. Evite deixar reserva parada em Taproot (bc1p) e em endereços P2PK antigos, que expõem a chave direto.
• Não espalhe sua chave pública estendida (xpub). Ferramenta de portfólio, planilha compartilhada, integração de terceiro: cada lugar que recebe seu xpub é mais um ponto de exposição.
• Quando surgirem carteiras pós-quânticas de verdade, migre. Esse é o passo definitivo, e ele vai chegar via atualização de software.

E o mais importante pra manter a cabeça no lugar: se você guarda em exchange séria ou usa carteira moderna sem reuso, o seu risco de curto prazo é praticamente zero. A exchange é quem vai ter que migrar por você (com os riscos de custódia que já existem, quânticos ou não). Não precisa sair correndo hoje mover nada em pânico.

O que a indústria pode fazer, sem radicalismo

Do lado de quem constrói os protocolos, a tentação é o extremo: “larga tudo e vai pra assinatura pós-quântica amanhã”. Isso é tão ruim quanto o “ignora que é FUD”. A criptografia pós-quântica é mais nova, menos testada em batalha, tem chave e assinatura muito maiores, e trocar às cegas introduz bug novo onde não tinha. O caminho sensato é defesa em profundidade, começando pelo que é barato.

Medidas intermediárias, mais fáceis que a troca completa:

• Matar o reuso de chave e minimizar exposição de chave pública no protocolo e nas carteiras por padrão.
• Mempools privados e esquemas de commit-reveal, que fecham a janela do ataque no gasto.
• Rotação de chave de validador no Ethereum, um paliativo simples contra o ataque ao consenso.
• No Bitcoin, propostas como a BIP-360 (o script P2MR), que remove a exposição de chave em repouso do Taproot.

A ponte de médio prazo: assinaturas híbridas, que combinam a curva elíptica de hoje com um esquema pós-quântico (baseado em reticulados, por exemplo). Você fica protegido contra os dois mundos ao custo de assinaturas maiores, e não aposta tudo num esquema novo que pode ter fraqueza ainda não descoberta.

O terreno já está mais maduro do que parece. O NIST já padronizou esquemas pós-quânticos (ML-DSA, o antigo Dilithium; Falcon; SPHINCS+). O Ethereum discute precompiles pós-quânticos (EIP-7932) e abstração de conta, que reduzem a superfície sem hard fork traumático. Blockchains como Algorand, XRP Ledger e o QRL já experimentam ou nasceram com PQC. O trilho dessa migração já está assentado, longe de ser um salto no escuro.

E o pedaço que ninguém resolveu: os assets dormentes. As moedas P2PK perdidas, incluindo o ~1 milhão de BTC atribuído ao Satoshi, não têm dono pra migrá-las.

O paper discute opções — não fazer nada, queimar as moedas por soft fork, um “sidechain de recuperação”, ou até salvamento regulado por governo, na analogia de tesouro afundado.

Aqui eu sou franco: essa parte é a mais fraca do paper. É opinião política vestida de conclusão técnica. Nada na estimativa de qubits diz quem deve ficar com moeda perdida, ou se ficar cinco anos parado extingue direito de propriedade.

São escolhas políticas e jurídicas espinhosas, que o paper levanta com honestidade mas está longe de fechar. É bom que a conversa comece; é ruim tratar como se houvesse resposta pronta.

A parte de política sobre moedas perdidas é a mais fraca do paper: ali a ciência para e começa a opinião.

Onde a gente está, afinal

Resumindo o cenário quântico do futuro próximo em três camadas, com a régua sempre calibrada:

O paper é sério e a matemática dele está de pé, agora confirmada por reprodução aberta e independente. A ameaça é real o suficiente pra justificar ação, e o motivo tem nome: o teorema do Mosca. Como migrar leva anos, você começa antes de a máquina existir, do mesmo jeito que se troca telhado antes do temporal, com tempo bom.

Mas nada nisso é “vende tudo, o Bitcoin acabou”. O ataque é sobre chave exposta, é um subconjunto de endereços, precisa de uma máquina que está a ordens de grandeza de existir, e as defesas que importam agora são higiene chata: não reusar endereço, não deixar reserva em chave exposta, e migrar pra pós-quântico quando a ferramenta amadurecer.

A mineração não corre risco, a sua carteira moderna sem reuso não corre risco hoje, e a passphrase mais forte do mundo não muda nada disso.

O jeito de ler o paper do Google é esse: um alerta competente e autoconsciente, feito por quem entende do assunto, dizendo que a janela pra migrar com calma é mais estreita do que a intuição sugere — e ainda assim mais larga do que a manchete faz parecer. Leia direto na fonte e tire a sua. Só não caia nem no “acabou” nem no “é tudo mentira”. A resposta interessante, como quase sempre, mora no meio.

Este post tem duas partes. Primeiro, a notícia: o anúncio do Majorana 2 da Microsoft e por que os físicos da área continuam com um pé (os dois, na verdade) atrás. Depois, a parte educativa: uma explicação decente do algoritmo de Shor, porque muita gente repete “computador quântico quebra RSA” sem a menor ideia do mecanismo, e o mecanismo é bonito demais pra ficar de fora.

Majorana 2: o anúncio

No dia 2 de junho de 2026, na conferência Build em San Francisco, a Microsoft revelou o Majorana 2, a segunda geração do seu chip quântico topológico. As manchetes: estabilidade de qubit 1.000 vezes melhor que a do Majorana 1 (anunciado uns 15 meses antes), e o cronograma pra um computador quântico escalável encurtado de 2033 pra 2029.

O número central do paper técnico: tempos de vida de paridade Z acima de 20 segundos (mais precisamente 22 ± 1 segundos) num dispositivo de InAs com chumbo, contra 1 a 12 milissegundos nos dispositivos de alumínio do Majorana 1. Três ordens de magnitude de melhoria. A mudança de hardware principal foi trocar o supercondutor de alumínio por chumbo, cujo gap supercondutor é cerca de quatro vezes maior, o que dobrou o gap topológico reportado e derrubou drasticamente a taxa de erros de paridade.

Esses números de engenharia de materiais são reais e mensuráveis, e até os críticos reconhecem o avanço nessa frente. O problema está no que o paper NÃO mostra.

O histórico que o anúncio prefere não lembrar

O programa quântico topológico da Microsoft carrega quase duas décadas de história, e uma parte dela é constrangedora. Em 2018, um time financiado pela Microsoft na TU Delft publicou na Nature evidências de condutância Majorana quantizada. Em 2021 o paper foi retratado, depois que os físicos Sergey Frolov e Vincent Mourik demonstraram que os dados tinham sido apresentados seletivamente. O comitê de integridade científica da TU Delft concluiu que os dados foram “desnecessariamente corrigidos”. Um segundo paper do mesmo grupo foi retratado em 2022.

Quando o Majorana 1 foi anunciado em fevereiro de 2025 como “o primeiro qubit topológico do mundo”, o paper na Nature que o acompanhava dizia menos do que o press release: os próprios revisores da Nature escreveram que as medições publicadas não representavam evidência da presença de Majorana zero modes nos dispositivos. Quando a Microsoft apresentou dados adicionais no encontro da APS em março de 2025, o Frolov (Universidade de Pittsburgh) chamou publicamente os dados de “só ruído”, e o físico Henry Legg (St Andrews) levantou objeções parecidas, incluindo críticas ao próprio Topological Gap Protocol, o método que a Microsoft usa pra identificar a fase topológica.

E o Majorana 2 respondeu essas críticas? Em poucas horas os mesmos físicos responderam que não. O Legg, à Science News: “Nada nesse preprint resolve as questões fundamentais. Nada nos dados apresentados prova a existência de um qubit topológico ou de Majoranas nesses dispositivos.” O Frolov, à Scientific American, foi mais ácido: “Quando a Microsoft é mencionada hoje em dia, físicos e especialistas em computação quântica só dão risada ou levantam a sobrancelha.”

A análise detalhada do Marin Ivezic no PostQuantum, que recomendo ler inteira, lista o que falta com precisão:

• Sem medições X. Um qubit funcional exige dois tipos complementares de medição: Z (paridade de um fio) e X (paridade conjunta dos dois fios do tetron). O paper do Majorana 2 só apresenta Z. E a medição X era exatamente o ponto de contenção do Majorana 1. Sem ela, o que foi demonstrado é um estado de paridade de vida longa num fio supercondutor. Um qubit, ainda não.
• Sem demonstração de que os estados são topológicos. As medições são consistentes com Majorana zero modes, mas também são potencialmente consistentes com estados de Andreev triviais que imitam as mesmas assinaturas. O próprio paper admite a ambiguidade.
• Sem portas lógicas, sem entrelaçamento, sem algoritmos. É um experimento de caracterização, sem computação nenhuma. O Chetan Nayak, que lidera o programa, diz ter dados não publicados de controle de qubits. Enquanto não publicar, é afirmação, sem evidência.
• Sem peer review. O paper saiu no site da Microsoft e no arXiv. Dado o histórico de retratações do programa, a ausência de revisão por pares no lançamento merece escrutínio extra.
• Sem reprodutibilidade demonstrada. Os 22 segundos vêm de um único fio de um único tetron de um único chip. Nada de ensemble de dispositivos idênticos ou chips fabricados independentemente.

Meu resumo da ópera: a engenharia de materiais avançou de verdade, e isso conta. Mas a pergunta que vale trilhões (“isso é um qubit topológico?”) continua exatamente tão aberta quanto antes do anúncio. E encurtar o cronograma público de 2033 pra 2029 em cima de um resultado que não demonstra nem um qubit é decisão de marketing, com o rigor científico ficando pro futuro.

Shor: por que fatorar números vira caçar período

Agora a parte divertida. Todo mundo repete que computador quântico quebra o RSA. O algoritmo responsável é o de Peter Shor, de 1994, e o truque central dele é uma das ideias mais elegantes da computação. Esse vídeo do Computerphile explica muito bem, e recomendo assistir antes de continuar:

A segurança do RSA depende de um fato simples: multiplicar dois primos gigantes é fácil, mas pegar o resultado N e descobrir quais eram os primos é brutalmente difícil. O melhor algoritmo clássico conhecido leva tempo sub-exponencial, o que na prática significa que com chaves grandes o Sol apaga antes de você terminar.

A sacada do Shor foi provar que fatorar N é redutível a outro problema: encontrar o período de uma função. Você escolhe um número a coprimo com N e olha pra função:

f(x) = a^x mod N

Essa função é periódica: existe um r tal que os valores se repetem a cada r passos. Encontrando esse período r, um pouco de teoria dos números clássica (que qualquer computador comum resolve em instantes) te entrega os fatores primos de N. O problema é que, classicamente, achar o período pra um N gigante é tão difícil quanto o problema original.

É aqui que entra o computador quântico, em quatro movimentos:

1. Prepara uma superposição de muitos valores de x ao mesmo tempo.
2. Avalia f(x) em superposição (o tal paralelismo quântico: uma avaliação sobre todos os x de uma vez).
3. O estado resultante agora codifica a periodicidade da função.
4. Aplica a Transformada de Fourier Quântica (QFT), que usa interferência construtiva e destrutiva pra amplificar exatamente as componentes de frequência do período, e mede.

O detalhe que quase todo mundo erra: você não “lê todas as respostas de uma vez” (medição colapsa a superposição e te dá UM valor). A genialidade está em usar interferência pra fazer as respostas erradas se cancelarem e a informação global que você quer (o período) sobreviver na distribuição de probabilidade. A QFT transforma uma propriedade global da função, que nenhuma medição individual revela, numa feature local e mensurável. É por isso que fatoração cai de tempo sub-exponencial pra tempo polinomial num computador quântico. E é por isso que a criptografia pós-quântica existe como área.

Então computador quântico é bom com “funções periódicas”?

Essa é a conclusão apressada que eu quero desfazer. Periodicidade e análise estilo Fourier são de fato um ponto forte, e não só no Shor: a estimação de fase quântica (QPE), os problemas de subgrupo escondido e boa parte das simulações de sistemas físicos vivem nesse território. Mas a formulação correta é outra: computador quântico brilha quando o problema tem estrutura matemática explorável, algo que dê pra mapear em superposição, entrelaçamento e interferência.

Tem vantagens quânticas que nada têm a ver com período. O algoritmo de Grover faz busca não estruturada com ganho quadrático (√N em vez de N). A simulação de sistemas quânticos (moléculas, materiais) é provavelmente a aplicação mais promissora de todas, porque ali o espaço de Hilbert do problema é naturalmente o espaço da máquina. Tem o HHL pra sistemas lineares, técnicas de otimização, alguns métodos de machine learning. O fio condutor é sempre o mesmo: existe estrutura (simetria, grupo, geometria) que a interferência quântica explora melhor que qualquer método clássico conhecido.

E a pergunta inversa: dá pra decompor qualquer algoritmo clássico em funções periódicas e ganhar speedup quântico? Não. Computador quântico consegue simular qualquer algoritmo clássico (na notação da área, BQP contém P), então tecnicamente tudo roda lá. Mas rodar não é acelerar: sem estrutura explorável, você paga todo o overhead quântico (correção de erro, coerência de qubits, temperaturas criogênicas) pra chegar no mesmo resultado, provavelmente mais devagar.

Ordenação, aritmética, a maioria dos problemas de grafos, o grosso do que um computador faz no dia-a-dia: nada disso tem speedup quântico superpolinomial conhecido. Pra essas tarefas, o computador clássico é mais rápido, mais barato e mais confiável, e vai continuar sendo.

Computador quântico é acelerador de problemas com estrutura específica. Uma máquina universal melhor, ele não é.

Conclusão: guarde o hype no armário

Junta as duas metades do post e o quadro fica claro. De um lado, o algoritmo de Shor é real, é lindo, e é a razão de existir toda a corrida da criptografia pós-quântica. Do outro, o hardware necessário pra rodar Shor contra uma chave RSA de verdade exige milhões de qubits físicos com correção de erros, e o estado da arte anunciado com fanfarra em 2026 é… um estado de paridade de 22 segundos num único fio, que os especialistas nem concordam que seja um qubit.

Na prática, no curto prazo, computação quântica segue sendo uma solução muito nichada, muito limitada e muito impraticável. As aplicações reais que surgirem primeiro vão ser em simulação de química e materiais, dentro de laboratórios e datacenters de pesquisa, não na sua vida. Não espere usar um computador quântico você mesmo tão cedo. Acompanhe as notícias como eu acompanho: com curiosidade genuína pela física, e com a sobrancelha levantada pros press releases.

DESCRIPTION

Errata:

Em 8:20 eu somei errado 🤦‍♂️ a soma devia dar 108722. Akita não sabe fazer soma kkkkk

Na história do xadrez eu falei errado 230 toneladas em vez de 230 milhões de toneladas. Mas mesmo assim seriam 2 mil anos de produção pra chegar nos 18 sextilhões :-D

Hoje vai ser mais um vídeo realmente longo porque eu quero dar uma repassada por tudo que você precisa saber pra entender o que é computação quântica e finalmente conseguir ter uma idéia do que significa a “Supremacia Quântica” que o Google diz que conseguiu alcançar semana passada.

Vou aproveitar pra retornar à introdução da computação pra quem é iniciante ter uma idéia do que de fato é um computador, onde estamos na evolução, qual a relação com coisas como GPUs, como as coisas estão evoluindo e onde computação quântica se encaixa nisso.

E enquanto eu falar sobre computação quântica vamos tocar nos assuntos que muitos esperam ver como a resposta da IBM refutando o que o Google clamou, os algoritmos quânticos que podem quebrar os algoritmos de criptografia e o que isso tudo realmente significa.

E mesmo com mais de 1h de vídeo eu ainda não vou ter tocado no pico do iceberg. Eu pesquisei vários lugares e escolhi alguns links pra vocês estudarem também mas isso deixou a descrição tão longa que o YouTube! reclamou do comprimento kkk então eu compilei tudo num Gist:

• Links de Referência (https://gist.github.com/akitaonrails/9c8acc9f182b8d7fd591d724fdb6a387)

SCRIPT

Olá pessoal, Fabio Akita

O episódio dessa semana tá atrasado porque eu ia falar de um assunto mas nos quarenta e cinco do segundo tempo eu resolvi mudar o assunto e reescrever o script do zero. Parte do assunto original era eu rapidamente falar sobre alguns conceitos básicos de criptografia e segurança. Acho que todo mundo pelo menos ouviu falar no termo Quantum Supremacy que o Google anunciou semana passada, alguns dizem até que o preço do Bitcoin despencou 1000 dólares entre dia 23 de outubro por causa do medo de que o Bitcoin estivesse com os dias contados. Claro, tudo exagero da mídia e o preço do Bitcoin já subiu de novo mais 2000 dólares em cima da baixa.

Na verdade, criptomoedas é o menor dos seus problemas se real supremacia quântica representasse uma ameaça hoje. Basicamente toda encriptação assimétrica, de tudo, teria chances reais de ser quebrada hoje. Então, se o Google atingiu a tal Supremacia Quântica, tamos ferrados então? Todos os nudes do seu whatsapp encriptado podia vazar então? Calma, não suem ainda.

A mídia não especializada, como sempre, quer vender notícias, então eles precisam colocar títulos dramáticos, exagerados e às vezes simplesmente errados. Drama, notícia ruim e fake news vende. Notícia boa não vende. Eu não sou especialista em computação quântica, pouca gente é, mas já que eu já falei de criptomoedas no canal e justamente eu estava pensando em falar sobre o tema de segurança, acho que aproveitar o embalo da supremacia quântica pra falar sobre a fundação da computação pode ser uma boa.

Primeiro, vamos definir Supremacia Quântica, que é um termo que foi cunhado pelo físico John Preskill em 2012 onde um computador quântico deveria ser capaz de executar um cálculo, qualquer cálculo na real, mais rápido do que conseguiríamos fazer no computador mais rápido que existe hoje. Agora se segurem que por 2 minutos eu vou falar um monte de jargões que você certamente não vai ter a mínima idéia do que eu tô falando, mas vamos lá:

O Google construiu um computador quântico de cinquenta e quatro qubits. O teste que foi usado pra medição é um tipo de gerador de números “verdadeiramente” aleatórios. O paper do Google diz que esse computador conseguiu executar esse cálculo com cinquenta e três dos cinquenta e quatro qubits durante 3 minutos e 20 segundos e a parte da supremacia é que o Google afirmou que levaria 100 mil computadores convencionais o equivalente a mil anos pra executar o mesmo cálculo, bem longe do que seria prático e portanto eles atingiram a definição de supremacia do Preskill. Mais especificamente o paper mostra que o experimento implementou um circuito com um depth ou profundidade 20, com 430 gates de 2 qubits e 1.113 gates de 1 qubit.

Essa notícia causou furor na mídia e a IBM entrou no drama dizendo que o resultado é bom mas não é tão dramático assim. E que se usar o Oak Ridge Summit, o super computador da IBM que ocupa o espaço de 2 campos de basquete com seus 250 petabytes de espaço em disco, eles poderiam escrever os 9 quadrilhões de amplitudes em disco, quebrando a premissa de escrever o vetor inteiro em uma simulação de tipo Schroedinger pra uma simulação de Schroedinger-Feynman fazendo trade-off de espaço por tempo. E fazendo isso, em vez dos mil anos que o Google disse que ia levar, o IBM Summit poderia simular o mesmo cálculo em algo próximo de dois dias e meio, que é uma ordem de grandeza muito menor.

Hahahaha, se você entendeu 100% de tudo que eu falei até agora, parabéns, que diabos você tá fazendo aqui neste canal? Agora, se como eu você entendeu só uma parte ou praticamente nada, eu quero tentar explicar em mais detalhes. Preciso começar pedindo desculpas porque o script de hoje não é 1% do que eu gostaria de escrever. Porém, ele seria 100 vezes mais longo e levaria semanas pra eu escrever. Se vocês forem nas descrições do vídeo abaixo e ver a quantidade de coisas que eu linkei pra vocês, não é metade do que eu estudei pra escrever esta versão. Eu peguei emprestado muita coisa de muitos canais muito bons que eu vou mostrando ao longo do video. Sério o assunto é denso demais pra só em uma semana eu virar expert no assunto. E mesmo ainda nem comecei, é um assunto extremamente fascinante que eu provavelmente vou continuar estudando daqui pra frente.

Antes de entrar na parte sobre computação quântica, como eu sei que tem muitos iniciantes assistindo, eu vou fazer uma tangente em computação clássica e apresentar algumas coisas que todo programador já deveria saber, todo cientista ou engenheiro da computação já sabe, mas se você é autodidata ou fez um curso que não é de análise de software ou sistemas de informação, talvez nunca tenha visto ou só viu muito por cima. Não se preocupem não vou me alongar demais nisso, só relembrar alguns conceitos muito básicos.

Vamos lá, sendo hiper simplista. Toda a revolução da computação começa com um conceito muito simples. Um bit. Pra qualquer pessoa normal que aprendeu na escola a calcular tudo com sistema numérico de base 10 é bem estranho ter intuição sobre outras bases. Mas base 10 é o mais intuitivo, temos 10 dedos nas mãos. Um computador não tem 10 dedos, ele tem só 1 dedo, que antigamente nos primeiros computadores poderia ser uma válvula. Na verdade qualquer coisa que consiga guardar dois estados serve como bit. Pode ser uma lâmpada, ligado representa 1, desligado é 0. Pode ser um interruptor, ligado e desligado. Assumindo que conseguimos criar um sistema com vários desses dispositivos em série, podemos armazenar um dado em binário.

Por exemplo, se tivéssemos oito interruptores em série e quiséssemos armazenar o número 42 em base 2 você vai dividindo o número 42 por 2 e vai acumulando o resto, e a sequência dos restos é o número em base 2 ou binário. Então no caso 42 é 1 0 1 0 1 0. Uma sequência de 8 bits é o que chamamos de um byte. Em um byte podemos representar a combinação de dois elevado a 8 números, que dá um máximo de até duzentos e cinquenta e seis números. Cada um bit que adicionamos dobra a quantidade de números que podemos representar. Então se fosse uma sequência de 9 bits seria 2 elevado a 9 que é 512.

Existe uma lenda indiana ou algo assim sobre o inventor do tabuleiro de xadrez. Ele mostrou pro imperador da Índia que ficou tão impressionado que ofereceu uma recompensa. E o tal criador disse que só queria um grão de arroz pra começar e pra cada casa do tabuleiro ele queria que a quantidade fosse dobrando. Então dois grãos pra segunda casa, quatro grãos pra terceira casa, oito grãos pra quarta casa e assim por diante, acumulando os das casas anteriores claro, até a casa sessenta e quatro do tabuleiro. O imperador pensou como qualquer um assistindo aqui pensaria: ah, isso é uma miséria de arroz e aceitou.

Mas daí o tesoureiro voltou pro imperador alguns dias depois falando: fodeu, você prometeu uma quantidade de arroz absurda. Seria mais de 18 sextilhões de grãos. O Brasil inteiro produz mais de 230 toneladas de arroz. 100 grãos de arroz pesa 2 gramas e meio. Isso dá 9 bilhões de grãos. Ou seja, se eu não errei a conta, o Brasil sozinho levaria 2 bilhões de anos pra produzir os 18 sextilhões que o indiano ficou devendo. Detalhe, a Terra tem 4 bilhões e meio de anos. Não é intuitivo se você não está acostumado, mas esse exponencial rapidamente. Contei essa lenda pra vocês terem uma noção na cabeça sobre grandes números, dimensões que você não tem muita referência no dia a dia. Mas se um dia te oferecerem um milhão de dólares ou, um centavo todo dia, sendo dobrado todo dia durante um mês, escolha a segunda opção.

Mas voltando, a representação binária tem algumas vantagens na hora de representar cálculos aritméticos. Relembrando aritmética clássica, somar dois números inteiros é simples. Você coloca um em cima do outro e vai somando o número de cima com o de baixo, se der maior que 10 você tem o “vai 1” pra cima do logo à esquerda, você agora tem três números pra somar, e vai fazendo isso. Com binário é exatamente a mesma coisa.

Agora, num mundo onde você tem bits, como fazer uma máquina binária calcular, por exemplo, a soma de dois números binários? Em cima de cálculo binário você tem toda uma gama de operações que podem ser feita com zeros e uns. Somar é uma operação mais complexa que pode ser montada com outras operações mais simples. Se você é programador já sabe algumas delas como o operador binário AND ou OR. AND é simples, se você tem um e um vai dar um, se for um e zero vai dar um, se for zero e um vai dar um e se for zero e zero vai dar zero, ou seja, AND é sempre um com exceção se for os dois zeros. O OR é diferente, é tudo zero com exceção se os dois valores forem um. Mas existe uma operação mais básica, é o que chamamos de NAND ou NOT-AND onde zero e zero é um, zero e um e um e zero é um, e só se for um e um vai dar zero, é o oposto do AND.

O NAND é interessante porque você pode construir todas as outras funções booleanas como AND, NOT e OR só com o NAND se quiséssemos, é uma propriedade tanto do NAND quanto do NOR que é o NOT-OR. Essas operações podem ser construídas com transistores num circuito, o que chamamos de gates ou portas lógicas em eletrônica e lógica booleana. Quando falamos de lógica, é aqui que começamos. Toda porta lógica tem uma ou duas entradas e uma saída. Pense em portas como funções que tem argumentos e retorna resultados. Podemos compor uma porta com outra gerando novas portas, assim como fazemos com funções. Uma porta NAND é feito com uns 4 transistores, uma porta NOT com 2 transistores e assim por diante. Se você ligar a saída de uma porta NAND com a entrada de uma porta NOT você tem a porta AND por exemplo.

Se você estudou lógica booleana conhece essas operações. Se não, estude, isso é super fundamental. Vamos voltar pra soma de números. Todo mundo sabe somar números decimais. Em soma binária, toda vez que tem um e um, daria dois, mas daí não cabe no bit, então “vai um” pra esquerda e você coloca zero no bit atual. Quando é zero e um ou um e zero, daí a soma é um. E quando é zero e zero é zero mesmo. Soma em números binários é a mesma coisa. Se ignorar a parte do vai um, o que acabamos de descrever é a tabela verdade da porta XOR ou eXclusive OR então podemos começar por essa porta.

Pra fazer o que se chama de half-adder ou somador parcial, podemos adicionar uma porta AND pra receber os mesmos dois parâmetros e se for um e um ele vai devolver um, e esse é o “vai um”, daí repassa os dois valores pra porta XOR e essa é a soma parcial. Agora podemos conectar duas somas parciais com mais algumas portas como XOR e pra não ficar muito longa a explicação terminamos com um full adder ou somador completo, mas de 1 bit. Pra somar números de 4 bits, conectamos 4 full adders e assim por diante.

Pense que um CPU acessível de hoje em dia tem bilhões de transistors. Assim você começa a entender como de princípios muito simples é possível programar coisas mais complicadas. A ciência da computação estuda e cria as fundações. Coisas simples como propriedades associativa e comutativa dos valores numa porta lógica. No dia a dia a gente assume que se alguma função funciona pra um ou dois valores, deve funcionar pra tudo. Mas em matemática a gente é mais formal que isso: eu preciso conseguir testar pra todos os inteiros, por exemplo, de menos infinito até mais infinito e garantir que funciona, ou quais exatamente são as exceções. Não basta dizer “é óbvio que vai funcionar”. Daí temos todas as premissas ou axiomas pra começar a provar tudo que tem em cálculo, álgebra e assim por diante.

Tudo que usamos em termos de cálculo de números binários obedece regras, e podemos demonstrar que a matemática sempre consegue prever o comportamento físico das portas lógicas montadas com transistors por exemplo. Daí temos certeza que num circuito desenhado corretamente com 100 transistors, isso vai escalar pra mil transistors ou bilhão. É difícil de explicar isso mas pense na matemática como uma linguagem, ou seja, um vocabulário e uma gramática pra descrever com precisão o comportamento físico desses materiais. Matemática eu gosto de pensar como a melhor linguagem pra descrever a natureza e o universo, nossas línguas faladas simplesmente são primitivas demais e não tem palavras suficientes pra descrever tudo, por isso é difícil de explicar muita coisa com precisão. Entenda matemática e você começa a enxergar o comportamento preciso da natureza. Guarde esse conceito.

Do transistor vamos pra portas lógicas e daí pra circuitos mais complicados, daí chegamos na arquitetura básica de um CPU e coisas como registradores, contador de programa, e operações mais complexas que são as instruções de máquinas que programamos em Assembly. Com esse Assembly podemos criar linguagens mais fáceis de programar como um C, por exemplo, e com C podemos criar todas as outras linguagens que conhecemos hoje. Cada nova camada vai facilitando o uso do computador, com o trade-off de diminuir a eficiência do uso da máquina. Mas como temos algumas dezenas pra bilhões de transistors, podemos nos dar ao luxo de tornar as linguagens mais próximas do programador e mais longe da máquina.

Pra gente que é de ciências da computação, tem toda uma área que nós só aceitamos que existe e funciona, que é eletrônica. Por isso não vou nem raspar a ponta do pico desse iceberg hoje. A gente comumente ouve falar que antigamente existia válvula e depois inventaram os transistores e a revolução dos computadores nasceu. Existem décadas de história que envolve a experimentação de novos materiais e técnicas de fabricação. A gente não usa materiais como silício e cobre do nada, foram anos de experimentação. Transistores em conceito fazem a mesma coisa que uma válvula ou uma lâmpada fazem. Só que no caso em escalas de milionésimos de milímetro. Aplicando uma voltagem dá pra criar uma barreira magnética que impede a passagem de corrente, e isso chamamos de zero, ou quando ele libera essa barreira e daí passa corrente e seria um. Os transistores mais comuns hoje são os MOS ou MOSFET que é sigla pra metal-oxide-semiconductor field-effect transistor, que é o que eu acabei de explicar.

Os primeiros circuitos integrados tinham da ordem de meia dúzia de diodos, transistores, resistores e capacitores. De lá pra cá os processos de fabricação e materiais mudaram bastante e o processo atual do que se chama de VLSI ou very large-scale integration que é a idéia de criar chips ultra densos com milhões ou bilhões de transistores é o CMOS ou complementary MOS. Um Intel Core i7 de oitava geração tem da ordem de mais de 2 bilhões de transistores. Os processos de fabricação buscam soluções pra diminuir cada vez mais o tamanho dos transistores ao mesmo tempo que tentam diminuir o desperdício de energia. Novos processos de fabricação e materiais continuam sendo pesquisados, então este formato de computador não vai deixar de existir tão cedo.

Agora precisamos fazer um salto de conceitos. Primeiro vocês precisam entender teoria quântica e mecânica quântica. Estamos ainda numa fase onde a palavra “quântico” entrou no zeitgeist, todo mundo repete a palavra quântico e ninguém sabe o que diabos é um quantum. Se você quiser fazer qualquer porcaria parecer da hora, só gruda a palavra quantum do lado e já era. Não ajuda muito que Richard Feynman, um dos melhores físicos de todos os tempos, soltou a famosa frase dizendo “se você acha que entende física quântica, você não entende física quântica”. E isso levou à interpretação errônea de que nem os cientistas entendem física quântica e isso deu passe livre pra qualquer idiota achar que a interpretação de qualquer pessoa é tão boa quanto dos cientistas. E por sua vez isso abriu caminho pras bobagens que o povo de New Age e os atuais coaches quânticos repetem que nem gralhas.

Eu já disse no outro vídeo, opinião é que nem bunda, todo mundo tem um. Opiniões não tem valor por si só, só o que pode ser cientificamente demonstrado tem valor, todo o resto é capim. O meu capim vale tanto quanto o seu. E aqui vou afirmar categoricamente: a teoria quântica e mecânica quântica definem muito bem tudo o que funciona e o que não funciona. Hoje sabemos como fazer os cálculos quânticos com a linguagem da matemática, e diversos experimentos comprovam os resultados. A matemática é a única linguagem que deve ser usada. Qualquer outra coisa que qualquer um de New Age ou coach quântico inventar é 100% bullshit, bobagem, e devem ser totalmente ignorados sem nenhuma chance de absolutamente nada.

A próxima coisa que um coach desses vai dizer é que eu não consigo provar que ele tá errado na interpretação dele. E essa é outra forma de bullshit. O ônus da prova é de quem faz a afirmação, sempre. E prova não é uma historinha, ou uma “evidência” que mostra alguma correlação. O famoso “ah, mas eu conheço casos” que é a mesma coisa que bullshit. Uma evidência não comprova uma hipótese. Todo experimento científico precisa ser independentemente testado e funcionar todas as vezes. Não basta funcionar uma vez e chamar de “prova”. Funcionar uma vez é coincidência. Teorias como de Darwin, Einstein, Schroedinger e outros são consideradas sólidas porque ao longo das décadas, dezenas ou centenas de outros cientistas repetiram os experimentos de forma independente e toda vez os resultados batem, sem ambiguidade. Toda vez que o experimento demonstra uma falha, por menor que seja, a matemática inteira precisa ser revista. É que nem seu código, não adianta parecer que funciona só uma vez, na sua máquina. Coloca em produção e deixa eu ver se realmente funciona. Se quebrar, precisa arrumar o código. É o mesmo processo.

Os comportamentos quânticos só funcionam no mundo das partículas subatômicas. Quando tamos falando de coisas como eléctrons ou fótons. Elas não se manifestam nos materiais do nosso mundo macroscópico. Nós não somos “feitos de energia”, nós não temos “consciência coletiva”, não existe isso de energia do pensamento positivo ou qualquer outro bullshit assim. Não é assim que a ciência funciona. No mundo do nosso tamanho, assuma física newtoniana. No mundo cosmológico, assuma relatividade especial de Einstein. E no mundo subatômico, use mecânica quântica. É só isso. Os estudos sobre física quântica ainda não estão completos, mas na prática isso não importa muito porque os efeitos quânticos são reais e experimentalmente demonstráveis e mensuráveis. Então existem dois campos de pesquisa: a procura do “porquê” os efeitos se manifestam da forma como se manifestas e o “como” podemos usar esses efeitos na prática. Um é a física teórica e a outra é a física aplicada.

Pensa assim, faz séculos que os exploradores olharam pros céus e entenderam que era possível usar as estrelas pra se localizar e navegar na direção certa. Ninguém daquela época sabia exatamente o que eram aquelas coisas brilhantes no céu, mas você podia saber exatamente onde elas estariam a cada noite. Era possível calcular a posição das estrelas mas não era possível ainda entender o que elas eram. Eram deuses? Eram alienígenas? Eram velas incandescentes penduradas numa redoma? Levou séculos até descobrirmos que são gigantescas bolas de gás incandescentes sofrendo reações de fusão nuclear formando um corpo celestre com a força da gravidade. Física quântica é um pouco parecido, nós sabemos navegar, calcular com precisão, mas só não descobrimos ainda o que realmente são. Qualquer tentativa de interpretação vai cair na categoria de velas penduradas numa redoma.

Essa é uma das partes que eu estou mais me coçando pra tentar explicar mas eu acho que levaria semanas pra eu conseguir compilar todas as histórias do século XX inteiro em pesquisa de teoria quântica e o video teria horas e horas. Então eu vou me conter por agora. Pra quem já se interessou é a parte onde começaria falando como Max Planck encontrou a constante de Planck, como Einstein usou isso pra descobrir o efeito fotoelétrico e postular a idéia de que a luz é formada por pequenos pacotes de energia, a menor quantidade possível, que é o fóton ou quantum e, dois Nobels depois, inicia a revolução dessa nova física chamada mecânica quântica. Daí vai passar por todos os nomes que em algum momento você já ouviu falar como Werner Heisenberg, Louis de Broglie, Erwin Schrödinger, Max Born, John von Neumann, Paul Dirac, Enrico Fermi, Wolfgang Pauli, e muitos outros, até chegar na controversa interpretação de Copenhagen de Niels Bohr.

Então só acreditem que existe mais de um século de pesquisas, diversas histórias dramáticas e brigas como os papers de Einstein Podolski e Rosen e o gato de Schroedinger, o teorema de John Bell. E como o Einstein, que sem querer deu início à essa nova física, até o fim tentou demonstrar como essa teoria era incompleta, e toda tentativa dele de quebrar a teoria no final acabou colaborando pra novas descobertas que acabaram resolvendo os paradoxos que ele mesmo levantou. Como falei antes, neste momento ainda não sabemos tudo, de fato, mas é como eu falei sobre as estrelas. Hoje temos o suficiente pra aplicar o que se sabe em problemas reais. O porquê elas funcionam é o que ainda vai levar décadas ou séculos pra sabermos. Foi assim com a física clássica. Qualquer interpretação como a hipótese de existir um multiverso, é só isso, uma teoria por mais que nosso fandom pela Marvel fosse adorar se isso fosse verdade.

Neste ponto eu recomendo 4 canais que eu gosto bastante e que já gravaram bastante material explicando a parte da física, a parte da matemática e as aplicações. Vou deixar os links nas descrições abaixo mas são as playlists sobre mecânica quântica dos canais MinutePhysics, PBS Space Time e Infinite Space, o excelente 3Blue1Brown e o reconhecido Veritasium. Tem outros ainda mas pra começar, esses são suficientes, são várias horas de diversão. Mas não dá pra resumir tudo isso em 15 minutos, infelizmente.

Caindo em computação quântica, vamos começar do começo, como você constrói um qubit? Pegando emprestado a explicação do canal Veritasium, por exemplo, com átomos de fósforo em um cristal de silício bem do lado de um transistor. Esses átomos tem um spin, como você já deve ter aprendido no colegial em física eletromagnética. Spin pra cima e spin pra baixo como chamamos. Pra resetar a orientação do spin desses átomos pro estado de menor energia, spin pra baixo, você precisa de um campo elétrico de um supercondutor. Pra mudar o spin você aplica energia, e não precisa de muito, só o calor ambiente já seria suficiente pra fazer esses átomos ficarem mudando de spin que nem doido. Por isso você coloca esse aparato num ambiente com hélio líquido, completamente isolado, pra chegar em temperaturas de frações de 1 Kelvin, quase perto do zero absoluto. E agora, pra mudar o spin de forma controlada de um átomo de cada vez, você envia microondas numa frequência específica.

Agora, existe uma interação entre um portal de elétrons do transistor de silício que reage com o átomo de fósforo e aplicando frequências específicas é possível medir esse átomo. Mais do que isso, podemos mudar e medir o spin do núcleo de um átomo de fósforo. O spin desse núcleo pode ser medido e visto num osciloscópio, indiretamente através da interação com um elétron. O núcleo é mais estável e mais isolado que um elétron e consegue conservar esse spin por um período de tempo considerável e com isso conseguimos armazenar um valor 1 ou 0 nele, como num transistor tradicional. Esse núcleo é o qubit. Veja o vídeo do Veritasium pra mais detalhes mas o importante é dizer que já conseguimos manipular um núcleo do átomo de fósforo individualmente pra encodar bits.

Agora você vai precisar acreditar no que eu falei antes: no um século de evolução da física quântica e os efeitos que já sabemos que funciona e são controláveis. Esse qubit obedece as leis da mecância quântica e conseguimos realizar algumas operações nele. Uma delas é mudar o spin pra cima ou pra baixo de forma controlada e que podemos ler depois. Então sabemos como encodar valores binários numa cadeia de qubits. Podemos fazer mais. Podemos colocar o qubit num estado de superposição. Esse é o estado que todo mundo coça a cabeça pra entender. É o tal estado do gato morto vivo de Schroedinger. O gato tá vivo ou morto dentro da caixa? Isso é um exercício teórico e tem mais a ver com a substância radioativa dentro da caixa que seria o gatilho pra matar o gato do que o gato em si. Mas falando puramente de forma simbólica, a resposta é que ele não tá nem vivo nem morto, o que significaria mais exatamente um estado 100% vivo ou 100% morto. Em matemática não existe “mais ou menos”, é sempre um estado definido nem que seja probabilístico. Então o gato, ou mais precisamente o átomo da substância radioativa, está num estado probabilístico 50% vivo e 50% morto.

“Mas isso quer dizer o que?” e a resposta é: não importa, esse é o estado seja lá o que na realidade isso signifique. Não existe um estado desse na nossa realidade macroscópica por isso nos falta vocabulário pra descrever, mas matematicamente é um estado bem definido. Era o grande problema do Einstein e Schroedinger, de que é difícil conciliar a realidade macroscópia com a matemática quântica, por mais que na matemática faça sentido. É como se fosse um terceiro estado, que seria uma range de probabilidades entre os dois estados. Só faz sentido dizer se é vivo ou morto depois de medirmos e ver se depois de abrir a caixa o gato de fato está vivo ou de fato está morto. Mas não é que o estado já existia e a gente só não estava conseguindo ver. Esse estado não tem localidade e nem causalidade, é um estado não determinístico real. Verdadeira aleatoriedade. Antes de abrir a caixa ele é indefinido. Por isso é melhor evitar metáforas com o mundo real o quanto possível. Sem a matemática pra descrever, vira essa história mal contada de gato morto ou vivo indefinido.

Esse conceito é importante porque toda vez que ouvir falar de superposição vai ouvir esse palavreado de “medir” e “colapsar”. O que não é intuitivo pra mim e acho que pra muita gente é, Beleza! Digamos que eu engula esse estado completamente aleatório que pode ser 50% 1 ou 50% zero. Como eu faço cálculos com isso? Existem outros mecanismos que você precisa entender. O próximo é o também controverso entanglement. Você pode colocar dois qubits em superposição e depois em entanglement. Daí quando você medir um deles - que vai causar o colapso do seu estado pra 1 ou 0 -, quando medir o outro qubit ele vai estar no mesmo estado.

Se já era difícil colocar na cabeça que uma partícula pode ter um estado indefinido antes de medir, entanglement é acreditar que duas partículas podem estar correlacionadas e se manter assim mesmo se separadas. A propriedade do entanglement é que uma vez correlacionadas eu posso separar as duas e “transportar” pra muito longe. No exato instante que eu medir uma a outra automaticamente vai tá no mesmo estado quando for medido. Ou seja, se antes de medir elas tavam numa superposição de 50% de chance de ser um ou 50% de chance de ser zero, quando eu medir a primeira e der um, a outra partícula só tem 100% de chance de ser um.

Mas cuidado, isso não é uma comunicação, ou seja, não existe a possibilidade da primeira partícula, depois que medimos e colapsamos seu estado tenha enviado essa informação pra segunda partícula. Ou seja, não existe possibilidade de um Skype quântico. Essa foi uma controvérsia que Einstein odiava porque se fosse esse o caso a informação teria que viajar mais rápido que a velocidade da luz. E nada viaja acima da velocidade da luz, é impossível. Mas então, pelo senso comum, as partículas já teriam que ter “combinado” antes de serem separadas qual seria o estado final no colapso. Mas é o que o teorema de John Bell já provou que não é o caso, ou seja, existe um experimento que prova que não haveria como as partículas terem qualquer informação do estado final antes de medirmos.

Novamente, essa é uma das partes onde não vamos chegar em lugar nenhum se ficarmos especulando se a estrela é uma vela pendurada numa redoma no céu ou o quê. Ainda não temos informação suficiente pra afirmar nada. Só podemos afirmar que é exatamente isso que acontece. Já foi testado exaustivamente, de forma independente. Por exemplo, em 2017 um experimento chinês foi capaz de colocar dois fótons em superposição e entanglement e enviar um deles via um laser pra um satélite a mais de 1200 km de distância e realizar a medição e o colapso. Vários desses experimentos já foram feitos. Vamos só aceitar que superposição e entanglement existem. Nos vídeos dos canais que eu recomendei eles explicam em mais detalhes sobre isso também.

Aliás, só pra finalizar os efeitos não intuitivos. Uma vez tendo essas propriedades você acaba tendo teletransporte também. - O que, ah, vai se fuder, tá de brincadeira, isso é Star Trek agora puta que pariu - ufff Pois é! É possível um efeito de cut and paste ou “recortar e colar”. É possível teletransportar o valor de um qubit pra outro qubit de forma destrutiva, ou seja não é um clone, é uma teletransporte. Por exemplo, Alice e Bob podem ter dois qubits pré-entangled. Daí Alice prepara um terceiro qubit e faz entanglement com o dela. Ela prepara um payload qualquer e ao medir os dois é feito o teletransporte desse payload - cujo valor é destruído nesse instante - pro do Bob através do pré-entanglement que eu falei que já tinha entre os qubits da Alice e do Bob, que vai funcionar como um cabo de rede entre os dois.

Pronto, fodeu, ficou bem abstrato isso. Vamos ver na prática como isso poderia funcionar. Pois bem, esse é o diagrama do circuito de três qubits em entanglement. Aqui temos os qubits de Alice e Bob sendo colocados em entanglement. Agora temos a preparação do payload no terceiro qubit. Agora a Alice faz o entanglement do qubit do payload com o qubit dela. E finalmente teletransportamos o payload pro Bob. É literalmente como se fosse um recortar e colar, sem um intermediário fazendo isso. E no passo final o Bob pode verificar que de fato o payload chegou nele.

Isso que você tá vendo é como representamos um circuito quântico. Cada linha representa um qubit e temos 5 deles. Cada um desses quadradinhos é uma quantum gate ou o equivalente a uma porta lógica de um computador clássico que eu expliquei lá no começo. Temos portas como X ou Y ou Z que são portas de Pauli. Basicamente o X faz um bitflip como uma porta lógica NOT. O H é um Hadamard que se eu entendi direito coloca o qubit em superposição. O mais comprido que puxa uma linha entre dois qubits com um sinal de mais no meio é uma porta chamada CNOT ou controlled NOT, e na prática ele coloca os dois qubits em entanglement. No final onde temos um ícone que parece um medidor, e é justamente isso, a operação que faz a medição do qubit não é uma porta lógica porque um requerimento pra ser uma porta lógica é que toda operação quântica seja reversível. Esse princípio é matematicamente importante, mas pra gente basta entender agora que dizer costuma ser o fim do circuito.

Esse diagrama é uma representação visual de um código, que é escrito no formato OpenQASM. E o que diabos é isso que eu tô mostrando? Esse é o site IBM Q Experience. Eles tem uma plataforma online com documentação explicando alguns conceitos e eles tem online tanto um editor pra você montar seus próprios circuitos quânticos visualmente ou via código, e rodar tanto num simulador quando em computadores quânticos de verdade! Claro que versões fraquinhas de no máximo 5 qubits e alguns com taxa de erro elevada. Mas dá pra brincar um pouco, é como se você estivesse montando um circuito eletrônico num simulador com o CircuitLab onde você pode montar circuitos tradicionais com portas lógicas, como a máquina de somar que mostrei no começo.

Se você tem interesse em molhar os dedos no básico, pode baixar o Qiskit que é um projeto open source feito em Python, onde você pode escrever programinhas em OpenQASM como mostrei antes e rodar localmente na sua máquina ou conectando no simulador da IBM. Uma coisa que talvez você não sabia é que é possível simular qubits num computador tradicional. Obviamente você não consegue simular quantos qubits quiser, porque vai ficando exponencialmente mais pesado. Mas alguns poucos qubits dá. E pra aprender, com cinco qubits já dá pra testar muita coisa. Por exemplo, em computação clássica você viu que com poucos transistores você consegue montar um somador completo de 1 bit com portas lógicas tradicionais. Daí vai adicionando vários pra conseguir somar números de 8 bits e assim por diante. Mas você sabe que se funciona com 2 ou 3 bits, vai funcionar pra 8 ou 16 bits. Você consegue escrever manualmente, no papel, as tabelas verdade pra verificar.

Em computação quântica, é mais complicado. A representação na mão é feita com notação de álgebra linear. No diagrama você vê os qubits representado por essa notação estranha de um pipe, um número e um bracket de maior. Essa é a notação de Dirac pra vetores. E toda a álgebra linear, multiplicação de matrizes e tudo mais funciona. Essa portas quânticas que falei, é basicamente representado com uma multiplicação de matrizes com o vetor que são os qubits. Do ponto de vista da ciência da computação você pode visualizar as máquinas de estado dos qubits como valores num círculo - se estiver representando só com inteiros - onde cada valor é uma probabilidade da superposição. Na realidade a matemática é usando números complexos e os valores caem num espaço de Hilbert. Lembra que eu falei que em superposição você tem valores num espaço probabilístico? Pra entender a quantidade, pense em pontos na superfície de uma esfera por exemplo.

O Hello World de programar um computador quântico é justamente colocar uma porta Hadamard pra colocar um qubit em superposição e uma porta CNOT pra fazer o entanglement com outro qubit e depois medir pra colapsar o estado. Como são dois qubits temos quatro possíveis estados zero zero, zero um, um zero, e um um. Igual nas tabelas verdade das portas lógicas que expliquei no começo. Um programa quântico a gente não roda só uma vez, precisa rodar várias vezes e fazer um histograma dos resultados de cada estado. Se fosse um sistema completamente aleatório, você esperaria que saísse qualquer um dos quatro estados um quarto ou 25% das vezes. Mas como estamos com um sistema em entanglement, se rodarmos várias vezes, no exemplo, os estados zero zero e um um saem mais que os outros. Justamente porque se eu medir o primeiro e der zero, o outro em entanglement tem que dar zero também, mesma coisa com um. Os resultados zero um e um zero que aparece é devido a erro no sistema, se fosse perfeito deveriam aparecer zero vezes. Vou falar de erro depois, guardem isso.

Eu vou dizer que me falta intuição matemática - falta de prática mesmo - pra entender direito o que tudo isso significa. Intuitivamente eu consigo ter uma noção. Na prática você tá lidando com variáveis aleatórias, porém via essas portas lógicas e coisas como entanglement, você consegue influenciar coisas como a amplitude e a fase, na prática, você influencia as probabilidades dentro da superposição. Daí você roda esse programa centenas de vezes e plota num histograma, onde o sinal for mais forte é onde a barra do histograma vai ser maior, ou seja, é o resultado que aparece mais vezes. Numa metáfora de pobre, como se fosse uma moeda onde você pudesse influenciar o resultado durante o giro dela, e aí começa a ser mais cara que coroa por exemplo. Então um insight que eu não tinha é que um programa quântico não dá uma resposta absoluta como estamos acostumados em programação com portas lógicas, ou qualquer coisa em cima disso, como linguagens de programação tradicional.

O cálculo com qubits trás um resultado dentro de um espaço de probabilidades. Nós manipulamos a aleatoriedade do princípio da incerteza de Heisenberg pra conseguir manipular um espaço de possíveis probabilidades. Cada qubit pode estar num range de resultados diferentes em superposição, e com entanglement podemos conectar um qubit com vários outros qubits, formando um campo de influência. Pense como várias ondas como na física acústica, uma onda causando interferência na outra. Dois picos em duas ondas, uma amplifica a outra, duas ondas inversas, uma cancela a outra. E se configurar essas portas quânticas corretamente você começa a ter a possibilidade de fazer cálculos com vários estados em superposição, ao mesmo tempo, o que leva à conclusão que computadores quânticos poderiam resolver problemas em uma ordem de grandeza menos tempo; problemas que hoje, em computadores tradicionais, levaria tempo exponencial.

Pra entender um pouco mais da matemática dessa representação eu recomendo começar com estes vídeos da série da PBS Infinite Space falando sobre a matemática por trás dos qubits. E depois ver essa apresentação da Microsoft de computação quântica pra cientistas da computação, onde é explicado passo a passo como fazer cálculos com os vetores e matrizes na mão com algumas portas quânticas mais simples e como, com isso, você consegue implementar um algoritmo muito simples, como o Deutsch Oracle.

Falando em algoritmos, os primeiros exercícios como o Deutsch Oracle, Deustch Josza, Simon começaram a aparecer no começo dos anos 90. Lembram que falamos bastante sobre a natureza da função de onda e como ela descreve o possível espaço de resultados? Se falamos de ondas você que é engenheiro vai se lembrar de Fourier. Fourier pode ser usado pra centenas de aplicações que vai de processamento de sinais até bioengenharia. Recomendo assistir o vídeo do 3Blue1Brown que explica visualmente como a transformada de Fourier funciona pra separação de ondas e coisas como limpeza de barulhos, especialmente de barulhos com períodos constantes, como o barulho do motor de avião, que é a base de como cancelamento de barulho ou noise cancelling avançado funciona em fones de ouvido bons. E existe uma implementação chamada tranformada quântica de Fourier. Ela não é exatamente o equivalente do Fourier tradicional, mas serve para vários casos.

Em particular ela permite o algoritmo de Shor, inspirado no algoritmo anterior de Simon. Esse é o temido algoritmo que chamou a atenção do mundo pra computação quântica e causou furor quando foi publicado pela primeira vez nos anos 90. Se não me engano o primeiro algoritmo com potencial uso real que poderia mudar a forma como usamos computadores. O algoritmo de Shor consegue, em alguns casos, cerca de trinta e sete porcento das vezes, conseguir fatorar números inteiros nos seus fatores primos. Isso é extremamente inviável de se fazer num computador tradicional. Pegue dois números primos gigantes, digamos de dois mil e quarenta e oito bits de comprimento. Multiplique os dois. Todos os computadores do mundo podem gastar bilhões de anos pra conseguir encontrar os dois fatores primos originais.

O algoritmo não é perfeito. Você não consegue passar um número gigante e ele automaticamente cospe os fatores pra você. Na realidade você começa com um chute e com as propriedades de aritmética modular e o teorema de Fermat você consegue ir chutando números melhores que, em quase 40% dos casos pode chegar na fatoração. Eu fiquei pensando se descrevia o algoritmo aqui ou não mas acho que vai muito além do que precisa pra este episódio. O canal MinutePhysics junto com o 3Blue1Brown fizeram alguns vídeos muito bons que explicam passo a passo como é o processo pra encontrar esses fatores. E o canal PBS Infinite Space tem outro um pouco mais pesado nos conceitos que vale a pena assistir depois pra entender os passos.

Sem entender aritmética modular não dá pra entender como funciona isso de quebrar a fatoração. Mas entenda que o processo que existe hoje é basicamente brute force, testar um número atrás do outro. Com as características de superposição, entanglement, e aplicando a transformada quântica de Fourier, é possível fazer o cálculo que levaria centenas de anos em alguns minutos. Hoje em dia o algoritmo de Shor já foi executado em computadores quânticos de verdade e conseguiu fatorar os números 15 e 27 que é o atual recorde. Tá beeeem longe ainda de um número de 2048 bits. A razão toda de porque todo mundo ficou histérico com a afirmação do Google ter alcançado Supremacia Quântica é a possibilidade deles conseguirem usar o algoritmo de Shor na prática com mais qubits.

Recapitulando o que eu disse no começo.”O Google construiu um computador quântico de cinquenta e quatro qubits.” - E agora você sabe o que é um qubit. - “O teste que foi usado pra medição é um tipo de gerador de números “verdadeiramente” aleatórios.” - e agora você tem uma intuição do verdadeiramente aleatório por causa da superposição. Diferente de pseudo-aleatório que é o que usamos em computadores tradicionais onde você produz números que estatisticamente parecem aleatórios mas na realidade não são. “O paper do Google diz que esse computador conseguiu executar esse cálculo com cinquenta e três dos cinquenta e quatro qubits” - guarde esta informação - “durante 3 minutos e 20 segundos e a parte da supremacia é que o Google afirmou que levaria 100 mil computadores convencionais o equivalente a mil anos pra executar o mesmo cálculo, bem longe do que seria prático e portanto eles atingiram a definição de supremacia do Preskill.” - só enfatizando, veja que foi um cálculo de muitos minutos e não instantâneo. Muita gente pensa que computador quântico é instantâneo, mas não é. - “Mais especificamente o paper mostra que o experimento implementou um circuito com um depth ou profundidade 20, com 430 gates de 2 qubits e 1.113 gates de 1 qubit.“ - Essa profundidade é a quantidade de portas quânticas na maior sequência, que nem você viu no diagrama que mostrei antes pra teleportação ou hello world. Quatrocentos e trinta gates de 2 qubits, seria como uma porta CNOT pra entanglement por exemplo e mil cento e treze portas de 1 qubit seriam como o X de Pauli ou Hadamard ou Phase Shift e outras portas lógicas, todas de um qubit.

No segundo parágrafo da citação eu falei o seguinte: “Essa notícia causou furor na mídia e a IBM entrou no drama dizendo que o resultado é bom mas não é tão dramático assim. E que se usar o Oak Ridge Summit, o super computador da IBM que ocupa o espaço de 2 campos de basquete com seus 250 petabytes de espaço em disco, eles poderiam escrever os 9 quadrilhões de amplitudes em disco, quebrando a premissa de escrever o vetor inteiro em uma simulação de tipo Schroedinger pra uma simulação de Schroedinger-Feynman fazendo trade-off de espaço por tempo. E fazendo isso, em vez dos mil anos que o Google disse que ia levar, o IBM Summit poderia simular o mesmo cálculo em algo próximo de dois dias e meio, que é uma ordem de grandeza muito menor.”

Em resumo, eu falei que eles usaram cinquenta e três qubits nesse cálculo que é um espaço de 2 elevado a cinquenta e três e isso dá 9 quadrilhões de valores possíveis. Transformando isso em petabytes seria uns 8 petabytes, ou seja, poderíamos literalmente escrever um a um todos os valores possíveis em disco e colocar no storage de duzentos e cinquenta petabytes. Daí em vez de computar os valores podemos buscar o valor no disco. Eu estou simplificando bastante, claro. Isso é bem menos trivial do que parece só dizendo. Por exemplo, parece que o IBM Summit consegue escrever em disco na velocidade de 2.2 terabits por segundo de dados sequenciais, algo em torno de 275 gigabytes por segundo.

Pra escrever 8 petabytes, sem processar nada, só escrever sem parar, ia levar nada menos que 9 horas só pra escrever. Por isso eu imagino que o argumento da IBM seria que levaria 2 dias e meio em vez dos mil anos que o Google falou, é o tempo de computar e gravar todos os valores em disco, o jeito mais brute force possível. Mas isso é o tempo mais otimista possível usando o valor que é o pico de velocidade e você sabe que nenhum drive consegue sustentar o pico o tempo inteiro. Digamos que ele decaia pra na média metade da velocidade. Já aumenta o tempo pra quase um dia inteiro só escrevendo os dados todos! Em resumo o argumento da IBM tem alguma lógica mas até ser experimentado é só uma teoria. E considere que são 2.5 dias usando o supercomputador mais rápido do mundo em máxima capacidade só pra cuspir um número aleatório. Pense em quanto isso custa.

Se você seguiu com atenção até agora você tem uma intuição de como começa o que o Google fez. Mas temos o problema do erro que eu falei pra você guardar na cabeça, lembra? Cinquenta e quatro qubits parece bastante coisa, porém as chaves que usando hoje pra criptografia assimétrica com algoritmos como RSA tem tamanho de 2048 bits. Se eu não entendi errado, seria necessário no mínimo essa quantidade de qubits funcionando em entanglement ao mesmo tempo pra se fazer o cálculo, a menos que seja possível particionar o problema. Na minha falta de matemática, eu chutaria que não dá porque estamos procurando fatores primos desse comprimento. Pra particionar precisaria haver uma forma de fatorar esse primo, o que obviamente não é possível, portanto você precisa procurar o número inteiro de uma vez só. E isso é literalmente metade do problema.

A parte importante é quando eles falaram que 1 dos qubits não funcionou, então o cálculo foi feito com cinquenta e três qubits. Esse é o calcanhar de Aquiles de toda a computação quântica. Lembram que eu descrevi como um qubit fica totalmente isolado, mantido a quase zero absoluto, num ambiente o mais livre de interferência possível? Qualquer coisa pode excitar o núcleo e mudar o spin dele ou pior, tirar o núcleo do estado de superposição. Uma partícula em superposição colapsa no instante que alguma coisa observa ele; e o ambiente está constantemente tentando observar a partícula. Micro vibrações, campos eletromagnéticos, fótons, outras partículas subatômicas, qualquer coisa que chegar perto pode flipar esse núcleo. Então nesse momento o que se consegue construir é extremamente frágil. E eu disse que o núcleo consegue manter seu estado por mais tempo, mas esse tempo não é dias ou horas, pode ser minutos ou segundos. Quanto maior a profundidade de portas quânticas, maiores as chances de um dos qubits colapsar no meio do caminho e você tem que começar tudo de novo. Existe um efeito chamado “crosstalk” onde um qubit por causar interferência no outro também.

Decoherence ou decoerência é quando um qubit em superposição é colapsado nos bits clássicos antes do tempo por exemplo. Ou quanto o entanglement falha. E como eu disse qualquer coisa pode causar isso. O sistema precisaria estar 100% isolado pra garantir coerência permanente. Só que você precisa conseguir enviar microondas e ler os resultados, em algum momento você precisa causar decoherence pra ler o resultado, por exemplo e isso torna o sistema aberto com o ambiente. A maior quantidade qubits que já se colocou junto é no computador da D-Wave que já tem 2048 qubits mas ele não é igual os computadores da IBM ou do Google, a princípio ele não é universalmente programável, é hardcoded pra operações específicas e teoricamente não é capaz de rodar o algoritmo de Shor.

Sobre o mínimo necessário de qubits, na realidade é mais do que parece. Segundo algumas estimativas, com a implementação do algoritmo que se sabe fazer, seria necessário no mínimo 4000 qubits pra conseguir quebrar os algoritmos de chave pública que usam o conceito da dificuldade de fatoração de inteiros. Isso é o que teoricamente quebraria o mecanismo de troca de chaves que usamos hoje. Estamos falando especificamente de RSA e Diffie-Hellman. Troca de chaves é o que acontece toda vez que você conecta num site com certificado SSL ou TLS ou quando você se conecta via SSH em algum servidor. Esse sistema normalmente é usado pra autenticar a identidade dos participantes e depois pra trocar um segredo entre eles. Esse segredo é usado em algoritmos simétricos como RC4 e AES pra de fato realizar a encriptação da comunicação.

Pra entender esse conceito recomendo assistir os seguintes vídeos do Computerphile e da PBS Space Time que explica em mais detalhe. Talvez eu faça um vídeo resumindo esses conceitos depois. Mas entenda que RSA é um sistema de encriptação assimétrica cara. Por custar caro ela não é usada comumente pra encriptação dos dados em si. Ela é usada pra autenticar as partes e daí trocar uma chave simétrica, que tem tempo de duração curta, e que daí é usada por algoritmos como RC4 ou AES pra encriptar a comunicação num comunicador por exemplo.

AES, que é um algoritmo de encriptação simétrica, ou seja, uma função reversível, é que você usa pra encriptar e decriptar os dados da partição do seu disco por exemplo. É literalmente inquebrável. O algoritmo de Shor não vai quebrar ela. E ainda não tem um algoritmo conhecido que possa fazer isso. O problema que se encontra no AES é sempre na implementação, algum bug que expõe a chave simétrica que deveria ser secreta. Por exemplo, ficou sobrando na memória RAM e um malware consegue interceptar da memória. Ele não quebrou o AES, ele só roubou a chave que ficou na memória por engano. Por isso mesmo eu sempre falo: jamais tente implementar um algoritmo como RC4 ou AES você mesmo pra usar em algum projeto seu, você necessariamente vai implementar errado. Mesmo quem tem anos de experiência implementa errado, você que nunca fez isso vai com certeza absoluta implementar errado. Eu implementaria completamente errado. Faça como exercício mas jamais pra usar de verdade. Pra isso já existem bibliotecas abertas que já foram escrutinizadas por milhares de pessoas e tem maior garantia que funcionam como no clássico OpenSSL ou nos mais recentes como libsodium.

Só pra ninguém comentar que esqueci de mencionar. Algoritmos de encriptação simétrica como AES poderiam sofrer ataques usando o algoritmo quântico de Grover, que poderia ser usado pra aumentar muito a velocidade numa pesquisa num banco de dados não indexado por exemplo. Ou a definição que mais interessa que seria inverter uma função, por exemplo uma função de encriptação simétrica pra fazer ela decriptar. Porém Grover não é mágica, é um algoritmo que trás uma aumento quadrático em velocidade se comparado com o que temos hoje, mas mesmo isso não é suficiente se a chave for grande o suficiente. Hoje usamos AES-256 bits como o mais seguro, bastaria dobrar pra 512 ou até 1024 e nem um computador quântico conseguiria quebrar. Esse é o poder da exponenciação. E falando especificamente de criptomoedas ainda não há indícios que computação quântica poderia comprometer os algoritmos atuais e mesmo os mais paranóicos já tem altcoins que usam algoritmos teoricamente mais resistentes a uma eventual real supremacia quântica. O IOTA é um deles.

O campo de estudo de algoritmos quânticos ainda está no começo. Existem poucos algoritmos ainda. Com as características e potenciais de reduzir processamentos com complexidade exponencial em uma complexidade menor tipo logaritmica, isso abre a fantasia pra resolver diversos problemas que hoje custa muito caro ou é simplesmente inviável num computador tradicional. Por isso se fala em aplicação na indústria genética ou farmacêutica pra simular moléculas e drogas de forma melhor. Mas isso é como sonhar com as possibilidades de renderização 3D em tempo real em 4K quando o transistor nem foi inventado ainda. Estamos a décadas de distância disso.

A realidade parece ser mais a seguinte: todo o futuro da computação quântica depende de alguém descobrir como reduzir drasticamente o problema de noise e decoherence pra ser prático colocar milhares de qubits em superposição e entanglement e o sistema inteiro não colapsar antes do tempo. Não existe um jeito padrão eficiente de fabricação como temos CMOS e MOSFET pra transistores hoje em dia. Estamos realmente nos primeiros dias ainda. Por isso é um campo extremamente interessante e fascinante. Eu mesmo já tô viciado em estudar a respeito. Eu tive que me forçar a parar pra escrever o script de hoje porque tem centenas de coisas que eu ainda não entendi direito e queria conseguir verbalizar melhor. É como se eu estivesse em 1948 quando o transistor acabou de ser inventado. Ninguém tinha idéia de pra onde podia ir. Os transistors originais eram feitos do elemento germânio, só depois descobriram que silício era melhor. Qubits é a mesma coisa, eu mencionei átomos de fósforo, mas não é o único elemento viável. E nem a forma de fabricação com cristais de silício. Tem muito chão pela frente ainda.

Quando o Google anunciou a Supremacia Quântica, nós que nos inserimos dentro das ciências da computação ficamos otimistas na possibilidade de vermos um uso prático de computação quântica ainda dentro do nosso tempo de vida, ou seja, antes de morrermos. Por isso eu chuto que estamos a algumas décadas de distância de começarmos a usar em alguma escala útil em vez de só experimental e acadêmico como é hoje.

Se um computador quântico de 4000 qubits existisse hoje, poderíamos descobrir chaves privadas de algoritmos como RSA hoje. Mas como eu disse estamos longe disso. Mas até esse computador existir, o resto do mundo não está parado. Já existem diversos estudos de algoritmos pós-computação quântica. Algoritmos que não usam a dificuldade de fatoração de números primos ou problemas de logaritmos discretos ou problemas de logaritmos discretos de curva elíptica.

Como última tangente, nos últimos 5 anos atingimos um teto na Lei de Moore que você já deve ter ouvido falar, que inclusive não é uma lei mas uma observação, de que a cada 2 anos você consegue dobrar o poder computacional de um processador ao mesmo preço. Mas nós batemos no teto do Gigahertz, e desde então não aumentamos os clocks com a mesma velocidade de antes. Daí começamos a ter multi-cores, primeiro com o IBM POWER4 e depois com o AMD Athlon 64 e finalmente com o Intel Core 2 Duo. Na última década também os GPUs começaram a despontar e a diferença é a densidade de cores ou o que a NVIDIA chamaria de CUDA cores. Nesse período viemos quebrando programas feitos pra rodar num único core e tentando quebrar em trabalhos que podem ser divididos em múltiplos cores tanto na CPU ou se forem trabalhos envolvendo vetores, matrizes ou tensors, que é justamente o tipo de trabalho necessário pra processamento gráfico e machine learning, usamos GPUs.

Mas nem todo trabalho é paralelizável e existe outra lei que andamos esbarrando que é a Lei de Amdahl, na realidade é uma fórmula pra calcular o máximo de melhoria de performance que podemos ter pra determinados trabalhos paralelos. Na prática quer dizer que temos um limite pros nossos algoritmos de até onde dá pra melhorar a performance só aumentando cores na máquina e você já deve ter visto isso. Vou deixar linkado abaixo o video do canal Coreteks que explica em detalhes a evolução dos processos de fabricação de processadores e as mudanças em arquiteturas e pra onde ainda vamos com isso.

Um GPU ou unidade de processamento gráfico funciona em um SIMD ou Single Instruction Multiple Data ou SIMT que é Single Instruction Multiple Threads, que é uma versão um pouco modificada de um SIMD com funcionalidade de multithreading. Comparado com um CPU ele tem muito mais cores mas cada um é muito mais simples e é mais lento. O que a quantidade de cores permite é o aumento do throughput. Mesmo que uma tarefa individual demore mais comparado a um CPU. Um GPU é tão simples que nem tem um contador de programa. Muitas threads trabalham juntos num warp que no caso de uma Nvidia são grupos de 32 threads. Então todas as threads em warp precisam estar executando a mesma instrução ao mesmo tempo.

O que ajuda a performance de uma GPU é a memória mais rápida que ela tem. GPUs normalmente tem mais banda o que ajuda a alimentar a enorme quantidade de cores com dados o suficiente pra eles não ficarem sem nada pra fazer. O que torna um GPU especial é a capacidade de ter um grande número de tarefas simples e independentes rodando em paralelo. Tradicionalmente GPUs eram usadas só pra trabalhar gráficos, já que cálculo de vetores e matrizes é particularmente bom pra processar matrizes de pixels que compõe cada frame de uma animação por exemplo. Mas com a melhoria nos GPUs e algoritmos, finalmente conseguimos programar coisas mais sofisticadas com coisas com GPGPU. Treinamento de Machine Learning é a aplicação de funções de otimização em pontos de dados que é o tipo de coisa que GPUs fazem melhor.

Porém um GPU não substitui um CPU pela limitação na sua lógica de controle, pelo menos até agora, e depende do CPU pra organizar e delegar as tarefas e dados pra ele. Mesmo GPUs, que são desenvolvidos com tecnologias similares a CPUs em termos de transistors e materiais como silício, levou décadas pra chegar no ponto que estão hoje. E se você ver os vídeos do canal Coretek vai ver que ainda tem bastante coisa que já está em desenvolvimento em relação a otimização pra aumentar ainda mais a performance e baixar o uso de energia, em particular colocar o CPU e GPU no mesmo chip e mudar de arquitetura pra ARM ou RISC V por exemplo. Ainda temos décadas de evolução em cima do que já temos.

O computador quântico eu vejo mais sendo um QPU, e o que teríamos no futuro seria um híbrido de CPUs, GPUs e QPUs. O CPU continuaria sendo o coordenador. Veja os exemplos de simuladores como o Qiskit que mencionei antes pra ver que é exatamente assim que é montado hoje: um programa tradicional conecta numa QPU virtual e manda as operações, assim como fazemos com GPUs hoje. Trabalhos facilmente paralelizáveis continuariam sendo delegados pra coisas como as GPUs do futuro e trabalhos que possam tirar vantagem das propriedades de superposição e entanglement, como a transformada quântica de Fourier, poderiam ir pra essa QPU.

Não imagine um computador quântico como sendo o substituto do computador atual. Um computador quântico não deve rodar Linux e certamente não vai rodar Crisis. Assim como uma GPU é um hardware especializado que não substitui um CPU, um QPU seria a mesma coisa. Tecnicamente ela parece ser Turing Complete mas é o caso onde tarefas triviais seriam ainda executadas melhor e de forma mais rápidas por CPUs. Então a QPU seria mais como uma terceira placa - no dia que for possível diminuir o aparato que temos hoje pro formato de algo parecido com uma placa. Na prática por muitos anos ela vai ser mais como os super computadores, como os da Cray ou o IBM Summit, computadores hiper caros pra usos específicos em agências de governo ou grandes empresas, não vai ser algo acessível pra população em geral até que façamos o salto equivalente da válvula pro transistor. Na realidade eu diria que ainda não temos o equivalente ao transistor no mundo dos qubits.

Por último, quero repetir de novo. Os comportamentos quânticos como superposição, entanglement e coisas assim só fazem sentido no mundo subatômico. E segundo a interpretação de Copenhagen não faz muito sentido ficar especulando demais a natureza por trás disso, porque ainda nem não temos elementos suficientes pra discutir. Vamos direto aos cálculos e aos experimentos que de fato funcionam. Como diria o professor David Mermim “Shut up and calculate”.

Portanto, como eu já disse no começo, esqueça qualquer coisa pseudo pop científica que fica prometendo soluções quânticas pra sua vida. Mais energia. Mais conectividade. Mais empatia ou qualquer bobagem pseudo-quântica. Guarde isso pra ficção científica. Não existe isso no mundo macroscópico. Porém, os efeitos quânticos são reais e observáveis. Seu computador, os sensores da sua câmera digital, raios laser que você usa pra operar os olhos, basicamente todo uso avançado do efeito fotoelétrico é baseado em mecânica quântica. Toda essa teoria não é só acadêmica ou experimental, nós já nos beneficiamos da mecânica quântica em tudo que é microeletrônico e em particular que trabalha a luz de alguma forma.

No canal do MinutePhysics tem outro video explicando o efeito estranho usando filtros polarizadores pra mostrar um efeito quântico com a luz. E este vídeo do canal Domain Science explica os usos na vida real em mais detalhes e vou deixar os dois linkados abaixo também. O que você precisa levar de tudo isso que eu ruminei nesse vídeo é que mecânica quântica é algo real, matematicamente calculável, e usado na prática. Semicondutores obedecem as leis da física quântica por exemplo. E computadores quânticos realmente existem, podem ser usados hoje e simulados por você mesmo em casa. Ainda não sabemos se vai ser de fato prática de ser construída e usada mas isso é especulação de futuro, algo na ordem de décadas ainda, com sorte enquanto ainda estivermos vivos.

E é isso aí, nem vou perguntar se vocês tem dúvidas, porque hoje eu não consegui nem raspar o pico do iceberg. Milhares de pessoas estão aprendendo isso em cursos na faculdade ao redor do mundo hoje, e eu sou nada além de um mero iniciante nisso. Mas, fazer seu primeiro qubit realizar uma coisa considerada ficção científica como teletransporte é fascinante! De qualquer forma, se você tem mais informações científica pra compartilhar não deixem de mandar nos comentários abaixo, se curtiram o video deixem um joinha, compartilhem com seus amigos e não deixem de assinar ao canal e apertar o sininho pra não perder os próximos episódios. A gente se vê, até mais!