O erro quântico caiu 40×. A criptografia ainda respira

Na quinta-feira passada, o Google anunciou que havia resolvido um dos gargalos mais antigos da computação quântica. A manchete oficial: o processador Willow reduziu erros 40 vezes e produziu estados quânticos com 99,99% de fidelidade — um “recorde”. O resultado saiu na Science e virou manchete no mundo inteiro, com direito a site de criptomoeda explicando por que o Bitcoin estava em risco.

Oito dias depois, com o paper na mão e três pré-prints novos que saíram em setembro, dá para fazer o que interessa: separar o que foi medido do que foi anunciado. E a diferença não é pequena — mas também não é o desastre que a primeira onda de cobertura sugeriu em nenhuma das duas direções.

O resumo honesto: o Google fez algo que nunca tinha sido feito em hardware real, e isso é grande. Só que o número que circulou (40×) mede uma etapa, não um computador. A fidelidade de 99,99% não é um recorde isolado — empata com máquinas de outra tecnologia. E o estado quântico perde qualidade justamente na hora de sair do experimento e entrar no chip de verdade.

O que é um “magic state” — e por que ele come até 95% da máquina

Computador quântico não é bom em tudo. As operações que a correção de erro consegue proteger nativamente — portas Clifford — são insuficientes: com só elas, um computador clássico comum simula a máquina quântica sem perder nada. Para fazer algo que um clássico não faz, você precisa de pelo menos uma operação “proibida”, normalmente a porta T.

O jeito de aplicar essa porta é indireto: preparar um estado quântico especial chamado magic state e consumi-lo na operação. Daí o problema. Cada magic state serve uma vez só e não pode ser reciclado. Segundo estimativas citadas pelo próprio Google, preparar esses estados pode consumir até 95% da capacidade inteira de um computador quântico tolerante a falhas — sobra pouco para computar. É o gargalo que a área tenta baixar desde 2004.

A técnica que o Google testou, chamada cultivation, funciona como filtro em vez de fábrica: injeta um estado ruim numa região pequena do chip, roda medições coordenadas para detectar erros, joga fora as tentativas defeituosas e “cultiva” as sobreviventes até virar um estado limpo, que depois é enxertado num código maior. A ideia é de 2024, dos pesquisadores Craig Gidney, Noah Shutty e Cody Jones. Até agora só existia em simulação.

Protocolo de magic state cultivation: injeção, cultivo e medição — O protocolo: injeta o estado ruidoso (A), cultiva com medições (B) e descarta o que falha. Figura 1 do paper no arXiv 2512.13908.

O que foi medido, de fato

No Willow, o erro lógico do estado T sem cultivo era de 4,4×10⁻³ — praticamente o mesmo erro físico das portas do chip, ou seja, nenhuma correção útil. Com o cultivo, caiu para 1 a 2×10⁻⁴, cerca de 40 vezes menos, como está no resumo do paper no arXiv. O resultado ficou abaixo do erro de qualquer uma das 216 portas de dois qubits e das 54 medições do circuito.

Esse é o ponto que vale guardar: o 40× é uma etapa, não o computador. Ele mede erro de preparação de estado. Não diz nada sobre custo, tempo ou desempenho de uma máquina completa — foi exatamente o que a análise do eWeek apontou no mesmo dia: “40× não é o mesmo que pronto para o quantum”.

Escada do erro: do estado sem cultivo até o que quebrar o RSA-2048 exige — Gráfico: CheriffAI · dados do paper na *Science*/arXiv 2512.13908 e da estimativa de Gidney para RSA-2048 (arXiv 2505.15917). Escala logarítmica.

Os 8% não são “92% de desperdício”

O número que mais rodou na imprensa foi o 8%: só oito em cada cem tentativas “passaram por todas as checagens”. Vários veículos traduziram isso como “nove em cada dez estados são jogados no lixo”. A análise detalhada do PostQuantum mostra por que a leitura é errada.

Aquele 8% inclui as duas rodadas extras de cultivo e os três ciclos de correção de erro usados só para medir a qualidade do estado. É o custo do experimento, não da produção. A etapa de preparação, sozinha, manteve perto de metade das tentativas na distância 3 — coerente com a previsão teórica de 2024. O desperdício real vira problema na próxima escala: os próprios autores esperam taxa de repetição muito maior na distância 5.

O “recorde” empata com outra máquina

Aqui está a parte que o anúncio deixou de fora. O blog do Google chama os 99,99% de recorde. O paper é mais cauteloso: chama de “estado da arte” e diz que é similar a demonstrações recentes em íons aprisionados. Não é detalhe retórico — a Quantinuum publicou dois pré-prints em 2025 com números no mesmo patamar.

Comparação de erro de magic state: Google Willow e Quantinuum — Gráfico: CheriffAI · dados do paper (Google) e dos pré-prints/PRX da Quantinuum, compilados na análise do PostQuantum.

No experimento com o código de Steane que é a comparação mais justa, a Quantinuum chegou a um limite de 1,5×10⁻⁴ já com detecção de erro — sobreposto à faixa do Google. Os 7×10⁻⁵ da outra medição são ainda menores, mas num código de distância 2, que detecta um erro e não corrige um erro arbitrário. Dentro das incertezas, não dá para dizer qual dos dois é melhor em distância 3. O argumento real do Google é outro, e é bom: ele chega lá numa tecnologia que roda correção de erro muito mais rápido. Velocidade, não pureza.

A parte que quase ninguém citou: a mudança de código

Para o estado sair do experimento e servir num computador, ele precisa migrar do código onde foi cultivado (cor de distância 3) para um código compatível com a arquitetura de cálculo (superfície, distância 5). O Google fez isso com 54 qubits dos 105 do Willow — e o resultado é honesto e desconfortável: o erro do código enxertado ficou cerca de sete vezes acima do que a simulação previa, atribuído a qubits que “vazam” do estado computacional. O paper descreve a etapa como prova de princípio e não reporta fidelidade do estado depois da mudança.

Ou seja: a pureza de 99,99% é do estado antes da viagem. Depois dela, os autores não afirmam que ela sobrevive.

Mapa do processador Willow: frequência de interação e erro de porta CZ por qubit — O Willow por dentro: frequência de interação (esquerda) e erro de porta de dois qubits (direita), qubit por qubit. Figura do paper no arXiv 2512.13908.

O que uma fábrica precisa, e o que o Willow entregou

A comparação que separa experimento de produto foi feita pelo PostQuantum, cruzando o resultado com o desenho de referência do próprio Gidney para quebrar RSA-2048:

Medida	Willow (out/2026)	Desenho RSA-2048 de Gidney (mai/2025)
Erro do estado T cultivado	1–2×10⁻⁴ (limite superior)	10⁻⁷
Maior código alcançado	Distância 5, com erro 7× acima da simulação	Blocos de distância 25
Decisão de manter ou descartar	Feita depois da rodada	Durante a rodada, em 10 microssegundos
Saída	Estados individuais, medidos um a um	Seis fábricas entregando um estado a cada 25 µs
Duração	Erro derivou ~1×10⁻⁴ em uma hora	Rodadas de ~12 h, quase cinco dias no total

Os dois pontos mais duros: na fábrica, a decisão de manter ou descartar precisa acontecer em tempo real, porque o estado é consumido logo depois. O Willow decidiu tudo depois do experimento, olhando os dados. E o erro do Willow está entre 1.000 e 2.000 vezes acima do alvo de 10⁻⁷ do desenho — um limite superior comparado com um ponto de operação modelado, mas a ordem de grandeza é essa.

Pior: três pré-prints de setembro de 2026 mostram que a conta pode ficar mais cara. Um deles (arXiv 2609.17706) demonstra que os circuitos de dupla checagem usados no cultivo têm distância de falha 2, não 3 — o que muda como o erro cai com a redução de ruído: ao quadrado, não ao cubo. Outro (arXiv 2609.18922) calcula as taxas exatas e chega à mesma conclusão. O próprio paper da Science já cita esses trabalhos.

Então o RSA-2048 caiu?

Não. E o número que importa aqui é outro: em maio de 2025, Gidney cortou a estimativa de 20 milhões para menos de 1 milhão de qubits físicos com ruído para fatorar uma chave RSA-2048 (arXiv 2505.15917), e atribuiu parte da redução justamente ao cultivo. O experimento do Willow dá evidência de hardware para essa peça da estimativa. Não muda nenhum dos números dela.

E as datas que a migração pós-quântica deve usar não vêm de um paper: vêm de regulador. O rascunho do NIST IR 8547 propõe depreciar algoritmos vulneráveis ao quântico no nível de 112 bits (RSA-2048 incluído) depois de 2030 e proibi-los em todos os níveis depois de 2035. O próprio Gidney escreveu que não espera máquinas grandes o suficiente em 2030 — e que prefere que a segurança não dependa da lentidão do progresso alheio.

Para quem toma decisão no Brasil, a leitura prática é chata e útil: nada do que está em produção hoje virou obsoleto nesta semana, e o roteiro não mudou — inventariar onde a criptografia está, escolher os algoritmos pós-quânticos já padronizados, começar pelos dados que precisam continuar secretos por mais de uma década (saúde, financeiro, seguros, registros públicos). O que o Willow muda é o custo de hardware do futuro, não o calendário da migração.

O que sobra quando o anúncio esfria

Sobra um resultado científico sólido: pela primeira vez, o cultivo de magic state funcionou em hardware real, com o estado se alinhando onde a teoria previa mesmo quando a injeção vinha torta, e com uma técnica de medição nova — a “kickback tomography”, que resolve um erro de 10⁻⁴ com cerca de 10 mil medições em vez de 10⁸. Os dados e o código da análise estão públicos. Outros grupos já reanalisaram os registros.

Sobra também o que sempre sobra quando um número bom é transformado em manchete: um quarto de século de trabalho para baixar o custo do “mágico”, e a imprensa escolhendo o número mais bonito. 40× é real. 99,99% é real. 8% é real. E a máquina que quebra RSA-2048 continua sem existir — com uma peça a menos no caminho e uma conta que, segundo os pré-prints mais recentes, pode ter ficado um pouco mais cara.