服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- Cloudflare 作者将当前 Privacy Pass 的量子防伪风险，与令牌签发/兑换不可关联性分开说明。
- MOLE 计划隐藏背书来自哪个受信任签发方，再由管理方按自己的策略发放交互凭证。
- VOLE-IHAT、VOLE-ACT 是开发中的候选；估算、参数和安全证明仍需后续研究。
- 本次文章没有给出 MOLE 上线日期、地区、客户端版本、套餐或费用；令牌隐私也不等于隐藏网络元数据。
先分清：防止伪造与保护不可关联性
Cloudflare 于 2026 年 11 月 6 日发布 The post-quantum future of web privacy，作者为 Christopher Patton、Tianyu Zhang 和 Bas Westerbaan。文章讨论网站如何用隐私令牌支持反滥用和流量管理，同时减少对挑战、账号或指纹的依赖。
Privacy Pass 的基本流程是先取得令牌，再兑换令牌以访问站点。作者指出，当前使用的 RSA、椭圆曲线密码学会让具备相关能力的量子攻击者有机会伪造令牌；但他们同时将真实令牌的签发与兑换不可关联性描述为无条件隐私属性。
这两项不能混为一个“安全/不安全”结论：站点能否相信令牌不是伪造的，和观察者能否把一次兑换对应到此前签发，分别保护不同的对象。该威胁描述也没有说明今天已经出现了这样的量子攻击。
MOLE 希望增加什么能力
MOLE 是 Moderation Of unLinkable Endorsements 的缩写。按作者描述，客户端向管理方证明：自己的背书来自双方认可的一组受信任 anchor 之一，同时不暴露具体是哪一个；管理方接受后，发放用于管理本站交互的凭证。
可以把这个设计目标理解为“证明来自认可集合，又不交代集合中的具体成员”。例如，一个假设站点只需要确认某个受信任来源认可了客户端，可能不需要知道具体来源；这是帮助理解的假设例子，不是某个已上线产品的配置方法。
隐藏签发方身份的目标，还包括让更多客户端类型参与、支持对智能体流量的管理。它不取消站点自己的访问或限流策略，也不自动给客户端增加使用资格。
哪些内容仍在研究中
作者正在开发 VOLE-IHAT 和 VOLE-ACT，分别作为 MOLE 背书与凭证的候选构造。它们基于文中讨论的 VOLE-in-the-Head 与多变量密码学方向；当前成本数字明确属于可能变化的估算。
文章列出的后续工作包括协议安全证明、进一步分析 UOV 的安全性，以及等待参数稳定。作者还指出，某种实验性的多变量承诺优化可能影响客户端隐私，其安全性并未明确。
因此，不能把现有 Privacy Pass 的隐私属性推广成所有新候选构造已经安全，也不能把作者实现中的性能描述当成自己环境的实测结果。所读文章未给出 MOLE 的正式上线日期、支持地区、客户端版本、套餐、费用或运营方接入步骤。
令牌隐私覆盖到哪里
签发与兑换不可关联，描述的是令牌协议中的关系。它没有建立“站点看不到 IP 地址、网络元数据、Cookie 或账号记录”的结论；这些信号是否可见，需要分别依据实际系统和数据路径判断。
文章提到 iCloud Private Relay、Privacy Gateway 等既有 Privacy Pass 应用，用来说明部署经验。这些例子不证明相同服务已经采用 MOLE、VOLE-IHAT 或 VOLE-ACT，也不代表所有客户端获得了新的隐私保护。
现在怎样评估这条消息
如果你负责网站或客户端，先写清要解决的问题：令牌伪造、签发方信息暴露，还是其他网络信号。再把现有部署证据与研究候选分别记录，跟踪正式协议、安全分析、稳定参数和具体产品接入公告。
需要评估 Workers 运行时算法支持时，可另读已发布的 Workers 后量子 WebCrypto 指南。那是原语和兼容性问题；开启某个运行时 flag 不构成 MOLE 已部署的证据。
本篇依据 Cloudflare 原文解释研究范围，没有运行密码学实现、测试令牌、连接代理或修改站点。对当前业务的判断仍应依赖该业务真实使用的协议、版本及正式变更记录。
资料来源
常见问题
为什么不能直接换成普通后量子签名？
作者说明，普通签名与盲签名、隐藏签发方的背书等凭证目标不同。针对一种用途优化的参数，不一定适用于另一种用途；不能只替换算法名称就认定完整协议完成迁移。
使用代理会改变站点的令牌额度或访问资格吗？
本文没有任何此类证据。代理连通性、令牌是否被接受、站点的账号资格与限流规则是不同问题；更换网络出口不能据此视为获得额外额度或规则豁免。