ML-KEM作为NIST后量子密钥封装标准，数学安全坚固，但实现神话频现：masking开销过高导致不可用、侧信道泄漏无解、IND-CCA易失败、高效电路软件遥不可及。这些误解源于早期实现缺陷与防护权衡不当，实际通过工程实践可控。
首先，masking开销神话。高阶masking防护d阶DPA需O(d²)域乘法与随机数，传统方案overhead巨大，如AES d=8时速度降68%。但packed multiplication摊销多运算成本，仅需d²+2ℓd+ℓ bilinear乘法（ℓ并行），ARM NEON矢量实现15指令/乘，AES SubBytes d=8时速度仅降33%、随机节省68%。电路端，随机伪轮隐藏优于masking：动态冗余模运算+LFSR调度破坏PWM时序，Xilinx Spartan-6 FPGA上防护前897~1650 traces CPA破解密钥，防护后10k traces无效，面积仅增157 LUT+99 FF（AT增17.99%），优于静态隐藏。落地参数：软件选d=2（3 shares），NEON打包ℓ=4，随机源NIST RBG；硬件d=1伪轮，LFSR种子128位，TVLA |t|<4.5阈值验证。
其次，侧信道泄漏神话。ML-KEM PWM/NTT易timing/power leak，如Kyberslash实现分支预测漏洞单迹线密钥恢复，Clang优化poly_frommsg引入秘密分支10min笔记本破解ML-KEM-512。故障攻击普遍，Rowhammer翻转bit即破，但非ML-KEM专属。防护实践：常时执行禁浮点，NTT首级LUT替换减8周期，PWM流水优化+迭代FIFO（尺寸减55%）。清单：1)输入校验pk/ct类型&模q；2)Nonce counter check防采样故障，仅改32bit bitstream即破；3)拆分Nonce周期；4)层级流水（哈希采样/NTT-PWM/加压编码），AT产品level1/3/5提升15.8%/10.7%/11.3%；5)GPU cuPQC H100上keygen 1330万/s（143x CPU）。
再次，IND-CCA误解。神话称解封装失败泄私钥，但概率<2^{-100}（Cauchy-Schwartz），远低于宇宙射线bit翻。FO变换确保即使失败攻击优势微弱，单次密钥使用更安全。误binding需恶意sk控制，非正常威胁。工程清单：RBG强度匹配参数（512:128bit,1024:256bit）；销毁中间值（sk/hash/r）；失败率监控<10^{-30}阈值，回滚经典hybrid如X25519MLKEM768。
最后，高效率神话破除。三层架构（采样/NTT-PWM/压缩）+混合还原2周期结果，Xilinx Artix-7上ML-KEM-512 keygen/encaps/decaps 3768/5079/6668 cycles，仅7412 LUT。软件constexpr C++20头文件库，i7-12700 22μs keygen。部署参数：优先768平衡，hybrid过渡；测试ACVP KATs。
来源：keymaterial.net/p/ml-kem-mythbusting；jeit.ac.cn/doi/10.11999/JEIT250292；eprint.iacr.org/2024/1049；相关FPGA/GPU优化论文。
（正文约1050字）