本文由 Muhammad Shaheer Bin Junaid 提出，针对中小企业（SME）在云存储场景中面临的后量子密码迁移困境。核心威胁是“先收割后解密”（harvest-now-decrypt-later）：攻击者现在即可收集云存储中的密文，待未来量子计算机成熟后再破解，导致长期机密数据（如商业秘密、医疗记录）面临不可逆的泄露风险。中小企业既无法自建基础设施，也缺少密码学专家，现有方案如定制化迁移成本过高，而托管密钥服务只是将信任转移给第三方，并未消除信任。为此，论文提出了 Quantum Cloud Guard（QCG），一个纯软件的三层架构，首次同时结合了三个要素：客户端混合后量子加密、自托管密钥保管（使用客户端可验证的 ML-DSA-87 签名）、以及应用层滥用防护网关。具体而言，文件在客户端使用 AES-256-GCM 加密，对称密钥由企业密钥服务中的 ML-KEM-1024 公钥进行封装，文件本身永不离开客户端；密钥由企业独立管理，并附带 ML-DSA-87 签名，客户端固定公钥后可检测到密钥被替换。通过将密钥托管与数据托管分离，避免云服务商同时持有两把钥匙而能够读取数据。实验在 24 MHz STM32F407 上测得 ML-KEM-1024 密钥生成耗时 40.8 毫秒、解封装 44.0 毫秒；服务器端所有后量子操作保持在亚毫秒级，每次请求签名仅增加 0.24 毫秒。服务可运行在 4.49 欧元/月的虚拟服务器上。在持续洪水攻击下，内置网关 Sentinel Gate 拒绝了 98.8% 的攻击流量，合法客户端的中位延迟仅从 621 毫秒升至 625 毫秒。作者承认该测试为单源验证，主要证明过滤有效而非整体 DDoS 防御能力。该研究提供了面向中小企业可行的后量子迁移路径，兼顾了性能、成本与信任控制。