Gegen AES-128 wären größenordnungsmäßig 2⁶⁴ aufeinanderfolgende Quanteniterationen nötig, doch jede Iteration ist eine tiefe, fehlerkorrigierte AES-Schaltung, und die Beschleunigung lässt sich schlecht parallelisieren (wer die Suche auf k Maschinen verteilt, gewinnt nur den Faktor √k). NIST stuft AES-128 deshalb in Kategorie 1 ein und verlangt keine Verdopplung symmetrischer Schlüssellängen; NIST IR 8547 lässt AES-128, SHA-256 und SHA-3 weiterhin zu.
Bei der Kollisionssuche bringen Quantenalgorithmen kaum praktischen Vorteil gegenüber klassischen, sobald die Speicherkosten eingerechnet sind. Wegen Grover sind die Post-Quanten-Kategorien an der Stärke von AES und SHA-2/SHA-3 verankert, und deshalb ist AES-256 die konservative Wahl für sehr langlebige Geheimnisse.