Contra AES-128 harían falta del orden de 2⁶⁴ iteraciones cuánticas secuenciales, pero cada iteración es un circuito AES profundo y con corrección de errores, y la aceleración no se paraleliza bien (repartir la búsqueda entre k máquinas solo gana √k). Por eso el NIST clasifica AES-128 en la categoría 1 y no exige duplicar los tamaños de clave simétrica; NIST IR 8547 mantiene en servicio AES-128, SHA-256 y SHA-3.
Para la búsqueda de colisiones, los algoritmos cuánticos apenas ofrecen ventaja práctica sobre los clásicos una vez que se cuenta el coste de la memoria. Grover es la razón por la que las categorías poscuánticas se anclan a la robustez de AES y de SHA-2/SHA-3, y por la que AES-256 es la opción conservadora para secretos de muy larga duración.