Contre AES-128, il faudrait de l’ordre de 2⁶⁴ itérations quantiques séquentielles, mais chaque itération est un circuit AES profond avec correction d’erreurs, et l’accélération se parallélise mal (répartir la recherche sur k machines ne fait gagner qu’un facteur √k). Le NIST classe donc AES-128 en catégorie 1 et n’exige pas de doubler la taille de clé des algorithmes symétriques ; le NIST IR 8547 maintient AES-128, SHA-256 et SHA-3 en service.
Pour la recherche de collisions, les algorithmes quantiques n’offrent guère d’avantage pratique sur les algorithmes classiques une fois le coût de la mémoire pris en compte. C’est à cause de Grover que les catégories post-quantiques sont calées sur la robustesse d’AES et de SHA-2/SHA-3, et qu’AES-256 est le choix prudent pour des secrets à très longue durée de vie.