Contra o AES-128, seriam necessárias da ordem de 2⁶⁴ iterações quânticas sequenciais, mas cada iteração é um circuito AES profundo e com correção de erros, e o ganho de velocidade não se paraleliza bem (dividir a busca entre k máquinas só rende um ganho de √k). Por isso, o NIST trata o AES-128 como categoria 1 e não exige dobrar o tamanho da chave simétrica; o NIST IR 8547 mantém o AES-128, o SHA-256 e o SHA-3 em uso.
Na busca de colisões, os algoritmos quânticos oferecem pouca vantagem prática sobre os clássicos quando se contabiliza o custo de memória. O algoritmo de Grover é a razão pela qual as categorias pós-quânticas são ancoradas na força do AES e do SHA-2/SHA-3 e pela qual o AES-256 é a escolha conservadora para segredos de vida muito longa.