Против AES-128 потребовалось бы порядка 2⁶⁴ последовательных квантовых итераций, но каждая итерация — это глубокая схема AES с коррекцией ошибок, а ускорение плохо распараллеливается (разделение поиска между k машинами даёт выигрыш лишь в √k раз). Поэтому NIST относит AES-128 к категории 1 и не требует вдвое увеличивать размер ключей симметричных шифров; NIST IR 8547 сохраняет AES-128, SHA-256 и SHA-3 в числе допустимых алгоритмов.
При поиске коллизий квантовые алгоритмы, если учесть затраты на память, дают мало практических преимуществ перед классическими. Именно из-за алгоритма Гровера постквантовые категории привязаны к стойкости AES и SHA-2/SHA-3, а AES-256 считается консервативным выбором для очень долгоживущих секретов.