Et muligt kvantegennembrud kræver stadig bevis

Men den korte version er vigtig: Der er endnu ikke tale om et angreb på ML-KEM, ML-DSA eller andre standardiserede kryptosystemer.

Hvad hævder Simon egentlig?

DCP er et matematisk problem i familien af såkaldte skjulte undergruppeproblemer. I forenklet form handler det om at udlede skjult information fra kvantetilstande, hvor den samme ukendte størrelse indgår. Problemet har længe været interessant, fordi det kan forbindes til gitterproblemer gennem kendte reduktioner.

Simons manuskript fremsætter især fire påstande:

• DCP kan løses i polynomiel tid. Algoritmen skulle kunne løse DCP effektivt på en kvantecomputer. Arbejdet bygger videre på den reduktion, som Oded Regev udviklede i begyndelsen af 00'erne, og som forbinder gitterproblemer med DCP .
• Et langvarigt teoretisk hul kan være lukket. Regevs reduktion skabte en forbindelse til gitterproblemer, men i omkring 20 år manglede der en effektiv algoritme, som kunne løse DCP i den relevante generelle form .
• En ny teknisk metode erstatter en central oracle-funktion. Simon beskriver en såkaldt »block-and-query«-teknik, der skal udtrække information om den skjulte undergruppe .
• Resultatet kan få følger for gitterproblemer. Ifølge manuskriptet kan algoritmen kombineres med reduktioner fra Regev og senere forbedringer af Brakerski, Kirshanova, Stehlé og Wen. Det skulle blandt andet give polynomielle kvantealgoritmer til problemer som en polynomiel-faktor-approksimation af det korteste vektorproblem, SVP, samt Learning With Errors, LWE .

Manuskriptet hævder desuden, at algoritmen kan håndtere en fejlbehæftet prøverate på op til 1/O(log n). Det er centralt for forfatterens argument om, at algoritmen kan kombineres effektivt med de eksisterende reduktioner .

Hvor står verificeringen?

Indtil videre er reaktionen i kryptografimiljøet præget af forsigtighed – og ifølge flere tidlige vurderinger betydelig skepsis .

Ingen fagfællebedømmelse

Dokumentet er mærket »Preliminary Draft« og er ikke publiceret i et fagfællebedømt tidsskrift eller på en konference . En placering på IACR ePrint Archive betyder, at arbejdet er gjort offentligt tilgængeligt; det er ikke i sig selv en garanti for, at beviserne er gennemgået og godkendt af andre eksperter.

Centrale beviser er skitser

Tidlige analyser peger på, at flere af manuskriptets afgørende beviser kun præsenteres som skitser. Den afsluttende konsekvens for SVP- og LWE-parametre bygger desuden delvist på upublicerede henvisninger til personlig kommunikation frem for fuldt offentliggjorte udledninger .

Det betyder ikke automatisk, at resultatet er forkert. Det betyder, at de afgørende mellemtrin skal undersøges nøje, før man kan drage konklusioner om algoritmens faktiske rækkevidde.

Ingen uafhængig bekræftelse endnu

Der var pr. 7.–8. august 2026 ikke offentliggjort nogen uafhængig verificering eller gendrivelse . Den foreløbige holdning kan derfor opsummeres som: gennemgå beviserne først, og reager bagefter.

Hvad betyder det for ML-KEM og ML-DSA?

For organisationer, der implementerer eller evaluerer NIST's postkvante-standarder, er den umiddelbare konklusion klar: Der er ingen grund til at ændre kurs på baggrund af dette manuskript alene .

• Ingen praktisk angrebsdemo. Manuskriptet indeholder ikke et angreb på ML-KEM, som er standardiseret i FIPS 203, eller ML-DSA, som er standardiseret i FIPS 204 .
• Ingen NIST-parametre er blevet angrebet. Der er ikke rapporteret et brud på noget af de parameterniveauer, der indgår i standarderne .
• Forbindelsen er indirekte. DCP er forbundet med gitterproblemer gennem matematiske reduktioner. Men det er et ekstra og endnu ikke fastslået trin at vise, at disse reduktioner giver et konkret angreb på Module-LWE eller Module-SIS – de specifikke hårdhedsantagelser, som ligger bag henholdsvis ML-KEM og ML-DSA .
• »Gitterproblemer« er en bred kategori. Selv en bekræftet algoritme til visse gitterproblemer vil ikke automatisk betyde, at alle gitterbaserede kryptosystemer er kompromitteret. NIST-standarderne bygger på strukturerede varianter, og deres sikkerhed skal vurderes særskilt .

Det er også værd at se på udviklingen før Simons påstand. I 2025 beskrev Bai, Jangir, Kirshanova, Ngo og Youmans en kvantealgoritme med kvasi-polynomiel køretid for en begrænset variant af DCP, det såkaldte extrapolated DCP over moduler, der er potenser af to . En fuld polynomiel løsning ville derfor være et markant skridt videre – men netop derfor er verifikationen afgørende.

Hvorfor er påstanden alligevel vigtig?

Selv uden et praktisk angreb kan arbejdet være vigtigt for forskningen. Postkvantekryptografi bygger i høj grad på matematiske problemer, som anses for vanskelige – også for kvantecomputere. En verificeret polynomiel algoritme til DCP ville vise, at mindst én central del af den nuværende teoretiske sikkerhedskæde er svagere end hidtil antaget.

Men betydningen for konkrete standarder afhænger af hele reduktionskæden. Det er ikke nok, at DCP kan løses effektivt; man skal også vise, at den relevante forbindelse til de strukturerede problemer i ML-KEM og ML-DSA kan omsættes til et effektivt og konkret angreb.

Eksperternes foreløbige reaktion

Den tidlige respons har ifølge analyser været præget af »heavy skepticism« – ikke nødvendigvis fordi påstanden er umulig, men fordi manuskriptet endnu ikke leverer den dokumentation, der kræves for et resultat med så store konsekvenser .

Eksperter fremhæver især:

• at flere bærende beviser er skitseagtige
• at dele af den afsluttende konklusion henviser til upubliceret materiale
• at konsekvenserne for gitterbaseret postkvantekryptografi er betingede af bestemte reduktioner
• at der endnu ikke foreligger formelle udmeldinger fra NIST, forskningslaboratorier eller standardiseringsorganer

Den mest rimelige vurdering er derfor hverken at afskrive arbejdet eller erklære den nuværende postkvantekryptografi for brudt. Simon har fremsat en potentielt banebrydende teoretisk påstand. Nu skal andre forskere kontrollere hvert led i beviset.

Konklusion: Følg udviklingen, men gå ikke i panik

Hvis Simons resultat bliver bekræftet, kan det få dybtgående betydning for teorien bag gitterbaseret kryptografi og for forståelsen af kvantecomputeres muligheder. Pr. begyndelsen af august 2026 er det dog stadig et ubekræftet preprint med rapporterede svagheder i flere centrale argumenter.

Der er ikke offentliggjort et praktisk angreb på ML-KEM eller ML-DSA, ingen NIST-parametre er blevet brudt, og der er ikke grundlag for at ændre eksisterende implementeringer eller migrationsplaner på baggrund af påstanden alene .