הטיוטה נשענת על מסלול תיאורטי שהחל בעבודתו של אודד רבג, שקישרה בין בעיות סריג לבין DCP. לפי התיאור של העבודה, האלגוריתם של סיימון עשוי להשלים פער שנותר פתוח מאז החיבור הזה, שנבנה בתחילת שנות ה־2000 .

במישור הטכני, סיימון מציע להחליף רכיב אורקל מרכזי בגישה המכונה “block-and-query”, שנועדה לחלץ מידע על תת־החבורה הנסתרת . הטיוטה טוענת גם שהשיטה מסוגלת להתמודד עם שיעור מסוים של דגימות פגומות — עד סדר גודל של (1/O(\log n)) — וכך להשתלב עם ההפחתות הקיימות מבעיות סריג ל-DCP .

מדוע זה עשוי להיות חשוב להצפנה פוסט־קוונטית?

המשמעות האפשרית אינה נובעת מכך ש-DCP היא בעצמה מנגנון ההצפנה שבו משתמשים כיום. החשיבות נובעת מהקשרים המתמטיים הידועים בין DCP לבין בעיות סריג, ובהן:

• SVP — בעיית הווקטור הקצר ביותר, או מציאת קירוב לווקטור הקצר ביותר בסריג.
• LWE — בעיית “למידה עם שגיאות”, שעליה נשענות משפחות חשובות של מערכות הצפנה פוסט־קוונטיות.

הטיוטה טוענת כי ניתן לשלב את האלגוריתם עם הפחתות של רבג ועם שיפורים של Brakerski, Kirshanova, Stehlé ו-Wen, כדי לקבל אלגוריתמים קוונטיים בזמן פולינומי לבעיות סריג מסוימות, ובהן קירוב פולינומי של SVP ופתרון LWE .

עם זאת, זו עדיין שרשרת של טענות תיאורטיות. גם אם פתרון יעיל ל-DCP יאומת, צריך להראות בנפרד כיצד הוא מתורגם למתקפה קונקרטית על ההנחות הספציפיות שעליהן נשענים התקנים המודרניים.

היכן עומדת הבדיקה של התוצאה?

נכון ל־7–8 באוגוסט 2026, התגובה הראשונית של הקהילה זהירה ואף ספקנית .

• אין עדיין ביקורת עמיתים. המסמך מוגדר “Preliminary Draft” — טיוטה ראשונית — ולא פורסם כמאמר שעבר שיפוט בכתב עת או בכנס .
• חלק מההוכחות מוצגות כשרטוטים. ניתוחים מוקדמים הצביעו על כך שכמה מהצעדים המרכזיים בהוכחה אינם מפורטים במלואם, וכי המסקנה הסופית לגבי SVP ו-LWE נשענת בחלקה על תקשורת אישית שלא פורסמה .
• אין עדיין אימות או הפרכה בלתי תלויים. לא פורסם עד כה ניתוח עצמאי שמאשר את הטענה או מצביע באופן סופי על כשל בה .
• המסר המקובל הוא להמתין לנתונים. מומחים מתארים את התגובה הראשונית כ“ספקנות כבדה”, ומדגישים כי יש לבדוק את ההוכחות לפני שמסיקים מסקנות לגבי אבטחת ההצפנה .

במילים אחרות, מדובר בטענה מעניינת וחשובה לבדיקה — לא בתוצאה שכבר התקבלה כקונצנזוס מתמטי.

האם ML-KEM ו-ML-DSA נמצאים בסכנה?

התשובה המעשית כרגע היא: לא דווח על איום מיידי שמחייב שינוי בתוכניות הפריסה.

הטיוטה אינה מציגה מתקפה על ML-KEM, תקן FIPS 203 המבוסס על Module-LWE ומשמש להקמת מפתחות, ואינה מציגה מתקפה על ML-DSA, תקן FIPS 204 לחתימות דיגיטליות המבוסס על מבני סריג . כמו כן, לא דווח על תקיפה של קבוצת פרמטרים כלשהי של NIST .

הקשר בין DCP לבין הצפנה מבוססת סריג הוא עקיף. כדי להפוך את התוצאה למתקפה על ML-KEM או ML-DSA, יהיה צורך להראות שההפחתות הרלוונטיות פועלות באופן קונקרטי נגד ההנחות המובנות והספציפיות של התקנים — ובעיקר Module-LWE ו-Module-SIS. צעד תיאורטי נוסף זה עדיין לא הוכח .

חשוב גם לזכור ש“בעיות סריג” הן קטגוריה רחבה. העובדה שאלגוריתם עשוי לפתור סוג מסוים של בעיית סריג אינה מוכיחה אוטומטית שהוא שובר את המבנים הספציפיים המשמשים את ML-KEM ו-ML-DSA .

ההקשר: התקדמות קודמת בבעיות DCP

הטענה של סיימון מגיעה לאחר התקדמות קודמת בתחום. בשנת 2025 פרסמו Bai ועמיתיו אלגוריתם בזמן קוואזי־פולינומי לגרסה מוגבלת של DCP — ה־Extrapolated DCP — עבור מודולים שהם חזקות של 2 .

אלגוריתם בזמן פולינומי לבעיה המלאה יהיה קפיצה משמעותית מעבר לתוצאה הזו. אך דווקא משום שמדובר בקפיצה גדולה, נדרשת בדיקה קפדנית של כל שלב בהוכחה, של הנחות האלגוריתם ושל האופן שבו הוא מתחבר להפחתות לבעיות סריג.

השורה התחתונה

הטיוטה של סיימון עשויה, אם תאומת, להשפיע עמוקות על ההבנה התיאורטית של הקשר בין מחשוב קוונטי לבין קריפטוגרפיה מבוססת סריג. אבל נכון לעכשיו, מדובר בטיוטה שלא עברה ביקורת עמיתים, עם הוכחות מרכזיות שמתוארות באופן חלקי ועם השלכות שעדיין תלויות במספר צעדים תיאורטיים נוספים .

לארגונים שכבר נערכים ל־PQC או משתמשים בתקני NIST, המסר אינו “לעצור הכול”, אלא להמשיך לעקוב אחר הבדיקה המתמטית. בשלב זה אין מתקפה מעשית על ML-KEM או ML-DSA, ואין בסיס לשנות את פרמטרי האבטחה או את לוחות הזמנים לפריסה בעקבות הטיוטה בלבד .

הטיוטה נשענת על מסלול תיאורטי שהחל בעבודתו של אודד רבג, שקישרה בין בעיות סריג לבין DCP. לפי התיאור של העבודה, האלגוריתם של סיימון עשוי להשלים פער שנותר פתוח מאז החיבור הזה, שנבנה בתחילת שנות ה־2000 .

במישור הטכני, סיימון מציע להחליף רכיב אורקל מרכזי בגישה המכונה “block-and-query”, שנועדה לחלץ מידע על תת־החבורה הנסתרת . הטיוטה טוענת גם שהשיטה מסוגלת להתמודד עם שיעור מסוים של דגימות פגומות — עד סדר גודל של (1/O(\log n)) — וכך להשתלב עם ההפחתות הקיימות מבעיות סריג ל-DCP .

מדוע זה עשוי להיות חשוב להצפנה פוסט־קוונטית?

המשמעות האפשרית אינה נובעת מכך ש-DCP היא בעצמה מנגנון ההצפנה שבו משתמשים כיום. החשיבות נובעת מהקשרים המתמטיים הידועים בין DCP לבין בעיות סריג, ובהן:

• SVP — בעיית הווקטור הקצר ביותר, או מציאת קירוב לווקטור הקצר ביותר בסריג.
• LWE — בעיית “למידה עם שגיאות”, שעליה נשענות משפחות חשובות של מערכות הצפנה פוסט־קוונטיות.

הטיוטה טוענת כי ניתן לשלב את האלגוריתם עם הפחתות של רבג ועם שיפורים של Brakerski, Kirshanova, Stehlé ו-Wen, כדי לקבל אלגוריתמים קוונטיים בזמן פולינומי לבעיות סריג מסוימות, ובהן קירוב פולינומי של SVP ופתרון LWE .

עם זאת, זו עדיין שרשרת של טענות תיאורטיות. גם אם פתרון יעיל ל-DCP יאומת, צריך להראות בנפרד כיצד הוא מתורגם למתקפה קונקרטית על ההנחות הספציפיות שעליהן נשענים התקנים המודרניים.

היכן עומדת הבדיקה של התוצאה?

נכון ל־7–8 באוגוסט 2026, התגובה הראשונית של הקהילה זהירה ואף ספקנית .

• אין עדיין ביקורת עמיתים. המסמך מוגדר “Preliminary Draft” — טיוטה ראשונית — ולא פורסם כמאמר שעבר שיפוט בכתב עת או בכנס .
• חלק מההוכחות מוצגות כשרטוטים. ניתוחים מוקדמים הצביעו על כך שכמה מהצעדים המרכזיים בהוכחה אינם מפורטים במלואם, וכי המסקנה הסופית לגבי SVP ו-LWE נשענת בחלקה על תקשורת אישית שלא פורסמה .
• אין עדיין אימות או הפרכה בלתי תלויים. לא פורסם עד כה ניתוח עצמאי שמאשר את הטענה או מצביע באופן סופי על כשל בה .
• המסר המקובל הוא להמתין לנתונים. מומחים מתארים את התגובה הראשונית כ“ספקנות כבדה”, ומדגישים כי יש לבדוק את ההוכחות לפני שמסיקים מסקנות לגבי אבטחת ההצפנה .

במילים אחרות, מדובר בטענה מעניינת וחשובה לבדיקה — לא בתוצאה שכבר התקבלה כקונצנזוס מתמטי.

האם ML-KEM ו-ML-DSA נמצאים בסכנה?

התשובה המעשית כרגע היא: לא דווח על איום מיידי שמחייב שינוי בתוכניות הפריסה.

הטיוטה אינה מציגה מתקפה על ML-KEM, תקן FIPS 203 המבוסס על Module-LWE ומשמש להקמת מפתחות, ואינה מציגה מתקפה על ML-DSA, תקן FIPS 204 לחתימות דיגיטליות המבוסס על מבני סריג . כמו כן, לא דווח על תקיפה של קבוצת פרמטרים כלשהי של NIST .

הקשר בין DCP לבין הצפנה מבוססת סריג הוא עקיף. כדי להפוך את התוצאה למתקפה על ML-KEM או ML-DSA, יהיה צורך להראות שההפחתות הרלוונטיות פועלות באופן קונקרטי נגד ההנחות המובנות והספציפיות של התקנים — ובעיקר Module-LWE ו-Module-SIS. צעד תיאורטי נוסף זה עדיין לא הוכח .

חשוב גם לזכור ש“בעיות סריג” הן קטגוריה רחבה. העובדה שאלגוריתם עשוי לפתור סוג מסוים של בעיית סריג אינה מוכיחה אוטומטית שהוא שובר את המבנים הספציפיים המשמשים את ML-KEM ו-ML-DSA .

ההקשר: התקדמות קודמת בבעיות DCP

הטענה של סיימון מגיעה לאחר התקדמות קודמת בתחום. בשנת 2025 פרסמו Bai ועמיתיו אלגוריתם בזמן קוואזי־פולינומי לגרסה מוגבלת של DCP — ה־Extrapolated DCP — עבור מודולים שהם חזקות של 2 .

אלגוריתם בזמן פולינומי לבעיה המלאה יהיה קפיצה משמעותית מעבר לתוצאה הזו. אך דווקא משום שמדובר בקפיצה גדולה, נדרשת בדיקה קפדנית של כל שלב בהוכחה, של הנחות האלגוריתם ושל האופן שבו הוא מתחבר להפחתות לבעיות סריג.

השורה התחתונה

הטיוטה של סיימון עשויה, אם תאומת, להשפיע עמוקות על ההבנה התיאורטית של הקשר בין מחשוב קוונטי לבין קריפטוגרפיה מבוססת סריג. אבל נכון לעכשיו, מדובר בטיוטה שלא עברה ביקורת עמיתים, עם הוכחות מרכזיות שמתוארות באופן חלקי ועם השלכות שעדיין תלויות במספר צעדים תיאורטיים נוספים .

לארגונים שכבר נערכים ל־PQC או משתמשים בתקני NIST, המסר אינו “לעצור הכול”, אלא להמשיך לעקוב אחר הבדיקה המתמטית. בשלב זה אין מתקפה מעשית על ML-KEM או ML-DSA, ואין בסיס לשנות את פרמטרי האבטחה או את לוחות הזמנים לפריסה בעקבות הטיוטה בלבד .