Wat Simon claimt over quantumalgoritmen en waarom ML-KEM en ML-DSA voorlopig niet in gevaar zijn

Wat staat er precies in Simons artikel?

Het artikel, met de titel A Polynomial-Time Quantum Algorithm for the Dihedral Coset Problem, werd als voorlopige versie gepubliceerd in het IACR Cryptology ePrint Archive onder nummer 2026/1591 . De centrale claim bestaat uit vier onderdelen:

• Een polynomiale oplossing voor DCP. Simon stelt dat zijn algoritme DCP in polynomiale tijd kan oplossen op een quantumcomputer. Daarmee bouwt hij voort op een reductie van Regev uit 2002, die het Dihedral Subgroup Problem met DCP in verband bracht .
• Een mogelijke oplossing voor een langdurig open probleem. Regevs werk legde een verband tussen DCP en roosterproblemen, maar een efficiënte quantumoplossing voor DCP bleef ongeveer twintig jaar uit. Als Simons bewijs standhoudt, zou het die ontbrekende schakel leveren .
• Een andere technische methode. Het algoritme vervangt een belangrijk orakel uit eerdere benaderingen door een zogenoemde ‘block-and-query’-techniek om informatie over de verborgen subgroep te achterhalen .
• Gevolgen voor roosterproblemen. Volgens het artikel kan de methode worden gecombineerd met reducties van Regev en latere verbeteringen van Brakerski, Kirshanova, Stehlé en Wen. Dat zou quantumalgoritmen opleveren voor onder meer benaderingen van het kortste-vectorprobleem (SVP) en het Learning With Errors-probleem (LWE) .

Simon schrijft bovendien dat het algoritme een relatief hoge foutieve steekproeffrequentie zou kunnen verdragen, tot ongeveer 1/O(log n). Volgens de paper kan daardoor ook de combinatie met bestaande reducties efficiënt blijven werken .

Waarom experts nog terughoudend zijn

De eerste reacties uit de cryptografische gemeenschap zijn niet enthousiast, maar vooral voorzichtig. Dat is gebruikelijk bij een uitzonderlijk theoretisch resultaat dat nog niet onafhankelijk is gecontroleerd.

Geen peerreview

De tekst is uitdrukkelijk aangeduid als een Preliminary Draft. Het artikel is niet gepubliceerd in een wetenschappelijk tijdschrift of conferentie en heeft nog geen formele peerreview doorlopen .

Cruciale bewijzen zijn niet volledig uitgewerkt

Verschillende vroege analyses wijzen erop dat meerdere dragende onderdelen van het bewijs als schets zijn gepresenteerd. Ook de slotconclusie over SVP- en LWE-parameters zou deels steunen op niet-gepubliceerde persoonlijke mededelingen in plaats van op volledig uitgewerkte, controleerbare afleidingen . Een industrieanalist omschreef de eerste reacties als ‘zware scepsis’ .

Nog geen onafhankelijke bevestiging

Sinds de publicatie is er geen onafhankelijke verificatie of weerlegging verschenen . De dominante houding is daarom: eerst de details controleren, daarna pas conclusies trekken. De claim is interessant genoeg om serieus te onderzoeken, maar nog niet stevig genoeg om als vastgesteld resultaat te behandelen.

Wat betekent dit voor ML-KEM en ML-DSA?

Voor organisaties die overstappen op of werken met de door NIST gestandaardiseerde post-quantumalgoritmen is de praktische conclusie voorlopig eenvoudig: er is geen reden om op basis van dit artikel van koers te veranderen .

• Geen directe aanval. Het artikel bevat geen aanval op ML-KEM, de sleuteluitwisselingsmethode uit FIPS 203, of ML-DSA, de handtekeningstandaard uit FIPS 204 . Geen enkele NIST-parameterkeuze is hiermee gebroken .
• Het verband is indirect. DCP is via bekende reducties gekoppeld aan algemene roosterproblemen. Dat betekent niet automatisch dat Module-LWE of Module-SIS — de specifieke moeilijkheidsaannames achter ML-KEM en ML-DSA — praktisch kunnen worden aangevallen .
• Een structurele, geen operationele zorg. Als Simons resultaat wordt bevestigd, zou het de theoretische mogelijkheid versterken dat quantumcomputers bepaalde roosterproblemen efficiënt kunnen oplossen. ‘Roosterproblemen’ is echter een brede categorie; de NIST-standaarden gebruiken specifieke, gestructureerde varianten .
• De benodigde hardware blijft een afzonderlijke kwestie. Zelfs een geldig theoretisch quantumalgoritme is niet hetzelfde als een aanval die vandaag uitvoerbaar is. Het voorliggende onderzoek beschrijft bovendien geen praktische aanvalscircuits of aanval op een gestandaardiseerd cryptosysteem .

Belangrijke context: eerdere vooruitgang bij DCP

De claim komt niet uit het niets. In 2025 beschreven Bai en medeauteurs een quantumalgoritme met quasi-polynomiale looptijd voor een beperkte variant van DCP: het extrapolated Dihedral Coset Problem over moduli die machten van twee zijn .

Een volledig polynomiale oplossing voor DCP zou daar een grote stap bovenuit zijn. Maar juist omdat de nieuwe claim zo ver gaat, moeten de bewijsdetails grondig worden nagekeken voordat de gevolgen voor latticecryptografie kunnen worden vastgesteld.

De stand van zaken in één zin

Simons voorpublicatie kan, als het bewijs correct blijkt, grote theoretische gevolgen hebben voor de relatie tussen quantumcomputing en roostercryptografie. Voorlopig is het echter een onbevestigde claim — geen praktische aanval op ML-KEM, ML-DSA of andere NIST-standaarden. De juiste reactie is daarom niet paniek, maar onafhankelijke controle en een nuchtere voortzetting van bestaande post-quantummigraties .