Simon hevder å ha funnet en kvantealgoritme i polynomisk tid – men ML-KEM og ML-DSA er ikke knekt

DCP er nært knyttet til det bredere arbeidet med skjulte undergrupper og gitterproblemer. Tidligere resultater, blant annet en reduksjon av Regev, har vist hvordan gitterproblemer kan kobles til DCP. Det som har manglet, er en effektiv kvantealgoritme som tar det siste steget og faktisk løser DCP i polynomisk tid .

De viktigste påstandene i utkastet er:

• En DCP-løser i polynomisk tid. Algoritmen skal kunne hente ut skjult informasjon fra kvantetilstander uten den kostbare begrensningen som har preget tidligere metoder .
• Et mulig svar på et langvarig åpent spørsmål. Dersom beviset er korrekt, kan resultatet fylle et teoretisk hull som har stått siden koblingen mellom DCP og gitterproblemer ble etablert for rundt to tiår siden .
• En ny teknisk metode. Simon erstatter en sentral orakeltilgang fra tidligere tilnærminger med en såkalt «block-and-query»-teknikk for å trekke ut informasjon om den skjulte undergruppen .
• Mulige følger for gitterproblemer. Utkastet hevder at algoritmen kan kombineres med reduksjoner utviklet av Regev og senere forbedret av Brakerski, Kirshanova, Stehlé og Wen. Det skal blant annet kunne gi polynomiske kvantealgoritmer for tilnærmet løsning av korteste-vektor-problemet (SVP) og for Learning With Errors (LWE) .

Utkastet hevder også at metoden kan tåle en feilaktig andel prøver på opptil 1/O(log n). Det er viktig fordi en slik toleranse ifølge artikkelen kan gjøre kombinasjonen av DCP-algoritmen og de eksisterende reduksjonene effektiv .

Hvor godt er resultatet kontrollert?

Foreløpig er svaret: ikke godt nok til at man kan trekke sikre konklusjoner.

Dokumentet er merket «Preliminary Draft» og ble lagt ut på IACR Cryptology ePrint Archive i begynnelsen av august 2026 . Et forhåndstrykk på ePrint er ikke det samme som en fagfellevurdert konferanse- eller tidsskriftpublikasjon.

Tidlige reaksjoner fra fagmiljøet har vært forsiktige og i flere tilfeller svært skeptiske. Analytikere har påpekt at flere av bevisene som bærer hovedresultatet, bare presenteres som skisser. Den avsluttende følgen for SVP- og LWE-parametere bygger dessuten delvis på upubliserte personlige meddelelser fremfor fullstendige, offentlig tilgjengelige utledninger .

Det finnes heller ingen uavhengig bekreftelse eller tilbakevisning publisert i dagene etter at utkastet ble kjent . Den rådende holdningen kan oppsummeres som: verifiser først, reager etterpå.

Det er også avgjørende å skille mellom en matematisk påstand og et praktisk angrep. Simon har ikke vist en fungerende angrepsmetode mot et standardisert kryptosystem. Det er selve bevisføringen for DCP som først må granskes .

Hva betyr dette for ML-KEM og ML-DSA?

For organisasjoner som bruker eller vurderer NIST-standardene, er den umiddelbare konklusjonen klar: Det er ingen grunn til å endre kurs på bakgrunn av dette forhåndstrykket alene .

• Ingen standard er brutt. Utkastet inneholder ikke et angrep på ML-KEM, som er standardisert i FIPS 203, eller ML-DSA, som er standardisert i FIPS 204. Ingen NIST-parameter har blitt angrepet .
• Koblingen er indirekte. DCP kan knyttes til gitterproblemer gjennom kjente reduksjoner. Men det følger ikke automatisk at en effektiv DCP-løser gir et konkret angrep på Module-LWE eller Module-SIS – de spesifikke vanskelighetsantakelsene som brukes i henholdsvis ML-KEM og ML-DSA .
• Den mulige bekymringen er foreløpig strukturell. Hvis Simon har rett, vil det styrke det teoretiske argumentet for at kvantedatamaskiner kan løse enkelte gitterproblemer effektivt. «Gitterproblemer» er imidlertid en bred kategori, mens NIST-standardene bygger på bestemte, strukturerte varianter .
• Tidligere resultater viser fremgang, men ikke et gjennombrudd. I 2025 publiserte Bai og medforfattere en kvasi-polynomisk kvantealgoritme for en begrenset variant kalt extrapolated DCP over potenser av to . En full løsning i polynomisk tid ville derfor være et stort sprang, men Simons påstand er fortsatt ubekreftet.

Hvorfor er påstanden likevel viktig?

Postkvantekryptografi bygger på problemer som antas å være vanskelige også for kvantedatamaskiner. Det betyr ikke at alle gitterproblemer må være like vanskelige, eller at en løsning på ett problem automatisk ødelegger alle konstruksjoner som bruker gittermatematikk.

Det avgjørende er hele kjeden:

1. Er Simons algoritme faktisk korrekt?
2. Gjelder den den fulle DCP-varianten som brukes i reduksjonene?
3. Kan reduksjonene gjennomføres med realistiske parametere og uten skjulte forutsetninger?
4. Gir dette til slutt et effektivt angrep på de strukturerte problemene bak ML-KEM eller ML-DSA?

Foreløpig finnes det ikke svar på disse spørsmålene. Derfor er konsekvensene for standardisert postkvantekryptografi fortsatt betingede – de følger av en hel serie teoretiske steg, ikke bare av at DCP skulle være løsbart i polynomisk tid .

Ekspertenes foreløpige linje: vent og etterprøv

Responsen fra kryptografi- og postkvantesikkerhetsmiljøet har i hovedsak vært å dempe overskriftene. Det er rapportert om «tung skepsis» fordi sentrale deler av beviset er skissepregede og delvis støtter seg på upublisert materiale .

Det er heller ikke kommet formelle uttalelser fra NIST, større akademiske laboratorier eller standardiseringsorganer. Det er ikke overraskende når dokumentet bare har vært offentlig i noen få dager .

Den fornuftige statusen er derfor:

• Påstanden er teoretisk interessant og kan bli svært viktig dersom den består kontroll.
• Den er ikke fagfellevurdert eller uavhengig bekreftet.
• Den demonstrerer ikke et angrep på ML-KEM, ML-DSA eller andre NIST-standarder.
• Det er foreløpig ingen faglig grunn til å endre parameter­sett eller tidsplaner for utrulling av postkvantekryptografi .

Simon kan ha identifisert et gjennombrudd i et problem som har stått uløst i rundt 20 år. Men akkurat nå er dette først og fremst en påstand som må etterprøves – ikke et tegn på at dagens postkvantekryptering plutselig har sluttet å virke.