Ett möjligt genombrott för kvantkryptografi – eller ett påstående som ännu inte håller?

Vad hävdar Simon?

Simons manuskript bygger vidare på tidigare resultat, bland annat Oded Regevs reduktion från det dihedrala delgruppsproblemet till DCP . De centrala påståendena är:

• En lösning i polynomisk tid. Algoritmen sägs lösa DCP i polynomisk tid på en kvantdator.
• En lucka på omkring 20 år kan fyllas. Om resultatet är korrekt skulle det angripa den öppna fråga som kvarstått sedan kopplingen mellan DCP och gitterproblem etablerades omkring 2002–2004 .
• En ny teknisk metod. Simon ersätter en viktig orakelkomponent från tidigare angrepp med en så kallad ”block-and-query”-teknik för att få fram information om den dolda delgruppen .
• Möjliga följder för gitterproblem. Enligt manuskriptet kan algoritmen kombineras med reduktioner av Regev och senare förbättringar av Brakerski, Kirshanova, Stehlé och Wen. Det skulle i så fall ge polynomiska kvantalgoritmer för problem som att hitta en approximation av den kortaste vektorn i ett gitter, SVP, samt för Learning With Errors, LWE .

Manuskriptet hävdar dessutom att metoden kan hantera en felaktig provfrekvens på upp till ungefär 1/O(log n). Det är denna tolerans som enligt författaren gör kombinationen med de tidigare reduktionerna effektiv .

Varför är reaktionerna försiktiga?

Det korta svaret är att ett preliminärt manuskript inte är samma sak som ett etablerat resultat. I början av augusti 2026 var den dominerande hållningen bland kommentatorer att avvakta och granska bevisen noggrant .

• Ingen sakkunniggranskning har genomförts. Dokumentet är märkt ”Preliminary Draft” och har publicerats i IACR:s ePrint-arkiv, inte i en sakkunniggranskad tidskrift eller konferens .
• Flera centrala steg är endast skissade. Tidiga expertanalyser pekar på att delar av bevisföringen som bär upp resultatet inte är fullt utarbetade. Den avslutande slutsatsen om SVP- och LWE-parametrar bygger dessutom delvis på opublicerade personliga meddelanden snarare än publicerade härledningar .
• Oberoende bekräftelse saknas. Det hade ännu inte publicerats någon oberoende verifiering eller vederläggning av huvudresultatet .
• Det är inget genomfört kryptografiskt angrepp. Arbetet visar inte hur man knäcker ett konkret nyckelutbyte eller en digital signatur i ett standardiserat system .

Det är därför mer korrekt att beskriva detta som ett potentiellt viktigt matematiskt resultat än som en akut säkerhetsincident.

Vad betyder det för ML-KEM och ML-DSA?

För organisationer som använder eller utvärderar NIST:s postkvantstandarder är den praktiska slutsatsen för närvarande tydlig: det finns inget underlag för att byta algoritmer, parameteruppsättningar eller införandeplaner enbart på grund av Simons manuskript .

Ingen attack mot de standardiserade systemen

Manuskriptet innehåller inget angrepp mot ML-KEM, NIST:s standardiserade mekanism för nyckelinkapsling i FIPS 203, eller ML-DSA, signaturalgoritmen i FIPS 204 . Ingen NIST-parameteruppsättning har knäckts eller attackerats .

Kopplingen till standarderna är indirekt

DCP är kopplat till vissa gitterproblem genom matematiska reduktioner. Men steget från ”DCP kan lösas i polynomisk tid” till ”Module-LWE eller Module-SIS, som används i ML-KEM respektive ML-DSA, kan angripas effektivt” är ytterligare ett teoretiskt steg. Det steget är inte etablerat av det preliminära manuskriptet .

Det spelar roll eftersom ”gitterproblem” är en bred kategori. NIST-standarderna bygger inte på ett godtyckligt gitterproblem, utan på specifika och strukturerade antaganden. Ett generellt resultat om vissa gitterproblem behöver därför inte automatiskt innebära ett konkret angrepp mot ML-KEM eller ML-DSA .

Tidigare resultat sätter påståendet i perspektiv

År 2025 presenterade Bai, Jangir, Kirshanova, Ngo och Youmans en kvasi-polynomisk kvantalgoritm för en begränsad variant: det extrapolerade dihedrala cosetproblemet över moduli som är potenser av två . Simons påstående om full polynomisk tid skulle vara ett betydande steg längre – men det är fortfarande obekräftat.

Vad säger forskar- och säkerhetscommunityt?

De tidiga reaktionerna kan sammanfattas som ”granska först, reagera sedan”. Postkvantanalytiker har beskrivit mottagandet som präglat av stark skepsis, framför allt på grund av de skissartade bevisen och hänvisningarna till opublicerat material .

Även om DCP skulle visa sig vara lösbart i polynomisk tid är följderna för gitterbaserad postkvantkryptografi villkorade. De beror på exakt hur reduktionerna fungerar och vilka parametrar och strukturer som kan överföras – inte enbart på att DCP i sig får en effektiv lösning .

NIST, akademiska laboratorier och standardiseringsorgan hade ännu inte lämnat några större formella besked. Det är väntat när ett manuskript bara har varit offentligt i några dagar . Den rådande hållningen är därför att följa granskningen, men inte att ändra standardiserade parameteruppsättningar eller tidsplaner för införandet av postkvantkryptografi .

Slutsats: viktigt påstående, ingen akut kris

Om Simons resultat håller kan det bli ett betydelsefullt genombrott för teorin om kvantalgoritmer och gitterkryptografi. Det skulle i så fall förändra synen på hur svåra vissa gitterproblem är för kvantdatorer.

Men i augusti 2026 är detta fortfarande ett preliminärt och omstritt resultat. Bevisen måste granskas, de centrala stegen måste kunna reproduceras och den påstådda kopplingen till de specifika antagandena bakom ML-KEM och ML-DSA måste analyseras separat. Fram till dess är den sakliga sammanfattningen enkel: ett potentiellt stort teoretiskt resultat – men inget som i nuläget har knäckt NIST:s postkvantstandarder.