AI lost decennia-oude wiskunde op voor $2.000. Wat betekent dat voor jouw encryptie?

OpenAI publiceerde op 1 augustus tien resultaten op wiskundige problemen die tien jaar of langer open stonden, van bolstapelingen in hoge dimensies tot vragen uit de complexiteitstheorie. De resultaten zijn gegenereerd door een intern model (Astra), formeel geverifieerd met Lean-certificaten, en de totale rekenkosten bedroegen naar eigen zeggen zo'n $2.000 aan tokens. Wat decennia menselijk onderzoek niet opleverde, kostte een machine een paar dagen en het budget van een laptop.

Het resultaat dat over jouw encryptie gaat

Eén van de tien resultaten raakt direct aan de fundamenten van moderne cryptografie: een hardheidsbewijs voor het Closest Vector Problem, een kernprobleem uit de roostertheorie (lattices). Op precies dat soort problemen rust post-quantum cryptografie, de nieuwe generatie versleuteling die bestand moet zijn tegen quantumcomputers en die met de NIST-standaarden FIPS 203, 204 en 205 sinds 2024 definitief is.

Belangrijk om eerlijk te zijn over wat dit resultaat wél en niet betekent. Het is een bewijs dat het probleem moeilijk is. Dat versterkt juist het vertrouwen in rooster-gebaseerde cryptografie. Er is dus geen enkele reden voor paniek dat "AI je encryptie breekt". Wie dat roept, verkoopt angst.

Waarom dit tóch over jouw organisatie gaat

De echte les zit een laag dieper. De veiligheid van alle cryptografie rust op wiskundige aannames, en die aannames worden nu getest in een tempo dat vijf jaar geleden ondenkbaar was. In beide richtingen: bewijzen dat iets hard is, en vinden waar het zwak is. De houdbaarheid van zulke aannames is geen constante meer.

En los daarvan tikt er al een klok die niets met AI te maken heeft:

• De gecoördineerde Europese PQC-roadmap stuurt erop dat organisaties uiterlijk eind 2026 starten met inventarisatie en een migratieplan.
• Hoog-risicosystemen horen uiterlijk eind 2030 gemigreerd te zijn, de rest uiterlijk 2035.
• "Harvest now, decrypt later" is vandaag al een risico: versleuteld verkeer dat nu wordt afgetapt en opgeslagen, kan later worden ontsleuteld. Voor data met een lange vertrouwelijkheidsduur, denk aan medische dossiers, juridische stukken en bedrijfsgeheimen, telt die dreiging nu al.

“De vraag is niet of de aannames onder je huidige versleuteling ooit sneuvelen. De vraag is of jij dan al weet wat je moet vervangen, en in welke volgorde.”

Je kunt alleen migreren wat je kunt zien

De eerste stap van elke PQC-migratie is geen techniek maar inventaris: welke algoritmen, protocollen, certificaten en sleutels draaien er eigenlijk in je organisatie, en welke daarvan zijn quantum-kwetsbaar? Het NCSC beschrijft die aanpak samen met TNO en AIVD in het PQC-migratie handboek. In de praktijk blijkt die inventaris bij de meeste organisaties niet te bestaan. Precies daarvoor is de SAIG PQC-Readiness Scan: een crypto-inventarisatie met risicoklassering en een geprioriteerde migratie-roadmap, tegen een vaste prijs.