"The design and strength of all key lengths of the AES algorithm (i.e., 128, 192 and 256) are sufficient to protect classified information up to the SECRET level. TOP SECRET information will require use of either the 192 or 256 key lengths. The implementation of AES in products intended to protect national security systems and/or information must be reviewed and certified by NSA prior to their acquisition and use."

http://www.cnss.gov/Assets/pdf/cnssp_15_fs.pdf

Если паранойя конкретно долбит, сделайте такие допущения и калькулятор в руки:
Пусть у врага близкий к идеальному процессор, изменение состояния в котором - лишь квантовый переход 1 электрона в атоме.Очень хороший такой процессор, можно ли даже в теории лучше - большой вопрос.Прикиньте число изменений состояний для брута одного ключа.Пусть это даже не процессор а специально оптимизированная под взлом квантовая схема.Переходов меньше :).В идеале (паранойя же!) допустим что хватит вообще 1 квантового перехода (все-равно до такого уровня эффективности ни одна скотина не дотянет даже если в лепешку расшибется, т.е. это с большим запасом).Далее собссно считаем массу вещества во вселенной (можно найти прикидки у ученых если погуглить, танцевать от цифры порядка 10^80 протонов) и допускаем что всю ее можно растранжирить (ессно E=MC^2) на изменения квантовых состояний атомов в нашей брутфорсилке.В итоге можно прикинуть длину ключа начиная с которой тупой брут даже на столь идеальной схеме становится бесполезным по причине отсутствия на него энергии.А если учесть что столь идеальных схем не бывает а спустить энергии без того чтобы пожарить человечество можно лишь намноооооого меньше... в общем прикидка показывет что на брут 2^512 ключей энергии которую в принципе можно накопать в этой вселенной уже нифига не хватит, так что спите спокойно, законы физики еще ни 1 сволочь нарушить не сумела.Это правда не значит что в алгоритме не найдут ляп за счет которого вместо брута 2^512 можно брутить кардинально меньше ключей например.