⚛️ quantum physics

When cheap gradients fail: the measurement cost of attacking quantum classifiers

Diese Arbeit zeigt, dass endliche Quantenmessstatistik (Schrotrauschen) als eine eingebaute Verteidigung gegen gradientenbasierte Angriffe auf variationale Quantenklassifikatoren fungiert, indem sie eine Messkostenstruktur erzwingt, die superlinear mit der Eingabedimension skaliert, wodurch weiße Box-Adversarial-Angriffe im Vergleich zu ihren klassischen Gegenstücken prohibitiv teuer werden.

Ursprüngliche Autoren: Bacui Li, Chandra Thapa, Tansu Alpcan, Udaya Parampalli

Veröffentlicht 2026-07-14

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Bacui Li, Chandra Thapa, Tansu Alpcan, Udaya Parampalli

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, eine winzige, unsichtbare Änderung in ein Foto einzuschleusen, um eine kluge KI zu täuschen, damit sie eine Katze für einen Hund hält. In der Welt regulärer Computerprogramme ist das wie ein „Cheat-Code“. Man kann das Programm fragen: „In welche Richtung muss ich die Pixel verschieben, um zu gewinnen?“ und es verrät einem die Antwort sofort, fast kostenlos. Dies wird als „billiges Gradienten-Prinzip“ bezeichnet. Angreifer lieben das, weil sie Millionen von winzigen Verschiebungen sehr schnell ausprobieren können.

Aber in der Welt des Quanten-Maschinellen-Lernens (QML) ändern sich die Spielregeln komplett. Dieses Paper argumentiert, dass Quantencomputer einen eingebauten „Verteidigungsmechanismus“ besitzen, der diese hinterlistigen Angriffe unglaublich teuer und langsam macht. So funktioniert es, unter Verwendung einiger unterhaltsamer Analogien.

Die „Shot-Noise“-Wand

Stellen Sie sich vor, Sie versuchen, die genaue Temperatur einer Tasse Kaffee zu erraten, aber Sie können nur einen einzigen, zittrigen Schluck nehmen. Wenn Sie nur einen Schluck nehmen, könnte Ihre Schätzung weit daneben liegen. Um eine gute Schätzung zu erhalten, müssen Sie viele, viele Schlucke nehmen und sie herausmitteln.

In Quantencomputern wird das „Nehmen eines Schlucks“ als Messung oder Shot bezeichnet. Aufgrund der seltsamen Gesetze der Quantenphysik können Sie das Ergebnis nicht einfach einmal perfekt „lesen“. Sie müssen den Schaltkreis immer und immer wieder durchlaufen lassen, um ein klares Bild zu erhalten. Diese Zufälligkeit wird als Shot-Noise (Schussrauschen) bezeichnet.

Das Paper zeigt, dass ein Angreifer, um herauszufinden, in welche Richtung er den Input (den Gradienten) verschieben muss, für jedes einzelne Merkmal des Bildes diese „Schlucke“ nehmen muss. Wenn das Bild 784 Pixel hat (wie eine kleine MNIST-Ziffer), muss der Angreifer eine massive Anzahl an Shots aufwenden, nur um eine verschwommene Vorstellung von der Angriffsrichtung zu bekommen.

Die Kosten des Einschleusens

Die Autoren führten Simulationen mit Bildern bis zu 784 Pixeln (der Größe einer Standard-MNIST-Ziffer) durch und fanden einen erschreckenden Trend für Angreifer: Je größer das Bild, desto schwieriger wird der Angriff.

Die Mathematik des Kampfes: Wenn Sie die Größe des Bildes verdoppeln, steigt die Anzahl der benötigten Shots für den Angreifer nicht einfach nur doppelt an; sie explodiert. Das Paper fand heraus, dass für die getesteten Modelle die Gesamtzahl der benötigten Shots etwa mit der Kubik der Dimension (oder $d^{3.00}$ ) wächst.
Der reale Preis: Lassen Sie uns die Rechnung für einen einzelnen Angriff aufmachen. Um eine Quanten-KI zu täuschen, die ein 784-Pixel-Bild betrachtet, müsste ein Angreifer den Quantenschaltkreis etwa 500 Millionen Mal ( $5 \times 10^8$ $5 \times 1 0^{8}$ Shots) durchlaufen, nur um ein einziges heimliches Bild zu erstellen.
- Wenn der Quantencomputer etwa 100 Mikrosekunden pro Shot benötigt, würde dieser einzelne Angriff etwa 15 Stunden ununterbrochener Laufzeit beanspruchen.
- Wenn Sie einen ganzen Datensatz von 10.000 Bildern angreifen wollten, würde dies etwa 17 Jahre kontinuierlicher Zeit auf einem einzelnen Gerät in Anspruch nehmen.

Das ist der „Messkosten-Aufwand“. Er verwandelt einen schnellen „Cheat-Code“ in einen jahrzehntelangen Marathon.

Was dies NICHT ist (und was es ausschließt)

Es ist wichtig zu wissen, was dieses Paper nicht sagt, denn die Autoren sind sehr sorgfältig bei ihren Abgrenzungen:

Es ist kein magischer Schutz für alles: Das Paper stellt explizit fest, dass dieser Schutz nur dann funktioniert, wenn der Quantencomputer etwas so Komplexes tut, dass ein regulärer Computer es nicht simulieren kann. Wenn ein regulärer Computer das Quantenmodell simulieren kann, kann der Angreifer einfach den regulären Computer nutzen, um die Mathematik sofort auszuführen (der „Simulieren-und-Backpropagate-Shortcut“). Der Schutz greift nur, wenn das Quantenmodell wirklich „schwer“ zu kopieren ist.
Es geht nicht darum, das Modell zu „verbergen“: Einige Verteidigungsstrategien versuchen, die Funktionsweise des Modells zu verbergen (es als „Black Box“ zu gestalten). Dieses Paper argumentiert, dass selbst wenn der Angreifer alles über das Modell weiß (ein „White-Box“-Angriff), er dennoch die Kosten für die Shots zahlen muss. Man kann die Physik der Messung nicht austricksen.
Es geht nicht um absichtlich hinzugefügtes „zufälliges Rauschen“: Dies ist nicht wie das Hinzufügen von statischem Rauschen zu einem Radiosignal, um jemanden zu verwirren. Dies ist Shot-Noise, ein fundamentaler Bestandteil der Quantenmechanik. Man kann ihn nicht abschalten, es sei denn, man zahlt für mehr Shots.

Wie sicher sind wir?

Die Autoren sind sehr zuversichtlich in Bezug auf das Skalierungsgesetz (die Mathematik, die zeigt, wie die Kosten mit der Größe wachsen), sind aber vorsichtig bei den spezifischen Zahlen.

Simulationen: Die Hauptergebnisse stammen aus dem Durchführen von Simulationen auf Computern, die so tun, als wären sie Quantencomputer. Sie testeten bis zu 784 Eingangsdimensionen und fanden heraus, dass die Kosten mit $d^{3.00}$ wuchsen.
Hardware-Check: Um sicherzustellen, dass ihre Simulation nicht lügt, testeten sie eine kleine Version auf einem echten 156-Qubit-IBM-Quantenprozessor (unter Verwendung von nur 12 Eingangsdimensionen). Die echte Hardware verhielt sich fast identisch wie die Simulation, was bestätigte, dass der „Shot-Noise“-Verteidigungsmechanismus real ist und nicht nur ein Computerfehler.
Die „Untergrenze“: Das Paper legt nahe, dass für „perfekte“ Quantenmodelle (bei denen der Gradient nicht schwächer wird, wenn das Modell größer wird) die Kosten mit $d^{2.5}$ wachsen würden. Die Modelle, die sie tatsächlich getestet haben, hatten jedoch Gradienten, die schwächer wurden, je größer sie wurden, was die Kosten auf $d^{3.00}$ trieb.

Das Fazit

Das Paper kommt zu dem Schluss, dass Quanten-Shot-Noise als natürliche, eingebaute Verteidigung gegen gradientenbasierte Angriffe fungiert. Während eine reguläre KI einen Angreifer vielleicht für den Preis von wenigen Sekunden Rechenzeit hereinlassen würde, könnte eine Quanten-KI für denselben Trick Jahre an Rechenzeit verlangen.

Es ist wie der Versuch, einen Keks aus einem Glas zu stehlen. In einem normalen Haus greifen Sie einfach hinein. In diesem Quantenhaus wackelt das Glas jedes Mal, wenn Sie hineingreifen, und Sie müssen Millionen Male hineingreifen, nur um sicher zu sein, dass Sie tatsächlich den Keks erwischt haben. Bis Sie fertig sind, haben Sie so viel Energie aufgewendet, dass es sich nicht mehr lohnt, den Keks zu stehlen.

Die Autoren betonen, dass dies ein Skalierungsgesetz ist: Wenn Quantenmodelle größer und nützlicher werden (und schwerer zu simulieren sind), wird dieser Schutz immer stärker, was die Aufgabe des Angreifers exponentiell schwieriger macht.

Technische Zusammenfassung: Wenn billige Gradienten versagen: Die Messkosten beim Angriff auf Quantenklassifikatoren

Problemstellung
Adversarielle Perturbationen stellen eine erhebliche Bedrohung für maschinelle Lernklassifikatoren dar, einschließlich Variational Quantum Classifiers (VQCs). Während bestehende Abwehrmechanismen für Quanten-Maschinelles-Lernen (QML) oft auf dynamischen Garantien (z. B. Unitarität, Operator-Scrambling) oder empirischen Beobachtungen der rauschinduzierten Robustheit beruhen, setzen diese Analysen typischerweise voraus, dass der Angreifer Zugriff auf exakte Erwartungswerte hat. In der Realität verbietet die Quantenmechanik eine kostenlose Gradientenberechnung. Jede Observabel muss aus endlichen Messungen rekonstruiert werden, was „Shot-Noise“ (Schussrauschen) einführt.

Diese Arbeit untersucht die physikalischen Messkosten, die ein White-Box-Angreifer für gradientenbasierte Angriffe auf QML-Klassifikatoren aufwenden muss. Insbesondere adressiert sie die Asymmetrie, bei der der Verteidiger die Shot-Kosten über das Training amortisiert, während ein Angreifer bei jedem Gradientenabruf während der Inferenzzeit einen frischen, dimensionsabhängigen Messaufwand leisten muss. Die Autoren stellen das „Cheap-Gradient-Prinzip“ der klassischen automatischen Differenzierung infrage, welches postuliert, dass die Kosten für die Gradientenberechnung im Vergleich zu einem Vorwärtspass durch eine kleine Konstante begrenzt sind, unabhängig von der Eingangsdimension.

Methodik
Die Autoren etablieren einen theoretischen Rahmen, der die endliche Schussmessstatistik mit der Unsicherheit der Gradientenschätzung und der Effektivität des Angriffs verknüpft.

Bedrohungsmodell: Die Studie konzentriert sich auf Testzeit-White-Box-Evasion-Angriffe auf trainierte QML-Klassifikatoren. Der Angreifer kennt die Architektur und die Parameter ( $\theta$ ), muss jedoch den Eingangsgradienten $\nabla_x L$ über Quantenmessungen schätzen. Die Ressource des Angreifers ist das gesamte Shot-Budget $R$ (Gesamtzahl der Schaltkreise).
Gradientenschätzung: Die Analyse nutzt die Parameter-Shift-Regel (PSR), einen unverzerrten Schätzer für Gradienten. Unter PSR erfordert jede Gradientenkomponente zwei verschobene Schaltungsauswertungen. Die Varianz dieser Schätzungen wird durch die Quanten-Cramér-Rao-Schranke bestimmt und skaliert als $\sigma^2/s$ , wobei $s$ die Anzahl der Shots pro Komponente ist.
Theoretische Herleitung:
- Die Autoren leiten die Skalierung des Shot-Budgets $R$ ab, die erforderlich ist, um eine konstante Angriffserfolgsrate oder einen Verlustüberschuss aufrechtzuerhalten.
- Sie analysieren Ein-Schritt-Angriffe (z. B. FGSM) unter Annahmen lokaler Linearität, i.i.d. Gaußscher Rauschverteilung und kleiner Rauschregime.
- Sie erweitern die Analyse auf iterative Angriffe (z. B. Carlini-Wagner), indem sie die Finite-Shot-Optimierung auf die Stochastic Gradient Langevin Dynamics (SGLD abbilden und dabei die Shot-Anzahl als inversen Temperaturparameter behandeln.
- Sie unterscheiden zwischen dem „geometrischen Boden“ (den Kosten, die rein durch die Shot-Noise-Geometrie diktiert werden) und den „realisierten Kosten“ (die den Zerfall der Gradientennormen in tiefen, expressiven Schaltkreisen beinhalten).
Empirische Validierung:
- Simulation: Experimente wurden auf den Datensätzen MNIST und Fashion-MNIST mit Eingangsdimensionen bis zu $d=784$ ( $q=10$ Qubits) durchgeführt. Die Studie variierte die Schaltungstiefe, die Dimension und die Shot-Budgets, um die Angriffserfolgsraten und Verlustüberschüsse zu messen.
- Hardware: Eine Teilmenge der Experimente ( $d=12$ , 4-Qubit-Schaltkreise) wurde auf dem IBM ibm_boston Prozessor durchgeführt, um die Skalierungsgesetze gegenüber realem Geräuschrauschen zu validieren und mit idealen Simulationen zu vergleichen.
- Baseline: Ein angepasster klassischer Convolutional Neural Network (CNN) Baseline wurde verwendet, um das klassische Gradientenkostenverhältnis zu berechnen.

Wesentliche Beiträge

Shot-Noise-Skalierungsgesetze: Die Arbeit stellt fest, dass die Aufrechterhaltung einer konstanten Angriffeffektivität in QML ein Messbudget erfordert, das polynomisch mit der Eingangsdimension $d$ $d$ skaliert.
- Für Ein-Schritt-Angriffe mit einem festen Perturbationsbudget $\epsilon$ skaliert das gesamte Shot-Budget als $R = \Theta(d^2)$ .
- Unter Norm-Konzentrationsskalierung ( $\epsilon \propto \sqrt{d}$ ) skaliert das Budget als $R = \Theta(d^{5/2})$ .
- Für expressive, tiefe Schaltkreise, in denen die Gradientennormen mit der Dimension abfallen (Barren-Plateau-Signatur), wächst der realisierte Kostenaufwand noch schneller, empirisch als $R \approx \Theta(d^3)$ .
Versagen des Cheap-Gradient-Prinzips: Die Autoren zeigen, dass das Quanten-Gradientenkostenverhältnis (Kosten eines Gradienten in Einheiten eines Vorwärtspasses) polynomisch mit $d$ wächst (empirisch $\Theta(d^{3.00})$ ), während das klassische Verhältnis konstant bleibt ( $\approx 5$ ). Diese Divergenz bedeutet, dass der relative Aufwand für den Angriff auf ein Quantenmodell drastisch ansteigt, wenn das Modell skaliert.
Iterative Angriffsanalyse: Durch die Rahmung iterativer Angriffe als SGLD zeigt das Paper, dass die Finite-Shot-Konvergenztheorie keine Garantie bietet, dass ein Angreifer die Ein-Schritt-Skalierungsgesetze umgehen kann. Während ein „Sweet Spot“ in der Shot-Allokation existiert (wo moderates Rauschen das Entkommen aus lokalen Minima begünstigt), wächst das Budget, um das exakte-Gradienten-Leistungsniveau zu erreichen, immer noch rapide mit der Dimension.
Hardware-Validierung: Experimente auf einem 156-Qubit IBM-Prozessor bestätigten, dass der Shot-Noise-Robustheitseffekt auch auf realer Hardware bestehen bleibt. Die Device-Attack-Daten folgten der idealen Simulation innerhalb weniger Prozent, was validiert, dass die defensive Konsequenz intrinsisch zur endlichen Messung und nicht ein Artefakt der Simulation ist.

Ergebnisse

Skalierungsexponenten: Simulationen bis $d=784$ $d = 784$ validierten die theoretische Struktur.
- Der parameterfreie geometrische Baseline (unter Annahme stabiler Gradientennormen) folgt $d^{3/2}$ pro Dimension ( $d^{5/2}$ insgesamt).
- Die getesteten tiefen Schaltkreise, die einen Gradientennormen-Zerfall aufweisen ( $\|\nabla L\| \propto d^{-0.73}$ ), realisierten eine gesamte Budget-Skalierung von $d^{3.00}$ (MNIST) und $d^{3.07}$ (Fashion-MNIST).
- Wenn man die gemessene Gradientennorm wieder in die Kosten einbezieht, stellt der Datensatz den $d^{3/2}$ geometrischen Boden wieder her, was bestätigt, dass die übermäßige Skalierung durch den Zerfall der Gradientennorm des Modells getrieben wird und nicht durch die Rauschgeometrie selbst.
Praktische Kosten: Um ein einzelnes adversarielles Beispiel für einen $d=784$ MNIST-Klassifikator zu erstellen, sind etwa $5 \times 10^8$ Shots erforderlich. Bei einer Ausführungszeit von 100 $\mu$ s pro Shot entspricht dies etwa 15 Stunden sequenzieller Gerätezeit pro Sample. Ein Angriff auf den vollständigen Datensatz würde etwa 17 Jahre kontinuierlicher Gerätezeit erfordern.
Klassischer Vergleich: Die angepasste klassische Baseline zeigte ein dimensionsunabhängiges Gradientenkostenverhältnis ( $\rho \approx 5$ ), was den starken Kontrast zum Fall der Quantenmodelle hervorhebt, in dem das Verhältnis als $d^{3.00}$ divergiert.

Bedeutung und Ansprüche
Das Paper behauptet, dass endliche Quantenmessstatistiken als „eingebaute Verteidigung“ gegen gradientenbasierte Angriffe fungieren, jedoch nur unter spezifischen Bedingungen:

Klassische Härte: Die defensive Konsequenz tritt genau dann auf, wenn die Vorwärtsabbildung des Quantenmodells klassisch schwer zu simulieren ist. In diesem Regime kann ein White-Box-Angreifer die „Simulieren-und-Backpropagieren“-Abkürzung nicht nutzen und ist gezwungen, den Messaufwand zu tragen.
Intrinsische Kosten: Im Gegensatz zu algorithmischer Obfuskation oder Randomized Smoothing ist diese Verteidigung intrinsisch zur Physik der Quantenmessung (Bornsche Regel) und kann nicht abgeschaltet werden, ohne das Shot-Budget zu erhöhen.
Skalierbarkeit: Die Kosten für die Extraktion von Gradienten divergieren polynomisch, wenn das Modell skaliert. Dies deutet darauf hin, dass, wenn QML-Modelle in Richtung des „Quantenvorteils“-Regimes (großes $d$ , tiefe Schaltkreise) wandern, die Ressourcen-Asymmetrie zwischen Verteidiger und Angreifer eine fundamentale Barriere für effektive gradientenbasierte Angriffe darstellt.

Die Autoren bleiben bescheiden und merken an, dass ihre Experimente an kleinen Systemen ( $q \le 10$ ) auf der „handhabbaren“ Seite der klassisch-harten Grenze liegen. Sie behaupten nicht, dass diese Ergebnisse eine einsatzbereite Verteidigung bei aktuellen Skalen darstellen, sondern etablieren das Skalierungsgesetz, das den Kostenaufwand des Angreifers charakterisiert, sobald die Grenze der klassischen Simulierbarkeit überschritten wird. Sie weisen zudem darauf hin, dass gradientenfreie Angriffe (z. B. Transfer-Angriffe) ein separates Bedrohungsmodell darstellen, das durch diese Grenzen nicht vollständig adressiert wird.

Die „Shot-Noise“-Wand

Die Kosten des Einschleusens

Was dies NICHT ist (und was es ausschließt)

Wie sicher sind wir?

Das Fazit

Mehr davon