Feature-level analysis and adversarial transfer in rotationally equivariant quantum machine learning

Aquí presento un resumen técnico detallado del artículo "Feature-level analysis and adversarial transfer in rotationally equivariant quantum machine learning" (Análisis a nivel de características y transferencia adversarial en aprendizaje automático cuántico equivariante rotacional), estructurado según los puntos solicitados.

1. El Problema

El aprendizaje automático cuántico (QML) ha avanzado significativamente mediante el uso de arquitecturas equivariantes a grupos, las cuales explotan simetrías intrínsecas en los datos (como rotaciones, permutaciones o traslaciones) para mejorar la capacidad de entrenamiento y el sesgo inductivo. Sin embargo, existe una brecha de conocimiento crítica: no está claro cómo estas restricciones de simetría moldean la robustez adversarial de los modelos.

Aunque se sabe que los modelos cuánticos pueden ser vulnerables a ejemplos adversarios, y que a veces muestran mayor resistencia a ataques de transferencia (donde un ataque generado en un modelo clásico "suplente" engaña a un modelo cuántico), la relación mecánica entre la equivariancia y la robustez sigue siendo oscura. La pregunta central es: ¿Garantiza la equivariancia que el modelo solo utilice características robustas, o puede depender de características "frágiles" (no robustas) dentro del espacio de características invariantes permitido?

2. Metodología

Los autores desarrollan un marco de análisis a nivel de características basado en la teoría de grupos y el "twirling" (mezclado) cuántico, aplicado específicamente a un modelo de QML equivariante rotacionalmente (basado en la referencia [5] del artículo).

A. Caracterización Teórica (Twirling)

• Marco General: Demuestran que para un modelo cuántico equivariante con una lectura (readout) invariante, las predicciones dependen únicamente del estado "twirled" (mezclado) de la entrada. Esto significa que el modelo es ciego a cualquier perturbación que se anule bajo el canal de twirling del grupo.
• Modelo Específico: Para el modelo equivariante rotacionalmente, el grupo es $Z_{N_\phi}$ (rotaciones discretas). Al aplicar el twirling, el modelo solo tiene acceso a estadísticas de imagen invariantes a la rotación.
• Descomposición: Estas estadísticas se descomponen en sectores de simetría (modos de Fourier). Ellos identifican que:
  • El modo $m=0$ corresponde a las intensidades promediadas por anillo (ring-averaged intensities).
  • Los modos $m \neq 0$ capturan variaciones de intensidad estructuradas y correlaciones circulares.

B. Transformaciones de Entrada Diagnósticas

Para probar qué estadísticas utiliza realmente el modelo entrenado, introducen tres transformaciones controladas en los datos de entrada:

1. T1 (Scrambling ortogonal circulant): Preserva todas las correlaciones invariantes a la rotación (el modelo debería mantener su precisión).
2. T2 (Permutación por anillo): Preserva los promedios por anillo pero destruye la estructura de correlación angular de orden superior.
3. T3 (Eliminación de la media por anillo): Elimina el modo $m=0$ (promedios por anillo) pero preserva la estructura de correlación relativa.

C. Evaluación de Robustez

• Escenario de Transferencia: Generan ataques adversarios (FGSM y PGD) utilizando modelos clásicos suplentes (Lineal, MLP, CNN, ResNet18) entrenados en los mismos datos.
• Evaluación: Miden la precisión del modelo cuántico objetivo frente a estos ataques transferidos.
• Intervenciones: Comparan el modelo entrenado en datos limpios con modelos entrenados en datos transformados (T2, T3) y con una intervención arquitectónica que proyecta (suprime) el modo $m=0$ en la lectura.

3. Contribuciones Clave

1. Caracterización de Información Accesible: Derivan una caracterización explícita de la información que un modelo equivariante rotacionalmente puede acceder, demostrando que se limita a estadísticas invariantes (correlaciones circulares) y que el modo $m=0$ (promedios por anillo) es una parte fundamental de este espacio.
2. Identificación de Características Frágiles: Descubren que la equivariancia por sí sola no garantiza la robustez adversarial. Incluso dentro del espacio restringido de características invariantes, el modelo puede depender de estadísticas frágiles, específicamente las intensidades promediadas por anillo.
3. Mecanismo de Mejora de Robustez: Proponen y validan una estrategia arquitectónica simple: suprimir el sector de simetría asociado a las características frágiles (proyectar fuera el modo $m=0$). Esto mejora drásticamente la robustez sin necesidad de un entrenamiento adversario costoso.
4. Análisis de Transferencia: Demuestran que la alta transferabilidad de los ataques desde modelos clásicos simples (como clasificadores lineales) se debe a que estos suplentes también aprenden a depender de las mismas estadísticas invariantes (promedios por anillo) que el modelo cuántico.

4. Resultados Principales

• Análisis de Transformaciones:
  • El modelo mantiene su precisión con T1, confirmando que la transformación preserva la información relevante.
  • El rendimiento cae significativamente con T2 en ciertos conjuntos de datos (STM, CIFAR), indicando una fuerte dependencia de la estructura de correlación angular.
  • El rendimiento cae con T3 en otros conjuntos (MNIST), pero en datasets como STM y RotFMNIST, el modelo entrenado en T3 (sin promedios por anillo) muestra una robustez adversarial superior, aunque con una ligera pérdida de precisión en datos limpios.
• Robustez bajo Ataques de Transferencia:
  • Los modelos entrenados en datos limpios son vulnerables a ataques transferidos de modelos lineales y MLP.
  • Los modelos que dependen fuertemente de los promedios por anillo (modo $m=0$) son los más vulnerables.
• Efecto de la Supresión del Modo $m=0$:
  • Al proyectar el modo $m=0$ en la lectura (arquitectura modificada), la robustez mejora sustancialmente frente a todos los tipos de suplentes (LC, MLP, CNN, ResNet).
  • Esta mejora es comparable o superior a la obtenida mediante entrenamiento adversario (que a menudo sacrifica la precisión en datos limpios), y se logra sin necesidad de generar ejemplos adversarios durante el entrenamiento.

5. Significado e Implicaciones

• Reevaluación de la Equivariancia: El trabajo desafía la noción de que las simetrías geométricas en QML garantizan automáticamente robustez. Muestra que las simetrías pueden canalizar el modelo hacia características invariantes que, aunque matemáticamente "seguras" contra ciertas perturbaciones, son estadísticamente frágiles ante ataques adversarios específicos.
• Guía para el Diseño de Modelos: Proporciona un mecanismo sistemático para mejorar la robustez en modelos cuánticos: identificar y suprimir los canales de simetría asociados a características no robustas. Esto es más eficiente que el entrenamiento adversario tradicional.
• Interpretabilidad: Ofrece una comprensión mecánica de cómo funcionan los modelos de QML, vinculando la estructura del grupo de simetría con las estadísticas de imagen específicas que el modelo utiliza para tomar decisiones.
• Privacidad y Ofuscación: Sugieren que las transformaciones que actúan en el subespacio "insensible" (como T1) podrían usarse para ofuscar datos sensibles (proteger la privacidad visual) mientras se mantiene la utilidad para el entrenamiento del modelo equivariante, ya que el modelo no puede distinguir la información ofuscada de la original.

En resumen, el artículo establece que la análisis a nivel de características es crucial para entender y mejorar la seguridad de los modelos cuánticos, demostrando que la manipulación selectiva de los sectores de simetría es una herramienta poderosa para lograr robustez adversarial.