⚛️ quantum physics

An End-to-End Multi-Stage Kill-Chain Attack on Quantum Neural Networks: Demonstration on Trapped-Ion Hardware

Este artículo demuestra un ataque exhaustivo y multietapa contra una red neuronal cuántica que se ejecuta en hardware de iones atrapados, el cual integra el reconocimiento de canales laterales, la caracterización de la diafonía y la generación de ejemplos adversarios para manipular físicamente el dispositivo, abordando también las implicaciones para los proveedores de computación cuántica como servicio y las posibles mitigaciones de hardware.

Autores originales: Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Publicado 2026-07-07

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina una computadora cuántica de alta tecnología no como una caja negra mágica, sino como una orquesta muy sensible y delicada que interpreta una pieza musical específica. Este artículo describe cómo un "hacker" podría colarse en esta orquesta, escuchar a los músicos, descubrir exactamente qué canción están tocando y luego alterar sutilmente los instrumentos para que la música suene mal, todo sin que el director (el dueño de la computadora) se dé cuenta de lo sucedido.

Aquí está la historia de su ataque de "cadena de matanza" (kill-chain), desglosada en pasos sencillos:

1. La Configuración: La Orquesta Cuántica

Los investigadores utilizaron una computadora cuántica real hecha de iones atrapados (átomos cargados diminutos mantenidos en su lugar por láseres). Configuraron una "Red Neuronal Cuántica" (QNN), que es como un estudiante inteligente intentando aprender a reconocer cuatro símbolos diferentes (como un signo más, un signo menos y dos paréntesis).

2. El Plan de Ataque: Un Robo de Tres Etapas

En lugar de intentar romper la computadora mediante la fuerza bruta, los atacantes utilizaron una estrategia de "cadena de matancia". Piensa en esto como un ladrón de bancos que no solo intenta derribar la puerta; primero vigila el edificio, luego elige la cerradura y finalmente desactiva la alarma.

Etapa 1: El Fisgoneador (Reconocimiento)

La Metáfora: Imagina que la computadora cuántica es una casa. Los atacantes no pueden ver dentro, pero pueden quedarse afuera y escuchar el uso de la electricidad de la casa. Cada vez que se abre una puerta o se enciende una luz, el medidor de energía tiene un pico con un patrón específico.
Lo que hicieron: Los atacantes monitorearon las trazas de potencia (la energía eléctrica utilizada por los láseres de control). Debido a que cada circuito cuántico utiliza un patrón único de pulsos, el consumo de energía parecía una huella dactilar única.
El Resultado: Al comparar la huella dactilar de potencia de la víctima contra una biblioteca de circuitos "ficticios" conocidos, los atacantes adivinaron con éxito la estructura exacta del modelo cuántico de la víctima (cuántos átomos usaron, cuántas capas de lógica tenían y cómo estaban conectados). No necesitaron ver el código; la electricidad les lo contó todo.

Etapa 2: El Falsificador (Ejemplos Adversarios)

La Metáfora: Ahora que los atacantes saben qué canción está tocando la orquesta, quieren cambiar el final. En el mundo digital, crearon "ejemplos adversarios". Esto es como tomar la foto de una señal de alto y añadirle unos pocos píxeles invisibles que hacen que un coche autónomo piense que es una señal de límite de velocidad.
Lo que hicieron: Usando una potente simulación por computadora, calcularon cambios diminutos, casi invisibles, en los datos de entrada que engañarían al modelo cuántico para que cometiera un error.
El Problema: No podían enviar estos "píxeles invisibles" a la computadora cuántica real. El hardware real tiene límites físicos. Es como intentar cambiar una nota en una orquesta en vivo susurrándole al violinista; no puedes simplemente escribir una nueva nota en el aire.

Etapa 3: El Saboteador (El Ataque de Diafonía Física)

La Metáfora: Esta es la parte ingeniosa. Los atacantes se dieron cuenta de que en esta computadora cuántica específica, si iluminas un átomo con un láser, la luz se "desborda" ligeramente y empuja a su vecino. Esto se llama diafonía (crosstalk). Es como si golpearas un tambor y la vibración viajara a través del suelo y hiciera que el tambor de al lado se tambaleara ligeramente.
Lo que hicieron:
1. Utilizaron la información de la Etapa 1 para saber exactamente cuándo se estaba tocando la "música" de la víctima.
2. Utilizaron las matemáticas de la Etapa 2 para saber qué tipo de empujón era necesario para engañar al modelo.
3. Ejecutaron sus propios láseres de "perturbación" en los átomos junto a los átomos de la víctima en el momento exacto.
4. La luz de "desbordamiento" de sus propios láseres empujó los átomos de la víctima lo suficiente como para imitar los "píxeles invisibles" que calcularon anteriormente.
El Resultado: La computadora cuántica de la víctima procesó los datos, pero debido a los empujones físicos de los vecinos, se confundió y dio una respuesta incorrecta.

3. El Resultado

Los investigadores demostraron que podían:

Espiar la estructura de la computadora simplemente escuchando su uso de energía.
Calcular una forma de engañarla.
Ejecutar físicamente ese truco utilizando los propios fallos físicos de la computadora (diafonía) en su contra.

Cuando probaron esto en hardware real, el ataque funcionó. El modelo cuántico, que usualmente era correcto, comenzó a cometer errores debido a los sutiles empujones físicos de los átomos "vecinos".

¿Por qué es esto importante?

El artículo concluye que no podemos mirar la seguridad cuántica de forma aislada. No podemos preocuparnos solo por el "mal código" o las "malas matemáticas". Tenemos que preocuparnos por cómo se comporta el hardware físico, cómo filtra información a través de la electricidad y cómo los usuarios que comparten la misma máquina pueden, accidental o intencionadamente, interferir con los demás.

En resumen: El artículo muestra que si compartes una computadora cuántica con un extraño, este podría escuchar el uso de tu electricidad para conocer tus secretos y luego usar las vibraciones físicas de su propio trabajo para engañar tus resultados. Es un recordatorio de que, en el mundo cuántico, el hardware físico y el código digital están profundamente entrelazados.

Resumen Técnico: Ataque de Cadena de Matanza Multietapa de Extremo a Extremo contra Redes Neuronales Cuánticas

Declaración del Problema

El despliegue de Aprendizaje Automático Cuántico (QML) en Unidades de Procesamiento Cuántico (QPU) reales expande la superficie de ataque más allá de las simulaciones idealizadas. Mientras que la literatura existente ha examinado vectores de ataque individuales —como ataques de canal lateral, diafonía (crosstalk) y ejemplos adversarios— de forma aislada, existe una falta de comprensión sobre cómo estos vectores pueden combinarse en una campaña de ataque coherente y de múltiples etapas. Los análisis de seguridad actuales a menudo no logran capturar las interdependencias entre las debilidades a nivel de hardware (por ejemplo, filtración por canal lateral, fallos inducidos por diafonía) y las manipulaciones algorítmicas (por ejemplo, perturbaciones adversarias) en entornos de nube multi-inquilino prácticos. Este artículo aborda esta brecha demostrando un ataque de "cadena de matanza" (kill-chain) de extremo a extremo que vincula el reconocimiento, la inferencia del modelo y la manipulación física del hardware para comprometer una Red Neuronal Cuántica (QNN).

Metodología

Los autores proponen un pipeline de ataque estructurado de cinco etapas adaptado de los marcos de seguridad de TI clásica (específicamente MITRE ATT&CK y Lockheed Martin Cyber Kill Chain) al contexto de QML. La metodología se ejecutó en una computadora cuántica de iones atrapados (AQT Ibex), con experimentos suplementarios en hardware superconductor detallados en el apéndice.

1. Reconocimiento (Análisis de Canal Lateral)

La primera etapa consiste en inferir los parámetros estructurales de la QNN de la víctima sin acceso directo a los pesos del modelo.

Técnica: El atacante captura trazas de potencia de la electrónica de control durante la ejecución del circuito de la víctima.
Proceso: Estas trazas se comparan contra una biblioteca de 24 circuitos de referencia con variaciones en el número de cúbits (4 vs. 8), profundidades de capa (2, 4, 6, 8) y patrones de entrelazamiento.
Mecanismo: Al filtrar los candidatos basándose en la duración total de la ejecución y calculando la distancia euclidiana ( $L_2$ -norm) entre el perfil de potencia de la víctima y los de referencia, el atacante identifica la arquitectura exacta del circuito (número de cúbits, profundidad y estructura de entrelazamiento).

2. Generación de Ejemplos Adversarios

Una vez conocida la arquitectura, el atacante genera ejemplos adversarios.

Restricción: El ataque está restringido por las limitaciones físicas del hardware de iones atrapados de AQT. La diafonía en esta plataforma es inducida principalmente por puertas de rotación de un solo cúbit. Las puertas virtuales $R_Z$ no producen pulsos físicos y, por lo tanto, no generan diafonía.
Implementación: Los autores emplean el Descenso de Gradiente Proyectado (PGD) para generar entradas adversarias. Crucialmente, aplican una máscara que restringe las perturbaciones únicamente a las características de entrada codificadas mediante rotaciones $R_Y$ . Esto asegura que la perturbación adversaria resultante sea físicamente realizable mediante diafonía.

3. Ataque Físico (Inyección de Diafonía)

La etapa final traduce la perturbación adversaria abstracta en un ataque físico de hardware.

Mecanismo: El atacante programa la ejecución concurrente de su propio circuito en cúbits vecinos. Al aplicar puertas de rotación $R_Y$ específicas a estos vecinos en tiempos precisos (determinados durante el reconocimiento), inducen diafonía en los cúbits de la víctima.
Objetivo: La diafonía inducida crea un ángulo de rotación efectivo en los cúbits de la víctima que aproxima la perturbación de entrada matemáticamente calculada, manipulando así el modelo de la víctima sin modificar los datos o los parámetros del modelo.

Contribuciones Clave

Primera Demostración de Extremo a Extremo: El artículo presenta la primera demostración de un ataque de cadena de matanza de múltiples etapas sobre una QNN ejecutándose en hardware real de iones atrapados, vinculando con éxito el reconocimiento por canal lateral con ataques de diafonía física.
Taxonomía Estructurada: Introduce una taxonomía de cadena de matanza para QML, mapeando explícitamente las interdependencias entre las vulnerabilidades de hardware (trazas de potencia, diafonía) y los ataques algorítmicos (ejemplos adversarios).
Generación de Adversarios Consciente del Hardware: El trabajo demuestra un método para generar ejemplos adversarios que respetan las restricciones específicas del hardware (por ejemplo, la incapacidad de perturbar las características codificadas por $R_Z$ mediante diafonía en dispositivos AQT).
Validación Empírica: El estudio valida que la información filtrada a través de las trazas de potencia es suficiente para reconstruir la estructura del circuito de la víctima con alta confianza, permitiendo ataques dirigidos.

Resultados

Éxito del Reconocimiento: El reconocimiento basado en trazas de potencia identificó con éxito la arquitectura de la QNN de la víctima (4 cúbits, 4 capas) al compararla con circuitos de referencia. Las firmas de tiempo y amplitud proporcionaron una huella digital única para la estructura del circuito.
Vulnerabilidad Adversaria: Utilizando PGD, los autores encontraron que 840 de cada 1,000 muestras de entrenamiento podían ser clasificadas erróneamente con un presupuesto de perturbación ( $\epsilon$ ) $\le 1.0$ . Bajo la perturbación adversaria, la precisión de clasificación de la QNN colapsó de 92.4% a 1.07%.
Efectividad de la Diafonía: Cuando se ejecutaron 50 muestras susceptibles a ataques adversarios (identificadas mediante simulación) en el hardware AQT Ibex:
- La precisión del hardware "limpio" fue de 0.64.
- El ataque de "diafonía" (induciendo perturbaciones mediante rotaciones de vecinos) resultó en una precisión de 0.68.
- Aunque la caída de precisión fue menos dramática que en la simulación, el análisis del Error Absoluto Medio (MAE) mostró que el comportamiento de hardware inducido por diafonía ( $hw\_crosstalk$ ) fue significativamente más cercano al comportamiento de hardware adversario ( $hw\_adv$ ) que el comportamiento del hardware limpio. Específicamente, el MAE entre $hw\_adv$ y $hw\_crosstalk$ fue de 0.1236, el más bajo entre todas las comparaciones de hardware a hardware, confirmando que la diafonía física aproximó con éxito la perturbación adversaria pretendida.

Significado y Reivindicaciones

El artículo afirma que su principal significancia radica en demostrar que la seguridad de QML no puede analizarse de forma aislada. Los hallazgos resaltan que:

Interdependencia de Amenazas: La información de canal lateral (trazas de potencia) no es meramente una filtración de privacidad, sino un habilitador crítico para ataques posteriores más destructivos (manipulación adversaria basada en diafonía).
Realizabilidad Física: Los ejemplos adversarios no son solo constructos teóricos; pueden realizarse físicamente en dispositivos NISQ a través de ruido inducido por hardware (diafonía) sin modificar los datos de entrada o el modelo.
Defensa a Nivel de Sistema: Una defensa efectiva requiere un enfoque de sistema. Mitigar los canales laterales de potencia (por ejemplo, mediante pulsos señuelo o operación de potencia constante) y prevenir la ejecución compartida multi-inquilino (para bloquear la inyección de diafonía) son necesarios para romper la cadena de matanza.

Los autores enfatizan que estos ataques operan dentro de las restricciones de los dispositivos actuales de Escala Intermedia con Ruido (NISQ) y no dependen de supuestos de tolerancia a fallos, lo que hace que los resultados sean inmediatamente relevantes para los despliegues de QML a corto plazo. El trabajo sirve como una advertencia para los proveedores de QaaS y fabricantes de hardware de que los modelos actuales de aislamiento y ruido son insuficientes contra adversarios coordinados de múltiples etapas.