When cheap gradients fail: the measurement cost of attacking quantum classifiers

Resumen Técnico: Cuando los gradientes baratos fallan: El costo de medición para atacar clasificadores cuánticos

Planteamiento del problema
Las perturbaciones adversarias representan una amenaza significativa para los clasificadores de aprendizaje automático, incluyendo los Clasificadores Cuánticos Variacionales (VQC). Aunque las defensas existentes para el Aprendizaje Automático Cuántico (QML) suelen basarse en garantías dinámicas (p. ej., unitariedad, dispersión de operadores) u observaciones empíricas de robustez inducida por el ruido, estos análisis típicamente asumen que el atacante tiene acceso a valores de esperanza exactos. En la realidad, la mecánica cuántica prohíbe la computación de gradientes de costo cero. Todo observable debe reconstruirse mediante mediciones finitas, lo que introduce "ruido de disparo" (shot noise).

Este artículo investiga el costo físico de medición requerido para que un adversario de caja blanca realice ataques basados en gradientes sobre clasificadores de QML. Específicamente, aborda la asimetría donde un defensor amortiza los costos de disparo durante el entrenamiento, mientras que un atacante debe pagar un costo de medición fresco y dependiente de la dimensión para cada consulta de gradiente durante la inferencia. Los autores desafían el "principio del gradiente barato" de la diferenciación automática clásica, que postula que el costo de computación del gradiente está acotado por una constante pequeña relativa a un paso hacia adelante (forward pass), independientemente de la dimensión de la entrada.

Metodología
Los autores establecen un marco teórico que vincula las estadísticas de medición de disparos finitos con la incertidumbre de la estimación del gradiente y la eficacia del ataque.

1. Modelo de Amenaza: El estudio se centra en ataques de evasión de caja blanca en tiempo de prueba sobre clasificadores de QML ya entrenados. El adversario conoce la arquitectura y los parámetros ($\theta$), pero debe estimar el gradiente de la entrada $\nabla_x L$ mediante mediciones cuánticas. El recurso del atacante es el presupuesto total de disparos $R$ (ejecuciones totales del circuito).
2. Estimación del Gradiente: El análisis utiliza la Regla de Desplazamiento de Parámetros (PSR), un estimador insesgado para los gradientes. Bajo PSR, cada componente del gradiente requiere dos evaluaciones de circuito desplazadas. La varianza de estas estimaciones está gobernada por la cota de Cramér–Rao cuántica, escalando como $\sigma^2/s$, donde $s$ es el número de disparos por componente.
3. Derivación Teórica:
   • Los autores derivan la escala del presupuesto de disparos $R$ necesario para mantener una tasa de éxito de ataque o un exceso de pérdida constantes.
   • Analizan ataques de un solo paso (p. ej., FGSM) bajo supuestos de linealidad local, ruido gaussiano i.i.d. y regímenes de ruido pequeño.
   • Extienden el análisis a ataques iterativos (p. ej., Carlini-Wagner) mapeando la optimización de disparos finitos a la Dinámica de Langevin de Gradiente Estocástico (SGLD), tratando el conteo de disparos como un parámetro de temperatura inversa.
   • Distinguen entre el "suelo geométrico" (el costo dictado puramente por la geometría del ruido de disparo) y el "costo realizado" (que incluye la caída de las normas de los gradientes en circuitos profundos y expresivos).
4. Validación Empírica:
   • Simulación: Se realizaron experimentos con los conjuntos de datos MNIST y Fashion-MNIST con dimensiones de entrada de hasta $d=784$ ($q=10$ qubits). El estudio varió la profundidad del circuito, la dimensión y los presupuestos de disparos para medir las tasas de éxito de ataque y los excesos de pérdida.
   • Hardware: Un subconjunto de experimentos ($d=12$, circuitos de 4 qubits) se realizó en el procesador IBM ibm_boston para validar las leyes de escala contra el ruido de un dispositivo real y compararlos con simulaciones ideales.
   • Línea Base: Se utilizó una línea base de Red Neuronal Convolucional (CNN) clásica emparejada para computar el ratio de costo del gradiente clásico.

Contribuciones Clave

1. Leyes de Escala de Ruido de Disparo: El artículo establece que mantener una eficacia de ataque constante en QML requiere un presupuesto de medición que escala polinomialmente con la dimensión de la entrada $d$.
   • Para ataques de un solo paso con un presupuesto de perturbación fijo $\epsilon$, el presupuesto total de disparos escala como $R = \Theta(d^2)$.
   • Bajo el escalamiento de concentración de norma ($\epsilon \propto \sqrt{d}$), el presupuesto escala como $R = \Theta(d^{5/2})$.
   • Para circuitos profundos y expresivos donde las normas de los gradientes decaen con la dimensión (firma de mesetas barrenas o barren plateaus), el costo realizado crece aún más rápido, empíricamente como $R \approx \Theta(d^3)$.
2. Fallo del Principio del Gradiente Barato: Los autores demuestran que el ratio de costo del gradiente cuántico (costo de un gradiente en unidades de un paso hacia adelante) crece polinomialmente con $d$ (empíricamente $\Theta(d^{3.00})$), mientras que el ratio clásico permanece constante ($\approx 5$). Esta divergencia significa que el costo relativo de atacar un modelo cuántico aumenta drásticamente a medida que el modelo escala.
3. Análisis de Ataque Iterativo: Al enmarcar los ataques iterativos como SGLD, el artículo muestra que la teoría de convergencia de disparos finitos no ofrece garantías para que un atacante escape de las leyes de escala de un solo paso. Aunque existe un "punto óptimo" (sweet spot) en la asignación de disparos (donde el ruido moderado ayuda a escapar de los mínimos locales), el presupuesto requerido para alcanzar el suelo de rendimiento del gradiente exacto sigue creciendo rápidamente con la dimensión.
4. Validación de Hardware: Experimentos en un procesador IBM de 156 qubits confirmaron que el efecto de robustez ante el ruido de disparo persiste en hardware real. El ataque del dispositivo siguió la simulación ideal con un margen de pocos puntos porcentuales, validando que la consecuencia defensiva es intrínseca a la medición finita y no un artefacto de la simulación.

Resultados

• Exponentes de Escala: Las simulaciones hasta $d=784$ validaron la estructura teórica.
  • La base geométrica libre de parámetros (asumiendo normas de gradiente estables) sigue $d^{3/2}$ por dimensión ($d^{5/2}$ total).
  • Los circuitos profundos probados, que exhiben decaimiento de la norma del gradiente ($\|\nabla L\| \propto d^{-0.73}$), alcanzaron un escalamiento de presupuesto total de $d^{3.00}$ (MNIST) y $d^{3.07}$ (Fashion-MNIST).
  • Al reintegrar la norma del gradiente medida en el costo, los datos recuperan el suelo geométrico de $d^{3/2}$, confirmando que el exceso de escalamiento es impulsado por el decaimiento del gradiente del modelo, no por la geometría del ruido en sí.
• Costo Práctico: Para un clasificador MNIST de $d=784$, crear un único ejemplo adversario requiere aproximadamente $5 \times 10^8$ disparos. Asumiendo un tiempo de ejecución de 100 $\mu$s por disparo, esto equivale a ~15 horas de tiempo de dispositivo secuencial por muestra. Un ataque a un conjunto de datos completo requeriría ~17 años de tiempo de dispositivo continuo.
• Comparación Clásica: La línea base clásica emparejada exhibió un ratio de costo de gradiente independiente de la dimensión ($\rho \approx 5$), resaltando el marcado contraste con el caso cuántico donde el ratio diverge como $d^{3.00}$.

Significancia y Reclamaciones
El artículo afirma que las estadísticas de medición cuántica finitas actúan como una "defensa integrada" contra los ataques basados en gradientes, pero solo bajo condiciones específicas:

1. Dureza Clásica: La consecuencia defensiva opera precisamente cuando el mapa hacia adelante del modelo cuántico es clásicamente difícil de simular. En este régimen, un atacante de caja blanca no puede usar el atajo de "simular y propagar hacia atrás" (simulate-and-backpropagate) y se ve obligado a pagar el costo de medición.
2. Costo Intrínseco: A diferencia de la ofuscación algorítmica o el suavizado aleatorio, esta defensa es intrínseca a la física de la medición cuántica (regla de Born) y no puede desactivarse sin aumentar el presupuesto de disparos.
3. Escalabilidad: El costo de extraer gradientes diverge polinomialmente a medida que el modelo escala. Esto sugiere que, a medida que los modelos de QML se dirigen hacia el régimen de "ventaja cuántica" (gran $d$, circuitos profundos), la asimetría de recursos entre el defensor y el atacante se convierte en una barrera fundamental para los ataques efectivos basados en gradientes.

Los autores mantienen la modestia, señalando que sus experimentos en sistemas pequeños ($q \le 10$) están en el lado "tratable" del límite de la simulabilidad clásica. No afirman que estos resultados constituyan una defensa desplegada a las escalas actuales, sino que establecen la ley de escala que caracteriza el costo del atacante una vez que se cruza el límite de la simulabilidad clásica. También señalan que los ataques libres de gradiente (p. ej., ataques de transferencia) son un modelo de amenaza separado que no es abordado completamente por estos límites.