💻 computer science

Adversarial Robustness of Quantum Supervised Learning for Network Intrusion Detection: White-Box Attacks, PGD-Aware Training, and Classical Benchmarking

Este estudio demuestra que, si bien el entrenamiento adversarial mejora significativamente la robustez de un modelo de aprendizaje supervisado cuántico de cuatro cúbits para la detección de intrusiones en redes frente a ataques de caja blanca, el rendimiento resultante sigue siendo inferior al de un perceptrón multicapa clásico, fallando así en respaldar una afirmación de ventaja cuántica en este contexto de seguridad.

Autores originales: Rahul Bhoge, Ranjit Keole, Pravin Karde

Publicado 2026-10-12

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Rahul Bhoge, Ranjit Keole, Pravin Karde

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

En el mundo digital, los sistemas de detección de intrusiones de red actúan como centinelas silenciosos, escaneando constantemente el flujo de datos para detectar el tráfico malicioso antes de que cause daño. Durante años, estos sistemas han dependido del aprendizaje automático, donde las computadoras aprenden a reconocer las huellas dactilares sutiles de un ataque. Sin embargo, ha surgido una nueva vulnerabilidad en este campo: la capacidad de los atacantes para engañar a estos sistemas inteligentes con cambios cuidadosamente diseñados y casi invisibles en los datos. Esto se conoce como manipulación adversarial. Así como una persona podría usar un disfraz para engañar a un guardia de seguridad, un atacante puede dar un pequeño empujón a los números en un paquete de datos lo suficiente como para hacer que una computadora piense que un ataque peligroso es inofensivo, todo ello manteniendo los cambios lo suficientemente pequeños como para pasar desapercibidos.

Mientras los científicos miran hacia el futuro, están explorando si la computación cuántica —una tecnología que utiliza las extrañas leyes de la física para procesar información— puede construir detectores mejores y más seguros. La esperanza es que estos sistemas cuánticos puedan ser naturalmente más difíciles de engañar. Pero antes de que esa esperanza pueda hacerse realidad, los investigadores deben responder a una pregunta crítica: ¿son estos detectores cuánticos realmente más robustos contra estos disfraces digitales, o sufren de las mismas debilidades que los sistemas clásicos que usamos hoy en día? Esta incertidumbre impulsa la necesidad de pruebas rigurosas, donde nuevos modelos cuánticos se enfrentan a los antiguos bajo las mismas condiciones estrictas para ver cuál mantiene realmente su posición.

Un equipo de investigadores de la India se propuso recientemente responder a esta pregunta con un experimento controlado. Construyeron un pequeño modelo de aprendizaje automático cuántico de cuatro cúbits diseñado para detectar intrusiones en la red. Para probar su fuerza, no solo lo dejaron aprender de datos normales; también lo entrenaron con una mezcla de datos normales y datos que habían sido deliberadamente alterados por un atacante. Utilizaron dos tipos diferentes de empujones digitales: un empujón rápido de un solo paso y una maniobra más compleja de varios pasos que empuja lentamente los datos hacia el límite de lo permitido. Luego sometieron este modelo cuántico "entrenado adversarialmente" a la prueba, enfrentándolo a un modelo de computadora estándar, no cuántico, que había pasado por el mismo entrenamiento riguroso.

Los resultados revelaron una historia clara de mejora, pero también un límite duro. Cuando los investigadores atacaron el modelo cuántico que solo había visto datos normales, este colapsó rápidamente. Bajo un nivel moderado de empuje digital, su precisión cayó a solo un 9,10 por ciento. Sin embargo, cuando probaron la versión que había sido entrenada para esperar estos ataques, el modelo se volvió mucho más resistente. Su precisión bajo un ataque moderado saltó al 26,90 por ciento. Bajo un ataque más fuerte, la mejora fue aún más dramática, pasando de un mero 2,60 por ciento a un 20,73 por ciento. Esto demostró que el método de entrenamiento funcionó; el modelo cuántico aprendió a resistir los trucos que previamente lo habían derrotado.

Sin embargo, esta victoria tuvo un costo. El entrenamiento que hizo al modelo cuántico más fuerte contra los ataques también lo hizo ligeramente peor en su trabajo original. Cuando no había ataques presentes, el modelo cuántico entrenado identificaba correctamente las intrusiones el 61,57 por ciento de las veces, una caída respecto a la precisión del 70,73 por ciento de la versión no entrenada. Este intercambio es un tema común en la seguridad: hacer que un sistema sea más difícil de engañar a menudo lo hace ligeramente menos agudo cuando todo es normal. Más importante aún, cuando los investigadores compararon su modelo cuántico entrenado con un modelo de computadora estándar, no cuántico, que había recibido exactamente el mismo entrenamiento, el modelo clásico fue muy superior. El modelo de computadora estándar mantuvo una precisión del 64,27 por ciento bajo el ataque moderado y del 50,50 por ciento bajo el ataque fuerte, superando significativamente a la versión cuántica.

El estudio concluye que, si bien el entrenamiento adversarial fortalece con éxito el modelo cuántico probado, no le otorga una ventaja especial sobre los métodos clásicos. El sistema cuántico no demostró ser inherentemente más seguro o robusto que una computadora tradicional bien entrenada. En cambio, el experimento mostró que el modelo cuántico es vulnerable a los mismos tipos de manipulación que sus contrapartes clásicas, y que una computadora estándar puede aprender a defenderse tan bien, o incluso mejor, dado la misma información. Los investigadores enfatizan que su trabajo fue una simulación, una prueba de laboratorio controlada en lugar de un despliegue en hardware del mundo real, pero proporciona un punto de referencia claro para el futuro. Sugiere que, para que la computación cuántica sea un verdadero activo en la ciberseguridad, debe hacer más que simplemente imitar las defensas clásicas; debe demostrar una capacidad única para manejar estas amenazas que las computadoras clásicas no pueden igualar. Hasta entonces, la defensa más efectiva sigue siendo el entrenamiento riguroso de los modelos mismos, independientemente de si se ejecutan en chips cuánticos o clásicos.

Resumen Técnico: Robustez Adversaria del Aprendizaje Supervisado Cuántico para la Detección de Intrusiones en Redes

Planteamiento del Problema
Si bien el Aprendizaje Supervisado Cuántico (QSL, por sus siglas en inglés) se explora cada vez más para los sistemas de detección de intrusiones (IDS) en redes, su comportamiento bajo manipulación adversaria permanece insuficientemente caracterizado. La literatura existente a menudo enfatiza la precisión de clasificación en entornos simulados o subconjuntos de prueba de concepto pequeños, careciendo de evaluaciones rigurosas de ataques de caja blanca, entrenamiento adversario iterativo y controles clásicos emparejados. Esto crea una brecha en la comprensión de si los clasificadores cuánticos son inherentemente robustos o si las mejoras de rendimiento observadas son artefactos de la reducción de datos o de las elecciones de evaluación. El estudio aborda si el entrenamiento adversario de caja blanca puede mejorar la robustez de un detector de intrusiones QSL compacto y cómo este compromiso entre robustez y precisión se compara con una línea base de red neuronal clásica emparejada.

Metodología
El estudio emplea un diseño experimental controlado y reproducible utilizando el conjunto de datos de referencia UNSW-NB15 para la detección binaria de intrusiones.

Preprocesamiento de Datos: Las características de alta dimensión del UNSW-NB15 original se reducen a cuatro dimensiones mediante el Análisis de Componentes Principales (PCA). Estos componentes se estandarizan y escalan al intervalo $[0, \pi]$ para coincidir con el dominio de entrada del mapa de características cuánticas. Esta misma representación reducida se aplica tanto a los modelos cuánticos como a los clásicos para garantizar una comparación justa.
Modelo Cuántico: Se implementa un clasificador cuántico variacional de cuatro cúbits utilizando Qiskit Machine Learning. Utiliza un ZZFeatureMap para la codificación de datos y un ansatz variacional RealAmplitudes para los parámetros entrenables, envuelto en un EstimatorQNN para permitir el cálculo directo del gradiente de entrada.
Control Clásico: Un Perceptrón Multicapa (MLP) compacto sirve como la línea base emparejada, recibiendo la misma entrada de cuatro dimensiones. Tanto las versiones "Limpias" como las "Robustas" del MLP se entrenan para reflejar las condiciones experimentales cuánticas.
Modelo de Amenaza y Ataques: La evaluación asume un adversario de caja blanca y no dirigido con conocimiento total de la estructura del modelo, los parámetros y la función de pérdida. Los ataques incluyen:
- FGSM (Método de la Signatura del Gradiente de Máxima Velocidad): Un ataque de un solo paso.
- PGD (Descenso de Gradiente Proyectado): Un ataque iterativo de 7 pasos.
- Los presupuestos de perturbación ( $\epsilon$ ) se establecen en $0.02\pi$ , $0.05\pi$ y $0.10\pi$ .
Protocolo de Entrenamiento Adversario: Se emplea una estrategia de entrenamiento "consciente de PGD" donde los mini-lotes de entrenamiento consisten en un 50% de muestras limpias, un 25% de muestras perturbadas por FGSM y un 25% de muestras perturbadas por PGD (usando PGD de 3 pasos durante el entrenamiento).
Rigor Estadístico: El experimento se repite sobre diez semillas aleatorias emparejadas. Los resultados se analizan mediante pruebas t de muestras pareadas, pruebas de rango con signo de Wilcoxon, tamaños de efecto de Cohen $d_z$ y valores p ajustados por Holm para considerar las comparaciones múltiples. Las Tasas de Éxito de Ataque (ASR) y las auditorías de perturbación verifican que los ataques cumplan con las restricciones.

Contribuciones Clave

Pipeline de QSL Reproducible: Implementación de un IDS EstimatorQNN de cuatro cúbits mediante ataques de gradiente de entrada directo.
Entrenamiento Consciente de PGD: Introducción de un protocolo de entrenamiento adversario mixto (50% limpio, 25% FGSM, 25% PGD) diseñado específicamente para clasificadores cuánticos.
Marco de Evaluación Riguroso: Una evaluación emparejada de diez semillas que incorpora auditorías de ataque, intervalos de confianza y tamaños de efecto, yendo más allá de los estudios de viabilidad de una sola ejecución.
Control Clásico Emparejado: Una línea base de MLP robusto entrenada con la misma representación de características reducidas, evitando la sobreinterpretación de ventajas específicas de la computación cuántica.
Benchmarking Empírico: Un reporte transparente del compromiso entre robustez y precisión, demostrando que, si bien el entrenamiento adversario fortalece el QSL, esto no necesariamente produce una superioridad absoluta sobre los métodos clásicos en este entorno.

Resultados

Impacto del Entrenamiento Adversario en QSL: El entrenamiento consciente de PGD mejoró significativamente la robustez del modelo cuántico contra ataques fuertes.
- Con PGD $\epsilon=0.05\pi$ , la precisión mejoró del 9.10% (QSL Limpio) al 26.90% (QSL Robusto).
- Con PGD $\epsilon=0.10\pi$ , la precisión mejoró del 2.60% al 20.73%.
- Las Tasas de Éxito de Ataque (ASR) para ataques PGD disminuyeron sustancialmente (por ejemplo, del 96.70% al 78.61% en $\epsilon=0.10\pi$ ).
Compromiso de la Precisión en Limpio: Esta ganancia de robustez tuvo un costo. La precisión en datos limpios del modelo QSL cayó del 70.73% al 61.57% después del entrenamiento adversario.
Comparación con la Línea Base Clásica: El MLP Robusto superó significativamente al QSL Robusto en términos absolutos bajo ataque.
- Con PGD $\epsilon=0.05\pi$ , el MLP Robusto logró un 64.27% de precisión frente al 26.90% del QSL Robusto.
- Con PGD $\epsilon=0.10\pi$ , el MLP Robusto logró un 50.50% frente al 20.73% del QSL Robusto.
Significancia Estadística: Las mejoras en el QSL robusto fueron estadísticamente significativas con grandes tamaños de efecto. Sin embargo, la superioridad del MLP Robusto sobre el QSL Robusto también fue estadísticamente significativa en la mayoría de los presupuestos de ataque.

Significado y Reivindicaciones
El artículo establece explícitamente que su contribución es un benchmark de robustez empírica, no una reivindicación de ventaja cuántica. El estudio demuestra que:

Vulnerabilidad: Los clasificadores cuánticos entrenados con datos limpios son altamente vulnerables a ataques iterativos de caja blanca (PGD), cayendo a menudo a un rendimiento cercano al azar.
Defensibilidad: El entrenamiento adversario fortalece materialmente el modelo QSL probado, recuperando una precisión significativa bajo ataque, lo cual es consistente con los hallazgos en el aprendizaje adversario clásico.
Sin Ventaja Cuántica Inherente: El experimento no respalda la afirmación de que las representaciones cuánticas o los circuitos variacionales confieran una robustez adversaria superior de forma inherente. En este entorno controlado, un MLP clásico compacto entrenado con la misma estrategia adversaria logró una robustez absoluta notablemente mayor.
Estándar Metodológico: El estudio aboga por un enfoque de evaluación estandarizado en la investigación de QML-IDS que incluya pruebas repetidas, controles clásicos emparejados, auditorías de ataque y el reporte explícito del compromiso entre robustez y precisión para evitar sobreestimaciones basadas únicamente en la precisión de datos limpios.

Los autores concluyen que, si bien el entrenamiento adversario es efectivo para la arquitectura cuántica probada, la evidencia actual sugiere que, para la detección de intrusiones práctica, los aprendices clásicos fuertes siguen siendo más robustos bajo las mismas restricciones de información. El trabajo futuro debería centrarse en escalar las representaciones, probar en hardware físico y explorar si los modelos cuánticos pueden alguna vez cerrar la brecha de robustez con los modelos clásicos.

Más como este