Experimental robustness benchmarking of quantum neural networks on a superconducting quantum processor

Cet article présente le premier benchmark expérimental systématique de robustesse pour des réseaux de neurones quantiques à 20 qubits sur un processeur supraconducteur, démontrant que l'entraînement adversaire améliore considérablement la sécurité et révélant que le bruit quantique intrinsèque confère à ces modèles une robustesse adversaire supérieure par rapport à leurs équivalents classiques.

L'essentiel

Imaginez que vous avez construit un cerveau robotique très intelligent et futuriste (un Réseau de Neurones Quantique, ou QNN) capable d'examiner des images et de vous dire si elles représentent la lettre « Q » ou la lettre « T ». Vous vous demandez : Quelle est la robustesse de ce cerveau robotique ? Si quelqu'un tente de le tromper avec une tache minuscule, presque invisible, sur l'image, va-t-il se confondre et donner une mauvaise réponse ?

Cet article agit comme un test de résistance pour ce cerveau robotique. Les chercheurs ont construit une version physique réelle de ce cerveau en utilisant une puce informatique ultra-refroidie (un processeur quantique supraconducteur) et ont tenté de le faire échouer. Voici ce qu'ils ont découvert, expliqué simplement :

1. La configuration du « test de résistance »

Considérez le QNN comme un étudiant passant un examen. Les chercheurs voulaient voir combien de « bruit » ou de « tromperie » l'étudiant pouvait supporter avant d'échouer.

• L'attaque : Ils ont utilisé une astuce ingénieuse appelée « attaque masquée ». Imaginez essayer de tromper l'étudiant en modifiant uniquement les parties les plus importantes d'un dessin (comme la courbe d'un « Q ») tout en laissant le reste intact. C'est beaucoup plus efficace que d'essayer de modifier chaque pixel individuel.
• L'objectif : Ils voulaient trouver le point exact où le cerveau robotique bascule de « C'est un Q » à « C'est un T ». Ce point est appelé la limite de robustesse.

2. La grande découverte : Théorie contre Réalité

Dans le monde de la physique quantique, les scientifiques disposent de formules mathématiques qui prédisent à quel point un cerveau robotique devrait être fort. Mais jusqu'à présent, personne n'avait réellement testé cela sur une machine réelle pour vérifier si les mathématiques tenaient la route.

• Le résultat : Les chercheurs ont constaté que leur attaque réelle correspondait presque parfaitement aux mathématiques théoriques. La différence était si infime (environ 0,003) que c'est comme mesurer la hauteur d'un immeuble et se tromper de moins de l'épaisseur d'un cheveu humain.
• Pourquoi c'est important : Cela prouve que leur méthode de « test de résistance » fonctionne parfaitement. Ils peuvent désormais faire confiance à leurs outils pour mesurer la sécurité de l'IA quantique.

3. La surprise de la « formation »

Tout comme un étudiant humain, le cerveau robotique peut être entraîné à devenir plus résistant.

• La méthode : Les chercheurs ont montré au cerveau des exemples d'images « trompées » pendant sa formation.
• Le résultat : Après cette « formation adversariale », le cerveau est devenu beaucoup plus difficile à tromper. Il a appris à ignorer les minuscules taches qui le confondaient habituellement. C'est comme enseigner à un étudiant à repérer une fausse pièce d'identité en lui montrant de nombreux exemples de contrefaçons.

4. Le bouclier du « bruit quantique » (La partie la plus intéressante)

Voici la surprise. Habituellement, dans les ordinateurs classiques, le « bruit » (statique, dysfonctionnements, erreurs) est une mauvaise chose. Il empire les choses.

• La découverte : Les chercheurs ont constaté que le bruit naturel à l'intérieur de leur ordinateur quantique rendait en fait le cerveau robotique plus sûr contre les attaques qu'un ordinateur classique standard (comme celui de votre ordinateur portable).
• L'analogie : Imaginez que vous essayez de chuchoter un secret à un ami dans une pièce très bruyante et venteuse.
  • Dans une pièce calme (un ordinateur classique), un chuchotement minuscule et précis (une attaque) peut être entendu clairement et modifier ce que votre ami pense.
  • Dans une pièce bruyante et venteuse (l'ordinateur quantique bruyant), ce même chuchotement minuscule se perd dans le vent. Le vent (le bruit quantique) agit comme un bouclier, estompant les astuces minuscules et précises utilisées par les attaquants.
  • Note : Le vent est assez fort pour cacher les astuces, mais pas assez fort pour empêcher l'ami d'entendre le message principal (l'image réelle).

5. Ce qu'ils n'ont pas affirmé

Il est important de s'en tenir à ce que l'article dit réellement :

• Ils n'ont pas affirmé que cette technologie est prête à protéger votre compte bancaire ou vos voitures autonomes aujourd'hui.
• Ils n'ont pas affirmé que les ordinateurs quantiques sont invincibles. Ils ont constaté que, bien qu'ils soient plus robustes que les ordinateurs classiques dans ce test spécifique, ils peuvent toujours être trompés si l'attaque est suffisamment puissante.
• Ils n'ont pas prétendu que cela résout tous les problèmes de sécurité. Ils ont simplement construit la première « règle » fiable pour mesurer la force de ces cerveaux quantiques.

Résumé

Les chercheurs ont construit un cerveau d'ordinateur quantique réel, testé la facilité avec laquelle il pouvait être trompé, et découvert deux choses principales :

1. Ils ont créé une règle de mesure parfaite pour tester la sécurité quantique.
2. De manière surprenante, la « statique » et les « dysfonctionnements » inhérents aux machines quantiques agissent en fait comme un bouclier naturel, les rendant plus difficiles à tromper que les ordinateurs classiques dans ce scénario spécifique.

Ce travail est la première étape vers la construction d'une IA quantique à laquelle nous pouvons faire confiance pour ne pas être facilement trompée.

Résumé technique

1. Énoncé du problème

Les modèles d'apprentissage automatique quantique (QML), en particulier les réseaux de neurones quantiques (QNN), sont théoriquement vulnérables à des attaques adverses similaires à leurs équivalents classiques. Ces attaques impliquent des perturbations d'entrée soigneusement conçues et imperceptibles qui provoquent une mauvaise classification. Bien que des cadres théoriques existent pour estimer la robustesse des QNN (par exemple, des bornes basées sur la fidélité), il a manqué une validation expérimentale systématique sur du matériel quantique réel.

• Le vide : La littérature existante manque d'algorithmes d'attaque adverses efficaces sur le plan matériel, adaptés aux dispositifs NISQ (Noisy Intermediate-Scale Quantum). De plus, l'impact du bruit quantique inhérent sur la robustesse et l'efficacité des stratégies de défense telles que l'entraînement adversarial sont restés largement non quantifiés dans les expériences physiques.
• Le défi : La génération d'exemples adverses sur du matériel quantique est coûteuse en calcul en raison de la nécessité d'évaluations répétées de circuits (estimation du gradient) et est susceptible d'être obscurcie par le bruit matériel.

2. Méthodologie

Les auteurs proposent un cadre expérimental complet pour évaluer la robustesse des QNN sur un processeur supraconducteur à 72 qubits, en utilisant un sous-ensemble de 20 qubits.

A. Configuration expérimentale

• Matériel : Un processeur quantique supraconducteur à puce inversée (flip-chip) accordable en fréquence, comportant 72 qubits et 126 coupleurs.
• Architecture QNN : Un classificateur de circuit quantique variationnel (VQC) composé de :
  • Préparation d'état : Encodage des données dans des états quantiques.
  • Circuit variationnel : 40 couches de rotations de qubit unique SU(2) et de portes d'intrication Controlled-Z (CZ) entre voisins les plus proches (181 paramètres entraînables).
  • Mesure : Mesure de Pauli-Z sur un qubit de sortie pour déterminer la probabilité de classification.
• Ensembles de données :
  1. EMNIST : Lettres manuscrites « Q » et « T » (données d'images classiques encodées via ré-uploading de données).
  2. LCEI (Linear Cluster Excitation Identification) : Un ensemble de données quantique synthétique distinguant entre des états de grappes (cluster states) de 20 qubits « excités » et « non excités ».

B. Algorithme d'attaque proposé : Mask-FGSM

Pour surmonter le coût élevé de l'estimation complète du gradient sur les dispositifs NISQ, les auteurs ont développé Mask-FGSM (Fast Gradient Sign Method masqué).

• Mécanisme : Au lieu de perturber toutes les caractéristiques d'entrée, l'algorithme analyse les gradients d'entrée pour identifier un sous-ensemble sparse de caractéristiques « vulnérables » (pixels pour les images, angles de rotation pour les états quantiques).
• Implémentation : Un masque binaire $M$ est construit pour sélectionner la fraction supérieure $r$ des caractéristiques ayant les magnitudes de gradient les plus élevées. Les perturbations sont appliquées uniquement à ces coordonnées sélectionnées :
  $$x' = x + \epsilon \cdot (M \odot \text{sign}(\nabla_x L))$$
• Avantage : Cela réduit le coût computationnel de l'estimation du gradient d'un facteur $1/r$ et atténue l'impact des composantes de gradient dominées par le bruit, rendant les attaques par lots réalisables sur le matériel.

C. Métriques de robustesse

1. Bornes de robustesse :
   • Borne inférieure ($RLB$) : Déduite analytiquement en utilisant la fidélité d'état ($F$) et les probabilités prédites ($p_1, p_2$) : $RLB = \frac{1}{2}(\sqrt{p_1} - \sqrt{p_2})^2$.
   • Borne supérieure ($RUB$) : Extraite empiriquement en appliquant itérativement Mask-FGSM jusqu'à ce qu'une mauvaise classification se produise, en mesurant l'infidélité d'état $D(\rho, \sigma) = 1 - F(\rho, \sigma)$ au seuil critique.
2. Score de robustesse adverse ($R_{adv}$) : Une métrique quantitative basée sur la sensibilité des logits ($S$).
   • Sensibilité $S = \Delta L / \hat{\epsilon}$, où $L$ est le « logit quantique » dérivé de la valeur d'attente $\langle \sigma_z \rangle$.
   • $R_{adv}$ est défini comme la moyenne d'une fonction sigmoïde miroir de la sensibilité sur l'ensemble de données.

D. Stratégie de défense

• Entraînement adversarial : Le QNN est réentraîné en utilisant un ensemble de données composé de 50 % d'échantillons propres et de 50 % d'échantillons adverses générés via Mask-FGSM. Ce processus vise à régulariser les gradients d'entrée, réduisant leur alignement avec les directions de perturbation adverses.

3. Résultats clés

A. Validation des bornes de robustesse

• L'expérience a permis d'extraire avec succès des bornes supérieures empiriques ($RUB$) pour des QNN à 20 qubits.
• Précision : L'écart entre la $RUB$ extraite expérimentalement et la $RLB$ analytique était extrêmement faible :
  • EMNIST : $\Delta \approx 2,96 \times 10^{-3}$
  • LCEI : $\Delta \approx 3,25 \times 10^{-3}$
• Signification : Cela confirme que l'attaque Mask-FGSM est presque optimale pour identifier le sous-espace vulnérable et valide la précision des bornes théoriques basées sur la fidélité dans un environnement matériel bruyant.

B. Efficacité de l'entraînement adversarial

• L'entraînement adversarial a considérablement amélioré la robustesse.
  • EMNIST : Le score de robustesse est passé de $8,90 \times 10^{-3}$ (propre) à $0,330$ (adverse).
  • LCEI : Le score de robustesse est passé de $0,105$à$0,339$.
• Mécanisme : L'analyse des gradients d'entrée a révélé que l'entraînement adversarial réoriente les vecteurs de gradient, réduisant leur similarité cosinus avec la direction de perturbation ($\delta$). Cela agit comme un régularisateur implicite, préservant les régions de caractéristiques critiques tout en diminuant la sensibilité aux attaques ciblées.

C. Robustesse quantique vs classique

• Résultat surprenant : Les QNN entraînés sur des données propres ont présenté des scores de robustesse adverse significativement plus élevés que les réseaux de neurones feedforward (FNN) classiques ayant des nombres de paramètres et une précision comparables sur la même tâche EMNIST.
  • Les QNN ont surpassé les FNN de plus de 64 fois en termes de scores de robustesse sous entraînement propre.
• Cause : Les auteurs attribuent cela à l'atténuation du gradient induite par le bruit. Le bruit matériel inhérent (décohérence, $T_1$, $T_2$) agit comme un « filtre passe-bas » naturel ou un masque de gradient. Il supprime la sensibilité fine requise pour les attaques adverses tout en préservant les caractéristiques macroscopiques nécessaires à une classification correcte.
• Vérification par simulation : Les simulations sans bruit de QNN par rapport aux FNN n'ont montré aucun avantage de robustesse inhérent, confirmant que le bénéfice observé est le résultat direct du bruit matériel NISQ.

4. Signification et contributions

1. Premier benchmark au niveau matériel : Ce travail présente le premier benchmark expérimental systématique de la robustesse des QNN sur un processeur supraconducteur, allant au-delà des simulations théoriques.
2. Protocole d'attaque efficace : L'introduction de Mask-FGSM fournit une méthode évolutive et efficace sur le plan matériel pour générer des exemples adverses sur des dispositifs NISQ, résolvant le goulot d'étranglement des coûts d'estimation du gradient.
3. Validation des bornes théoriques : L'écart minimal entre les bornes inférieures analytiques et les bornes supérieures expérimentales fournit une forte preuve empirique de la validité des métriques de robustesse basées sur la fidélité dans les systèmes quantiques réels.
4. Le bruit comme défense : La découverte que le bruit quantique inhérent peut agir comme un mécanisme de défense naturel (masquage de gradient) remet en question la vision conventionnelle du bruit comme purement délétère. Cela suggère une caractéristique de sécurité unique des dispositifs NISQ par rapport aux modèles classiques ou quantiques sans bruit.
5. Cadre pour un QML sécurisé : L'étude établit un cadre reproductible pour diagnostiquer les vulnérabilités et évaluer les stratégies de défense (comme l'entraînement adversarial), ouvrant la voie au développement d'applications d'apprentissage automatique quantique sécurisées et fiables dans des domaines à haut risque.

Conclusion

L'article démontre que, bien que les QNN soient vulnérables aux attaques adverses, leur robustesse peut être efficacement quantifiée et améliorée. La combinaison d'un algorithme d'attaque adapté (Mask-FGSM), d'un entraînement adversarial et du bruit intrinsèque du matériel supraconducteur crée un profil de défense robuste qui, dans certains cas, dépasse les réseaux de neurones classiques. Ce travail pose les fondements méthodologiques pour l'évaluation future de la sécurité des systèmes d'intelligence artificielle quantique.