Feature-level analysis and adversarial transfer in rotationally equivariant quantum machine learning

1. Problématique

L'apprentissage automatique quantique (QML) géométrique utilise des architectures équivariantes aux groupes (symétries) pour améliorer l'induction de biais et la trainabilité des modèles. Cependant, l'impact de ces contraintes de symétrie sur la robustesse aux attaques adverses reste mal compris.

La question centrale de cet article est la suivante : L'équivariance garantit-elle automatiquement une robustesse accrue contre les attaques adverses, en particulier dans le cadre des attaques par transfert (où l'attaque est générée sur un modèle classique et transférée au modèle quantique) ?

Les auteurs s'interrogent sur la nature des caractéristiques (features) accessibles à un modèle quantique équivariant et sur la façon dont ces caractéristiques influencent sa vulnérabilité. Ils postulent que la simple imposition d'une symétrie ne suffit pas à éliminer les caractéristiques « fragiles » (brittle features) qui rendent les modèles vulnérables.

2. Méthodologie

Les auteurs adoptent une approche analytique et numérique centrée sur un modèle quantique spécifique : le modèle quantique équivariant par rotation (introduit dans la référence [5]).

A. Cadre Théorique : Analyse par « Twirling »

Les auteurs utilisent le concept de canal de « twirling » (moyenne sur le groupe) pour caractériser l'information accessible au modèle.

• Principe : Pour un modèle équivariant avec une lecture invariante, la prédiction ne dépend que de l'état d'entrée « twirled » (moyenné sur les rotations).
• Résultat théorique : Le modèle ne peut accéder qu'aux statistiques invariantes par rotation de l'image. Ces statistiques se décomposent en secteurs de symétrie distincts (modes de Fourier).
  • Le mode $m=0$ correspond aux intensités moyennes par anneau (ring-averaged intensities).
  • Les modes $m \neq 0$ capturent les variations d'intensité structurées autour des anneaux (corrélations circulaires).

B. Outils d'Investigation : Transformations d'Entrée

Pour déterminer quelles statistiques invariantes sont réellement utilisées par le modèle entraîné, les auteurs introduisent trois transformations d'entrée contrôlées :

1. T1 (Brouillage circulant orthogonal) : Préserve toutes les corrélations invariantes par rotation (donc l'information accessible au modèle) mais modifie l'apparence visuelle.
2. T2 (Permutation par anneau) : Préserve les moyennes par anneau mais détruit la structure de corrélation angulaire d'ordre supérieur.
3. T3 (Suppression de la moyenne par anneau) : Élimine le mode $m=0$ (intensités moyennes) tout en conservant la structure de corrélation relative.

C. Évaluation de la Robustesse

• Attaques : Utilisation d'attaques par transfert générées sur des modèles classiques (surrogates) : Classificateur Linéaire (LC), MLP, CNN et ResNet18.
• Méthodes d'attaque : FGSM (Fast Gradient Sign Method) et PGD (Projected Gradient Descent).
• Stratégies de défense testées :
  1. Entraînement adversaire : Entraînement du modèle quantique avec des exemples générés par un surrogate linéaire.
  2. Intervention architecturale : Projection explicite du mode $m=0$ (suppression des intensités moyennes par anneau) lors de la lecture (measurement), sans modification des données d'entraînement.

3. Contributions Clés

1. Caractérisation de l'information accessible : Dérivation explicite montrant que les modèles équivariants par rotation ne peuvent exploiter que des statistiques invariantes (corrélations circulaires), décomposées en secteurs de symétrie de Fourier.
2. Identification de la source de fragilité : Démonstration que l'équivariance seule ne garantit pas la robustesse. Le modèle peut s'appuyer sur des statistiques invariantes mais « fragiles », spécifiquement les intensités moyennes par anneau (mode $m=0$), qui sont vulnérables aux attaques de transfert classiques.
3. Stratégie de défense ciblée : Proposition et validation d'une méthode architecturale simple (suppression du canal $m=0$) qui améliore considérablement la robustesse aux attaques de transfert sans nécessiter d'augmentation de données ou d'entraînement adversaire coûteux.
4. Analyse comparative des jeux de données : Mise en évidence que la dépendance aux caractéristiques fragiles varie selon le jeu de données (forte dépendance aux moyennes d'anneau pour STM, RotFMNIST, CIFAR ; dépendance plus mixte pour MNIST).

4. Résultats Principaux

• Vulnérabilité des statistiques invariantes : Les résultats montrent que même dans l'espace restreint des statistiques invariantes, le modèle peut apprendre à utiliser des caractéristiques non robustes. Les modèles entraînés sur des données « propres » (Clean) sont souvent aussi vulnérables aux attaques de transfert que ceux entraînés sur des données T2 (qui ne contiennent que les moyennes d'anneau).
• Corrélation avec les surrogates linéaires : Les attaques générées par des classificateurs linéaires (LC) sont particulièrement efficaces car ces surrogates s'appuient naturellement sur les mêmes statistiques (moyennes d'anneau) que le modèle quantique. Cela explique la forte transférabilité des attaques.
• Efficacité de la suppression du mode $m=0$ :
  • L'entraînement sur des données T3 (sans moyennes d'anneau) améliore la robustesse mais au prix d'une baisse significative de la précision sur les données propres.
  • À l'inverse, l'intervention architecturale (projection du mode $m=0$ sur un modèle entraîné sur des données propres) améliore la robustesse de manière significative (souvent supérieure à l'entraînement adversaire pour les attaques CNN/ResNet) tout en préservant la précision sur les données propres.
• Robustesse vs Précision : L'entraînement adversaire classique souffre du compromis classique entre robustesse et précision (baisse de performance sur les données propres). La suppression ciblée du canal de symétrie fragile permet de contourner ce compromis dans ce contexte spécifique.

5. Signification et Perspectives

Cet article établit un mécanisme systématique pour comprendre et améliorer la robustesse des modèles QML basés sur la symétrie :

• Compréhension mécaniste : Il démontre que la symétrie ne crée pas automatiquement une « zone de sécurité » contre les attaques. Au contraire, elle peut concentrer l'apprentissage sur des caractéristiques invariantes spécifiques qui, si elles sont fragiles, deviennent des points de défaillance critiques.
• Conception de modèles robustes : L'étude suggère que l'ingénierie de la robustesse dans les modèles quantiques ne doit pas seulement se concentrer sur l'architecture globale, mais sur le contrôle fin des canaux de symétrie (secteurs de représentation irréductible). Supprimer sélectivement les canaux associés aux caractéristiques fragiles est une stratégie efficace.
• Généralisation : Bien que l'analyse soit spécifique au modèle équivariant par rotation, le cadre théorique basé sur le « twirling » s'applique à tout modèle quantique strictement équivariant. Cela ouvre la voie à une analyse mécaniste des caractéristiques pour d'autres architectures symétriques.
• Obfuscation de données : Les auteurs suggèrent également que les transformations dans le sous-espace non sensible (comme T1) pourraient être utilisées pour l'obfuscation pratique des données, permettant un entraînement externe sans révéler le contenu pixel brut, tout en préservant la tâche de classification.

En conclusion, ce travail fournit une preuve conceptuelle et empirique que l'analyse au niveau des caractéristiques (feature-level analysis) est essentielle pour concevoir des modèles quantiques robustes, et que la manipulation des secteurs de symétrie offre un levier puissant pour améliorer la sécurité des systèmes QML.