Defending Quantum Classifiers against Adversarial Perturbations through Quantum Autoencoders

Ce papier propose un cadre de défense sans entraînement adversaire pour les classificateurs quantiques qui utilise un autoencodeur quantique pour purifier les échantillons adverses et identifier les entrées incalculables, surpassant significativement les méthodes de l'état de l'art en précision de prédiction sous des attaques adverses.

L'essentiel

Imaginez que vous possédez un robot très intelligent capable d'examiner une image d'un chiffre écrit à la main (comme un « 7 ») et de vous dire exactement ce qu'il est. Ce robot est un modèle d'apprentissage automatique quantique, une version ultra-avancée de l'intelligence artificielle que nous utilisons aujourd'hui.

Cependant, tout comme un humain peut être trompé par un tour de magie, ce robot peut être dupé. Un attaquant peut ajouter une infime couche invisible de « statique » ou de « bruit » à l'image. À vos yeux, le « 7 » ressemble toujours à un « 7 », mais le robot pense soudainement qu'il s'agit d'un « 2 ». C'est ce qu'on appelle une attaque par exemple contradictoire.

Les auteurs de cet article voulaient construire un bouclier pour ce robot afin qu'il ne soit pas trompé. Voici comment ils ont procédé, expliqué simplement :

Le problème avec les anciens boucliers

Habituellement, pour apprendre à un robot à ignorer ces astuces, vous devez lui montrer des milliers d'images falsifiées et trompeuses en disant : « C'est toujours un 7, ne vous laissez pas tromper ! » C'est ce qu'on appelle l'entraînement par exemple contradictoire.

• La difficulté : Parfois, vous ne pouvez pas le faire. Peut-être ne connaissez-vous pas le type d'astuces que l'attaquant utilisera, ou peut-être que le robot devient si bon pour repérer une astuce spécifique qu'il oublie comment gérer les nouvelles. C'est comme réviser uniquement pour un type spécifique d'examen de mathématiques et échouer lorsque les questions changent légèrement.

La nouvelle solution : le « Autoencodeur quantique » (le filtre magique)

Au lieu de réentraîner le robot, les auteurs ont construit un Autoencodeur quantique (QAE). Imaginez cela comme un filtre photo haute technologie ou un casque à réduction de bruit pour les images.

1. Le filtre : Avant que le robot n'examine l'image, le QAE prend l'image (même celle avec le bruit invisible) et tente de la « reconstruire ».
2. La purification : Le QAE est entraîné uniquement sur des images propres et parfaites. Lorsqu'il voit une image bruitée et trompeuse, il tente d'éliminer le bruit étrange et de reconstruire l'image en se basant sur ce qu'il sait qu'une image « réelle » ressemble. C'est comme un restaurateur qui nettoie un tableau boueux pour révéler l'œuvre originale en dessous.
3. Le résultat : Le robot examine ensuite cette version nettoyée. Comme le bruit a disparu, le robot peut à nouveau identifier correctement le « 7 ».

Le « compteur de confiance » (le videur)

Parfois, le bruit est si fort que le filtre ne peut pas nettoyer l'image parfaitement. Si le robot tente de deviner sur une image désordonnée, il pourrait encore se tromper.

Pour résoudre ce problème, les auteurs ont ajouté un compteur de confiance. Il agit comme un videur strict dans un club :

• La vérification : Le système vérifie deux choses :
  1. Dans quelle mesure le filtre a-t-il nettoyé l'image ? (Le bruit a-t-il disparu ?)
  2. À quel point le robot est-il sûr ? (Le robot est-il certain qu'il s'agit d'un « 7 » ou est-il en train de deviner ?)
• La décision : Si l'image est encore trop désordonnée ou si le robot n'est pas sûr, le videur dit : « Pas d'entrée ! » et rejette l'échantillon. Il ne fait pas une mauvaise hypothèse ; il refuse simplement de répondre, ce qui est mieux que de mentir.

Ce qu'ils ont découvert

L'équipe a testé cela sur des ensembles de données d'images célèbres (MNIST pour les chiffres et FashionMNIST pour les vêtements).

• Les résultats : Lorsque les attaquants utilisaient des astuces puissantes pour tromper le robot, les anciennes méthodes (utilisant des filtres informatiques standards) échouaient lamentablement, avec une précision chutant près de zéro.
• La victoire : Leur nouveau système (QAE++) a maintenu le robot fonctionnant correctement. Dans certains cas, il a amélioré la précision du robot de 68 % par rapport aux meilleures méthodes existantes.
• Efficacité : Leur filtre quantique était également beaucoup plus petit et plus léger que les anciens filtres informatiques, nécessitant beaucoup moins de mémoire pour fonctionner.

En résumé

L'article propose un moyen de protéger l'IA quantique contre la tromperie sans avoir besoin de la réentraîner sur chaque astuce possible. Ils utilisent un filtre quantique pour nettoyer les images et un compteur de confiance pour rejeter tout ce qui semble trop suspect. Cela maintient l'IA précise et fiable, même lorsque quelqu'un tente d'introduire un bruit invisible pour la confondre.

Résumé technique

1. Énoncé du problème

Les classificateurs quantiques variationnels (VQC) émergent comme des outils puissants pour l'apprentissage automatique, offrant des avantages potentiels en termes d'efficacité des paramètres par rapport aux modèles classiques. Cependant, tout comme leurs homologues classiques, les VQC sont vulnérables aux attaques adverses. Dans ces attaques, un adversaire introduit un bruit imperceptible et soigneusement conçu (perturbations) dans les données d'entrée (par exemple, des images), provoquant une mauvaise classification de l'entrée par le modèle.

Les mécanismes de défense existants reposent principalement sur l'entraînement adversaire, où le modèle est réentraîné sur des exemples adverses. Cette approche présente des limitations significatives :

• Faisabilité : Elle nécessite la capacité de générer des échantillons adverses, ce qui peut être impossible dans des scénarios de boîte noire ou lorsque le vecteur d'attaque est inconnu.
• Surapprentissage : Les modèles entraînés sur des types d'attaques spécifiques échouent souvent à se généraliser contre d'autres types d'attaques.
• Intensité des ressources : Le réentraînement des modèles quantiques est coûteux en termes de calcul.

Le papier répond au besoin d'un cadre de défense qui ne repose pas sur l'entraînement adversaire et qui peut purifier efficacement les échantillons adverses avant qu'ils n'atteignent le classificateur.

2. Méthodologie : Le cadre QAE++

Les auteurs proposent QAE++, un cadre de défense qui utilise un Autoencodeur Quantique (QAE) pour reconstruire et « purifier » les données d'entrée avant qu'elles ne soient alimentées dans un VQC. Le cadre se compose de trois composants principaux :

A. Autoencodeur Quantique (QAE) pour la reconstruction

Le QAE agit comme une couche de prétraitement. Contrairement aux autoencodeurs classiques (CAE) qui nécessitent un entraînement séparé des poids de l'encodeur et du décodeur, le QAE exploite la réversibilité des portes quantiques.

• Structure : Le QAE encode un état d'entrée $|\psi_{in}\rangle$ (sur $n$ qubits) dans un espace latent (sur $k$ qubits, où $k < n$). Les $n-k$ qubits restants sont désignés comme « qubits poubelle ».
• Objectif d'entraînement : L'encodeur est entraîné pour compresser l'entrée de sorte que les « qubits poubelle » soient échangés avec un état de référence (généralement $|0\rangle^{\otimes n-k}$). Le décodeur est simplement le conjugué hermitien (l'inverse) de l'encodeur.
• Mécanisme de purification : En entraînant le QAE uniquement sur des données propres, il apprend la variété de la distribution des données propres. Lorsqu'un échantillon adversaire (contenant du bruit en dehors de cette variété) est transmis, le QAE tente de le reconstruire. Le processus de reconstruction filtre efficacement le bruit adversaire, projetant l'échantillon à nouveau sur la variété des données propres apprise.
• Optimisation : L'encodeur est entraîné en maximisant la fidélité entre l'état poubelle et l'état de référence à l'aide d'un test SWAP. La fonction de perte est $L = 1 - \langle\sigma_Z\rangle$, où $\langle\sigma_Z\rangle$ représente la fidélité.

B. Métrique de confiance

Pour améliorer davantage la robustesse, le cadre introduit une métrique de confiance pour décider d'accepter une prédiction ou de rejeter l'échantillon comme potentiellement adversaire. Cette métrique combine deux facteurs :

1. Fidélité d'encodage ($\langle\sigma_Z\rangle_x$) : Mesure la qualité de la compression de l'entrée par le QAE. Une faible fidélité suggère que l'entrée contenait des caractéristiques (bruit) absentes de la distribution d'entraînement, indiquant une attaque adverse potentielle.
2. Différence de logit ($l_{\hat{x}}$) : La différence entre les logits de sortie les plus élevés et le deuxième plus élevé provenant du VQC. Une petite différence indique une faible confiance dans la classification, souvent un signe d'échantillon adversaire.

La métrique de confiance $C$ est calculée comme suit :
$$C = \langle\sigma_Z\rangle_x + \frac{l_{\hat{x}}}{2}$$
Cette valeur est comparée à un seuil $T$ (dérivé de données de validation propres). Si $C < T$, l'échantillon est rejeté ; sinon, la prédiction du VQC est acceptée.

C. Flux de l'algorithme (QAE++)

1. L'échantillon d'entrée $x$ (propre ou adversaire) est alimenté dans le QAE.
2. Le QAE produit un échantillon reconstruit $\hat{x}$ et un score de fidélité d'encodage.
3. $\hat{x}$ est transmis au VQC pour classification, générant des logits.
4. La métrique de confiance $C$ est calculée en utilisant la fidélité et la différence de logit.
5. Si $C$ atteint le seuil, la classe prédite est renvoyée ; sinon, l'échantillon est rejeté.

3. Contributions clés

• Défense sans entraînement adversaire : Le cadre défend les VQC sans exiger que le modèle soit réentraîné sur des exemples adverses, le rendant applicable dans des scénarios où la génération d'attaques est impossible.
• Avantage quantique dans la purification : Les auteurs démontrent que les QAE surpassent les Autoencodeurs Classiques (CAE) dans la reconstruction d'échantillons adverses, probablement en raison de la capacité du QAE à extraire des caractéristiques dans un espace latent quantique avec moins de paramètres.
• Rejet basé sur la confiance : L'introduction d'une métrique de confiance hybride (fidélité + différence de logit) permet au système de rejeter dynamiquement les échantillons à haut risque, augmentant considérablement la précision globale.
• Efficacité des paramètres : Le modèle QAE nécessite significativement moins de paramètres (par exemple, 120) par rapport aux défenses CAE de l'état de l'art (91 000), offrant une stratégie de défense plus économe en ressources.

4. Résultats expérimentaux

Le cadre a été évalué sur les ensembles de données MNIST et FashionMNIST (FMNIST) en utilisant des VQC avec des profondeurs de couches variables (100, 200, 300 couches) sous des attaques FGSM et PGD avec des forces de perturbation ($\epsilon$) allant de 0,05 à 0,30.

• Amélioration de la précision :
  • Sous des attaques fortes ($\epsilon = 0,30$) sur MNIST, la précision de base du VQC est tombée à près de 0 %.
  • Le QAE++ proposé a atteint une précision de 78,06 %, surpassant significativement la défense CAE (14,95 %) et la défense QAE seule (21,82 %).
  • Globalement, QAE++ a démontré des améliorations d'jusqu'à 68 % par rapport aux défenses CAE de l'état de l'art dans divers scénarios d'attaque.
• Capacité de rejet :
  • La métrique de confiance a efficacement identifié et rejeté les échantillons adverses. Par exemple, à $\epsilon=0,30$ (FGSM), QAE++ a rejeté plus de 5 700 échantillons mal classés tout en acceptant 494 échantillons correctement classés.
• Performance sur échantillons mixtes :
  • Dans des scénarios avec des entrées propres et adverses mélangées, QAE++ a constamment surpassé les défenses CAE et QAE seule, en particulier à mesure que le nombre de couches VQC augmentait.
• Stabilité : Bien que les CAE surpassent parfois les QAE sur des modèles plus petits avec une faible puissance d'attaque, QAE++ a maintenu une stabilité et des performances supérieures à mesure que la complexité du modèle et la force de l'attaque augmentaient.

5. Importance

Ce papier présente une étape cruciale vers la robustesse de l'apprentissage automatique quantique. En démontrant que les Autoencodeurs Quantiques peuvent purifier efficacement le bruit adversaire sans entraînement adversaire, les auteurs fournissent une solution pratique pour déployer des VQC dans des environnements réels, potentiellement hostiles.

L'importance réside dans :

1. Généralisabilité : La défense fonctionne contre des types d'attaques inconnus sans réentraînement.
2. Efficacité : Elle atteint une précision plus élevée avec drastiquement moins de paramètres que les défenses classiques, s'alignant sur l'objectif de l'avantage quantique (faire plus avec moins).
3. Fiabilité : La métrique de confiance ajoute une couche de sécurité, permettant au système de « reconnaître sa défaite » (rejeter un échantillon) plutôt que de classer avec confiance une entrée adversaire, ce qui est crucial pour les applications critiques pour la sécurité.

En conclusion, QAE++ établit une nouvelle référence pour la défense des classificateurs quantiques, prouvant que les techniques de reconstruction natives quantiques peuvent offrir une robustesse supérieure par rapport à leurs homologues classiques.