⚛️ quantum physics

An End-to-End Multi-Stage Kill-Chain Attack on Quantum Neural Networks: Demonstration on Trapped-Ion Hardware

Cet article démontre une attaque multi-étapes complète sur un réseau neuronal quantique fonctionnant sur un matériel à ions piégés, qui intègre la reconnaissance par canal auxiliaire, la caractérisation de la diaphonie et la génération d'exemples adverses pour manipuler physiquement le dispositif, tout en abordant les implications pour les fournisseurs de quantum-as-a-service et les potentielles atténuations matérielles.

Auteurs originaux : Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Publié 2026-07-07

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un ordinateur quantique de haute technologie non pas comme une boîte noire magique, mais comme un orchestre très sensible et délicat jouant une pièce de musique spécifique. Ce document décrit comment un « hacker » pourrait s'introduire dans cet orchestre, écouter les musiciens, comprendre exactement quelle chanson ils jouent, puis manipuler subtilement les instruments pour que la musique sonne faux — le tout sans que le chef d'orchestre (le propriétaire de l'ordinateur) ne s'en aperçoive.

Voici l'histoire de leur attaque en « chaîne de mort » (kill-chain), décomposée en étapes simples :

1. La mise en place : L'orchestre quantique

Les chercheurs ont utilisé un véritable ordinateur quantique composé d'ions piégés (de minuscules atomes chargés maintenus en place par des lasers). Ils ont mis en place un « Réseau de Neurones Quantiques » (QNN), qui est comme un étudiant intelligent essayant d'apprendre à reconnaître quatre symboles différents (comme un signe plus, un signe moins et deux parenthèses).

2. Le plan d'attaque : Un casse en trois étapes

Au lieu de simplement tenter de briser l'ordinateur par la force brute, les attaquants ont utilisé une stratégie de « chaîne de mort ». Considérez cela comme un cambrioleur qui ne se contente pas de fracasser la porte ; il commence d'abord par repérer le bâtiment, puis croche la serrure, et enfin désactive l'alarme.

Étape 1 : L'espion (Reconnaissance)

La métaphore : Imaginez que l'ordinateur quantique est une maison. Les attaquants ne peuvent pas voir à l'intérieur, mais ils peuvent se tenir dehors et écouter la consommation d'électricité de la maison. Chaque fois qu'une porte s'ouvre ou qu'une lumière s'allume, le compteur de puissance présente un pic spécifique.
Ce qu'ils ont fait : Les attaquants ont surveillé les traces de puissance (l'énergie électrique utilisée par les lasers de contrôle). Comme chaque circuit quantique utilise des motifs d'impulsions uniques, la consommation d'énergie ressemblait à une empreinte digitale unique.
Le résultat : En comparant l'empreinte de puissance de la victime avec une bibliothèque de circuits « fictifs » connus, les attaquants ont réussi à deviner la structure exacte du modèle quantique de la victime (combien d'atomes ils utilisaient, combien de couches de logique, et comment ils étaient connectés). Ils n'avaient pas besoin de voir le code ; l'électricité leur a tout dit.

Étape 2 : Le faussaire (Exemples adverses)

La métaphore : Maintenant que les attaquants connaissent la chanson que joue l'orchestre, ils veulent en changer la fin. Dans le monde numérique, ils ont créé des « exemples adverses ». C'est comme prendre la photo d'un panneau stop et y ajouter quelques pixels invisibles pour qu'une voiture autonome pense qu'il s'agit d'un panneau de limitation de vitesse.
Ce qu'ils ont fait : En utilisant une puissante simulation informatique, ils ont calculé de minuscules changements, presque invisibles, aux données d'entrée qui tromperaient le modèle quantique pour lui faire commettre une erreur.
Le problème : Ils ne pouvaient pas simplement envoyer ces « pixels invisibles » au véritable ordinateur quantique. Le matériel réel possède des limites physiques. C'est comme essayer de changer une note dans un orchestre en direct en chuchotant au violoniste ; on ne peut pas simplement taper une nouvelle note dans l'air.

Étape 3 : Le saboteur (L'attaque par diaphonie physique)

La métaphore : C'est la partie ingénieuse. Les attaquants ont réalisé que dans cet ordinateur quantique spécifique, si vous éclairez un atome avec un laser, la lumière « déborde » légèrement et pousse son voisin. C'est ce qu'on appelle la diaphonie (crosstalk). C'est comme si vous frappiez un tambour, et que la vibration se propageait dans le sol pour faire osciller légèrement le tambour d'à côté.
Ce qu'ils ont fait :
1. Ils ont utilisé les informations de l'Étape 1 pour savoir exactement quand la « musique » de la victime jouait.
2. Ils ont utilisé les mathématiques de l'Étape 2 pour savoir quel genre de « poussée » était nécessaire pour tromper le modèle.
3. Ils ont fait fonctionner leurs propres lasers de « perturbation » sur les atomes à côté des atomes de la victime au moment précis.
4. La lumière de « débordement » de leurs lasers a poussé les atomes de la victime juste assez pour imiter les « pixels invisibles » qu'ils avaient calculés précédemment.
Le résultat : L'ordinateur quantique de la victime a traité les données, mais à cause des poussées physiques des voisins, il a été confus et a donné une mauvaise réponse.

3. Le résultat

Les chercheurs ont prouvé qu'ils pouvaient :

Espionner la structure de l'ordinateur simplement en écoutant sa consommation d'énergie.
Calculer un moyen de le tromper.
Exécuter physiquement ce tour en utilisant les propres failles physiques de l'ordinateur (la diaphonie) contre lui.

Lorsqu'ils ont testé cela sur du matériel réel, l'attaque a fonctionné. Le modèle quantique, qui était habituellement correct, a commencé à commettre des erreurs à cause des subtiles poussées physiques provenant des atomes « voisins ».

Pourquoi est-ce important ?

Le document conclut que nous ne pouvons pas regarder la sécurité quantique de manière isolée. Nous ne pouvons pas nous inquiéter uniquement du « mauvais code » ou des « mauvaises mathématiques ». Nous devons nous inquiéter de la manière dont le matériel physique se comporte, de la façon dont il laisse fuiter des informations via l'électricité, et de la manière dont les utilisateurs partageant la même machine peuvent accidentellement (ou intentionnellement) perturber les résultats des autres.

En bref : Le document montre que si vous partagez un ordinateur quantique avec un étranger, celui-ci pourrait être capable d'écouter votre consommation d'électricité pour apprendre vos secrets, puis utiliser les vibrations physiques de son propre travail pour tromper vos résultats. C'est un rappel que dans le monde quantique, le matériel physique et le code numérique sont profondément entrelacés.

Résumé Technique : Attaque par Chaîne de Mort Multi-étapes de Bout en Bout sur les Réseaux de Neurones Quantiques

Énoncé du Problème

Le déploiement de l'Apprentissage Automatique Quantique (QML) sur de véritables Unités de Traitement Quantique (QPU) étend la surface d'attaque au-delà des simulations idéalisées. Alors que la littérature existante a examiné les vecteurs d'attaque individuels — tels que les attaques par canaux auxiliaires, la diaphonie (crosstalk) et les exemples adverses — de manière isolée, il existe une incompréhension concernant la manière dont ces vecteurs peuvent être combinés en une campagne d'attaque cohérente et multi-étapes. Les analyses de sécurité actuelles échouent souvent à capturer les interdépendances entre les faiblesses au niveau du matériel (ex: fuite par canal auxiliaire, fautes induites par la diaphonie) et les manipulations algorithmiques (ex: perturbations adverses) dans des environnements cloud multi-locataires pratiques. Ce document traite cette lacune en démontrant une attaque par « chaîne de mort » (kill-chain) de bout en bout qui lie la reconnaissance, l'inférence de modèle et la manipulation physique du matériel pour compromettre un Réseau de Neurones Quantique (QNN).

Méthodologie

Les auteurs proposent un pipeline d'attaque structuré en cinq étapes, adapté des cadres de sécurité informatique classiques (spécifiquement le MITRE ATT&CK et la Lockheed Martin Cyber Kill Chain) au contexte du QML. La méthodologie a été exécutée sur un ordinateur quantique à ions piégés (AQT Ibex), avec des expériences supplémentaires sur du matériel supraconducteur détaillées en annexe.

1. Reconnaissance (Analyse par Canal Auxiliaire)

La première étape consiste à inférer les paramètres structurels du QNN de la victime sans accès direct aux poids du modèle.

Technique : L'attaquant capture les traces de puissance de l'électronique de contrôle pendant l'exécution du circuit de la victime.
Processus : Ces traces sont comparées à une bibliothèque de 24 circuits de référence présentant des variations de nombre de qubits (4 vs 8), de profondeurs de couches (2, 4, 6, 8) et de motifs d'intrication.
Mécanisme : En filtrant les candidats sur la base de la durée totale d'exécution et en calculant la distance euclidienne ( $L_2$ -norm) entre le profil de puissance de la victime et les benchmarks, l'attaquant identifie l'architecture exacte du circuit (nombre de qubits, profondeur et structure d'intrication).

2. Génération d'Exemples Adverses

Une fois l'architecture connue, l'attaquant génère des exemples adverses.

Contrainte : L'attaque est contrainte par les limitations physiques du matériel à ions piégés AQT. La diaphonie sur cette plateforme est principalement induite par des portes de rotation à un qubit. Les portes virtuelles $R_Z$ ne produisent pas d'impulsions physiques et ne génèrent donc aucune diaphonie.
Implémentation : Les auteurs emploient la Descente de Gradient Projetée (PGD) pour générer des entrées adverses. Crucialement, ils appliquent un masque qui restreint les perturbations uniquement aux caractéristiques d'entrée encodées via des rotations $R_Y$ . Cela garantit que la perturbation adverse résultante est physiquement réalisable via la diaphonie.

3. Attaque Physique (Injection de Diaphonie)

La dernière étape traduit la perturbation adverse abstraite en une attaque physique sur le matériel.

Mécanisme : L'attaquant planifie l'exécution simultanée de son propre circuit sur des qubits voisins. En appliquant des portes de rotation $R_Y$ spécifiques à ces voisins à des moments précis (déterminés lors de la reconnaissance), il induit une diaphonie sur les qubits de la victime.
Objectif : La diaphonie induite crée un angle de rotation effectif sur les qubits de la victime qui approxime la rotation angulaire mathématiquement calculée de la perturbation adverse, manipulant ainsi l'entrée du modèle de la victime sans modifier les données ou les paramètres du modèle.

Principales Contributions

Première Démonstration de Bout en Bout : Le papier présente la première démonstration d'une attaque par chaîne de mort multi-étapes sur un QNN tournant sur du matériel réel à ions piégés, liant avec succès la reconnaissance par canal auxiliaire aux attaques par diaphonie.
Taxonomie Structurée : Il introduit une taxonomie de chaîne de mort pour le QML, cartographiant explicitement les interdépendances entre les vulnérabilités matérielles (traces de puissance, diaphonie) et les attaques algorithmiques (exemples adverses).
Génération Adverse Sensible au Matériel : Le travail démontre une méthode pour générer des exemples adverses qui respectent les contraintes matérielles spécifiques (ex: l'incapacité de perturber les caractéristiques encodées par $R_Z$ via la diaphonie sur les dispositifs AQT).
Validation Empirique : L'étude valide que les informations divulguées via les traces de puissance sont suffisantes pour reconstruire la structure du circuit de la victime avec un haut degré de confiance, permettant des attaques ciblées.

Résultats

Succès de la Reconnaissance : La reconnaissance basée sur les traces de puissance a réussi à identifier l'architecture du QNN de la victime (4 qubits, 4 couches) en la faisant correspondre aux circuits de référence. Les signatures de temps et d'amplitude ont fourni une empreinte digitale unique de la structure du circuit.
Vulnérabilité Adverse : En utilisant la PGD, les auteurs ont constaté que 840 échantillons sur 1 000 de l'entraînement pouvaient être mal classifiés avec un budget de perturbation ( $\epsilon$ ) $\le 1.0$ . Sous perturbation adverse, la précision de classification du QNN s'est effondrée de 92,4 % à 1,07 %.
Efficacité de la Diaphonie : Lorsque 50 échantillons susceptibles d'attaques adverses (identifiés par simulation) ont été exécutés sur le matériel AQT Ibex :
- La précision du matériel "propre" était de 0,64.
- L'attaque par "diaphonie" (induire des perturbations via des rotations de voisins) a entraîné une précision de 0,68.
- Bien que la chute de précision soit moins spectaculaire qu'en simulation, l'analyse de l'Erreur Absolue Moyenne (MAE) a montré que le comportement matériel induit par la diaphonie ( $hw\_crosstalk$ ) était significativement plus proche du comportement matériel adverse ( $hw\_adv$ ) que le comportement du matériel propre. Spécifiquement, la MAE entre $hw\_adv$ et $hw\_crosstalk$ était de 0,1236, la plus faible parmi toutes les comparaisons matériel-à-matériel, confirmant que la diaphonie physique a réussi à approximer la perturbation adverse voulue.

Signification et Revendications

Le papier affirme que sa principale importance réside dans la démonstration que la sécurité du QML ne peut pas être analysée de manière isolée. Les conclusions soulignent que :

Interdépendance des Menaces : L'information par canal auxiliaire (traces de puissance) n'est pas seulement une fuite de confidentialité, mais un catalyseur critique pour des attaques ultérieures plus destructrices (manipulation par diaphonie).
Réalisabilité Physique : Les exemples adverses ne sont pas seulement des constructions théoriques ; ils peuvent être physiquement réalisés sur des dispositifs NISQ grâce au bruit induit par le matériel (diaphonie) sans modifier les données d'entrée ou le modèle.
Défense au Niveau Système : Une défense efficace nécessite une approche systémique. Mitiger les canaux auxiliaires de puissance (ex: via des impulsions leurres ou un fonctionnement à puissance constante) et empêcher l'exécution partagée multi-locataire (pour bloquer l'injection de diaphonie) sont nécessaires pour briser la chaîne de mort.

Les auteurs soulignent que ces attaques opèrent dans les contraintes des dispositages NISQ actuels et ne reposent pas sur des hypothèses de tolérance aux pannes, rendant les résultats immédiatement pertinents pour les déploiements QML à court terme. Ce travail sert d'avertissement aux fournisseurs de QaaS et aux fabricants de matériel que les modèles d'isolation et de bruit actuels sont insuffisants face à des adversaires coordonnés et multi-étapes.