⚛️ quantum physics

When cheap gradients fail: the measurement cost of attacking quantum classifiers

यह शोध पत्र प्रदर्शित करता है कि परिमित क्वांटम मापन सांख्यिकी (शॉट नॉइज़) वेरिएशनल क्वांटम क्लासिफायर पर ग्रेडिएंट-आधारित हमलों के विरुद्ध एक अंतर्निहित रक्षा के रूप में कार्य करती है, क्योंकि यह एक ऐसा मापन लागत लागू करती है जो इनपुट आयाम के साथ सुपर-लीनियर रूप से स्केल करती है, जिससे व्हाइट-बॉक्स एडवरसेरियल हमले शास्त्रीय समकक्षों की तुलना में अत्यधिक महंगे हो जाते हैं।

मूल लेखक: Bacui Li, Chandra Thapa, Tansu Alpcan, Udaya Parampalli

प्रकाशित 2026-07-14

📖 7 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Bacui Li, Chandra Thapa, Tansu Alpcan, Udaya Parampalli

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक स्मार्ट AI को यह विश्वास दिलाने के लिए कि एक बिल्ली वास्तव में एक कुत्ता है, एक फोटो में एक बहुत ही सूक्ष्म, अदृश्य बदलाव करने की कोशिश कर रहे हैं। नियमित कंप्यूटर प्रोग्रामों की दुनिया में, यह एक "चीट कोड" (cheat code) की तरह है। आप प्रोग्राम से पूछ सकते हैं, "जीतने के लिए मुझे पिक्सेल को किस दिशा में धकेलना चाहिए?" और वह तुरंत, लगभग मुफ्त में, आपको उत्तर बता देता है। इसे "चीप-ग्रेडिएंट प्रिंसिपल" (cheap-gradient principle) कहा जाता है। हमलावर इसे पसंद करते हैं क्योंकि वे बहुत तेज़ी से लाखों सूक्ष्म बदलावों को आज़मा सकते हैं।

लेकिन, क्वांटम मशीन लर्निंग (QML) की दुनिया में, खेल के नियम पूरी तरह बदल जाते हैं। यह शोध पत्र तर्क देता है कि क्वांटम कंप्यूटरों में एक अंतर्निर्मित "रक्षा तंत्र" (defense mechanism) होता है जो इन चालाकी भरे हमलों को अविश्वसनीय रूप से महंगा और धीमा बना देता है। यह कैसे काम करता है, इसके लिए यहाँ कुछ मज़ेदार उपमाएँ दी गई हैं।

"शॉट नॉइज़" (Shot Noise) की दीवार

कल्पना कीजिए कि आप कॉफी के एक कप का सटीक तापमान बताने की कोशिश कर रहे हैं, लेकिन आप केवल एक बार, लड़खड़ाता हुआ घूँट ले सकते हैं। यदि आप एक घूँट लेते हैं, तो आपका अनुमान बहुत गलत हो सकता है। एक अच्छा अनुमान लगाने के लिए, आपको कई, बहुत सारे घूँट लेने होंगे और उनका औसत निकालना होगा।

क्वांटम कंप्यूटरों में, "घूँट लेना" मेज़रमेंट (measurement) या शॉट (shot) कहलाता है। क्योंकि क्वांटम भौतिकी के अजीब नियमों के कारण, आप उत्तर को एक बार में पूरी तरह से नहीं पढ़ सकते। एक स्पष्ट तस्वीर पाने के लिए आपको सर्किट को बार-बार चलाना पड़ता है। इस यादृच्छिकता (randomness) को शॉट नॉइज़ (shot noise) कहा जाता है।

यह शोध पत्र दिखाता है कि हमलावर को यह पता लगाने के लिए कि इनपुट को किस दिशा में धकेलना है (ग्रेडिएंट), उसे इमेज के हर एक फीचर के लिए ये "घूँट" लेने होंगे। यदि इमेज में 784 पिक्सेल हैं (जैसे कि एक छोटा MNIST डिजिट), तो हमलावर को दिशा का एक धुंधला सा अंदाजा पाने के लिए भी भारी संख्या में शॉट्स लेने होंगे।

घुसपैठ करने की लागत

लेखकों ने 784 पिक्सेल (एक मानक छोटे अंक की इमेज का आकार) तक की इमेज पर सिमुलेशन चलाए और हमलावरों के लिए एक डरावना रुझान पाया: इमेज जितनी बड़ी होगी, हमला करना उतना ही कठिन होगा।

संघर्ष का गणित: यदि आप इमेज का आकार दोगुना करते हैं, तो हमलावर को आवश्यक शॉट्स की संख्या केवल दोगुनी नहीं होती; बल्कि यह विस्फोट की तरह बढ़ती है। शोध पत्र में पाया गया कि उनके द्वारा परीक्षण किए गए मॉडल्स के लिए, शॉट्स की कुल संख्या लगभग डायमेंशन के घन (cube of the dimension) या $d^{3.00}$ के रूप में बढ़ी।
वास्तविक दुनिया की कीमत: एक एकल हमले पर गणित लगाते हैं। एक क्वांटम AI को धोखा देने के लिए जो 784-पिक्सेल वाली इमेज देख रहा है, एक हमलावर को केवल एक चालाकी भरी इमेज बनाने के लिए सर्किट को 50 करोड़ बार ( $5 \times 10^8$ $5 \times 1 0^{8}$ शॉट्स) चलाने की आवश्यकता हो सकती है।
- यदि क्वांटम कंप्यूटर एक शॉट के लिए लगभग 100 माइक्रोसेकंड लेता है, तो उस एकल हमले में लगातार चलने का समय लगभग 15 घंटे होगा।
- यदि आप 10,000 इमेज के पूरे डेटासेट पर हमला करना चाहते हैं, तो एक ही डिवाइस पर निरंतर समय लगभग 17 साल लगेगा।

यह "मेज़रमेंट कॉस्ट" (measurement cost) है। यह एक त्वरित "चीट कोड" को दशकों लंबे मैराथन में बदल देता है।

यह क्या नहीं है (और यह क्या खारिज करता है)

यह जानना महत्वपूर्ण है कि यह शोध पत्र क्या नहीं कह रहा है, क्योंकि लेखक अपनी सीमाओं के प्रति बहुत सावधान हैं:

यह सब कुछ के लिए जादुई ढाल नहीं है: शोध पत्र स्पष्ट रूप से कहता है कि यह रक्षा केवल तब काम करती है जब क्वांटम कंप्यूटर कुछ ऐसा जटिल कर रहा हो जिसे एक सामान्य कंप्यूटर सिम्युलेट (simulate) नहीं कर सकता। यदि एक सामान्य कंप्यूटर उस क्वांटम मॉडल को सिम्युलेट कर सकता है, तो हमलावर बस तुरंत गणित करने के लिए सामान्य कंप्यूटर का उपयोग कर सकता है (जिसे "सिम्युलेट-एंड-बैकप्रोपैगेट शॉर्टकट" कहा जाता है)। यह रक्षा केवल तभी प्रभावी होती है जब क्वांटम मॉडल वास्तव में "कठिन" हो।
यह मॉडल को "छिपाने" के बारे में नहीं है: कुछ रक्षा प्रणालियाँ मॉडल के काम करने के तरीके को छिपाने की कोशिश करती हैं (इसे "ब्लैक बॉक्स" बनाती हैं)। यह पेपर तर्क देता है कि भले ही हमलावर को मॉडल के बारे में सब कुछ पता हो (एक "व्हाइट-बॉक्स" हमला), फिर भी उसे शॉट कॉस्ट चुकानी ही होगी। आप मेज़रमेंट की भौतिकी को धोखा नहीं दे सकते।
यह जानबूझकर जोड़े गए "रैंडम नॉइज़" के बारे में नहीं है: यह रेडियो सिग्नल में शोर जोड़ने जैसा नहीं है जिससे किसी को भ्रमित किया जा सके। यह शॉट नॉइज़ है, जो क्वांटम मैकेनिक्स का एक मौलिक हिस्सा है। जब तक आप अधिक शॉट्स के लिए भुगतान नहीं करते, आप इसे बंद नहीं कर सकते।

हम कितने आश्वस्त हैं?

लेखक स्केलिंग लॉ (scaling law) (वह गणित जो दिखाता है कि लागत आकार के साथ कैसे बढ़ती है) के बारे में बहुत आश्वस्त हैं, लेकिन वे विशिष्ट संख्याओं के बारे में सावधान हैं।

सिमुलेशन: मुख्य परिणाम उन कंप्यूटरों से प्राप्त हुए हैं जो क्वांटम होने का दिखावा करते हैं। उन्होंने 784 इनपुट डायमेंशन तक परीक्षण किया और पाया कि लागत $d^{3.00}$ के रूप में बढ़ी।
हार्डवेयर चेक: यह सुनिश्चित करने के लिए कि उनका सिमुलेशन गलत नहीं था, उन्होंने एक वास्तविक 156-क्यूबिट IBM क्वांटम प्रोसेसर (केवल 12 इनपुट डायमेंशन का उपयोग करके) पर एक छोटा संस्करण टेस्ट किया। वास्तविक हार्डवेयर लगभग वैसा ही व्यवहार करता जैसा सिमुलेशन में था, जिससे पुष्टि हुई कि "शॉट नॉइज़" रक्षा वास्तविक है और केवल कोई कंप्यूटर ग्लिच नहीं है।
"फ्लोर" (The Floor): पेपर सुझाव देता है कि "परफेक्ट" क्वांटम मॉडल्स के लिए (जहाँ ग्रेडिएंट मॉडल बड़ा होने के साथ कमजोर नहीं होता), लागत $d^{2.5}$ के रूप में बढ़ेगी। हालाँकि, जिन मॉडल्स का उन्होंने वास्तव में परीक्षण किया, उनके ग्रेडिएंट्स बड़े होने पर कमजोर हो गए, जिससे लागत बढ़कर $d^{3.00}$ हो गई।

निष्कर्ष (The Bottom Line)

शोध पत्र निष्कर्ष निकालता है कि क्वांटम शॉट नॉइज़, ग्रेडिएंट-आधारित हमलों के खिलाफ एक प्राकृतिक, अंतर्निर्मित रक्षा के रूप में कार्य करता है। जबकि एक सामान्य AI हमलावर को कुछ सेकंड के कंप्यूटिंग खर्च पर बदलाव करने की अनुमति दे सकता है, एक क्वांटम AI उसी ट्रिक के लिए वर्षों के कंप्यूटिंग समय की मांग कर सकता है।

यह बिस्कुट के जार से बिस्कुट चुराने की कोशिश करने जैसा है। एक सामान्य घर में, आप बस हाथ अंदर डालते हैं। इस क्वांटम घर में, हर बार जब आप हाथ अंदर डालते हैं, जार हिलता है, और आपको यह सुनिश्चित करने के लिए कि आपने वास्तव में बिस्कुट पकड़ा है, आपको लाखों बार हाथ डालना पड़ता है। जब तक आप इसे पूरा करते हैं, आपने इतनी ऊर्जा खर्च कर दी होती है कि अब बिस्कुट के लिए यह प्रयास करना सार्थक नहीं रह जाता।

लेखक इस बात पर जोर देते हैं कि यह एक स्केलिंग लॉ है: जैसे-जैसे क्वांटम मॉडल्स बड़े और अधिक उपयोगी (और सिम्युलेट करने में कठिन) होते जा रहे हैं, यह रक्षा भी मजबूत होती जा रही है, जिससे हमलावर का काम घातीय रूप से (exponentially) कठिन होता जा रहा है।

तकनीकी सारांश: जब सस्ते ग्रेडिएंट विफल हो जाते हैं: क्वांटम क्लासिफायर पर हमला करने की मापन लागत

समस्या विवरण
एडवर्सरियल परटर्बेशन (Adversarial perturbations) मशीन लर्निंग क्लासिफायर के लिए एक महत्वपूर्ण खतरा पैदा करते हैं, जिसमें वेरिएशनल क्वांटम क्लासिफायर (VQCs) भी शामिल हैं। क्वांटम मशीन लर्निंग (QML) के लिए मौजूदा रक्षा तंत्र अक्सर गतिशील गारंटियों (जैसे, यूनिटैरिटी, ऑपरेटर स्कैम्बलिंग) या शोर-प्रेरित मजबूती के अनुभवजन्य अवलोकनों पर निर्भर करते हैं, लेकिन ये विश्लेषण आमतौर पर यह मान लेते हैं कि हमलावर के पास सटीक एक्सपेक्टेशन वैल्यू (expectation values) तक पहुंच है। वास्तव में, क्वांटम यांत्रिकी शून्य-लागत ग्रेडिएंट गणना को वर्जित करती है। प्रत्येक ऑब्जर्वेबल (observable) को सीमित मापों (finite measurements) से पुनर्गठित करना पड़ता है, जिससे "शॉट नॉइज़" (shot noise) उत्पन्न होता है।

यह शोध पत्र एक व्हाइट-बॉक्स एडवर्सरी (white-box adversary) द्वारा QML क्लासिफायर पर ग्रेडिएंट-आधारित हमले करने के लिए आवश्यक भौतिक मापन लागत की जांच करता है। विशेष रूप से, यह उस विषमता (asymmetry) को संबोधित करता है जहाँ एक डिफेंडर (defender) ट्रेनिंग के दौरान शॉट लागतों का उपभोग (amortize) करता है, जबकि एक हमलावर को इंफरेंस (inference) के समय प्रत्येक ग्रेडिएंट क्वेरी के लिए एक नया, आयाम-निर्भर मापन लागत चुकानी पड़ती है। लेखक "चीप-ग्रेडिएंट सिद्धांत" (cheap-gradient principle) को चुनौती देते हैं जो क्लासिकल ऑटोमैटिक डिफरेंशिएशन का आधार है, और यह दावा करता है कि ग्रेडिएंट गणना की लागत इनपुट आयाम के बावजूद एक छोटे स्थिरांक (constant) द्वारा सीमित होती है।

कार्यप्रणाली
लेखक सीमित-शॉट मापन सांख्यिकी (finite-shot measurement statistics) को ग्रेडिएंट अनुमान अनिश्चितता और हमले की प्रभावकारिता से जोड़ने वाला एक सैद्धांतिक ढांचा स्थापित करते हैं।

थ्रेट मॉडल (Threat Model): अध्ययन प्रशिक्षित QML क्लासिफायर पर टेस्ट-टाइम, व्हाइट-बॉक्स इवेजन हमलों (evasion attacks) पर केंद्रित है। हमलावर को आर्किटेक्चर और पैरामीटर्स ( $\theta$ ) का ज्ञान है, लेकिन उसे क्वांटम मापन के माध्यम से इनपुट ग्रेडिएंट $\nabla_x L$ का अनुमान लगाना होगा। हमलावर का संसाधन कुल शॉट बजट $R$ (कुल सर्किट निष्पादन) है।
ग्रेडिएंट अनुमान: विश्लेषण पैरामीटर-शिफ्ट नियम (Parameter-Shift Rule - PSR) का उपयोग करता है, जो ग्रेडिएंट्स के लिए एक अनबायस्ड एस्टिमेटर है। PSR के तहत, प्रत्येक ग्रेडिएंट घटक के लिए दो शिफ्टेड सर्किट मूल्यांकन की आवश्यकता होती है। इन एस्टिमेट्स का वेरिएंस क्वांटम क्रैमरर-राओ बाउंड (Cramér–Rao bound) द्वारा नियंत्रित होता है, जो $\sigma^2/s$ के रूप में स्केल करता है, जहाँ $s$ प्रति घटक शॉट्स की संख्या है।
सैद्धांतिक व्युत्पत्ति:
- लेखक एक स्थिर हमला सफलता दर या लॉस सरप्लस बनाए रखने के लिए आवश्यक शॉट बजट $R$ के स्केलिंग का निर्धारण करते हैं।
- वे स्थानीय रैखिकता (local linearity), i.i.d. गॉसियन शोर, और छोटे शोर शासन (small noise regimes) के तहत सिंगल-स्टेप हमलों (जैसे, FGSM) का विश्लेषण करते हैं।
- वे स्टोकेस्टिक ग्रेडिएंट लैंगविन डायनेमिक्स (SGLD) में मैपिंग करके इटरेटिव हमलों (जैसे, Carlini-Wagner) का विस्तार करते हैं, जहाँ शॉट काउंट को एक इनवर्स टेम्परेचर पैरामीटर के रूप में माना जाता है।
- वे "जियोमेट्रिक फ्लोर" (जो शुद्ध रूप से शॉट नॉइज़ ज्योमेट्री द्वारा निर्धारित लागत है) और "रियलाइज्ड कॉस्ट" (जिसमें गहरे, एक्सप्रेसिव सर्किट्स में ग्रेडिएंट नॉर्म का क्षय शामिल है) के बीच अंतर करते हैं।
अनुभवजन्य सत्यापन (Empirical Validation):
- सिमुलेशन: प्रयोग MNIST और Fashion-MNIST डेटासेट पर $d=784$ ( $q=10$ क्विबिट्स) तक के इनपुट आयामों के साथ किए गए। इस अध्ययन ने वास्तविक डिवाइस शोर के विरुद्ध स्केलिंग कानूनों को मापने और आदर्श सिमुलेशन के साथ तुलना करने के लिए सर्किट डेप्थ, आयाम और शॉट बजट को बदला।
- हार्डवेयर: आदर्श सिमुलेशन के विरुद्ध स्केलिंग कानूनों को मान्य करने के लिए IBM ibm_boston प्रोसेसर पर एक उपसमुच्चय प्रयोग ( $d=12$ , 4-qubit सर्किट्स) किया गया।
- बेसलाइन: क्लासिकल ग्रेडिएंट कॉस्ट रेशियो को कंप्यूट करने के लिए एक मैच की गई क्लासिकल कनवल्शनल न्यूरल नेटवर्क (CNN) बेसलाइन का उपयोग किया गया।

मुख्य योगदान

शॉट-नॉइज़ स्केलिंग लॉज़: यह शोध पत्र स्थापित करता है कि निरंतर हमला प्रभावकारिता बनाए रखने के लिए QML में एक मापन बजट की आवश्यकता होती है जो इनपुट आयाम $d$ $d$ के साथ बहुपद (polynomial) रूप से स्केल करता है।
- एक निश्चित परटर्बेशन बजट $\epsilon$ के साथ सिंगल-स्टेप हमलों के लिए, कुल शॉट बजट $R = \Theta(d^2)$ के रूपв स्केल करता है।
- नॉर्म-कंसंट्रेशन स्केलिंग ( $\epsilon \propto \sqrt{d}$ ) के तहत, बजट $R = \Theta(d^{5/2})$ के रूप में स्केल करता है।
- गहरे, एक्सप्रेसिव सर्किट्स के लिए जहाँ ग्रेडिएंट नॉर्म्स आयाम के साथ घटते हैं (बैरन प्लेटो सिग्नेचर), रियलाइज्ड कॉस्ट और भी तेजी से बढ़ता है, जो अनुभवजन्य रूप से $R \approx \Theta(d^3)$ है।
चीप-ग्रेडिएंट सिद्धांत की विफलता: लेखक प्रदर्शित करते हैं कि क्वांटम ग्रेडिएंट कॉस्ट रेशियो (एक फॉरवर्ड पास की इकाइयों में ग्रेडिएंट की लागत) $d$ के साथ बहुपद रूप से बढ़ता है (अनुभवजन्य रूप से $\Theta(d^{3.00})$ ), जबकि क्लासिकल रेशियो स्थिर ( $\approx 5$ ) रहता है। यह विचलन बताता है कि जैसे-जैसे मॉडल स्केल होता है, क्वांटम मॉडल पर हमला करने की सापेक्ष लागत नाटकीय रूप से बढ़ जाती है।
इटरेटिव अटैक विश्लेषण: इटरेटिव हमलों को SGLD के रूप में फ्रेम करके, यह पेपर दिखाता है कि सीमित-शॉट अभिसरण सिद्धांत (convergence theory) हमलावर को सिंगल-स्टेप स्केलिंग कानूनों से बचने की कोई गारंटी नहीं देता है। हालांकि शॉट एलोकेशन में एक "स्वीट स्पॉट" मौजूद है (जहाँ मध्यम शोर लोकल मिनिमा से बाहर निकलने में मदद करता है), सटीक-ग्रेडिएंट प्रदर्शन फ्लोर तक पहुँचने के लिए आवश्यक बजट अभी भी आयाम के साथ तेजी से बढ़ता है।
हार्डवेयर सत्यापन: 156-क्विबिट IBM प्रोसेसर पर प्रयोगों ने पुष्टि की कि शॉट-नॉइज़ रोबस्टनेस प्रभाव वास्तविक हार्डवेयर पर भी बना रहता है। डिवाइस अटैक ने आदर्श सिमुलेशन को कुछ प्रतिशत के भीतर ट्रैक किया, जिससे यह प्रमाणित हुआ कि रक्षात्मक परिणाम आंतरिक रूप से परिमित मापन (finite measurement) के कारण है, न कि सिमुलेशन आर्टिफैक्ट के कारण।

परिणाम

स्केलिंग एक्सपोनेंट्स: $d=784$ $d = 784$ तक के सिमुलेशन ने सैद्धांतिक संरचना को मान्य किया।
- पैरामीटर-फ्री जियोमेट्रिक बेसलाइन (स्थिर ग्रेडिएंट नॉर्म मानकर) प्रति आयाम $d^{3/2}$ ( $d^{5/2}$ कुल) का पालन करती है।
- परीक्षण किए गए गहरे सर्किट्स, जो ग्रेडिएंट नॉर्म क्षय ( $\|\nabla L\| \propto d^{-0.73}$ ) प्रदर्शित करते हैं, ने $d^{3.00}$ (MNIST) और $d^{3.07}$ (Fashion-MNIST) का कुल बजट स्केलिंग प्राप्त किया।
- जब मापे गए ग्रेडिएंट नॉर्म को वापस कॉस्ट में शामिल किया गया, तो डेटा $d^{3/2}$ जियोमेट्रिक फ्लोर को रिकवर करता है, जो पुष्टि करता है कि अतिरिक्त स्केलिंग मॉडल के ग्रेडिएंट क्षय के कारण है, न कि शोर की ज्योमेट्री के कारण।
व्यावहारिक लागत: एक $d=784$ MNIST क्लासिफायर के लिए, एक एकल एडवर्सरियल उदाहरण बनाने के लिए लगभग $5 \times 10^8$ शॉट्स की आवश्यकता होती है। 100 $\mu$ s प्रति शॉट निष्पादन समय मानकर, यह प्रति सैंपल ~15 घंटे के अनुक्रमिक डिवाइस समय के बराबर है। पूर्ण डेटासेट हमले के लिए ~17 वर्षों के निरंतर डिवाइस समय की आवश्यकता होगी।
क्लासिकल तुलना: मैच की गई क्लासिकल बेसलाइन ने आयाम-स्वतंत्र ग्रेडिएंट कॉस्ट रेशियो ( $\rho \approx 5$ ) प्रदर्शित किया, जो क्वांटम मामले के विपरीत को उजागर करता है जहाँ अनुपात $d^{3.00}$ के रूप में बढ़ता है।

महत्व और दावे
यह पेपर दावा करता है कि परिमित क्वांटम मापन सांख्यिकी ग्रेडिएंट-आधारित हमलों के खिलाफ एक "इन-बिल्ट डिफेंस" के रूप में कार्य करती है, लेकिन केवल विशिष्ट स्थितियों के तहत:

क्लासिकल हार्डनेस: रक्षात्मक परिणाम ठीक तभी काम करते हैं जब क्वांटम मॉडल का फॉरवर्ड मैप क्लासिकली कठिन (classically hard) हो। इस शासन में, एक व्हाइट-बॉक्स हमलावर "सिमुलेट-एंड-बैकप्रोपैगेट" शॉर्टकट का उपयोग नहीं कर सकता है और उसे मापन लागत चुकानी पड़ती है।
आंतरिक लागत: एल्गोरिथमिक अस्पष्टता (obfuscation) या रैंडमाइज्ड स्मूथिंग के विपरीत, यह रक्षा क्वांटम मापन (Born rule) के भौतिकी के प्रति आंतरिक है और शॉट बजट बढ़ाकर इसे बंद नहीं किया जा सकता है।
स्केलेबिलिटी: ग्रेडिएंट निकालने की लागत मॉडल के स्केल होने पर बहुपद रूप से बढ़ती है। यह सुझाव देता है कि जैसे-जैसे QML मॉडल "क्वांटम एडवांटेज" शासन (बड़ा $d$ , गहरे सर्किट्स) की ओर बढ़ते हैं, डिफेंडर और हमलावर के बीच संसाधन विषमता प्रभावी ग्रेडिएंट-आधारित हमलों के लिए एक मौलिक बाधा बन जाती है।

लेखक विनम्र रहते हुए नोट करते हैं कि छोटे सिस्टम ( $q \le 10$ ) पर उनके प्रयोग "ट्रैक्टेबल" (tractable) पक्ष पर हैं। वे यह दावा नहीं करते कि ये परिणाम वर्तमान स्तरों पर तैनात रक्षा के रूप में हैं, बल्कि यह स्थापित करते हैं कि एक बार क्लासिकल सिमुलेबिलिटी की सीमा पार होने के बाद हमलावर की लागत को कौन सा स्केलिंग लॉ चरित्रित करता है। वे यह भी उल्लेख करते हैं कि ग्रेडिएंट-फ्री हमले (जैसे, ट्रांसफर हमले) एक अलग थ्रेट मॉडल हैं जिन्हें इन सीमाओं द्वारा पूरी तरह से संबोधित नहीं किया गया है।

"शॉट नॉइज़" (Shot Noise) की दीवार

घुसपैठ करने की लागत

यह क्या नहीं है (और यह क्या खारिज करता है)

हम कितने आश्वस्त हैं?

निष्कर्ष (The Bottom Line)

इसी तरह के और पेपर