Riepilogo Tecnico: L'Apprendimento Federato Quantistico Resiste ai Backdoor a Livello di Circuito?

Enunciato del Problema

L'Apprendimento Federato Quantistico (QFL) combina la natura che preserva la privacy dell'Apprendimento Federato (FL) con i vantaggi computazionali dei Circuiti Quantistici Parametrizzati (PQC). Sebbene sia noto che l'FL è vulnerabile a clienti malintenzionati che iniettano backdoor, il QFL introduce una nuova superficie di attacco: l'hardware quantistico stesso. La ricerca esistente non ha analizzato in modo esaustivo come i clienti malintenzionati possano sfruttare meccanismi specifici del quantum (come sovrapposizione, entanglement e statistiche di misura) per lanciare attacchi backdoor stealth. La domanda centrale affrontata è se il QFL possa resistere ad attacchi backdoor a livello di circuito posti da clienti malintenzionati che operano entro i vincoli della fedeltà quantistica e dell'ottimizzazione decentralizzata.

Metodologia: Il Modello CULT

Gli autori propongono un nuovo modello di minaccia denominato CircUit-Level backdoor Threat (CULT). Questo modello formalizza quattro vettori di attacco distinti e stealth che sfruttano sia la fase in-training (esecuzione del circuito) che quella post-training (trasmissione degli aggiornamenti) del QFL.

1. Superfici di Attacco

Il modello CULT opera su due superfici:

• Superficie S1 (In-Training/Livello di Circuito): I clienti malintenzionati sostituiscono lo strato variazionale quantistico benigno con un circuito di attacco specifico durante i round di addestramento locale con una certa probabilità ($\rho$). Scalano inoltre la funzione di perdita sui round avvelenati per amplificare il segnale del gradiente.
• Superficie S2 (Post-Training/Creazione degli Aggiornamenti): Dopo l'ottimizzazione locale, i clienti malintenzionati trasformano i loro aggiornamenti grezzi prima della trasmissione. Utilizzano una cronologia di aggiornamenti simili a quelli benigni per creare delta che rimangono vicini alla varietà degli aggiornamenti benigni, evadendo efficacemente le difese basate sulla norma e sul clustering.

2. Quattro Attacchi Proposti

Il documento introduce quattro specifici attacchi a livello di circuito, tutti progettati per rimanere nella prossimità degli aggiornamenti benigni:

1. Attacco Grover Phase-Oracle: Applica un'inversione di fase condizionale a uno stato marcato della base computazionale ($|\omega\rangle$) utilizzando un operatore oracolo $O_\omega$. Questo altera i pattern di interferenza negli strati successivi del circuito, distorcendo il vettore delle caratteristiche misurato prima che venga elaborato dalla testa classica.
2. Attacco Pauli-Rotation: Applica rotazioni coerenti di Pauli a prodotto tensoriale a un sottoinsieme selezionato di qubit. Questo sposta le statistiche di misura mantenendo la prossimità geometrica dell'aggiornamento rispetto agli aggiornamenti benigni.
3. Attacco Bit-Flip: Inverte periodicamente un qubit designato su round specifici per creare una deriva strutturata a bassa frequenza nelle statistiche delle stringhe di bit, anziché rumore casuale.
4. Attacco Phase-Kickback Sign-Flip: Applica una fase $\pi$ a un qubit misurato, invertendo il segno del valore di aspettazione di Pauli-Z corrispondente. Questo induce effetti sistematici di inversione del gradiente dopo la retropropagazione.

3. Meccanismo di Creazione degli Aggiornamenti

Per garantire lo stealth, l'attaccante costruisce un aggiornamento creato ($\tilde{\Delta}\theta$) mediante:

• Ancoraggio dell'aggiornamento al riferimento benigno storico più vicino.
• Rimozione delle componenti principali superiori della storia benigna per evitare le direzioni dominanti apprese dalle difese.
• Riscaldamento dell'aggiornamento per far corrispondere la distribuzione della norma statistica dei clienti benigni.
• Applicazione di vincoli di sparsità per imitare le strutture degli aggiornamenti benigni.

Analisi Teorica

Il documento stabilisce una solida fondazione teorica che dimostra come, sotto ipotesi standard di regolarità ($L$-smoothness), gli attacchi CULT inducano una perturbazione limitata alla traiettoria del modello globale.

• Vincoli di Stealth: Gli autori definiscono un insieme di stealth fattibile in cui gli aggiornamenti malintenzionati sono vincolati da un raggio e da una soglia di similarità coseno rispetto a un centro robusto dei delta benigni.
• Degradazione dell'Accuratezza: Viene fornita una condizione sufficiente che mostra come, se il modello ha una massa non banale di punti vicino al confine decisionale, la deriva limitata indotta dagli attacchi sia sufficiente a invertire le previsioni, causando un calo misurabile dell'accuratezza. L'analisi dimostra che anche un singolo cliente malintenzionato può indurre una deviazione significativa nella traiettoria globale.

Risultati Sperimentali

Gli esperimenti sono stati condotti sui dataset MNIST e CIFAR-10 utilizzando Reti Neurali Quantistiche Ibride (QNN) con rispettivamente 5 e 9 qubit, sotto divisioni di dati non-IID (Dirichlet $\alpha=0.9$).

Risultati Chiave:

1. Gravità degli Attacchi: Anche un singolo cliente malintenzionato ($q=5\%$) causa una grave degradazione dell'accuratezza sotto l'aggregazione FedAvg standard.
   • Su MNIST, l'attacco Grover ha ridotto l'accuratezza dal 92,65% al 40,95% (un calo di circa il 52%).
   • Su CIFAR-10, l'attacco Grover ha ridotto l'accuratezza dal 70,15% al 34,87%.
2. Fallimento delle Difese: I metodi di aggregazione robusta popolari (Krum, Multi-Krum, FoolsGold, FLGuardian, Mud-HoG) riducono la degradazione in molti regimi ma non riescono a eliminare i casi di fallimento nel peggiore dei casi.
   • In scenari specifici, l'accuratezza scende fino al 50% anche con le difese attive.
   • Alcune difese (ad esempio Krum) soffrono di "underfitting", comprimendo le prestazioni anche in assenza di attacchi, facendole apparire stabili ma riducendo effettivamente l'utilità del modello.
3. Stealth: Gli attacchi mascherano efficacemente la loro presenza. Gli aggiornamenti malintenzionati rimangono vicini alle norme benignhe, permettendo agli attaccanti di eludere il rilevamento da parte di sistemi che si affidano a soglie di anomalia o statistiche di gradiente semplici.
4. Non Monotonicità: La degradazione dell'accuratezza non scala in modo monotono con la frazione di attaccanti ($q$). A causa delle divisioni non-IID e della natura stocastica delle misurazioni quantistiche, l'accuratezza può fluttuare, rendendo euristiche naive (ad esempio "l'accuratezza deve diminuire all'aumentare degli attaccanti") non valide.

Significato e Affermazioni

Il documento afferma di essere il primo lavoro ad analizzare e formalizzare in modo esaustivo gli attacchi backdoor a livello di circuito nel contesto del QFL. Il suo significato risiede in:

• Colmare il Divario: Unifica la progettazione degli attacchi e l'analisi dello stealth all'interno del QFL, rispettando sia i vincoli di fedeltà quantistica che la natura decentralizzata dell'FL.
• Sfidare le Difese Attuali: I risultati dimostrano che le attuali tecniche di aggregazione robusta sono insufficienti contro attacchi consapevoli del quantum, poiché gli aggiornamenti malintenzionati possono imitare la geometria benigna mentre degradano gravemente le prestazioni del modello.
• Validazione Teorica: Il lavoro fornisce una prova teorica che aggiornamenti limitati e vincolati allo stealth possono invertire le previsioni e degradare l'accuratezza, andando oltre l'osservazione empirica per garantire formalmente la vulnerabilità.

Gli autori concludono che le future difese devono andare oltre il rilevamento generico degli outlier e integrare segnali consapevoli del quantum, come controlli di coerenza a livello di circuito e vincoli di stabilità temporale sulle distribuzioni di misura, per contrastare efficacemente il modello di minaccia CULT.