When cheap gradients fail: the measurement cost of attacking quantum classifiers

Sintesi Tecnica: Quando i Gradienti Economici Falliscono: Il Costo di Misurazione per Attaccare i Classificatori Quantistici

Problema
Le perturbazioni avversarie rappresentano una minaccia significativa per i classificatori di apprendimento automatico, inclusi i Classificatori Quantistici Variazionali (VQC). Sebbene le difese esistenti per il Quantum Machine Learning (QML) si affidino spesso a garanzie dinamiche (ad esempio, unitarietà, scrambling degli operatori) o osservazioni empiriche della robustezza indotta dal rumore, queste analisi assumono tipicamente che l'attaccante abbia accesso a valori di aspettativa esatti. In realtà, la meccanica quantistica proibisce il calcolo dei gradienti a costo zero. Ogni osservabile deve essere ricostruita da misurazioni finite, introducendo il "rumore di shot" (shot noise).

Questo articolo investiga il costo fisico di misurazione richiesto per un avversario white-box per eseguire attacchi basati sul gradiente su classificatori QML. Nello specifico, affronta l'asimmetria in cui un difensore ammortizza i costi di shot durante l'addestramento, mentre un attaccante deve pagare un costo di misurazione fresco e dipendente dalla dimensione per ogni query del gradiente durante l'inferenza. Gli autori mettono in discussione il "principio del gradiente economico" dell'autodifferenziazione classica, il quale postula che il costo del calcolo del gradiente sia limitato da una piccola costante rispetto a un passaggio in avanti (forward pass), indipendentemente dalla dimensione dell'input.

Metodologia
Gli autori stabiliscono un quadro teorico che collega le statistiche di misurazione a shot finiti all'incertezza della stima del gradiente e all'efficacia dell'attacco.

1. Modello di Minaccia: Lo studio si concentra su attacchi di evasione white-box al tempo di test su classificatori QML addestrati. L'avversario conosce l'architettura e i parametri ($\theta$), ma deve stimare il gradiente dell'input $\nabla_x L$ tramite misurazioni quantistiche. La risorsa dell'attaccante è il budget totale di shot $R$ (totale delle esecuzioni del circuito).
2. Stima del Gradiente: L'analisi utilizza la Regola dello Spostamento dei Parametri (Parameter-Shift Rule, PSR), un estimatore non distorto per i gradienti. Sotto PSR, ogni componente del gradiente richiede due valutazioni di circuito spostate. La varianza di queste stime è governata dal limite di Cramér-Rao quantistico, che scala come $\sigma^2/s$, dove $s$ è il numero di shot per componente.
3. Derivazione Teorica:
   • Gli autori derivano la scalabilità del budget di shot $R$ richiesto per mantenere un tasso di successo dell'attacco o un surplus di perdita costante.
   • Analizzano attacchi a singolo step (ad esempio, FGSM) sotto assunzioni di linearità locale, rumore Gaussiano i.i.d. e regimi di rumore piccolo.
   • Estendono l'analisi ad attacchi iterativi (ad esempio, Carlini-Wagner) mappando l'ottimizzazione a shot finiti alla Stochastic Gradient Langevin Dynamics (SGLD), trattando il conteggio degli shot come un parametro di temperatura inversa.
   • Distinguono tra il "pavimento geometrico" (il costo dettato puramente dalla geometria del rumore di shot) e il "costo realizzato" (che include il decadimento delle norme dei gradienti in circuiti profondi ed espressivi).
4. Validazione Empirica:
   • Simulazione: Gli esperimenti sono stati condotti su dataset MNIST e Fashion-MNIST con dimensioni di input fino a $d=784$ ($q=10$ qubit). Lo studio ha variato la profondità del circuito, la dimensione e i budget di shot per misurare i tassi di successo dell'attacco e i surplus di perdita.
   • Hardware: Un sottoinsieme di esperimenti ($d=12$, circuiti a 4 qubit) è stato eseguito sul processore IBM ibm_boston per validare le leggi di scalabilità rispetto al rumore di un dispositivo reale e confrontarli con le simulazioni ideali.
   • Baseline: È stata utilizzata una baseline classica di Reti Neurali Convoluzionali (CNN) corrispondente per calcolare il rapporto di costo del gradiente classico.

Contributi Chiave

1. Leggi di Scalabilità del Rumore di Shot: L'articolo stabilisce che mantenere un'efficacia di attacco costante nel QML richiede un budget di misurazione che scala polinomialmente con la dimensione dell'input $d$.
   • Per attacchi a singolo step con un budget di perturbazione fisso $\epsilon$, il budget totale di shot scala come $R = \Theta(d^2)$.
   • Sotto la scalabilità di concentrazione della norma ($\epsilon \propto \sqrt{d}$), il budget scala come $R = \Theta(d^{5/2})$.
   • Per circuiti profondi ed espressivi dove le norme dei gradienti decadono con la dimensione (firma dei barren plateaus), il costo realizzato cresce ancora più velocemente, empiricamente come $R \approx \Theta(d^3)$.
2. Fallimento del Principio del Gradiente Economico: Gli autori dimostrano che il rapporto di costo del gradiente quantistico (costo di un gradiente in unità di un forward pass) cresce polinomialmente con $d$ (empiricamente $\Theta(d^{3.00})$), mentre il rapporto classico rimane costante ($\approx 5$). Questa divergenza significa che il costo relativo per attaccare un modello quantistico aumenta drasticamente al crescere di $d$.
3. Analisi degli Attacchi Iterativi: Inquadrando gli attacchi iterativi come SGLD, il paper mostra che la teoria della convergenza a shot finiti non offre garanzie affinché un attaccante possa sfuggire alle leggi di scalabilità del singolo step. Sebbene esista un "punto ottimale" nell'allocazione degli shot (dove un rumore moderato aiuta a uscire dai minimi locali), il budget richiesto per raggiungere il pavimento delle prestazioni del gradiente esatto cresce comunque rapidamente con la dimensione.
4. Validazione Hardware: Esperimenti su un processore IBM a 156 qubit hanno confermato che l'effetto di robustezza del rumore di shot persiste sull'hardware reale. L'attacco sul dispositivo ha seguito la simulazione ideale entro pochi punti percentuali, convalidando il fatto che la conseguenza difensiva è intrinseca alla misurazione finita e non un artefatto della simulazione.

Risultati

• Esponenti di Scalabilità: Le simulazioni fino a $d=784$ hanno convalidato la struttura teorica.
  • Il baseline geometrico privo di parametri (assumendo norme del gradiente stabili) segue $d^{3/2}$ per dimensione ($d^{5/2}$ totale).
  • I circuiti profondi testati, che mostrano un decadimento della norma del gradiente ($\|\nabla L\| \propto d^{-0.73}$), hanno realizzato una scalabilità del budget totale di $d^{3.00}$ (MNIST) e $d^{3.07}$ (Fashion-MNIST).
  • Quando la norma del gradiente misurata viene riportata nel calcolo del costo, i dati recuperano il pavimento geometrico $d^{3/2}$, confermando che l'eccesso di scalabilità è guidato dal decadimento del gradiente del modello, non dalla geometria del rumore stesso.
• Costo Pratico: Per un classificatore MNIST con $d=784$, la creazione di un singolo esempio avversario richiede circa $5 \times 10^8$ shot. Assumendo un tempo di esecuzione di 100 $\mu$s per shot, ciò equivale a circa 15 ore di tempo di dispositivo sequenziale per campione. Un attacco a un intero dataset richiederebbe circa 17 anni di tempo di dispositivo continuo.
• Confronto Classico: La baseline classica corrispondente ha mostrato un rapporto di costo del gradiente indipendente dalla dimensione ($\rho \approx 5$), evidenziando il forte contrasto con il caso quantistico in cui il rapporto diverge come $d^{3.00}$.

Significatività e Rivendicazioni
L'articolo sostiene che le statistiche di misurazione quantistica finita agiscono come una "difesa integrata" contro gli attacchi basati sul gradiente, ma solo sotto condizioni specifiche:

1. Difficoltà Classica: La conseguenza difensiva opera precisamente quando la mappa forward del modello quantistico è classicamente difficile da simulare. In questo regime, un attaccante white-box non può usare la scorciatoia "simula-e-backpropaga" ed è costretto a pagare il costo di misurazione.
2. Costo Intrinseco: A differenza dell'offuscamento algoritmico o del smoothing randomizzato, questa difesa è intrinseca alla fisica della misurazione quantistica (regola di Born) e non può essere disattivata senza aumentare il budget di shot.
3. Scalabilità: Il costo per estrarre i gradienti diverge polinomialmente al crescere del modello. Ciò suggerisce che, man mano che i modelli QML si muovono verso il regime di "vantaggio quantistico" (grande $d$, circuiti profondi), l'asimmetria di risorse tra difensore e attaccante diventa una barriera fondamentale agli attacchi basati sul gradiente.

Gli autori rimangono modesti, notando che i loro esperimenti su sistemi piccoli ($q \le 10$) si trovano sul lato "trattabile" del confine di simulabilità classica. Non affermano che questi risultati costituiscano una difesa implementata alle scale attuali, ma piuttosto stabiliscono la legge di scalabilità che caratterizza il costo dell'attaccante una volta superato il confine della simulabilità classica. Notano inoltre che gli attacchi senza gradiente (ad esempio, attacchi di trasferimento) sono un modello di minaccia separato non pienamente affrontato da questi limiti.