Does the Readout Bypass Leak the Input? A Feature-Visibility Audit of Hybrid Quantum-Classical Models

Nel campo emergente del machine learning quantistico, i ricercatori stanno cercando di insegnare ai computer a trovare schemi utilizzando le strane leggi della fisica quantistica. Questi sistemi spesso prendono una grande quantità di dati ordinari, li comprimono in un minuscolo stato quantistico e poi misurano alcuni risultati per fare una previsione. Poiché i dati sono nascosti all'interno di un sistema quantistico, alcuni scienziati hanno sperato che questo processo agisca come uno scudo naturale, mantenendo l'informazione originale al sicuro da occhi indiscreti. Questa idea è particolarmente importante per un metodo chiamato apprendimento federato (federated learning), dove molti computer diversi lavorano insieme su un problema condiviso senza mai inviare i propri dati privati a un server centrale. Invece, inviano solo piccoli aggiornamenti su come i loro modelli stanno imparando. La speranza è che questi aggiornamenti non rivelino nulla riguardo ai record specifici con cui i computer sono partiti.

Uno studio recente condotto dai ricercatori di Workday AI Research mette in discussione un design specifico destinato a migliorare questi sistemi quantistici, dimostrando che potrebbe non offrire la protezione della privacy che molti presuppongono. Il team ha investigato un modello ibrido che cerca di ottenere il meglio di entrambi i mondi: utilizza un circuito quantistico per elaborare parte dei dati, ma mantiene anche i dati originali, non elaborati, visibili al sistema per aiutare l'accuratezza. Questo design, noto come "readout-side residual hybrid", collega l'input grezzo direttamente alla parte finale del processo decisionale del modello. I ricercatori volevano sapere se questa scorciatoia, che aiuta il modello a imparare meglio, rivelasse accidentalmente i dati privati al server. Hanno scoperto che, in molti casi, ciò accade esattamente, permettendo al server di ricostruire i dati originali con una chiarezza sorprendente, anche senza dover rompere il codice quantistico.

Lo studio si è concentrato su un tipo specifico di rischio per la privacy in cui un server, onesto ma curioso, riceve gli aggiornamenti matematici dal computer di un cliente. In uno scenario tipico, il cliente invia un aggiornamento basato su un singolo esempio di dati, come un record della composizione chimica di un vino o la storia medica di un paziente. I ricercatori hanno simulato questo scambio e si sono posti una domanda semplice: se il server vede l'aggiornamento, può lavorare a ritroso per capire quali fossero i dati originali? Hanno testato questo approccio su due dataset comuni, uno riguardante le caratteristiche del vino e un altro i record sul tumore al seno. Hanno confrontato modelli che utilizzavano solo i dati elaborati quantisticamente rispetto a modelli che includevano i dati grezzi insieme ai risultati quantistici.

I risultati sono stati netti. Per i modelli che includevano i dati grezzi, il server è stato in grado di ricostruire i record originali con estrema precisione. In termini tecnici, la qualità della ricostruzione era così alta che la differenza tra i dati originali e i dati recuperati era quasi invisibile, con misurazioni compresi tra i 73 e i 96 decibel. Questo livello di chiarezza significa che il server poteva vedere esattamente i numeri con cui il cliente era partito. I ricercatori hanno osservato che ciò è accaduto a causa di una debolezza nota nel modo in cui questi modelli sono costruiti: il primo passaggio del calcolo lascia una traccia matematica diretta dell'input nell'aggiornamento. La parte quantistica del modello non era necessaria per esporre questi dati; il percorso dei dati grezzi da solo era sufficiente a tradirli.

Quando i ricercatori hanno esaminato i modelli che utilizzavano solo i dati elaborati quantisticamente, il quadro è risultato più complesso ma comunque rivelatore. Sull'intero set di caratteristiche dei dati, la ricostruzione era scarsa, suggerendo che la parte quantistica avesse nascosto parte delle informazioni. Tuttavia, quando si sono concentrati solo sulle sei caratteristiche specifiche che il sistema quantistico elaborava effettivamente, il server è riuscito a ricostruire quei numeri specifici con un'accuratezza molto elevata, compresa tra 54 e 96 decibel. Ciò significa che, sebbene il sistema quantistico possa nascondere le caratteristiche che ignora, non nasconde le caratteristiche che utilizza effettivamente. Lo studio sottolinea che la codifica quantistica non ha fornito uno scudo magico per i dati che toccava; i dati erano ancora recuperabili attraverso gli aggiornamenti matematici inviati al server.

Una parte cruciale dello studio è stata la correzione di un malinteso comune su come viene misurata la privacy. Valutazioni precedenti di sistemi simili si erano basate su un test chiamato "attacco di inferenza dell'appartenenza" (membership inference attack), che chiede se un record specifico sia stato utilizzato per addestrare il modello. In questi test, i risultati spesso sembravano il lancio di una moneta, suggerendo che il sistema fosse privato. Tuttavia, i ricercatori hanno dimostrato che questo test non misura se il dato effettivo possa essere ricostruito. Un sistema può essere bravo a nascondere se un record è stato utilizzato, pur permettendo al server di ricostruire perfettamente il record stesso. Lo studio sostiene che gli audit sulla privacy debbano esaminare quali dati siano effettivamente visibili al server e misurare quanto bene quel dato specifico possa essere recuperato, piuttosto che affidarsi a test più ampi e meno precisi.

I ricercatori sono stati attenti a sottolineare i limiti delle loro scoperte. Il loro lavoro è stato una simulazione che utilizzava un piccolo numero di punti dati e un singolo passaggio di apprendimento, non un test di una rete reale, vasta e con molti passaggi e difese complesse. Non hanno sostenuto che questa perdita di dati avvenga in ogni possibile scenario di apprendimento quantistico, né hanno dimostrato che l'intero circuito quantistico possa essere invertito per rivelare i dati nascosti. Tuttavia, per l'architettura specifica che hanno testato, la conclusione è stata chiara: la scelta di design di includere dati grezzi insieme alle caratteristiche quantistiche crea un percorso diretto per la fuga di dati. Lo studio funge da avvertimento: aggiungere dati grezzi per migliorare l'accuratezza può annullare i benefici di privacy dell'elaborazione quantistica, e i futuri sistemi devono essere progettati con una comprensione precisa di quali pezzi di informazione vengono esposti.

In definitiva, il documento fornisce un nuovo modo di guardare alla privacy nel machine learning quantistico. Suggerisce che la presenza di un computer quantistico non garantisce automaticamente la privacy, specialmente quando il sistema è progettato per essere efficiente utilizzando dati grezzi. I ricercatori chiedono una segnalazione più accurata nel campo, esortando gli scienziati a specificare esattamente quali parti dei dati sono visibili negli aggiornamenti e a misurare la privacy in base alla capacità di ricostruire quelle parti specifiche. In questo modo, il settore può evitare di scambiare una mancanza di visibilità dei dati per una reale protezione, assicurando che la promessa del machine learning quantistico non venga minata da semplici, evitabili fughe di dati.