When cheap gradients fail: the measurement cost of attacking quantum classifiers

技術要約：安価な勾配が失敗するとき：量子分類器への攻撃における測定コスト

問題提起
敵対的摂動は、変分量子分類器（VQC）を含む機械学習分類器にとって重大な脅威である。量子機械学習（QML）に対する既存の防御策は、多くの場合、動的な保証（例：ユニタリ性、演算子のスクランブリング）や、ノイズ誘起された堅牢性の経験的な観察に依存しているが、これらの解析は通常、攻撃者が正確な期待値にアクセスできることを前提としている。実際には、量子力学はゼロコストの勾配計算を禁じている。すべての観測量は有限の測定から再構成される必要があり、これが「ショットノイズ」を導入する。

本論文は、ホワイトボックスの攻撃者がQML分類器に対して勾配ベースの攻撃を行う際に必要となる物理的な測定コストを調査している。具体的には、防御者が訓練時にショットコストを償却できる一方で、攻撃者は推論時の各勾配クエリに対して、次元に依存する新たな測定コストを支払わなければならないという非対称性に対処している。著者らは、勾配計算のコストが入力次元に関わらず、フォワードパスに対して小さな定数に抑えられるという古典的な自動微分における「安価な勾配原理（cheap-gradient principle）」に異議を唱えている。

手法
著者らは、有限ショットの測定統計と、勾配推定の不確実性および攻撃の有効性を結びつける理論的枠組みを確立している。

1. 脅威モデル: 本研究は、訓練済みQML分類器に対するテスト時のホワイトボックス・エベージョン攻撃（回避攻撃）に焦点を当てている。攻撃者はアーキテクチャとパラメータ（$\theta$）を知っているが、量子測定を通じて入力勾配 $\nabla_x L$ を推定しなければならない。攻撃者のリソースは、総ショット予算 $R$（総回路実行回数）である。
2. 勾配推定: 解析では、勾配の不偏推定量であるパラメータシフト規則（PSR）を利用する。PSRの下では、各勾配成分は2つのシフトされた回路評価を必要とする。これらの推定量の分散は量子クラメール・ラオ境界によって支配され、$\sigma^2/s$（ここで $s$ は成分あたりのショット数）としてスケールする。
3. 理論的導出:
   • 著者らは、一定の攻撃成功率または損失余剰を維持するために必要なショット予算 $R$ のスケーリングを導出した。
   • ローカルな線形性、独立同一分布（i.i.d.）ガウスノイズ、および小規模ノイズ領域の仮定の下で、単一ステップ攻撃（例：FGSM）を分析した。
   • 反復的攻撃（例：Carlini-Wagner）への拡張として、有限ショット最適化を確率的勾配降下法（SGLD）にマッピングし、ショット数を逆温度パラメータとして扱った。
   • 「幾何学的フロア」（ショットノイズの幾何学のみによって決定されるコスト）と、「実現コスト」（深く表現力豊かな回路における勾配ノルムの減衰を含むもの）を区別した。
4. 経験的検証:
   • シミュレーション: 入力次元が最大 $d=784$ ($q=10$ 量子ビット) のMNISTおよびFashion-MNISTデータセットを用いて実験を行った。回路の深さ、次元、およびショット予算を変化させて、攻撃成功率と損失余剰を測定した。
   • ハードウェア: 理論的なスケーリング則を実際のデバイスノイズと比較し、理想的なシミュレーションとの整合性を検証するため、IBMの ibm_boston プロセッサ上で、一部の実験（$d=12$, 4量子ビット回路）を実施した。
   • ベースライン: 古典的な勾配コスト比を算出するために、一致させた古典的畳み込みニューラルネットワーク（CNN）のベースラインを使用した。

主要な貢献

1. ショットノイズのスケーリング則: 本論文は、QMLにおいて一定の攻撃有効性を維持するためには、入力次元 $d$ に対して多項式的にスケールする測定予算が必要であることを確立した。
   • 固定された摂動予算 $\epsilon$ を持つ単一ステップ攻撃の場合、総ショット予算は $R = \Theta(d^2)$ となる。
   • ノルム集中スケーリング（$\epsilon \propto \sqrt{d}$）の下では、予算は $R = \Theta(d^{5/2})$ となる。
   • 勾配ノルムが次元とともに減少する（バレン・プラトーの兆候）表現力豊かな深い回路では、実現されるコストはさらに速く成長し、経験的に $R \approx \Theta(d^3)$ となる。
2. 安価な勾配原理の崩壊: 著者らは、量子勾配コスト比（フォワードパス単位での勾配コスト）が $d$ に対して多項式的に成長する（経験的に $\Theta(d^{3.00})$）一方で、古典的な比率は一定（$\approx 5$）であることを示し、両者の乖離を実証した。これは、モデルがスケールするにつれて、量子モデルを攻撃する相対的なコストが劇的に増加することを意味する。
3. 反復的攻撃の分析: 反復的攻撃をSGLDとしてフレーム化することにより、本論文は、有限ショットの収束理論が、単一ステップのスケーリング則から脱出するための保証を攻撃者に与えないことを示している。ショット割り当てにおける「スイートスポット」（適度なノイズが局所解からの脱出を助ける領域）は存在するものの、正確な勾配の性能フロアに到達するために必要な予算は、依然として次元とともに急速に増大する。
4. ハードウェア検証: 156量子ビットのIBMプロセッサを用いた実験により、ショットノイズによる堅牢性の効果が実際のハードウェア上でも持続することが確認された。デバイスによる攻撃は、理想的なシミュレーションの数パーセント以内で追跡しており、この防御的帰結がシミュレーションのアーティファクトではなく、有限の測定に固有のものであることを検証した。

結果

• スケーリング指数: $d=784$ までのシミュレーションにより、理論的構造が検証された。
  • パラメータフリーの幾何学的ベースライン（安定した勾配ノルムを想定）は、次元あたり $d^{3/2}$ （合計で $d^{5/2}$）に従う。
  • 勾配ノルムの減衰（$\|\nabla L\| \propto d^{-0.73}$）を示すテストされた深い回路では、実現された総予算のスケーリングは、MNISTで $d^{3.00}$、Fashion-MNISTで $d^{3.07}$ であった。
  • 測定された勾配ノルムをコストに再び組み込むと、データは $d^{3/2}$ の幾何学的フロアを回収した。これにより、超過するスケーリングはノイズの幾何学自体ではなく、モデルの勾配減衰によって駆動されていることが確認された。
• 実用的なコスト: $d=784$ のMNIST分類器において、単一の敵対的例を作成するには、約 $5 \times 10^8$ ショットが必要である。1ショットあたりの実行時間を100 $\mu$sと仮定すると、これはサンプルあたり約15時間の逐次的なデバイス時間に相当する。全データセットへの攻撃には、約17年の連続的なデバイス時間が必要となる。
• 古典的比較: 一致させた古典的ベースラインは、次元に依存しない勾配コスト比（$\rho \approx 5$）を示し、量子ケースにおける $d^{3.00}$ への発散とは対照的な、顕著な差異を浮き彫りにした。

意義と主張
本論文は、有限の量子測定統計が「組み込まれた防御」として機能すると主張しているが、これには特定の条件がある：

1. 古典的な困難性: この防御的帰結は、量子モデルのフォワードマップが古典的にシミュレート困難である場合にのみ作用する。この領域では、ホワイトボックスの攻撃者は「シミュレートしてバックプロパゲートする」というショートカットを利用できず、測定コストを支払わざるを得なくなる。
2. 固有のコスト: アルゴリズム的な難読化やランダム化平滑化とは異なり、この防御は量子測定（ボルンの規則）の物理に固有のものであり、ショット予算を増やさない限りオフにすることはできない。
3. スケーラビリティ: 勾配を抽出するコストは、モデルがスケールするにつれて多項式的に発散する。これは、QMLモデルが「量子優位性」の領域（大きな $d$、深い回路）へと移行するにつれ、防御者と攻撃者の間のリソースの非対称性が、効果的な勾配ベースの攻撃に対する根本的な障壁となることを示唆している。

著者らは謙虚な姿勢を保っており、小規模なシステム（$q \le 10$）での実験は、古典的シミュレーション可能性の境界の「扱いやすい」側にあると述べている。彼らは、これらの結果が現時点のスケールにおける展開可能な防御を構成すると主張しているのではなく、古典的シミュレーション可能性の境界を越えた際に、攻撃者のコストを特徴付けるスケーリング則を確立しているのである。また、勾配フリーの攻撃（例：転移攻撃）は、これらの方策によって完全には対処されていない別の脅威モデルであることも注記している。