Experimental robustness benchmarking of quantum neural networks on a superconducting quantum processor

본 논문은 초전도 프로세서에서 20 큐비트 양자 신경망에 대한 최초의 체계적인 실험적 강건성 벤치마크를 제시하여, 적대적 훈련이 보안을 크게 향상시킨다는 것을 입증하고 고유한 양자 잡음이 이러한 모델을 고전적 대응 모델보다 우수한 적대적 강건성을 갖게 한다는 것을 밝혀냈습니다.

핵심

매우 똑똑하고 미래지향적인 로봇 두뇌 (양자 신경망, 또는 QNN) 를 구축했다고 상상해 보세요. 이 로봇 두뇌는 이미지를 보고 그것이 알파벳 "Q"인지 "T"인지 구분할 수 있습니다. 당신은 궁금할 것입니다: 이 로봇 두뇌는 얼마나 튼튼한가? 누군가 이미지에 아주 작고 거의 보이지 않는 얼룩을 넣어 속이려 한다면, 로봇 두뇌는 혼란을 겪고 잘못된 답을 내놓을까요?

이 논문은 바로 그 로봇 두뇌에 대한 스트레스 테스트와 같습니다. 연구진들은 초냉각 컴퓨터 칩 (초전도 양자 프로세서) 을 사용하여 이 두뇌의 실제 물리적 버전을 구축하고, 이를 무너뜨려 보려고 시도했습니다. 그들이 발견한 바를 간단히 설명하면 다음과 같습니다:

1. "스트레스 테스트" 설정

QNN 을 시험을 보는 학생이라고 생각해 보세요. 연구진들은 이 학생이 실패하기 전에 얼마나 많은 "노이즈"나 "속임수"를 견딜 수 있는지 확인하고 싶었습니다.

• 공격: 그들은 "마스크 공격 (Masked Attack)"이라는 교묘한 수법을 사용했습니다. 그림의 가장 중요한 부분들 (예: "Q"의 곡선) 만을 변경하고 나머지는 그대로 둔 채 학생을 속여 보려는 상황을 상상해 보세요. 이는 모든 픽셀을 변경하는 것보다 훨씬 효율적입니다.
• 목표: 그들은 로봇 두뇌가 "그건 Q 야"라고 말하다가 "그건 T 야"라고 말하는 정확한 전환점을 찾고자 했습니다. 이 지점을 **견고성 한계 (Robustness Bound)**라고 부릅니다.

2. 큰 발견: 이론 대 현실

양자 물리학의 세계에서는 과학자들이 로봇 두뇌가 얼마나 강해야 하는지를 예측하는 수학 공식을 가지고 있습니다. 하지만 지금까지는 그 수학 공식이 실제로 작동하는지 확인하기 위해 실제 기계에서 테스트한 사람은 아무도 없었습니다.

• 결과: 연구진들은 실제 세계에서의 공격이 이론적 수학 공식과 거의 완벽하게 일치한다는 것을 발견했습니다. 그 차이는 약 0.003 으로, 건물의 높이를 재고 인간의 머리카락 두께보다 적은 오차를 보인 것과 같습니다.
• 중요성: 이는 그들의 "스트레스 테스트" 방법이 완벽하게 작동함을 증명합니다. 이제 그들은 양자 AI 의 보안성을 측정하는 도구를 신뢰할 수 있게 되었습니다.

3. "훈련"의 놀라운 사실

인간 학생과 마찬가지로 로봇 두뇌도 더 튼튼해지도록 훈련될 수 있습니다.

• 방법: 연구진들은 훈련 과정에서 두뇌에 "속임수"가 가해진 이미지들의 예시들을 보여주었습니다.
• 결과: 이 "적대적 훈련 (adversarial training)"을 거친 후, 두뇌는 속기 훨씬 어려워졌습니다. 두뇌는 보통 혼란을 일으키던 작은 얼룩들을 무시하는 법을 배웠습니다. 이는 가짜 신분증을 여러 번 보여줌으로써 학생에게 가짜 신분증을 알아차리는 법을 가르치는 것과 같습니다.

4. "양자 노이즈" 방패 (가장 흥미로운 부분)

여기에 반전이 있습니다. 일반적으로 컴퓨터에서 "노이즈" (정전기, 결함, 오류) 는 나쁜 것입니다. 상황을 더 악화시킵니다.

• 발견: 연구진들은 양자 컴퓨터 내부의 자연스러운 노이즈가 오히려 표준 고전 컴퓨터 (예: 노트북에 있는 컴퓨터) 보다 로봇 두뇌를 공격으로부터 더 안전하게 만들었다는 것을 발견했습니다.
• 비유: 매우 시끄럽고 바람이 부는 방에서 친구에게 비밀을 속삭이려 한다고 상상해 보세요.
  • 조용한 방 (고전 컴퓨터) 에서라면, 아주 작고 정확한 속삭임 (공격) 은 명확하게 들려 친구의 생각을 바꿀 수 있습니다.
  • 시끄럽고 바람 부는 방 (노이즈가 있는 양자 컴퓨터) 에서라면, 그 같은 작은 속삭임은 바람에 묻혀 사라집니다. 바람 (양자 노이즈) 은 방패 역할을 하여 공격자들이 사용하는 작고 정확한 속임수들을 흐릿하게 만듭니다.
  • 참고: 바람은 속임수를 숨길 만큼 충분히 시끄럽지만, 친구가 주요 메시지 (실제 이미지) 를 들을 수 없을 정도로 시끄럽지는 않습니다.

5. 그들이 주장하지 않은 것

논문이 실제로 말한 내용에 충실하는 것이 중요합니다:

• 그들은 이 기술이 오늘날 당신의 은행 계좌나 자율주행차를 보호할 준비가 되었다고 말하지 않았습니다.
• 그들은 양자 컴퓨터가 무적이라고 말하지 않았습니다. 그들은 이 특정 테스트에서 고전 컴퓨터보다 더 견고하다는 것을 발견했지만, 공격이 충분히 강력하다면 여전히 속일 수 있다고 밝혔습니다.
• 그들은 이것이 모든 보안 문제를 해결한다고 주장하지 않았습니다. 그들은 단순히 이러한 양자 두뇌들의 강도를 측정할 수 있는 첫 번째 신뢰할 수 있는 "자"를 만들었을 뿐입니다.

요약

연구진들은 실제 양자 컴퓨터 두뇌를 구축하고, 그것이 얼마나 쉽게 속일 수 있는지 테스트한 결과 두 가지 주요 사실을 발견했습니다:

1. 그들은 양자 보안을 테스트할 완벽한 측정 도구를 만들었습니다.
2. 놀랍게도, 양자 기계에 내재된 "정전기"와 "결함"은 실제로 자연스러운 방패 역할을 하여, 이 특정 시나리오에서는 일반 컴퓨터보다 속이기 더 어렵게 만들었습니다.

이 연구는 쉽게 속지 않을 수 있는 양자 AI 를 구축하기 위한 첫걸음입니다.

기술 요약

"초전도 양자 프로세서에서의 양자 신경망에 대한 실험적 강건성 벤치마킹" 논문의 상세 기술 요약입니다.

1. 문제 제기

양자 머신 러닝 (QML) 모델, 특히 양자 신경망 (QNN) 은 고전적 대응물과 유사하게 적대적 공격에 이론적으로 취약합니다. 이러한 공격은 오분류를 유발하는 정교하게 설계된 지각 불가능한 입력 교란을 수반합니다. QNN 강건성 추정을 위한 이론적 프레임워크 (예: 충실도 기반 경계) 가 존재하지만, 실제 양자 하드웨어에서 체계적인 실험적 검증이 결여되어 있었습니다.

• 격차: 기존 문헌에는 노이즈가 있는 중규모 양자 (NISQ) 장치에 적합한 하드웨어 효율적 적대적 공격 알고리즘이 부족합니다. 또한, 물리적 실험에서 내재적 양자 노이즈가 강건성에 미치는 영향과 적대적 학습과 같은 방어 전략의 효능은 대부분 정량화되지 않았습니다.
• 과제: 양자 하드웨어에서 적대적 예제를 생성하는 것은 반복적인 회로 평가 (기울기 추정) 가 필요하여 계산 비용이 많이 들며, 하드웨어 노이즈에 의해 가려질 위험이 있습니다.

2. 방법론

저자들은 20 큐비트 부분집합을 활용하여 72 큐비트 초전도 프로세서에서 QNN 강건성을 벤치마킹하기 위한 포괄적인 실험 프레임워크를 제안합니다.

A. 실험 설정

• 하드웨어: 72 개 큐비트와 126 개 커플러를 갖춘 주파수 가변형 플립칩 초전도 양자 프로세서.
• QNN 아키텍처: 다음으로 구성된 변분 양자 회로 (VQC) 분류기:
  • 상태 준비: 데이터를 양자 상태로 인코딩.
  • 변분 회로: 40 개의 SU(2) 단일 큐비트 회전과 인접한 Controlled-Z (CZ) 얽힘 게이트로 구성된 40 개 레이어 (181 개의 학습 가능 파라미터).
  • 측정: 분류 확률을 결정하기 위해 출력 큐비트에서 파울리-Z 측정 수행.
• 데이터셋:
  1. EMNIST: 손으로 쓴 문자 "Q"와 "T"(데이터 재업로딩을 통해 인코딩된 고전적 이미지 데이터).
  2. LCEI (선형 클러스터 여기 식별): "여기된" 상태와 "비여기된" 20 큐비트 클러스터 상태를 구분하는 합성 양자 데이터셋.

B. 제안된 공격 알고리즘: Mask-FGSM

NISQ 장치에서 전체 기울기 추정의 높은 비용을 극복하기 위해 저자들은 Mask-FGSM(마스크된 빠른 기울기 부호 방법) 을 개발했습니다.

• 메커니즘: 모든 입력 특징을 교란하는 대신, 알고리즘은 입력 기울기를 분석하여 "취약한" 특징 (이미지의 경우 픽셀, 양자 상태의 경우 회전 각도) 의 희소 부분집합을 식별합니다.
• 구현: 이진 마스크 $M$을 구성하여 기울기 크기가 가장 큰 상위 $r$ 비율의 특징을 선택합니다. 교란은 선택된 좌표에만 적용됩니다:
  $$x' = x + \epsilon \cdot (M \odot \text{sign}(\nabla_x L))$$
• 장점: 이는 기울기 추정의 계산 비용을 $1/r$배로 줄이고 노이즈가 지배적인 기울기 성분의 영향을 완화하여 하드웨어에서 배치 공격을 가능하게 합니다.

C. 강건성 지표

1. 강건성 경계:
   • **하한 ($RLB$):** 상태 충실도 ($F$) 와 예측 확률 ($p_1, p_2$) 을 사용하여 분석적으로 유도됨:$RLB = \frac{1}{2}(\sqrt{p_1} - \sqrt{p_2})^2$.
   • 상한 ($RUB$): 오분류가 발생할 때까지 Mask-FGSM 을 반복 적용하여 임계값에서 상태 비충실도 $D(\rho, \sigma) = 1 - F(\rho, \sigma)$를 측정함으로써 경험적으로 추출됨.
2. 적대적 강건성 점수 ($R_{adv}$): 로지트 민감도 ($S$) 기반의 정량적 지표.
   • 민감도 $S = \Delta L / \hat{\epsilon}$, 여기서 $L$은 기대값 $\langle \sigma_z \rangle$에서 유도된 "양자 로지트"입니다.
   • $R_{adv}$는 데이터셋 전체에 걸쳐 민감도의 거울 시그모이드 함수의 평균으로 정의됩니다.

D. 방어 전략

• 적대적 학습: Mask-FGSM 을 통해 생성된 50% 의 깨끗한 샘플과 50% 의 적대적 샘플로 구성된 데이터셋을 사용하여 QNN 을 재학습합니다. 이 과정은 입력 기울기를 정규화하여 적대적 교란 방향과의 정렬을 줄이는 것을 목표로 합니다.

3. 주요 결과

A. 강건성 경계 검증

• 실험을 통해 20 큐비트 QNN 에 대한 경험적 상한 ($RUB$) 을 성공적으로 추출했습니다.
• 정밀도: 실험적으로 추출된 $RUB$와 분석적$RLB$ 사이의 간격이 극히 작았습니다:
  • EMNIST: $\Delta \approx 2.96 \times 10^{-3}$
  • LCEI: $\Delta \approx 3.25 \times 10^{-3}$
• 의의: 이는 Mask-FGSM 공격이 취약한 부분공간을 식별하는 데 거의 최적임을 확인하며, 노이즈가 있는 하드웨어 환경에서 충실도 기반 이론적 경계의 정밀도를 검증합니다.

B. 적대적 학습의 효과

• 적대적 학습은 강건성을 크게 향상시켰습니다.
  • EMNIST: 강건성 점수가 깨끗한 상태 ($8.90 \times 10^{-3}$) 에서 적대적 상태 ($0.330$) 로 증가했습니다.
  • LCEI: 강건성 점수가 $0.105$에서$0.339$로 증가했습니다.
• 메커니즘: 입력 기울기 분석 결과, 적대적 학습은 기울기 벡터를 재배열하여 교란 방향 ($\delta$) 과의 코사인 유사도를 감소시키는 것으로 나타났습니다. 이는 암시적 정규화기 역할을 하여 중요한 특징 영역은 유지하면서 표적 공격에 대한 민감도를 감소시킵니다.

C. 양자 vs 고전적 강건성

• 놀라운 발견: 깨끗하게 학습된 QNN 은 동일한 EMNIST 작업에서 비교 가능한 파라미터 수와 정확도를 가진 고전적 순방향 신경망 (FNN) 보다 훨씬 높은 적대적 강건성 점수를 보였습니다.
  • 깨끗한 학습 하에서 QNN 은 강건성 점수 측면에서 FNN 보다 64 배 이상 우수했습니다.
• 원인: 저자들은 이를 노이즈에 의한 기울기 감쇠로 귀결합니다. 내재적 하드웨어 노이즈 (결어긋남, $T_1$, $T_2$) 는 자연스러운 "저역 통과 필터" 또는 기울기 마스크로 작용합니다. 이는 적대적 공격에 필요한 세밀한 민감도를 억제하면서 올바른 분류에 필요한 거시적 특징은 보존합니다.
• 시뮬레이션 검증: 노이즈가 없는 QNN 대 FNN 시뮬레이션은 내재적 강건성 우위가 없음을 보여주어, 관찰된 이점이 NISQ 하드웨어 노이즈의 직접적인 결과임을 확인했습니다.

4. 의의 및 기여

1. 최초의 하드웨어 수준 벤치마킹: 이 연구는 이론적 시뮬레이션을 넘어 초전도 프로세서에서 QNN 강건성에 대한 최초의 체계적인 실험적 벤치마킹을 제시합니다.
2. 효율적 공격 프로토콜: Mask-FGSM의 도입은 NISQ 장치에서 적대적 예제를 생성하기 위한 확장 가능하고 하드웨어 효율적인 방법을 제공하여 기울기 추정 비용의 병목 현상을 해결합니다.
3. 이론적 경계 검증: 분석적 하한과 실험적 상한 사이의 최소 간격은 실제 양자 시스템에서 충실도 기반 강건성 지표의 유효성에 대한 강력한 경험적 증거를 제공합니다.
4. 방어로서의 노이즈: 내재적 양자 노이즈가 자연스러운 방어 메커니즘 (기울기 마스킹) 으로 작용할 수 있다는 발견은 노이즈를 순전히 해로운 것으로 보는 관념에 도전합니다. 이는 노이즈가 없는 고전적 또는 양자 모델과 비교하여 NISQ 장치의 고유한 보안 특성을 시사합니다.
5. 보안 QML 을 위한 프레임워크: 이 연구는 취약점을 진단하고 방어 전략 (적대적 학습 등) 을 평가하기 위한 재현 가능한 프레임워크를 확립하여, 고위험 분야에서 안전하고 신뢰할 수 있는 양자 머신 러닝 응용 프로그램 개발의 길을 엽니다.

결론

이 논문은 QNN 이 적대적 공격에 취약하지만, 그 강건성을 효과적으로 정량화하고 향상시킬 수 있음을 보여줍니다. 맞춤형 공격 알고리즘 (Mask-FGSM), 적대적 학습, 그리고 초전도 하드웨어의 내재적 노이즈의 결합은 경우에 따라 고전적 신경망을 능가하는 견고한 방어 프로필을 창출합니다. 이 작업은 향후 양자 AI 시스템의 보안 평가를 위한 기초 방법론을 마련합니다.