⚛️ quantum physics

Fault Attacks on ML-based Quantum Control and Error Correction

이 논문은 양자 컴퓨팅에 사용되는 머신러닝 모델에 대한 물리적 결함 주입 공격에 관한 첫 번째 분석을 제시하며, 전압 글리치가 무작위 노이즈가 아닌 구조화된 비트 수준의 부패를 유도함으로써 판독 오류 수정 및 양자 오류 디코딩의 정확도를 크게 저하시킬 수 있음을 입증한다.

원저자: Anthony Etim, Jakub Szefer

게시일 2026-07-30

📖 3 분 읽기🧠 심층 분석

CC BY 4.0

원저자: Anthony Etim, Jakub Szefer

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

컴퓨터가 단순히 숫자를 계산하는 것을 넘어, 큐비트라고 불리는 아주 작은 입자들을 이용해 일반 컴퓨터라면 백만 년이 걸릴 문제를 해결하며 현실의 결을 따라 춤을 추는 세상을 상상해 보십시오. 이것이 바로 양자 컴퓨팅의 영역입니다. 하지만 이 양자 무용수들은 매우 수줍음이 많고 예민해서, 주변 환경에서 발생하는 단 한 번의 재채기만으로도 공연을 망칠 수 있습니다. 이들이 궤도를 벗어나지 않도록 하기 위해, 우리는 큐비트가 비틀거렸는지 확인하고 이를 바로잡는 안전망인 '오류 정정(error correction)'을 사용합니다. 과거에 이 안전망은 경직된 규칙의 집합이었으나, 최근 과학자들은 이 안전망이 스스로 학습할 수 있도록 머신러닝(ML)을 가르치기 시작했습니다. 이것은 경직된 규칙 책을, 미세한 실수를 포착하여 즉각적으로 고칠 수 있는 똑똑하고 직관적인 코치로 업그레이드하는 것과 같습니다.

하지만 여기에는 함정이 있습니다. 인간 코치가 적절한 타이밍의 방해 요소에 속을 수 있듯이, 이 똑똑한 머신러닝 코치들도 혼란에 빠질 수 있습니다. 이 논문은 이들을 혼란스럽게 만드는 매우 구체적이고 물리적인 방법을 탐구합니다. 바로 컴퓨터의 두뇌에 아주 짧은 순간의 '글리치(glitch, 일시적 오류)'를 주는 것입니다. 이는 마치 전등 스위치를 너무 빠르게 껐다 켰다 해서 컴퓨터의 두뇌가 아주 잠깐 동안 휘청거리게 만드는 것과 같습니다. 연구진은 만약 누군가 양자 컴퓨터를 제어하는 기계의 전원 스위치를 몰래 껐다 켰다 할 수 있다면, 그 똑똑한 코치가 잘못된 조언을 하게 만들 수 있을지 알고 싶었습니다. 그리고 만약 그렇게 된다면, 양자 컴퓨터가 그저 약간의 노이즈가 생기는 정도에 그칠지, 아니면 완전히 길을 잃어버릴지를 알고 싶었습니다.

연구자 안토니 에팀(Anthony Etim)과 야쿠브 셰퍼(Jakub Szefer)는 이 이론을 양자 시스템에 사용되는 두 가지 유형의 '똑똑한 코치'에 대해 테스트하기로 했습니다. 첫 번째 모델은 HERQULES로, 다섯 개의 양자 입자들이 서로 겹쳐서 말할 때 그들이 무엇을 말하고 있는지 파악하려고 노력하는 번역가 역할을 합니다. 두0 번째는 '딥 Q(Deep Q)' 디코더로, 더 복잡한 코치로서 증후(syndromes)라고 불리는 단서들의 지도를 보고 커다란 양자 퍼즐을 해결하기 위한 방법을 결정하는 탐정 역할을 합니다.

이를 테스트하기 위해 팀은 ChipWhisperer Husky라는 장치를 사용하여 실험실 실험을 설정했습니다. 이 장치는 전기 분야의 정밀한 외과용 메스처럼, 컴퓨터가 실행 중인 머신러닝 모델의 전력선에 아주 정교하게 타이밍이 맞춰진 미세한 전압 글리치를 주입할 수 있습니다. 그들은 단순히 무작위로 글리치를 던진 것이 아니라, 글리치가 신경망의 서로 다른 층(layer)이라는 컴퓨터의 '두뇌' 특정 부분을 처리하는 정확한 순간에 맞추어 동기화했습니다.

결과는 놀라웠습니다. 이 똑똑한 코치들이 생각보다 취약하다는 사실이 밝혀졌습니다. HERQULES 번역기의 초기 부분을 글리치로 공격했을 때, 후기 부분을 공격했을 때보다 훨씬 더 자주 실수가 발생했습니다. 실제로 딥 Q 디코더의 경우, 잘 배치된 단 한 번의 글리치만으로 정확도가 완벽한 100%에서 최저 21.57%까지 떨어질 수 있었습니다. 하지만 정말 무서운 점은 단순히 실수 횟수가 아니었습니다. 그것은 바로 '실수의 종류'였습니다.

보통 컴퓨터를 건드리면 라디오의 잡음 같은 무작위 노이즈를 예상하게 됩니다. 하지만 여기서 글리치는 '구조화된 부패(structured corruption)'를 일으켰습니다. 마치 글리치가 코치를 단순히 혼란스럽게 만든 것이 아니라, 세뇌한 것 같았습니다. 다양한 단서를 보고 서로 다른 해결책을 선택해야 하는 딥 Q 디코더는 단서들을 완전히 무시하기 시작했습니다. 대신, 어떤 문제가 발생하더라도 매번 똑같은 해결책만을 선택하게 되었습니다. 한 실험에서 디코더는 거의 모든 입력에 대해 '액션 0(Action 0)'을 선택하는 상태로 붕괴되었으며, 이는 사실상 자신의 직무를 포기한 것과 다름없었습니다.

연구진은 또한 글리치로 인해 컴퓨터의 두뇌가 '비유한(non-finite)' 숫자(무한대나 '숫자가 아님(NaN)'과 같은 값)를 마주하게 되는 상황을 시뮬레이션했습니다. 그들은 딥 Q 디코더의 첫 번째 층에 단 다섯 개의 이러한 이상한 숫자들을 주입하는 것만으로도 전체 시스템이 단일한 잘못된 액션으로 붕괴되기에 충분하다는 것을 발견했습니다. 이는 실패가 단순한 무작위 노이즈가 아니라, 초기 처리 단계에서의 아주 작은 오류가 전체 시스템의 완전한 실패로 이어지는 특정한 취약점임을 시사합니다.

논문은 머신러닝 모델이 양자 컴퓨터를 작동시키는 데 매우 유용하지만, 동시에 새로운 종류의 약점이 될 수도 있다고 결론짓습니다. 만약 제어 장치에 물리적으로 접근할 수 있는 공격자가 적절한 밀리초(millisecond) 단위로 전원 스위치를 껐다 켠다면, 양자 컴퓨터가 스스로 오류를 수정하는 능력을 은밀하게 방해할 수 있습니다. 저자들은 이러한 머신러닝 모델을 중요한 보안 구성 요소로 취급해야 한다고 제안하며, 글리치를 잡아내기 위한 간단한 점검 기능을 추가하거나, 컴퓨터가 스스로의 작업을 재확인하여 자신이 최면에 걸리지 않았는지 확인하도록 해야 한다고 조언합니다.

기술 요약: ML 기반 양자 제어 및 오류 정정의 결함 공격 (Fault Attacks)

문제 정의
머신러닝(ML) 모델은 다중 큐비트 판독(readout)을 식별하고, 상관된 판독 오류를 완화하며, 양자 오류 정정(QEC) 코드를 디코딩하는 등 핵심적인 역할을 수행하며 양자 컴퓨팅 시스템에 점점 더 통합되고 있습니다. 이러한 모델들은 충실도(fidelity)를 향상시키지만, 추론 작업을 실행하는 클래식 제어기(classical controller)라는 새로운 보안 의존성을 도입합니다. 본 논문은 물리적 결함 주입(physical fault injection)에 대한 임베디드 ML 모델의 취약성을 조사함으로써 양자 시스템의 보안 분석에 존재하는 공백을 다룹니다. 구체적으로, 물리적 접근 권한을 가진 공격자가 전압 글리칭(voltage glitching)을 통해 결함을 유도하여 잘못된 판독 보정이나 오류 정정 디코딩을 발생시켜 양자 연산의 무결성을 훼손할 수 있는지 여부를 검토합니다.

방법론
저자들은 범용 마이크로컨트롤러 유닛(MCU)인 ChipWhisperer Husky(AT-SAM4S2A, Cortex-M4)에 배포된 두 가지 대표적인 ML 아키텍처를 사용하여 하드웨어 기반 결함 주입 연구를 수행했습니다. 실험 설정은 다음과 같습니다:

대상 모델:
- HERQULES: 32가지 가능한 비트스트링을 분류하기 위해 5-큐비트 판독 오류 보정을 수행하는 완전 연결 신경망(두 개의 밀집층(dense layers)과 ReLU 활성화 함수 포함).
- Deep Q Decoder: 신드롬 이력(syndrome histories)을 교정용 파울리 작용(Pauli actions)으로 매핑하는 거리-5 표면 코드(distance-5 Surface Code) 디코딩용 CNN 기반 Deep Q-learning 에이전트.
공격 벡터: 연구진은 특정 신경망 층의 시작점에서 방출되는 트리거 신호와 동기화된 전압 글리칭을 활용했습니다. 이 비침습적 기법은 펌웨어를 수정하거나 극저온 접근이 필요하지 않으면서, 제어기의 전원 레일을 교란하여 일시적인 계산 오류를 유도합니다.
탐색 전략: 결함 파라미터 공간(글리치 폭, 사이클 내 오프셋, 외부 오프셋, 반복 횟수)을 탐색하여 영향력이 큰 결함 설정을 식별하기 위해 Optuna를 이용한 자동화된 검색을 사용했습니다.
평가 지표: 성공 여부는 오판율(untargeted degradation)과 특정 클래스나 작용으로 출력을 편향시키는 능력(targeted steering)을 통해 측정되었습니다. 실패 구조는 혼동 행렬(confusion matrices), 해밍 거리(Hamming distances), 비트 플립 통계(bit-flip statistics)를 통해 분석되었습니다.

주요 기여

최초의 하드웨어 연구: 본 연구는 판독 오류 보정과 QEC 디코딩을 모두 포함하여, 양자 제어 스택 내의 임베디드 ML 모델을 대상으로 한 최초의 하드웨어 결함 주입 연구를 제시합니다.
계층별 취약성 매핑: 실질적인 공격자 모델을 공식화하고, 성공적인 결함 주입을 특정 신경망 층(밀집층, 합성곱층, ReLU, 출력층 비교)으로 국지화했습니다.
자동화된 결함 발견: 제약 조건 하에서 영향력이 큰 결함 파라미터를 효율적으로 식별하는, 트리거 동기화된 반복 가능한 워크플로우를 구현했습니다.
실패 모드 특성화: 판독 및 디코딩 출력이 어떻게 저하되는지 정량화하여, 결함이 무작위 노이즈가 아닌 구조화된 손상을 유발함을 입증했습니다.

실험 결과

HERQULES (판독 보정):
- 모든 층이 결함 주입에 취약한 것으로 나타났습니다.
- 계층 의존성: 초기 층(Dense 1 및 ReLU 1)은 후기 층(~5/96)에 비해 현저히 높은 오판율(최대 27/96의 성공적인 결함)을 보였습니다. 이는 긴 곱셈-누적(multiply-accumulate) 체인을 가진 초기 광폭 층에서의 결함이 네트워크를 통해 더 효과적으로 전파됨을 시사합니다.
- 구조적 편향: 타겟팅되지 않은 성능 저하가 흔히 발생했지만, 특정 비트스트링으로 출력을 유도하는 타겟팅된 편향(예: Layer 2 결함 시 출력을 "00001"로 편향)도 관찰되었습니다.
Deep Q Decoder (표면 코드):
- 파멸적 붕괴(Catastrophic Collapse): 첫 번째 합성곱 층(Conv1) 또는 마지막 완전 연결 출력 층(FC2) 중 하나에서 단 한 번의 전압 글리치가 발생하면 디코딩 정확도가 100%에서 최저 21.57%까지 급감합니다.
- 모드 붕괴(Mode Collapse): 실패는 매우 구조적이었습니다. 디코더는 입력 신드롬에 관계없이 하나의 지배적인 작용(Action 0)으로 출력하는 붕괴 현상을 보였습니다.
- 메커니즘 검증: Conv1 출력에 비유한 값(NaN, $\pm\infty$ )을 소프트웨어 수준에서 주입했을 때 하드웨어 글리치의 실패 모드가 재현되었으며, 이를 통해 ReLU와 밀집층을 통한 비유한(non-finite) 값의 전파가 붕괴를 유도함을 확인했습니다.
- 노이즈 모델 변동성: Conv1 대 FC2의 상대적 취약성은 노이즈 모델(X-noise 대 Depolarizing)에 따라 달랐으며, Depolarizing 모델에서는 FC2가 더 취약했습니다.

의의 및 주장
본 논문은 ML 기반 판독 및 오류 정정 디코더를 보안 핵심 구성 요소로 취급해야 한다고 주장합니다. 연구 결과의 의의는 단순히 정확도 지표의 감소에 있는 것이 아니라, 실패의 성격에 있습니다:

신드롬 독립적 디코딩: QEC에서 입력 신드롬에 관계없이 고정된 작용을 출력하는 디코더는 표면 코드의 근본적인 결함 허용(fault-tolerance) 보장을 무효화합니다. 이는 표준 점검 방식으로는 감지되지 않을 수 있는, 형태는 온전하지만 내용이 잘못된(well-formed) 실패입니다.
피드백 루프: 일회성 이미지 분류와 달리, 양자 제어에서의 오류는 캘리브레이션 루프 및 후속 디코딩 라운드로 피드백됩니다. 구조화된 편향은 누적되어 논리적 오류를 일으키고 캘리브레이션 상태를 손상시켜, 공격이 종료된 후에도 지속되는 피해를 줄 수 있습니다.
공격 표면: 본 연구는 클래식 제어기에 대한 물리적 결함 주입이 양자 프로세서나 극저온 하드웨어에 대한 접근 없이도 가능한, 저비용의 실행 가능한 공격 벡터임을 입증합니다.

저자들은 중복 추론(redundant inference), 더 단순한 베이스라인(예: MWPM)과의 교차 검증, 비유한 값에 대한 런타임 산술 검사(sanity checks), 하드웨어 글리치 모니터링과 같은 경량화된 방어책이 양자 컴퓨팅 파이프라인을 보호하기 위해 필수적이라고 결론짓습니다.

기술 요약: ML 기반 양자 제어 및 오류 정정의 결함 공격 (Fault Attacks)

유사한 논문