Feature-level analysis and adversarial transfer in rotationally equivariant quantum machine learning

1. 연구 배경 및 문제 정의 (Problem)

• 배경: 기하학적 구조를 가진 QML 작업 (예: 회전, 병진, 치환 불변성) 에서는 대칭성을 활용한 군 공변 (group-equivariant) 아키텍처가 학습 가능성 (trainability) 을 보장하고 유도 편향 (inductive bias) 을 개선하는 것으로 알려져 있습니다.
• 문제: 대칭성 제약이 모델의 **적대적 강건성 (adversarial robustness)**에 어떤 영향을 미치는지는 명확하지 않았습니다. 특히, 기존 연구들은 회로 수준 분석에 집중했으나, 모델이 실제로 어떤 입력 특징 (features) 에 의존하여 예측을 수행하는지, 그리고 그 특징들이 적대적 공격에 얼마나 취약한지에 대한 메커니즘적 이해가 부족했습니다.
• 핵심 질문: 회전 공변성 (rotational equivariance) 을 가진 양자 모델이 접근 가능한 정보의 범위가 어떻게 정의되며, 이 제한된 공간 내에서도 모델이 취약한 특징에 의존하여 전이 공격 (transfer attack) 에 취약할 수 있는가?

2. 방법론 (Methodology)

A. 이론적 프레임워크: 트위링 (Twirling) 기반 특징 분석

• 모델: Ref. [5] 에서 제안된 회전 공변 양자 모델을 기반으로 합니다. 입력 이미지는 반경 (radial) 과 궤도 (orbital) 레지스터로 인코딩되며, 궤도 레지스터에 이산 푸리에 변환 (QFT) 을 적용하여 대칭성을 다룹니다.
• 수학적 분석:
  • 군 공변성 (equivariance) 과 불변 읽기 (invariant readout) 조건 하에서, 모델의 예측은 입력 상태 $\rho$가 아닌 군 트위링 (group-twirled) 상태 $T_G(\rho)$에만 의존함을 증명했습니다.
  • 이는 모델이 절대적인 각도 정보에 의존할 수 없으며, 오직 **회전 불변 통계량 (rotation-invariant statistics)**에만 접근할 수 있음을 의미합니다.
  • 구체적으로, 접근 가능한 정보는 원형 상관관계 (circular correlations) $C_{r,r'}(\Delta\phi)$로 표현되며, 이는 반경 $r, r'$ 사이의 상대적 각도 차이 $\Delta\phi$에 의존합니다.
  • 특히, $m=0$ 푸리에 모드 (푸리에 계수 중 0 번째 성분) 는 **링 평균 강도 (ring-averaged intensities)**에 해당하며, 이는 회전 불변 통계량의 일부입니다.

B. 특징 의존성 탐지 실험

모델이 실제로 어떤 특징을 사용하는지 파악하기 위해 세 가지 입력 변환 (Input Transformations) 을 도입했습니다:

1. T1 (직교 순환 교란): 회전 불변 상관관계를 보존하면서 시각적으로 입력을 교란합니다. (모델이 T1 에 대해 불변이어야 함을 검증)
2. T2 (링 단위 순열): 링 평균은 보존하지만 각도 순서를 무작위로 섞어 고차원 상관관계를 파괴합니다.
3. T3 (링 평균 제거): 링 평균 강도를 제거하고 상관관계 구조만 남깁니다.

C. 적대적 공격 설정

• 전이 공격 (Transfer Attack): 양자 모델을 직접 공격하지 않고, **고전적 대리 모델 (Surrogate Models: 선형 분류기, MLP, CNN, ResNet18)**을 훈련시켜 생성한 적대적 예제 (FGSM, PGD) 를 양자 모델에 적용합니다.
• 데이터셋: STM, MNIST, RotMNIST, RotFMNIST, CIFAR 등 5 가지 데이터셋을 사용했습니다.

3. 주요 결과 (Key Results)

A. 특징 수준의 취약성 발견

• 대칭성만으로는 강건성이 보장되지 않음: 회전 공변성 자체는 모델이 비불변 (non-invariant) 영역의 공격에 무감각하게 만들지만, 제한된 불변 특징 공간 내에서도 모델은 여전히 취약한 특징 (brittle features) 에 의존할 수 있습니다.
• 링 평균 강도의 역할:
  • STM, RotFMNIST, CIFAR 데이터셋의 경우, 모델이 **링 평균 강도 (ring-averaged intensities, $m=0$ 모드)**에 크게 의존하여 분류를 수행하는 것으로 나타났습니다.
  • 이러한 데이터셋에서 T3(링 평균 제거) 를 적용하면 정확도가 급격히 떨어집니다.
  • 반면, MNIST 와 RotMNIST 는 T2(순열) 보다 T3(평균 제거) 에 더 민감하여, 고차원 상관관계가 더 중요한 역할을 함을 보여줍니다.

B. 전이 공격에 대한 취약성

• 취약한 특징의 전이: 고전적 대리 모델 (특히 선형 분류기) 이도 데이터셋에 따라 링 평균 강도에 의존하는 경향이 있습니다. 따라서 양자 모델과 고전적 모델이 **유사한 취약한 특징 (링 평균)**을 공유할 때, 고전적 모델에서 생성된 적대적 공격이 양자 모델에 효과적으로 전이됩니다.
• 결과: 링 평균에 크게 의존하는 데이터셋 (STM 등) 에서 양자 모델은 전이 공격에 매우 취약했습니다. 이는 대칭성이 있다고 해서 자동으로 적대적 강건성이 생기는 것이 아님을 증명합니다.

C. 강건성 개선 전략

두 가지 전략을 통해 강건성을 크게 향상시켰습니다:

1. 적대적 훈련 (Adversarial Training): 선형 대리 모델을 사용하여 적대적 예제로 훈련시켰습니다. 이는 강건성을 높였으나, 깨끗한 데이터 (clean data) 에 대한 정확도와의 트레이드오프가 발생했습니다.
2. 특징 억제 (Feature Suppression - $m=0$ 모드 제거):
   • 방법: 측정 단계에서 링 평균 강도에 해당하는 **$m=0$ 푸리에 모드를 프로젝트 (제거)**하도록 아키텍처를 수정했습니다.
   • 효과: 이 방법은 적대적 훈련보다 더 일관된 강건성 향상을 보였으며, 깨끗한 데이터에 대한 정확도 손실은 적었습니다.
   • 의미: 취약한 특징 채널을 물리적으로 차단함으로써, 공격자가 이용할 수 있는 특징을 원천적으로 제거하는 효과가 있었습니다.

4. 주요 기여 (Key Contributions)

1. 메커니즘적 이해: 군 공변 양자 모델이 접근 가능한 정보 (회전 불변 통계량) 를 특징 수준에서 명시적으로 규명하고, 이를 픽셀 공간의 상관관계로 해석했습니다.
2. 대칭성과 강건성의 관계 규명: 대칭성 제약이 적대적 강건성을 자동으로 보장하지 않으며, 오히려 모델이 특정 불변 특징 (링 평균) 에 과도하게 의존할 경우 취약해질 수 있음을 보였습니다.
3. 새로운 방어 메커니즘 제안: 데이터 증강이나 복잡한 훈련 방식이 아닌, 대칭성 채널 (symmetry sector) 을 기반으로 취약한 특징을 선택적으로 억제하는 아키텍처적 개입을 통해 강건성을 개선하는 방법을 제시했습니다.

5. 의의 및 결론 (Significance)

• 이론적 의의: 양자 머신러닝의 적대적 강건성을 분석할 때, 단순히 "양자이므로 안전하다"는 접근을 넘어, 어떤 특징을 사용하는지를 분석하는 것이 필수적임을 강조했습니다.
• 실용적 의의: 향후 대칭성을 활용한 QML 모델 설계 시, 특정 대칭성 채널 (예: $m=0$) 이 취약한 특징을 포함할 수 있음을 인지하고, 이를 제거하거나 분리하는 전략을 통해 강건성을 확보할 수 있음을 보여줍니다.
• 확장성: 본 연구에서 개발된 트위링 (twirling) 기반 분석 프레임워크는 다른 엄격한 공변 (strictly equivariant) 양자 모델에도 적용 가능하여, 향후 다양한 QML 아키텍처의 해석 가능성과 강건성 분석에 기여할 것으로 기대됩니다.

요약하자면, 이 논문은 회전 공변 양자 모델이 대칭성 덕분에 안전하다고 오해할 수 있으나, 실제로는 '링 평균'과 같은 단순한 불변 특징에 의존하여 고전적 공격에 취약할 수 있음을 발견했고, 이를 특정 대칭 채널을 차단하는 아키텍처적 수정으로 해결할 수 있음을 증명했습니다.