기술 요약: 양자 신경망(QNN)에 대한 엔드 투 엔드 다단계 킬 체인 공격

문제 정의

실제 양자 프로세싱 유닛(QPU) 상에서 양자 기계 학습(QML)을 배포하는 것은 이상적인 시뮬레이션을 넘어 공격 표면을 확장시킨다. 기존 문헌들은 사이드 채널 공격, 크로스토크(crosstalk), 적대적 예시(adversarial examples)와 같은 개별적인 공격 벡터들을 고립된 상태에서 조사해 왔으나, 이러한 벡터들이 어떻게 하나의 일관된 다단계 공격 캠페인으로 결합될 수 있는지에 대한 이해는 부족하다. 현재의 보안 분석은 실질적인 멀티 테넌트 클라우드 환경에서 하드웨어 수준의 취약점(예: 사이드 채널 누설, 크로스토크 유도 결함)과 알고리즘 조작(예: 적대적 섭동) 사이의 상호 의존성을 포착하지 못하는 경우가 많다. 본 논문은 정찰(reconnaissance), 모델 추론(inference), 그리고 물리적 하드웨어 조작을 연결하여 양자 신경망(QNN)을 무력화하는 엔드 투 엔드 "킬 체인(kill-chain)" 공격을 입증함으로써 이 간극을 메운다.

방법론

저자들은 고전적 IT 보안 프레임워크(특히 MITRE ATT&CK 및 Lockheed Martin Cyber Kill Chain)를 QML 맥락에 맞게 변형한 구조화된 5단계 공격 파이프라인을 제안한다. 이 방법론은 트랩드 이온(trapped-ion) 양자 컴퓨터(AQT Ibex)에서 실행되었으며, 부록에는 초전도 하드웨어에서의 보충 실험 결과가 상세히 기술되어 있다.

1. 정찰 (사이드 채널 분석)

첫 번째 단계는 피해 대상 QNN의 모델 가중치에 직접 접근하지 않고도 구조적 파라미터를 추론하는 것이다.

• 기법: 공격자는 피해 회로가 실행되는 동안 제어 전자 장치의 전력 트레이스(power traces)를 캡처한다.
• 과정: 이러한 트레이스는 다양한 큐비트 수(4개 대 8개), 레이어 깊이(2, 4, 6, 8), 얽힘 패턴을 가진 24개의 벤치마크 회로와 비교된다.
• 메커니즘: 총 실행 시간과 유클리드 거리($L_2$-norm)를 기준으로 후보군을 필터링함으로써, 공격자는 정확한 회로 아키텍처(큐비트 수, 깊이 및 얽힘 구조)를 식별한다.

2. 적대적 예시 생성

아키텍처가 파악되면 공격자는 적대적 예시를 생성한다.

• 제약 조건: 이 공격은 AQT 트랩드 이온 하드웨어의 물리적 한계에 의해 제약을 받는다. 이 플랫폼에서의 크로스토크는 주로 단일 큐비트 회전 게이트에 의해 유도된다. 가상 $R_Z$ 게이트는 물리적 펄스를 생성하지 않으므로 크로스토크를 발생시키지 않는다.
• 구현: 저자들은 투영 경사 하강법(Projected Gradient Descent, PGD)을 사용하여 적대적 입력을 생성한다. 결정적으로, 이들은 섭동(perturbation)이 $R_Y$ 회전을 통해 인코딩된 입력 특징에만 국한되도록 하는 **마스크(mask)**를 적용한다. 이는 생성된 적대적 섭동이 크로스토크를 통해 물리적으로 구현 가능하도록 보장한다.

3. 물리적 공격 (크로스토크 주입)

마지막 단계는 추상적인 적대적 섭동을 물리적인 하드웨어 공격으로 변환하는 것이다.

• 메커니즘: 공격자는 인접한 큐비트에서 자신의 회로를 동시에 실행하도록 스케줄링한다. 정찰 단계에서 결정된 정밀한 시간에 특정 $R_Y$ 회전 게이트를 인접 큐비트에 적용함으로써, 피해 대상 큐비트에 크로스토크를 유도한다.
• 목표: 유도된 크로스토크는 피해 대상 큐비트에 효과적인 회전 각도를 생성하여, 데이터나 모델 파라미터를 수정하지 않고도 피해 대상 모델의 입력을 조작한다.

주요 기여

• 최초의 엔드 투 엔드 입증: 본 논문은 실제 트랩드 이온 하드웨어에서 실행되는 QNN에 대한 다단계 킬 체인 공격을 최초로 입증하였으며, 사이드 채널 정찰에서 물리적 크스토크 공격으로 이어지는 과정을 성공적으로 연결하였다.
• 구조화된 분류 체계: 하드웨어 취약점(전력 트레이스, 크로스토크)과 알고리즘 공격(적대적 예시) 사이의 상호 의존성을 명시적으로 매핑하는 QML용 킬 체인 분류 체계를 도입하였다.
• 하드웨어 인지적 적대적 생성: 특정 하드웨어 제약(예: AQT 장치에서 크로스토크를 통해 $R_Z$ 인코딩된 특징을 섭동할 수 없는 점)을 준수하는 적대적 예시 생성 방법을 제시하였다.
• 경험적 검증: 전력 트레이스를 통한 정보 누설이 피해 대상의 회로 구조를 높은 신뢰도로 재구성하는 데 충분하며, 이를 통해 표적 공격이 가능하다는 것을 검증하였다.

결과

• 정찰 성공: 전력 트레이스 기반 정찰은 벤치마크 회로와의 매칭을 통해 피해 대상 QNN의 아키텍처(4 큐비트, 4 레이어)를 성공적으로 식별하였다. 타이밍 및 진폭 시그니처는 회로 구조에 대한 고유한 지문을 제공하였다.
• 적대적 취약성: PGD를 사용했을 때, 저자들은 섭동 예산($\epsilon$)이 $\le 1.0$인 경우 1,000개의 훈련 샘플 중 840개가 오분류될 수 있음을 발견하였다. 적대적 섭동 하에서 QNN의 분류 정확도는 92.4%에서 1.07%로 급락하였다.
• 크로스토크 효과: 시뮬레이션을 통해 확인된 적대적 공격에 취약한 50개의 샘플을 AQT Ibex 하드웨어에서 실행했을 때:
  • "클린(clean)" 하드웨어 정확도는 0.64였다.
  • "크로스토크" 공격(인접 회전을 통한 섭동 유도) 결과 정확도는 0.68이었다.
  • 정확도 하락 폭은 시뮬레이션만큼 극적이지 않았으나, 평균 절대 오차(MAE) 분석 결과 크로스토크 유도 하드웨어 동작($hw\_crosstoch$)이 적대적 하드웨어 동작($hw\_adv$)에 훨씬 더 근접함을 보여주었다. 구체적으로, $hw\_adv$와 $hw\_crosstoch$ 사이의 MAE는 0.1236으로, 모든 하드웨어 간 비교 중 가장 낮았으며, 이는 물리적 크스토크가 의도된 적대적 섭동을 성공적으로 모사했음을 확인시켜 준다.

의의 및 주장

본 논문은 주요 의의가 QML을 독립적으로 분석해서는 안 된다는 점을 입증하는 데 있다고 주장한다. 연구 결과는 다음을 강조한다:

1. 위협의 상호 의존성: 사이드 채널 정보(전력 트레이스)는 단순한 프라이버시 유출이 아니라, 후속되는 더 파괴적인 공격(크로스토크 기반 적대적 조작)을 가능하게 하는 핵심 동력이다.
2. 물리적 실현 가능성: 적대적 예시는 이론적인 구성물이 아니다. 데이터나 모델을 수정하지 않고도 하드웨어 유도 노이즈(크로스토크)를 통해 NISQ 장치에서 물리적으로 구현될 수 있다.
3. 시스템 수준의 방어: 효과적인 방어를 위해서는 시스템 수준의 접근이 필요하다. 사이드 채널(예: 디코이 펄스 또는 정전력 동작을 통한 전력 누설 방지)을 완화하고, 멀티 테넌트 공유 실행을 차단하여 크스토크 주입을 방지하는 것이 킬 체인을 끊는 데 필수적이다.

저자들은 이러한 공격들이 현재의 노이즈가 있는 중간 규모 양자(NISQ) 장치의 제약 내에서 작동하며, 결함 허용(fault-tolerant) 가정을 전제로 하지 않으므로 근래의 QML 배포에 즉각적으로 유효한 결과라고 강조한다. 이 연구는 QaaS 제공업체와 하드웨어 제조업체에 현재의 격리 및 노이즈 모델이 조율된 다단계 공격자에게는 불충분하다는 경고를 전달한다.