When cheap gradients fail: the measurement cost of attacking quantum classifiers

기술 요약: 저렴한 그래디언트가 실패할 때: 양자 분류기 공격의 측정 비용

문제 정의
적대적 섭동(Adversarial perturbations)은 변분 양자 분류기(Variational Quantum Classifiers, VQCs)를 포함한 머신러 러닝 분류기에 심각한 위협이 됩니다. 기존의 양자 머신러닝(QML) 방어 기법들은 주로 동역학적 보장(예: 유니타리성, 연산자 스크램블링)이나 노이즈로 인한 강건성에 대한 경험적 관찰에 의존하지만, 이러한 분석들은 대개 공격자가 정확한 기대값을 얻을 수 있다고 가정합니다. 실제로는 양자 역학으로 인해 비용 없는 그래디언트 계산이 금지됩니다. 모든 관측량은 유한한 측정으로부터 재구성되어야 하며, 이는 "샷 노이즈(shot noise)"를 도입합니다.

본 논문은 화이트박스 공격자가 QML 분류기에 대한 그래디언트 기반 공격을 수행할 때 필요한 물리적 측정 비용을 조사합니다. 특히, 방어자는 훈련 과정에서 샷 비용을 분할 상환(amortize)하는 반면, 공격자는 추론 시 매 그래디언트 쿼리마다 차원에 의존하는 새로운 측정 비용을 지불해야 한다는 비대칭성을 다룹니다. 저자들은 입력 차원과 관계없이 그래디언트 계산 비용이 순전파(forward pass) 대비 작은 상수로 제한된다는 고전적 자동 미분의 "저렴한 그래디언트 원칙(cheap-gradient principle)"에 이의를 제기합니다.

방법론
저자들은 유한 샷 측정 통계와 그래디언트 추정 불확실성 및 공격 효능 사이의 관계를 연결하는 이론적 프레임워크를 구축합니다.

1. 위협 모델: 본 연구는 훈련된 QML 분류기에 대한 테스트 타임(test-time) 화이트박스 회피 공격에 초점을 맞춥니다. 공격자는 아키텍처와 파라미터($\theta$)를 알고 있지만, 양자 측정을 통해 입력 그래디언트 $\nabla_x L$을 추정해야 합니다. 공격자의 자원은 총 샷 예산 $R$(총 회로 실행 횟수)입니다.
2. 그래디언트 추정: 분석에는 그래디언트의 불편 추정량(unbiased estimator)인 파라미터 시프트 규칙(Parameter-Shift Rule, PSR)을 활용합니다. PSR 하에서 각 그래디언트 성분은 두 번의 시프트된 회로 평가를 필요로 합니다. 이 추정치의 분산은 양자 크라메르-라오 하한(quantum Cramér–Rao bound)에 의해 결정되며, 성분당 샷 수 $s$에 대해 $\sigma^2/s$로 스케일링됩니다.
3. 이론적 유도:
   • 저자들은 일정한 공격 성공률 또는 손실 잉여(loss surplus)를 유지하기 위해 필요한 샷 예산 $R$의 스케일링을 도출합니다.
   • 국소 선형성(local linearity), i.i.d. 가우시안 노이즈, 작은 노이즈 영역 가정을 바탕으로 단일 단계 공격(예: FGSM)을 분석합니다.
   • 유한 샷 최적화를 확률적 랑주뱅 역학(Stochastic Gradient Langevin Dynamics, SGLD)으로 매핑하여, 샷 수를 역온도(inverse temperature) 파라미터로 취급함으로써 반복적 공격(예: Carlini-Wagner)으로 분석을 확장합니다.
   • "기하학적 바닥(geometric floor)"(순수하게 샷 노이즈 기하학에 의해 결정되는 비용)과 "실현된 비용"(깊고 표현력이 풍부한 회로에서 그래디언트 노름의 감소를 포함하는 비용)을 구분합니다.
4. 경험적 검증:
   • 시뮬레이션: 입력 차원이 최대 $d=784$ ($q=10$ 큐비트)인 MNIST 및 Fashion-MNIST 데이터셋에 대해 실험을 수행했습니다. 연구는 회로 깊이, 차원, 샷 예산을 변화시키며 공격 성공률과 손실 잉여를 측정했습니다.
   • 하드웨어: 이상적인 시뮬레이션과 실제 장치 노이즈를 비교하고 스케일링 법칙을 검증하기 위해, 4-큐비트 회로($d=12$)를 사용하여 IBM ibm_boston 프로세서에서 부분 실험을 수행했습니다.
   • 베이스라인: 고전적 그래디언트 비용 비율을 계산하기 위해 매칭된 고전적 합성곱 신경망(CNN) 베이스라인을 사용했습니다.

주요 기여

1. 샷 노이즈 스케일링 법칙: 본 논문은 QML에서 일정한 공격 효능을 유지하기 위해 측정 예산이 입력 차원 $d$에 따라 다항식적으로 스케일링되어야 함을 입증합니다.
   • 고정된 섭동 예산 $\epsilon$을 가진 단일 단계 공격의 경우, 총 샷 예산은 $R = \Theta(d^2)$로 스케일링됩니다.
   • 노름 집중 스케일링($\epsilon \propto \sqrt{d}$) 하에서, 예산은 $R = \Theta(d^{5/2})$로 스케일링됩니다.
   • 그래디언트 노름이 차원에 따라 감소하는(바렌 플래토 징후) 표현력이 풍부한 깊은 회로의 경우, 실현된 비용은 더 빠르게 증가하며 경험적으로 $R \approx \Theta(d^3)$입니다.
2. 저렴한 그래디언트 원칙의 실패: 저자들은 양자 그래디언트 비용 비율(순전파 단위당 그래디언트 비용)이 차원 $d$에 따라 다항식적으로 성장($\Theta(d^{3.00})$)하는 반면, 고전적 비율은 일정($\approx 5$)하다는 것을 보여줍니다. 이 발산은 모델이 확장됨에 따라 양자 모델을 공격하는 상대적 비용이 급격히 증가함을 의미합니다.
3. 반복적 공격 분석: 반복적 공격을 SGLD로 프레이밍함으로써, 본 논문은 유한 샷 수렴 이론이 공격자가 단일 단계 스케일링 법칙을 탈출할 수 있다는 보장을 제공하지 못함을 보여줍니다. 샷 할당의 "스윗 스팟(sweet spot)"(중간 정도의 노이즈가 로컬 미니마 탈출을 돕는 지점)이 존재하지만, 정확한 그래디언트 성능 바닥에 도달하기 위해 필요한 예산은 여전히 차원에 따라 급격히 증가합니다.
4. 하드웨어 검증: 156-큐비트 IBM 프로세서에서의 실험은 샷 노이즈 강건성 효과가 실제 하드웨어에서도 지속됨을 확인했습니다. 장치 공격은 이상적인 시뮬레이션을 몇 퍼센트 이내에서 추적하였으며, 이는 방어적 결과가 시뮬레이션의 인위적 산물이 아니라 유한한 측정에 내재된 것임을 입로 검증합니다.

결과

• 스케일링 지수: $d=784$까지의 시뮬레이션은 이론적 구조를 검증했습니다.
  • 파라미터가 없는 기하학적 베이스라인(안정적인 그래디언트 노름 가정)은 차원당 $d^{3/2}$ ($d^{5/2}$ 전체)를 따릅니다.
  • 그래디언트 노름 감소($\|\nabla L\| \propto d^{-0.73}$)를 보이는 테스트된 깊은 회로들은 MNIST의 경우 $d^{3.00}$, Fashion-MNIST의 경우 $d^{3.07}$의 실현된 총 예산 스케일링을 나타냈습니다.
  • 측정된 그래디언트 노름을 다시 비용에 포함했을 때, 데이터는 $d^{3/2}$의 기하학적 바닥을 회복하며, 이는 초과 스케일링이 노이즈 기하학 자체가 아니라 모델의 그래디언트 감소에 의해 발생함을 확인해 줍니다.
• 실질적 비용: $d=784$인 MNIST 분류기에서 하나의 적대적 예시를 제작하려면 약 $5 \times 10^8$회의 샷이 필요합니다. 샷당 실행 시간을 100 $\mu$s라고 가정할 때, 이는 샘플당 약 15시간의 순차적 장치 실행 시간을 의미합니다. 전체 데이터셋을 공격하려면 약 17년의 연속적인 장치 시간이 필요합니다.
• 고전적 비교: 매칭된 고전적 베이스라인은 차원 독립적인 그래디ian트 비용 비율($\rho \approx 5$)을 보여주었으며, 이는 양자 사례에서 비율이 $d^{3.00}$으로 발산하는 것과 극명한 대조를 이룹니다.

의의 및 주장
본 논문은 유한 양자 측정 통계가 특정 조건 하에서 그래디언트 기반 공격에 대한 "내장된 방어(built-in defense)" 역할을 한다고 주장합니다:

1. 고전적 어려움: 방어적 결과는 양자 모델의 순전파 맵이 고전적으로 시뮬레이션하기 어려울 때 정확히 작동합니다. 이 영역에서 화이트박스 공격자는 "시뮬레이션 및 역전파" 지름길을 사용할 수 없으며, 반드시 측정 비용을 지불해야 합니다.
2. 내재적 비용: 알고리즘적 난독화나 무작위 평활화(randomized smoothing)와 달리, 이 방어는 양자 측정(Born rule)의 물리 법칙에 내재되어 있으며 샷 예산을 늘리지 않고는 끌 수 없습니다.
3. 확장성: 그래디언트를 추출하는 비용은 모델이 확장됨에 따라 다항식적으로 발산합니다. 이는 QML 모델이 "양자 우위" 영역(큰 $d$, 깊은 회로)으로 이동함에 따라, 방어자와 공격자 사이의 자원 비대칭성이 효과적인 그래디언트 기반 공격에 대한 근본적인 장벽이 될 수 있음을 시사합니다.

저자들은 자신들의 실험이 작은 시스템($q \le 10$)에서 이루어졌다는 점을 들어, 고전적 시뮬레이션 가능성의 경계 중 "다루기 쉬운" 쪽에 위치해 있음을 언급하며 겸허한 태도를 유지합니다. 이들은 이 결과가 현재 규모에서 배치 가능한 방어책이라고 주장하는 것이 아니라, 클래식 시뮬레이션 가능성의 경계를 넘어섰을 때 공격자의 비용을 특징짓는 스케일링 법칙을 확립하는 것이라고 밝힙니다. 또한, 그래디언트 프리 공격(예: 전이 공격)은 이 경계가 완전히 다루지 않은 별개의 위협 모델임을 명시합니다.