Experimental robustness benchmarking of quantum neural networks on a superconducting quantum processor

Dit artikel presenteert de eerste systematische experimentele robuustheidsbenchmark voor 20-qubit quantumneurale netwerken op een supergeleidende processor, waarbij wordt aangetoond dat adversariale training de beveiliging aanzienlijk verbetert en wordt geopenbaard dat inherente quantumruis deze modellen superieure adversariale robuustheid verleent in vergelijking met klassieke tegenhangers.

De kern

Stel je voor dat je een zeer slimme, futuristische robothersenen (een Quantum Neural Network, of QNN) hebt gebouwd die naar afbeeldingen kan kijken en je kan vertellen of het de letter "Q" of "T" is. Je wilt weten: Hoe sterk is deze robothersenen? Als iemand probeert het te misleiden met een klein, bijna onzichtbaar vlekje op de afbeelding, raakt het dan in de war en geeft het het verkeerde antwoord?

Dit artikel is als een stress test voor die robothersenen. De onderzoekers bouwden een echte, fysieke versie van deze hersenen met een supergekoelde computerchip (een supergeleidende quantumprocessor) en probeerden het te breken. Hier is wat ze vonden, eenvoudig uitgelegd:

1. De "Stress test"-opzet

Zie de QNN als een student die een toets maakt. De onderzoekers wilden zien hoeveel "ruis" of "trucs" de student kon hanteren voordat hij faalde.

• De aanval: Ze gebruikten een slimme truc genaamd een "Masked Attack". Stel je voor dat je probeert de student te misleiden door alleen de belangrijkste delen van een tekening te veranderen (zoals de kromming van een "Q"), terwijl je de rest ongemoeid laat. Dit is veel efficiënter dan proberen elk enkel pixel te veranderen.
• Het doel: Ze wilden het exacte punt vinden waar de robothersenen omslaat van "Dat is een Q" naar "Dat is een T". Dit punt wordt de Robuustheidsgrens genoemd.

2. De grote ontdekking: Theorie versus Realiteit

In de wereld van de kwantumfysica hebben wetenschappers wiskundige formules die voorspellen hoe sterk een robothersenen zou moeten zijn. Maar tot nu toe had niemand dit eigenlijk getest op een echte machine om te zien of de wiskunde standhield.

• Het resultaat: De onderzoekers ontdekten dat hun aanval uit de echte wereld bijna perfect overeenkwam met de theoretische wiskunde. Het verschil was zo klein (ongeveer 0,003) dat het is alsof je de hoogte van een gebouw meet en minder dan de dikte van een mensenhaar naast het doel zit.
• Waarom het belangrijk is: Dit bewijst dat hun "stress test"-methode perfect werkt. Ze kunnen nu vertrouwen op hun hulpmiddelen om te meten hoe veilig kwantum-AI is.

3. De "Training"-verrassing

Net als een menselijke student kan de robothersenen getraind worden om sterker te zijn.

• De methode: De onderzoekers lieten de hersenen voorbeelden zien van "bedrogen" afbeeldingen tijdens de training.
• Het resultaat: Na deze "adversarial training" was het brein veel moeilijker te misleiden. Het leerde de kleine vlekjes te negeren die het normaal verwarren. Het is alsof je een student leert een nep-ID te herkennen door hen veel voorbeelden van vervalsingen te laten zien.

4. Het "Kwantumruis"-schild (Het meest interessante deel)

Hier is de draai. Meestal is "ruis" (storing, glitches, fouten) in gewone computers een slechte zaak. Het maakt dingen slechter.

• De bevinding: De onderzoekers ontdekten dat de natuurlijke ruis binnen hun kwantumcomputer de robothersenen eigenlijk veiliger maakte tegen aanvallen dan een standaard klassieke computer (zoals die in je laptop).
• De analogie: Stel je voor dat je probeert een geheim te fluisteren naar een vriend in een zeer luid, winderige kamer.
  • In een stilte kamer (een klassieke computer) kan een klein, precies gefluister (een aanval) duidelijk gehoord worden en veranderen wat je vriend denkt.
  • In een luid, winderige kamer (de ruizige kwantumcomputer) gaat datzelfde kleine gefluister verloren in de wind. De wind (kwantumruis) fungeert als een schild, en vervaagt de kleine, precieze trucs die aanvallers gebruiken.
  • Opmerking: De wind is luid genoeg om de trucs te verbergen, maar niet zo luid dat de vriend het hoofdbericht (de eigenlijke afbeelding) niet meer kan horen.

5. Wat ze niet beweerden

Het is belangrijk om te blijven bij wat het artikel daadwerkelijk zegt:

• Ze hebben niet gezegd dat deze technologie klaar is om vandaag je bankrekening of zelfrijdende auto's te beschermen.
• Ze hebben niet gezegd dat kwantumcomputers onoverwinnelijk zijn. Ze ontdekten dat hoewel ze in deze specifieke test robuuster zijn dan klassieke computers, ze nog steeds bedrogen kunnen worden als de aanval sterk genoeg is.
• Ze hebben niet beweerd dat dit alle beveiligingsproblemen oplost. Ze bouwden gewoon de eerste betrouwbare "liniaal" om te meten hoe sterk deze kwantumhersenen zijn.

Samenvatting

De onderzoekers bouwden een echte kwantumcomputerhersenen, testten hoe makkelijk het te misleiden was, en ontdekten twee belangrijke dingen:

1. Ze creëerden een perfecte meetlat om kwantumbeveiliging te testen.
2. Verrassend genoeg fungeert de "storing" en "glitches" die inherent zijn aan kwantummachines als een natuurlijk schild, waardoor ze in dit specifieke scenario moeilijker te misleiden zijn dan gewone computers.

Dit werk is de eerste stap naar het bouwen van kwantum-AI die we kunnen vertrouwen om niet makkelijk bedrogen te worden.

Technische samenvatting

1. Probleemstelling

Quantum Machine Learning (QML)-modellen, met name Quantum Neural Networks (QNN's), zijn theoretisch kwetsbaar voor adversarial attacks die vergelijkbaar zijn met die van hun klassieke tegenhangers. Deze aanvallen omvatten zorgvuldig ontworpen, onwaarneembare invoerperturbaties die leiden tot verkeerde classificatie. Hoewel er theoretische kaders bestaan voor het schatten van QNN-robustheid (bijvoorbeeld op basis van fideliteit), ontbreekt er een kritieke systematische experimentele validatie op echte quantumhardware.

• Het Gat: Bestaande literatuur mist hardware-efficiënte adversarial attack-algoritmen die geschikt zijn voor Noisy Intermediate-Scale Quantum (NISQ)-apparaten. Bovendien is de impact van inherente quantumruis op robustheid en de effectiviteit van verdedigingsstrategieën zoals adversarial training in fysische experimenten grotendeels ongekwantificeerd gebleven.
• De Uitdaging: Het genereren van adversarial examples op quantumhardware is computatieverduurzaam vanwege de behoefte aan herhaalde circuit-evaluaties (gradiëntschatting) en is vatbaar om te worden verduisterd door hardware-ruis.

2. Methodologie

De auteurs stellen een uitgebreid experimenteel kader voor om de robustheid van QNN's te benchmarken op een 72-qubit supergeleidende processor, waarbij een subset van 20 qubits wordt gebruikt.

A. Experimentele Opstelling

• Hardware: Een frequentie-tunbare flip-chip supergeleidende quantumprocessor met 72 qubits en 126 koppelaars.
• QNN-architectuur: Een variational quantum circuit (VQC)-classificator bestaande uit:
  • Staatvoorbereiding: Het coderen van data in quantumtoestanden.
  • Variational Circuit: 40 lagen SU(2)-single-qubit rotaties en nearest-neighbor Controlled-Z (CZ) verstrengelingspoorten (181 trainbare parameters).
  • Meting: Pauli-Z-meting op een output-qubit om de classificatiekans te bepalen.
• Datasets:
  1. EMNIST: Handgeschreven letters "Q" en "T" (Klassieke beelddata gecodeerd via data re-uploading).
  2. LCEI (Linear Cluster Excitation Identification): Een synthetisch quantumdataset dat onderscheid maakt tussen "geëxciteerde" en "niet-geëxciteerde" 20-qubit cluster-toestanden.

B. Voorgesteld Aanvalsalgoritme: Mask-FGSM

Om de hoge kosten van volledige gradiëntschatting op NISQ-apparaten te overwinnen, hebben de auteurs Mask-FGSM (Masked Fast Gradient Sign Method) ontwikkeld.

• Mechanisme: In plaats van alle invoerfeatures te perturberen, analyseert het algoritme invoergradiënten om een schaarse subset van "kwetsbare" features te identificeren (pixels voor afbeeldingen, rotatiehoeken voor quantumtoestanden).
• Implementatie: Een binaire masker $M$ wordt geconstrueerd om de bovenste $r$ fractie van features met de hoogste gradiëntmagnitudes te selecteren. Perturbaties worden alleen toegepast op deze geselecteerde coördinaten:
  $$x' = x + \epsilon \cdot (M \odot \text{sign}(\nabla_x L))$$
• Voordeel: Dit vermindert de computatiekosten van gradiëntschatting met een factor $1/r$ en mitigeert de impact van door ruis gedomineerde gradiëntcomponenten, waardoor batch-aanvallen op hardware haalbaar worden.

C. Robustheidsmetrieken

1. Robustheidsgrenzen:
   • Ondergrens ($RLB$): Analytisch afgeleid met behulp van toestandsfideliteit ($F$) en voorspelde kansen ($p_1, p_2$): $RLB = \frac{1}{2}(\sqrt{p_1} - \sqrt{p_2})^2$.
   • Bovengrens ($RUB$): Empirisch geëxtraheerd door Mask-FGSM iteratief toe te passen tot verkeerde classificatie optreedt, waarbij de toestandsinfideliteit $D(\rho, \sigma) = 1 - F(\rho, \sigma)$ wordt gemeten bij de kritieke drempel.
2. Adversarial Robustness Score ($R_{adv}$): Een kwantitatieve metriek gebaseerd op logit-sensitiviteit ($S$).
   • Sensitiviteit $S = \Delta L / \hat{\epsilon}$, waarbij $L$ de "quantum logit" is afgeleid van de verwachtingswaarde $\langle \sigma_z \rangle$.
   • $R_{adv}$ wordt gedefinieerd als het gemiddelde van een gespiegeld sigmoid-functie van sensitiviteit over het dataset.

D. Verdedigingsstrategie

• Adversarial Training: De QNN wordt opnieuw getraind met een dataset die bestaat uit 50% schone samples en 50% adversarial samples gegenereerd via Mask-FGSM. Dit proces beoogt invoergradiënten te regulariseren, waardoor hun uitlijning met adversarial perturbatierichtingen wordt verminderd.

3. Belangrijkste Resultaten

A. Validatie van Robustheidsgrenzen

• Het experiment slaagde erin empirische bovengrenzen ($RUB$) voor 20-qubit QNN's te extraheren.
• Strakheid: De kloof tussen de experimenteel geëxtraheerde $RUB$ en de analytische $RLB$ was extreem klein:
  • EMNIST: $\Delta \approx 2.96 \times 10^{-3}$
  • LCEI: $\Delta \approx 3.25 \times 10^{-3}$
• Betekenis: Dit bevestigt dat de Mask-FGSM-aanval bijna optimaal is voor het identificeren van de kwetsbare deelruimte en valideert de strakheid van op fideliteit gebaseerde theoretische grenzen in een ruisomgeving.

B. Effectiviteit van Adversarial Training

• Adversarial training verhoogde de robustheid aanzienlijk.
  • EMNIST: De robustheidsscore steeg van $8.90 \times 10^{-3}$ (schoon) naar $0.330$ (adversarial).
  • LCEI: De robustheidsscore steeg van $0.105$ naar $0.339$.
• Mechanisme: Analyse van invoergradiënten onthulde dat adversarial training de gradiëntvectoren heroriënteert, waardoor hun cosinus-similariteit met de perturbatierichting ($\delta$) wordt verminderd. Dit werkt als een impliciete regularisator, waarbij kritieke featuregebieden worden behouden terwijl de gevoeligheid voor gerichte aanvallen wordt verminderd.

C. Quantum versus Klassieke Robustheid

• Verrassende Bevinding: Schoon getrainde QNN's vertoonden aanzienlijk hogere adversarial robustheidsscores dan klassieke Feedforward Neural Networks (FNN's) met vergelijkbare parameteraantallen en nauwkeurigheid op dezelfde EMNIST-taak.
  • QNN's presteerden meer dan 64 keer beter dan FNN's in robustheidsscores onder schone training.
• Oorzaak: De auteurs schrijven dit toe aan ruis-geïnduceerde gradiëntverzwakking. Inherente hardware-ruis (decoherentie, $T_1$, $T_2$) fungeert als een natuurlijke "low-pass filter" of gradiëntmasker. Het onderdrukt de fijnmazige sensitiviteit die nodig is voor adversarial attacks, terwijl het de macroscopische kenmerken behoudt die noodzakelijk zijn voor correcte classificatie.
• Simulatieverificatie: Ruisvrije simulaties van QNN's versus FNN's toonden geen inherente robustheidsvoordeel, wat bevestigt dat het waargenomen voordeel een direct gevolg is van NISQ-hardware-ruis.

4. Betekenis en Bijdragen

1. Eerste Hardware-niveau Benchmark: Dit werk presenteert de eerste systematische experimentele benchmark van QNN-robustheid op een supergeleidende processor, verder gaand dan theoretische simulaties.
2. Efficiënt Aanvalsprotocol: De introductie van Mask-FGSM biedt een schaalbare, hardware-efficiënte methode voor het genereren van adversarial examples op NISQ-apparaten, waarmee de bottleneck van gradiëntschattingskosten wordt opgelost.
3. Validatie van Theoretische Grenzen: De minimale kloof tussen analytische ondergrenzen en experimentele bovengrenzen biedt sterk empirisch bewijs voor de geldigheid van op fideliteit gebaseerde robustheidsmetrieken in real-world quantum-systemen.
4. Ruis als Verdediging: De ontdekking dat inherente quantumruis kan fungeren als een natuurlijke verdedigingsmechanisme (gradiëntmaskering) daagt het conventionele beeld van ruis als puur schadelijk uit. Het suggereert een uniek veiligheidskarakteristiek van NISQ-apparaten in vergelijking met ruisvrije klassieke of quantum-modellen.
5. Kader voor Veilige QML: De studie vestigt een reproduceerbaar kader voor het diagnosticeren van kwetsbaarheden en het evalueren van verdedigingsstrategieën (zoals adversarial training), en eert de weg voor de ontwikkeling van veilige en betrouwbare Quantum Machine Learning-toepassingen in hoog-risico domeinen.

Conclusie

Het artikel toont aan dat QNN's weliswaar kwetsbaar zijn voor adversarial attacks, maar dat hun robustheid effectief kan worden gekwantificeerd en verbeterd. De combinatie van een op maat gemaakt aanvalsalgoritme (Mask-FGSM), adversarial training en de intrinsieke ruis van supergeleidende hardware creëert een robuust verdedigingsprofiel dat in sommige gevallen klassieke neurale netten overtreft. Dit werk legt de fundamentele methodologie voor de toekomstige beveiligingsbeoordeling van quantum AI-systemen.