From Membership-Privacy Leakage to Quantum Machine Unlearning

Dit onderzoek toont aan dat quantum-neurale netwerken gevoelig zijn voor lidmaatschapsinformatielekken en presenteert een quantum machine unlearning-framework dat deze privacyrisico's effectief verhelpt zonder de nauwkeurigheid op de resterende data te verstoren.

De kern

🧠 De Quantum-Geheugenkrant: Van Lekken naar Vergeten

Stel je voor dat je een super-slimme quantum-assistent (een Quantum Machine Learning-model) hebt. Deze assistent is getraind met duizenden foto's om bijvoorbeeld dieren te herkennen. Hij is zo slim dat hij sneller en beter werkt dan onze gewone computers. Maar er zit een groot gevaar aan vast: privacy.

1. Het Probleem: De "Geheugenkrant" die niet dichtgaat

In de gewone wereld (klassieke AI) weten we dat een getrainde assistent soms onbedoeld onthoudt wie er in zijn trainingsboekje heeft gezeten. Als je vraagt: "Was deze specifieke foto van jouw oma ooit in zijn trainingsboek?", kan de assistent soms door zijn antwoord (bijvoorbeeld hoe zeker hij klinkt) verraden dat het antwoord "Ja" is. Dit noemen ze lidmaatschapsinformatie-lekken.

In de quantumwereld is dit nog gevaarlijker. De auteurs van dit papier ontdekten dat quantum-assistenten dit ook doen. Zelfs als je ze vraagt om een antwoord te geven, kunnen hackers (aanvallers) via slimme trucs achterhalen of jouw data in de training zat.

De Analogie:
Stel je voor dat de quantum-assistent een gastheer is op een feestje. Hij heeft een lijst met gasten (de trainingsdata). Als een onbekende (de hacker) vraagt: "Ken jij meneer Jansen?", en de gastheer reageert met een heel specifiek, enthousiast antwoord, dan weet de hacker dat meneer Jansen op de lijst stond. In de quantumwereld is dit "reageren" nog lastiger te controleren omdat je de interne gedachten van de quantum-assistent niet kunt zien zonder de hele show te verstoren (zoals het meten van een quantumstaat).

2. De Oplossing: "Quantum Machine Unlearning" (QMU)

Nu komt het mooie deel. Wat als meneer Jansen zegt: "Ik wil niet meer op die lijst staan, vergeet me!"?
In de oude wereld zou je de hele assistent moeten ontslaan en opnieuw moeten trainen met een nieuwe lijst. Dat kost enorm veel tijd en geld.

De auteurs van dit papier hebben een nieuwe methode bedacht: Quantum Machine Unlearning (QMU). Dit is als een magische vergetelheid voor de assistent. Ze hebben drie verschillende manieren bedacht om de assistent te laten "vergeten" zonder hem opnieuw te hoeven opleiden:

1. De "Terugdraai-methode" (Gradient Ascent): Je zegt tegen de assistent: "Leer dit specifieke voorbeeld juist verkeerd!" Je draait het leerproces om zodat hij die ene foto niet meer herkent.
2. De "Filter-methode" (Fisher-based): Je kijkt welke hersencellen (parameters) het meest betrokken waren bij het onthouden van die ene foto, en je "dempt" die specifiek. De rest van zijn kennis blijft intact.
3. De "Gekombineerde methode" (Relative Gradient): Een slimme mix van de bovenstaande twee, die precies weet welke hersencellen hij moet aanraken en welke hij met rust moet laten.

Het Resultaat:
De assistent vergeet meneer Jansen volledig. Als je hem nu weer vraagt of hij meneer Jansen kent, geeft hij een antwoord alsof hij hem nooit heeft gezien. Maar hij vergeet niet wie de andere gasten zijn; hij blijft net zo slim als voorheen voor de rest van de lijst.

3. Het Quantum-Geheim: Het "Schot"-effect

Er is nog een heel interessant detail in dit verhaal. Quantumcomputers werken niet met oneindig veel zekerheid, maar met metingen (zoals het gooien van een dobbelsteen). Je moet een meting doen om een antwoord te krijgen.

• Veel metingen (Hoge "Shot" count): De assistent is heel precies, maar ook heel makkelijk te hacken. Hij onthult te veel details.
• Weinig metingen (Lage "Shot" count): De assistent is een beetje onzeker (er zit wat "ruis" in). Dit klinkt slecht, maar voor privacy is het geweldig! Die onzekerheid werkt als een rookgordijn. Het maakt het voor hackers heel moeilijk om te zien of meneer Jansen op de lijst stond, terwijl de assistent voor de gewone gebruiker nog steeds goed genoeg werkt.

De Advies:
De auteurs zeggen: "Gebruik veel metingen als je de assistent traint of laat vergeten (voor precisie), maar gebruik weinig metingen als je hem aan het publiek geeft (voor privacy)."

🎯 Samenvatting in één zin

Dit papier laat zien dat quantum-AI's ook geheime informatie lekken, maar dat we met slimme "vergeet-methode" (QMU) en het slim gebruik van quantum-onzekerheid die lekken kunnen dichten zonder de assistent opnieuw te hoeven bouwen.

Het is alsof je een magische schoolboekenverbranding hebt: je kunt een specifiek hoofdstuk uit een boek laten verdwijnen zodat niemand het meer kan lezen, terwijl de rest van het boek perfect leesbaar blijft.

Technische samenvatting

Titel: Van lidmaatschapsprivacy-lekkage naar Quantum Machine Unlearning

Auteurs: Junjian Su, Runze He, et al.
Datum: 24 april 2026

---

1. Probleemstelling

Quantum Machine Learning (QML) belooft rekenkundige voordelen voor specifieke taken door kwantumcomputing te combineren met klassiek Machine Learning (ML). Echter, net als bij klassieke ML, zijn QML-modellen kwetsbaar voor lidmaatschapsprivacy-lekkage (membership privacy leakage).

• Het risico: Een aanvaller kan via de uitvoer van een model afleiden of specifieke data-punten zijn gebruikt tijdens het trainingsproces. Dit schendt privacyregels zoals het "recht om vergeten te worden" (bijv. GDPR).
• De uitdaging: Wanneer data-eigenaren hun data willen laten verwijderen, is het opnieuw trainen van het model vanaf nul vaak te rekenintensief. Klassieke "Machine Unlearning" (MU) technieken loss dit op door het model te laten "vergeten" zonder opnieuw te trainen, maar deze methoden zijn nog niet systematisch onderzocht voor QML.
• Kernvragen van het onderzoek:
  1. Lekken QML-modellen lidmaatschapsinformatie over hun trainingsdata?
  2. Kunnen Machine Unlearning-methoden deze lekkage in QML-modellen efficiënt mitigeren?

2. Methodologie

A. Bedreigingsmodel en Aanval (Membership Inference Attack - MIA)

De auteurs hanteren een realistisch gray-box threat model (inference-API):

• De aanvaller heeft geen toegang tot de interne kwantumtoestanden of parameters (witte doos), omdat kwantummetingen de toestand verstoren (no-cloning theorema).
• De aanvaller kan alleen klassieke uitvoer vragen via een API (bijv. verwachte waarden, logits, softmax-kansen, of verlieswaarden) met een beperkt aantal shots (metingen).
• Aanval: Er wordt een MIA ontworpen die een aanvraagsample classificeert als "lid" (in de trainingsset) of "niet-lid" op basis van de kwantitatieve uitvoer van het QML-model.

B. Experimentele Opstelling

• Modellen: Twee soorten Quantum Neural Networks (QNN) met een diepte van 5 lagen en 10 qubits:
  1. Basic QNN: Gebruikt PCA voor pre-processing.
  2. Hybrid QNN (HQNN): Gebruikt een klassiek CNN voor pre-processing.
• Datasets: MNIST (10 klassen), waarbij één klasse willekeurig wordt geselecteerd om te "vergeten" (unlearn).
• Omgevingen:
  1. Ruisvrije simulaties (PennyLane/Qiskit).
  2. Cloud-kwantumapparaat (Tianyan-504 supergeleidende processor).
• Variabele: Het aantal shots ($N_{shots}$) in de kwantummetingen wordt gevarieerd om de impact van shot-noise te onderzoeken.

C. Quantum Machine Unlearning (QMU) Framework

Om de lekkage te mitigeren, stellen de auteurs een QMU-framework voor met drie mechanismen:

1. Gradient Ascent (GA): Omkeert het trainingsproces door het verlies voor de te vergeten data te maximaliseren (gradiënt opwaarts in plaats van afwaarts).
2. Fisher-based Unlearning (SSD - Selective Synaptic Dampening): Gebruikt de Fisher Information Matrix (FIM) om parameters te identificeren die gevoelig zijn voor de te vergeten data. Deze parameters worden selectief gedempt of verstoord.
3. Relative Gradient Ascent (RGA): Een hybride aanpak die de gevoeligheid van FIM combineert met gerichte gradiënt-ascent, zodat alleen kritieke parameters worden aangepast.

3. Belangrijkste Resultaten

A. Bewijs van Privacy-Lekkage

• MIA Succes: Zowel in simulaties als op de cloud-processor bleken QNN-modellen gevoelig voor lidmaatschapsaanvallen.
  • In ruisvrije simulaties bereikte de MIA een succespercentage van 75% tot 100% (afhankelijk van het model en de gebruikte uitvoerfeatures zoals loss of logits).
  • Op de cloud-processor (met ruis) bleef het succespercentage hoog (~67% - 83%), wat aantoont dat lekkage ook in realistische, ruizige omgevingen optreedt.
• Invloed van Shots: Een lager aantal shots ($N_{shots}$) verlaagt de MIA-succes率 aanzienlijk (van ~94% naar ~67% bij 16 shots) met slechts een kleine daling in classificatie-accuraatheid. Dit suggereert dat shot-noise een natuurlijke, passieve verdediging kan zijn, maar niet volledig voldoende is.

B. Effectiviteit van Quantum Machine Unlearning (QMU)

De drie QMU-methoden werden getest om de invloed van de verwijderde data te elimineren terwijl de prestaties op de overige data behouden blijven.

• Gradient Ascent (GA): Bereikte het doel van vergeten (AccU $\approx$ 0%), maar veroorzaakte soms een lichte daling in de nauwkeurigheid op de behouden data (AccR). Het is zeer data-onafhankelijk (gebruikt alleen de te vergeten data).
• SSD: Toonde uitstekende resultaten op het HQNN-model met zeer lage rekenkosten, maar presteerde slecht op het Basic QNN vanwege bias in de parameter-schatting bij lagere nauwkeurigheid.
• RGA: Biedt de beste balans. Het combineert de precisie van FIM met gerichte updates, wat leidt tot effectief vergeten (AccU $\approx$ 0%) met behoud van hoge nauwkeurigheid op de behouden data (AccR).
• Vergelijking: Alle QMU-methoden verlaagden de MIA-succes率 drastisch (van >90% naar <10% in veel gevallen), wat aantoont dat ze effectief zijn in het verwijderen van privacy-risico's.

C. Impact van Shot Noise op Unlearning

• GA is zeer gevoelig voor shot-noise. Bij een laag aantal shots (16) stort de nauwkeurigheid op de behouden data in omdat de gradiënt-schattingen te veel ruis bevatten.
• SSD is robuust tegen shot-noise omdat het zich baseert op de rangorde van parameter-importantie (relatieve gevoeligheid) in plaats van exacte gradiëntwaarden. Dit maakt SSD stabiel zelfs bij zeer lage shot-counts.

4. Kernbijdragen

1. Eerste systematische analyse: Het is de eerste studie die lidmaatschapsprivacy-lekkage in QML kwantificeert onder realistische gray-box omstandigheden, zowel in simulatie als op echte hardware.
2. QMU Framework: Introductie van een specifiek Quantum Machine Unlearning framework met drie mechanismen (GA, SSD, RGA) die zijn aangepast voor Parametrische Kwantumkringen (PQCs).
3. Shot-Configuratie Strategie: De auteurs stellen een tweeledige strategie voor:
   • Hoge shot-count tijdens training en unlearning voor stabiliteit en nauwkeurigheid.
   • Lage shot-count tijdens inferentie (API-gebruik) om lidmaatschapskenmerken te maskeren en privacy te vergroten zonder de bruikbaarheid van het model significant te schaden.
4. Empirische Validatie: Gedetailleerde evaluatie op zowel simulatoren als een echte cloud-kwantumprocessor (Tianyan-504), wat de praktische haalbaarheid onderstreept.

5. Betekenis en Toekomstperspectief

Dit werk pakt een kritieke beveiligingskloof in de opkomende QML-veld aan. Het bewijst dat kwantummodellen net zo kwetsbaar zijn voor privacy-aanvallen als klassieke modellen, maar ook dat specifieke kwantumeigenschappen (zoals shot-noise) kunnen worden benut voor verdediging.

De voorgestelde QMU-methoden bieden een haalbare weg naar privacy-bevorderende QML, essentieel voor de naleving van data-wetgeving en de vertrouwensopbouw in kwantumtoepassingen. Toekomstig onderzoek moet zich richten op het uitbreiden van deze methoden naar ongesuperviseerd leren, versterkend leren en generatieve modellen, evenals het integreren van QMU in bredere kwantum-privacycomputing frameworks.