⚛️ quantum physics

An End-to-End Multi-Stage Kill-Chain Attack on Quantum Neural Networks: Demonstration on Trapped-Ion Hardware

Dit artikel demonstreert een uitgebreide, meerfasige aanval op een kwantumneuraal netwerk dat draait op trapped-ion hardware, die zijkanaal-reconnaissance, crosstalk-karakterisering en het genereren van adversarial voorbeelden integreert om het apparaat fysiek te manipuleren, terwijl het ook de implicaties voor quantum-as-a-service-providers en potentiële hardwarematige mitigaties behandelt.

Oorspronkelijke auteurs: Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Gepubliceerd 2026-07-07

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een geavanceerde kwantumcomputer niet voor als een magische zwarte doos, maar als een zeer gevoelig, delicaat orkest dat een specifiek muziekstuk speelt. Dit artikel beschrijft hoe een "hacker" zich in dit orkest zou kunnen sluipen, naar de muzikanten kan luisteren, precies kan uitzoeken welk liedje ze spelen, en vervolgens subtiel de instrumenten kan beïnvloeden om het muziekstuk vals te laten klinken — en dat alles zonder dat de dirigent (de eigenaar van de computer) doorheeft wat er is gebeurd.

Hier is het verhaal van hun "kill-chain" aanval, opgedeeld in eenvoudige stappen:

1. De Opstelling: Het Kwantumorkest

De onderzoekers gebruikten een echte kwantumcomputer gemaakt van gevangen ionen (kleine geladen atomen die op hun plaats worden gehouden door lasers). Ze zetten een "Quantum Neural Network" (QNN) op, wat vergelijkbaar is met een slimme student die probeert vier verschillende symbolen te herkennen (zoals een plusteken, een minteken en twee haakjes).

2. Het Aanvalsplan: Een Drievoudige Roofoverval

In plaats van simpelweg de computer te proberen te breken met brute kracht, gebruikten de aanvallers een "kill-chain" strategie. Denk hierbij aan een bankovervaller die niet alleen de deur probeert te forceren; hij verkent eerst het gebouw, kiest dan het slot, en schakelt tot slot het alarm uit.

Fase 1: De Luistervink (Reconnaissance)

De Metafoor: Stel je voor dat de kwantumcomputer een huis is. De aanvallers kunnen niet naar binnen kijken, maar ze kunnen buiten staan en het elektriciteitsverbruik van het huis beluisteren. Elke keer dat er een deur opengaat of een lamp aangaat, vertoont de energiemeter een specifieke piek.
Wat ze deden: De aanvallers monitorden de stroomsporen (het elektrische energieverbruik van de besturingslasers). Omdat elke kwantumcircuit een uniek patroon van pulsen gebruikt, zag het stroomverbruik eruit als een unieke vingerafdruk.
Het Resultaat: Door de stroomvingerafdruk van het slachtoffer te vergelijken met een bibliotheek van bekende "dummy"-circuits, raadden de aanvallers succesvol de exacte structuur van het kwantummodel van het slachtoffer (hoeveel atomen ze gebruikten, hoeveel logische lagen, en hoe deze met elkaar verbonden waren). Ze hadden de code niet nodig om te zien; de elektriciteit vertelde hen alles.

Fase 2: De Vervalser (Adversarial Examples)

De Metafoor: Nu de aanvallers weten welk liedje het orkest speelt, willen ze het einde veranderen. In de digitale wereld creëerden ze "adversarial examples". Dit is alsof je een foto van een stopbord neemt en er een paar onzichtbare pixels aan toevoegt waardoor een zelfrijdende auto denkt dat het een snelheidsbord is.
Wat ze deden: Met behulp van een krachtige computersimulatie berekenden ze minuscule, bijna onzichtbare veranderingen in de invoergegevens die het kwantummodel zouden misleven om een fout te maken.
Het Probleem: Ze konden deze "onzichtbare pixels" niet direct naar de echte kwantumcomputer sturen. De echte hardware heeft namelijk fysieke beperkingen. Het is also wordt geprobeerd een noot in een live orkest te veranderen door tegen de violist te fluisteren; je kunt niet zomaar een nieuwe noot in de lucht typen.

Fase 3: De Saboteur (De Fysieke Crosstalk Aanval)

De Metafoor: Dit is het slimme gedeelte. De aanvallers realiseerden zich dat in deze specifieke kwantumcomputer, als je een laser op één atoom schijnt, het licht iets "overstroomt" en zijn buurman een zetje geeft. Dit wordt crosstalk genoemd. Het is alsof je op een trommel slaat en de trilling door de vloer reist, waardoor de trommel ernaast ook een beetje gaat wiebelen.
Wat ze deden:
1. Ze gebruikten de informatie uit Fase 1 om precies te weten wanneer de "muziek" van het slachtoffer werd gespeeld.
2. Ze gebruikten de wiskunde uit Fase 2 om te weten wat voor soort zetje nodig was om het model te misleiden.
3. Ze draaiden hun eigen "verstorende" lasers op de atomen naast de atomen van het slachtoffer op exact het juiste moment.
4. Het "overstromende" licht van hun lasers gaf de atomen van het slachtoffer net genoeg een zetje om de "onzichtbare pixels" die ze eerder hadden berekend, na te bootsen.
Het Resultaat: De kwantumcomputer van het slachtoffer verwerkte de gegevens, maar door de fysieke duwtjes van de buren raakte de computer in de war en gaf een foutief antwoord.

3. De Uitkomst

De onderzoekers bewezen dat zij konden:

Spioneren op de structuur van de computer door enkel naar het stroomverbruik te luisteren.
Berekenen hoe ze de computer konden misleiden.
Deze truc fysiek uitvoeren door de eigen fysieke gebreken van de computer (crosstalk) tegen de computer te gebruiken.

Toen ze dit op echte hardware testten, werkte de aanval. Het kwantummodel, dat normaal gesproken correct was, begon fouten te maken door de subtiele fysieke duwtjes van de "buur"-atomen.

Waarom is dit belangrijk?

De paper concludeert dat we kwantumbeveiliging niet geïsoleerd kunnen bekijken. We kunnen niet alleen bezorgd zijn over "slechte code" of "slechte wiskunde". We moeten ook rekening houden met hoe de fysieke hardware zich gedraagt, hoe informatie lekt via elektriciteit, en hoe gebruikers die dezelfde machine delen, onbedoeld (of opzettelijk) elkaars resultaten kunnen beïnvloeden.

Kortom: De paper laat zien dat als je een kwantumcomputer deelt met een vreemde, diegene naar jouw elektriciteitsverbruik kan luisteren om je geheimen te ontdekken, en vervolgens de fysieke trillingen van hun eigen werk kan gebruiken om jouw resultaten te misleiden. Het is een herinnering dat in de kwantumwereld de fysieke hardware en de digitale code diep met elkaar verweven zijn.

Technisch overzicht: End-to-end multi-stage kill-chain aanval op Quantum Neural Networks

Probleemstelling

De implementatie van Quantum Machine Learning (QML) op echte Quantum Processing Units (QPU's) vergroot het aanvalsoppervlak voorbij geïdealiseerde simulaties. Terwijl de bestaande literatuur individuele aanvalsvectoren — zoals side-channel aanvallen, crosstalk en adversarial examples — in isolatie heeft onderzocht, ontbreekt het aan een begrip van hoe deze vectoren gecombineerd kunnen worden tot een coherente, multi-stage aanvalscampagne. Huidige beveiligingsanalyses slagen er vaak niet in de afhankelijkheden tussen hardware-niveau zwakheden (bijv. side-channel lekkage, door crosstalk veroorzaakte fouten) en algoritmische manipulaties (bijv. adversarial perturbaties) in praktische, multi-tenant cloudomgevingen te vatten. Dit artikel adresseert dit gat door een end-to-end "kill-chain" aanval te demonstreren die reconnaissance, modelinferentie en fysieke hardwaremanipulatie koppelt om een Quantum Neural Network (QNN) te compromitteren.

Methodologie

De auteurs stellen een gestructureerde, vijf-fasen aanvalspipeline voor, aangepast van klassieke IT-beveiligingsframeworks (specifiek MITRE ATT&CK en de Lockheed Martin Cyber Kill Chain) naar de QML-context. De methodologie werd uitgevoerd op een trapped-ion quantumcomputer (AQT Ibex), met aanvullende experimenten op superconducting hardware die in de appendix worden toegelicht.

1. Reconnaissance (Side-Channel Analyse)

De eerste fase omvat het afleiden van de structurele parameters van de slachtoffer-QNN zonder directe toegang tot de modelgewichten.

Techniek: De aanvaller legt power traces (vermogensprofielen) vast van de besturings-elektronica tijdens de uitvoering van het slachtoffer-circuit.
Proces: Deze traces worden vergeleken met een bibliotheek van 24 benchmark-circuits met variërende qubit-aantallen (4 vs. 8), laag-dieptes (2, 4, 6, 8) en entanglement-patronen.
Mechanisme: Door kandidaten te filteren op basis van de totale executieduur en de Euclidische afstand ( $L_2$ -norm) tussen het vermogensprofiel van het slachtoffer en de benchmarks te berekenen, identificeert de aanvaller de exacte circuitarchitectuur (qubit-aantal, diepte en entanglement-structuur).

2. Adversarial Example Generatie

Zodra de architectuur bekend is, genereert de aanvaller adversarial examples.

Restrictie: De aanval wordt beperkt door de fysieke limieten van de AQT trapped-ion hardware. Crosstalk op dit platform wordt primair geïnduceerd door single-qubit rotatie-gates. Virtuele $R_Z$ gates produceren geen fysieke pulsen en genereren dus geen crosstalk.
Implementatie: De auteurs maken gebruik van Projected Gradient Descent (PGD) om adversarial inputs te genereren. Cruciaal is dat zij een masker toepassen dat de perturbaties beperkt tot enkel de input features die gecodeerd zijn via $R_Y$ rotaties. Dit zorgt ervoor dat de resulterende adversarial perturbatie fysiek realiseerbaar is via crosstalk.

3. Fysieke Aanval (Crosstalk Injectie)

De laatste fase vertaalt de abstracte adversarial perturbatie naar een fysieke hardware-aanval.

Mechanisme: De aanvaller plant de gelijktijdige uitvoering van hun eigen circuit op naburige qubits. Door specifieke $R_Y$ rotatie gates toe te passen op deze buren op precieze tijdstippen (bepaald tijdens de reconnaissance), induceren zij crosstalk op de qubits van het slachtoffer.
Doel: De geïnduceerde crosstalk creëert een effectieve rotatiehoek op de qubits van het slachtoffer die de wiskundig berekende adversarial perturbatie benadert, waardoor het model van het slachtoffer wordt gemanipuleerd zonder de data of de modelparameters te wijzigen.

Belangrijkste Bijdragen

Eerste End-to-End Demonstratie: Het artikel presenteert de eerste demonstratie van een multi-stage kill-chain aanval op een QNN die draait op echte trapped-ion hardware, waarbij side-channel reconnaissance succesvol wordt gekoppeld aan fysieke crosstalk-aanvallen.
Gestructureerde Taxonomie: Het introduceert een kill-chain taxonomie voor QML, die de afhankelijkheden tussen hardware-kwetsbaarheden (vermogensprofielen, crosstalk) en algoritmische aanvallen (adversarial examples) expliciet in kaart brengt.
Hardware-bewuste Adversarial Generatie: Het werk demonstreert een methode voor het genereren van adversarial examples die rekening houdt met specifieke hardware-restricties (bijv. het onvermogen om $R_Z$ -gecodeerde features te verstoren via crosstalk op AQT-devices).
Empirische Validatie: De studie valideert dat informatie die lekt via vermogensprofielen voldoende is om de circuitstructuur van het slachtoffer met een hoge mate van vertrouwen te reconstrueren, wat gerichte aanvallen mogelijk maakt.

Resultaten

Reconnaissance Succes: De op power traces gebaseerde reconnaissance identificeerde succesvol de architectuur van de slachtoffer-QNN (4 qubits, 4 lagen) door deze te matchen met benchmark-circuits. De timing- en amplitude-signatures boden een unieke vingerafdruk voor de circuitstructuur.
Adversarial Kwetsbaarheid: Met behulp van PGD vonden de auteurs dat 840 van de 1.000 trainingssamples verkeerd geclassificeerd konden worden met een perturbatie-budget ( $\epsilon$ ) van $\le 1.0$ . Onder de invloed van de adversarial perturbatie stortte de classificatie-accuratesse van de QNN in van 92,4% naar 1,07%.
Effectiviteit van Crosstalk: Wanneer 50 samples die vatbaar zijn voor adversarial aanvallen (geïdentificeerd via simulatie) werden uitgevoerd op de AQT Ibex hardware:
- De "schone" hardware accuratesse was 0,64.
- De "crosstalk" aanval (het induceren van perturbaties via naburige rotaties) resulteerde in een accuratesse van 0,68.
- Hoewel de daling in accuratesse minder dramatisch was dan in de simulatie, toonde de Mean Absolute Error (MAE) analyse aan dat het door crosstalk geïnduceerde hardwaregedrag ( $hw\_crosstalk$ ) significant dichter bij het adversarial hardwaregedrag ( $hw\_adv$ ) lag dan het schone hardwaregedrag. Specifiek was de MAE tussen $hw\_adv$ en $hw\_crosstalk$ 0,1236, de laagste van alle hardware-naar-hardware vergelijkingen, wat bevestigt dat de fysieke crosstalk de beoogde adversarial perturbatie succesvol benaderde.

Betekenis en Claims

Het artikel claimt dat de primaire betekenis ligt in het feit dat QML-beveiliging niet in isolatie kan worden geanalyseerd. De bevindingen benadrukken dat:

Interafhankelijkheid van Dreigingen: Side-channel informatie (vermogensprofielen) is niet louter een privacylek, maar een cruciale facilitator voor daaropvolgende, meer destructieve aanvallen (crosstalk-gebaseerde adversarial manipulatie).
Fysieke Realiseerbaarheid: Adversarial examples zijn niet slechts theoretische constructen; ze kunnen fysiek gerealiseerd worden op NISQ-devices door hardware-geïnduceerde ruis (crosstalk) zonder de inputdata of het model te wijzigen.
Systeem-niveau Defensie: Effectieve defensie vereist een systeem-brede aanpak. Het mitigeren van power side-channels (bijv. via decoy pulses of constant-power operatie) en het voorkomen van multi-tenant gedeelde executie (om crosstalk-injectie te blokkeren) zijn noodzakelijk om de kill-chain te doorbreken.

De auteurs benadrukken dat deze aanvallen opereren binnen de restricties van huidige Noisy Intermediate-Scale Quantum (NISQ) devices en niet vertrouwen op fault-tolerant aannames, wat de resultaten direct relevant maakt voor nabije QML-implementaties. Het werk dient als een waarschuwing voor QaaS-providers en hardwarefabrikanten dat de huidige isolatie- en ruismodellen onvoldoende zijn tegen gecoördineerde, multi-stage tegenstanders.