When cheap gradients fail: the measurement cost of attacking quantum classifiers

Technische Samenvatting: Wanneer Goedkope Gradiënten Falen: De Meetkosten van het Aanvallen van Kwantumclassificaties

Probleemstelling
Adversariële perturbaties vormen een significante bedreiging voor machine learning-classificatoren, inclusief Variational Quantum Classifiers (VQCs). Hoewel bestaande verdedigingen voor Quantum Machine Learning (QML) vaak steunen op dynamische garanties (bijv. unitariteit, operator scrambling) of empirische observaties van door ruis veroorzaakte robuustheid, gaan deze analyses doorgaans uit van de toegang van een aanvaller tot exacte verwachtingswaarden. In de werkelijkheid verbiedt de kwantummechanica de kosten van nul voor gradiëntberekening. Elke observeerbare moet worden gereconstrueerd via eindige metingen, wat introduceert: "shot noise" (schotruis).

Dit artikel onderzoekt de theoretische fysieke meetkosten die nodig zijn voor een white-box aanvaller om gradiëntgebaseerde aanvallen uit te voeren op QML-classificatoren. Specifiek behandelt het de asymmetrie waarbij een verdediger de schotkosten amorteert over de training, terwijl een aanvaller bij elke gradiëntquery tijdens inferentie een nieuwe, dimensie-afhankelijke meetkost moet betalen. De auteurs dagen het "goedkope-gradiëntprincipe" van klassieke automatische differentiatie uit, dat stelt dat de kosten van gradiëntberekening begrensd zijn door een kleine constante ten opzichte van een forward pass, ongeacht de inputdimensie.

Methodologie
De auteurs vestigen een theoretisch kader dat de statistiek van eindige schotmetingen koppelt aan de onzekerheid in gradiëntschatting en de effectiviteit van aanvallen.

1. Bedreigingsmodel: De studie richt zich op test-tijd, white-box evasie-aanvallen op getrainde QML-classificatoren. De aanvaller kent de architectuur en parameters ($\theta$), maar moet de input-gradiënt $\nabla_x L$ schatten via kwantummetingen. De hulpbron van de aanvaller is het totale schotbudget $R$ (totale aantal circuit-executies).
2. Gradiëntschatting: De analyse maakt gebruik van de Parameter-Shift Rule (PSR), een onbevooroordeelde estimator voor gradiënten. Onder PSR vereist elke gradiëntcomponent twee verschoven circuit-evaluaties. De variantie van deze schattingen wordt beheerst door de kwantum Cramér–Rao-bound, die schaalt als $\sigma^2/s$, waarbij $s$ het aantal schoten per component is.
3. Theoretische Afleiding:
   • De auteurs leiden de schaling af van het benodigde schotbudget $R$ om een constante aanvalssuccesratio of loss-surplus te behouden.
   • Ze analyseren single-step aanvallen (bijv. FGSM) onder aannames van lokale lineariteit, i.i.d. Gaussische ruis en kleine ruisregimes.
   • Ze breiden de analyse uit naar iteratieve aanvallen (bijv. Carlini-Wagner) door de finite-shot optimalisatie te mappen naar Stochastic Gradient Langevin Dynamics (SGLD), waarbij het aantal schoten wordt behandeld als een inverse temperatuurparameter.
   • Ze maken onderscheid tussen de "geometrische vloer" (de kosten gedicteerd door louter schotruis-geometrie) en de "gerealiseerde kosten" (die de afname van gradiëntnormen in diepe, expressieve circuits omvatten).
4. Empirische Validatie:
   • Simulatie: Experimenten werden uitgevoerd op de MNIST- en Fashion-MNIST-datasets met inputdimensies tot $d=784$ ($q=10$ qubits). De studie varieerde de circuitdiepte, dimensie en schotbudgetten om de aanvalssuccesratio's en loss-surplussen te meten.
   • Hardware: Een subset van de experimenten ($d=12$, 4-qubit circuits) werd uitgevoerd op de IBM ibm_boston processor om de schalingswetten te valideren tegen reële device-ruis en te vergelijken met ideale simulaties.
   • Baseline: Een gematchte klassieke Convolutionele Neurale Netwerk (CNN) baseline werd gebruikt om de klassieke gradiëntkostenratio te berekenen.

Belangrijkste Bijdragen

1. Schotruis Schalingswetten: Het artikel stelt vast dat het handhaven van een constante aanvals-effectiviteit in QML een meetbudget vereist dat polynomiaal schaalt met de inputdimensie $d$.
   • Voor single-step aanvallen met een vast perturbatiebudget $\epsilon$, schaalt het totale schotbudget als $R = \Theta(d^2)$.
   • Onder norm-concentratie schaling ($\epsilon \propto \sqrt{d}$), schaalt het budget als $R = \Theta(d^{5/2})$.
   • Voor expressieve, diepe circuits waar gradiëntnormen afnemen met de dimensie (barren plateau signatuur), groeit de gerealiseerde kosten zelfs nog sneller, empirisch als $R \approx \Theta(d^3)$.
2. Falen van het Goedkope-Gradiëntprincipe: De auteurs demonstreren dat de kwantum gradiëntkostenratio (de kosten van een gradiënt in eenheden van een forward pass) polynomiaal groeit met $d$ (empirisch $\Theta(d^{3.00})$), terwijl de klassieke ratio constant blijft ($\approx 5$). Deze divergentie betekent dat de relatieve kosten voor het aanvallen van een kwantummodel drastisch toenemen naarmate het model schaalt.
3. Iteratieve Aanval Analyse: Door iteratieve aanvallen te kaderen als SGLD, laat het artikel zien dat de convergentietheorie voor eindige schoten geen garantie biedt dat een aanvaller de single-step schalingswetten kan ontwijken. Hoewel er een "sweet spot" bestaat in schotallocatie (waar matige ruis helpt bij het ontsnappen aan lokale minima), groeit het budget dat nodig is om de exact-gradiënt prestatievloer te bereiken nog steeds snel met de dimensie.
4. Hardware Validatie: Experimenten op een 156-qubit IBM processor bevestigden dat het shot-noise robuustheidseffect standhoudt op echte hardware. De device-aanval volgde de ideale simulatie binnen enkele procenten, wat valideert dat het defensieve gevolg intrinsiek is aan de eindige meting en geen artefact is van de simulatie.

Resultaten

• Schalingsexponenten: Simulaties tot $d=784$ valideerden de theoretische structuur.
  • De parameter-vrije geometrische baseline (uitgaande van stabiele gradiëntnormen) volgt $d^{3/2}$ per dimensie ($d^{5/2}$ totaal).
  • De geteste diepe circuits, die gradiëntnorm-afname vertonen ($\|\nabla L\| \propto d^{-0.73}$), realiseerden een totale budgetschaling van $d^{3.00}$ (MNIST) en $d^{3.07}$ (Fashion-MNIST).
  • Wanneer de gemeten gradiëntnorm terug in de kosten wordt gevoegd, herstelt de data de $d^{3/2}$ geometrische vloer, wat bevestigt dat de excessieve schaling wordt gedreven door de gradiënt-afname van het model, en niet door de ruis-geometrie zelf.
• Praktische Kosten: Voor een $d=784$ MNIST-classificator vereist het maken van een enkel adversarieel voorbeeld ongeveer $5 \times 10^8$ schoten. Uitgaande van een uitvoeringstijd van 100 $\mu$s per schot, komt dit neer op ~15 uur sequentiële device-tijd per sample. Een volledige dataset-aanval zou ~17 jaar continue device-tijd vereisen.
• Klassieke Vergelijking: De gematchte klassieke baseline vertoonde een dimensie-onafhankelijke gradiëntkostenratio ($\rho \approx 5$), wat het scherpe contrast benadrukt met de kwantumcasus waar de ratio divergeert als $d^{3.00}$.

Betekenis en Claims
Het artikel claimt dat eindige kwantummetingsstatistieken fungeren als een "ingebouwde verdediging" tegen gradiëntgebaseerde aanvallen, maar alleen onder specifieke condities:

1. Klassieke Hardheid: Het defensieve gevolg werkt precies wanneer de forward-map van het kwantummodel klassiek moeilijk te simuleren is. In dit regime kan een white-box aanvaller geen gebruik maken van de "simuleer-en-backpropageer" shortcut en is hij gedwongen de meetkosten te betalen.
2. Intrinsieke Kosten: In tegen tegenstelling tot algoritmische obscuratie of randomized smoothing, is deze verdediging intrinsiek aan de fysica van kwantummeting (Born-regel) en kan deze niet worden uitgeschakeld zonder het schotbudget te verhogen.
3. Schaalbaarheid: De kosten voor het extraheren van gradiënten divergeren polynomiaal naarmate het model schaalt. Dit suggereert dat, naarmate QML-modellen bewegen naar het "kwantumvoordeel"-regime (grote $d$, diepe circuits), de hulpbron-asymmetrie tussen verdediger en aanvaller een fundamentele barrière vormt voor effectieve gradiëntgebaseerde aanvallen.

De auteurs blijven bescheiden en merken op dat hun experimenten op kleine systemen ($q \le 10$) aan de "tractabele" kant van de klassiek-harde grens liggen. Ze beweren niet dat deze resultaten een ingezette verdediging vormen bij de huidige schalen, maar stellen eerder de schalingswet vast die de kosten van de aanvaller karakteriseert zodra de grens van klassieke simuleerbaarheid wordt overschreden. Ze merken ook op dat gradiënt-vrije aanvallen (bijv. transfer-aanvallen) een apart bedreigingsmodel zijn dat niet volledig door deze grenzen wordt behandeld.