Resumo Técnico: Ameaças de Backdoor em Circuitos Quânticos Variacionais

Declaração do Problema

Os Algoritmos Quânticos Variacionais (VQAs) representam um paradigma líder para alcançar vantagem quântica em dispositivos Quânticos de Escala Intermediária Ruidosa (NISQ). No entanto, a implantação prática de VQAs depende fortemente de Circuitos Quânticos Variacionais (VQCs) predeterminados e pré-treinados, frequentemente obtidos de terceiros ou repositórios compartilhados. Essa dependência introduz vulnerabilidades de segurança críticas, especificamente ataques de backdoor.

Diferentemente do aprendizado de máquina clássico, onde backdoors são frequentemente acionados por perturbações de entrada, os VQCs enfrentam ameaças únicas devido à sua natureza híbrida quântico-clássica, dependência de perfis específicos de ruído de hardware e à prevalência de estratégias de transferência de parâmetros. Esses ataques incorporam comportamentos maliciosos ocultos que permanecem dormentes sob condições normais de operação, mas ativam-se mediante gatilhos específicos, levando a resultados adversos, como rótulos de classificação incorretos, valores de objetivo manipulados em tarefas de otimização (por exemplo, VQE, QAOA) ou resultados de simulação científica distorcidos. A natureza furtiva desses ataques mina a confiança em modelos compartilhados e representa riscos significativos para aplicações críticas de segurança e ecossistemas quânticos colaborativos.

Metodologia e Taxonomia

Este artigo apresenta uma pesquisa estruturada e uma taxonomia de ameaças de backdoor em VQCs, categorizando ataques existentes e emergentes em três domínios primários com base no mecanismo de inserção e ativação:

1. Backdoors Semelhantes a Redes Neurais Clássicas (Envenenamento de Dados)

Esses ataques espelham estratégias clássicas de backdoor, onde adversários injetam amostras envenenadas com gatilhos de entrada específicos no conjunto de dados de treinamento.

• Mecanismo: O VQC é otimizado usando uma função de perda composta ($L_{VQC} = L_{benign} + \lambda L_{mal}$) para manter alto desempenho em dados limpos, enquanto produz saídas especificadas pelo atacante quando os gatilhos estão presentes.
• Limitações: Essas abordagens geralmente exigem altas taxas de envenenamento (5–10%), são limitadas principalmente a tarefas de classificação e carecem de design específico para quantum. São altamente frágeis; compilação, transpilação e ruído quântico frequentemente distorcem ou eliminam o gatilho, tornando o ataque ineficaz em ambientes NISQ do mundo real.

2. Backdoors Habilitados por Compilação

Esses ataques visam a camada de compilação quântica (por exemplo, cadeias de ferramentas Qiskit) em vez dos dados de treinamento.

• Mecanismo: Adversários manipulam o processo de compilação (transpilação, decomposição de portas, síntese) para injetar operações maliciosas ou alterar estruturas de circuito. Quadros notáveis incluem QTrojan (injetando portas ao redor de camadas de codificação), QuPT (aproveitando propriedades em nível de porta) e QDoor (explorando discrepâncias entre circuitos pré e pós-compilação).
• Características: Esses ataques oferecem alto sigilo porque a especificação de circuito de alto nível permanece inalterada, evadindo verificações pré-implantação. O backdoor é incorporado no circuito executável e pode ser acionado condicionalmente em tempo de execução ou permanecer sempre ativo. No entanto, sua eficácia está frequentemente vinculada a estratégias específicas de compilação e mapeamentos de hardware.

3. Backdoors Nativos Quânticos

Esses ataques exploram propriedades intrínsecas de sistemas quânticos, como paisagens de parâmetros, características de ruído e procedimentos de mitigação de erros.

• Mecanismo: Uma abordagem representativa envolve transferência de parâmetros acionada por ruído. Em vez de envenenamento de dados, adversários manipulam a inicialização de parâmetros ou configurações de treinamento para incorporar comportamento malicioso diretamente no espaço de parâmetros.
• Ativação: O backdoor é ativado apenas sob condições específicas dependentes de hardware, como perfis de ruído particulares, conectividade de qubits ou durante a execução de técnicas de mitigação de erros como Extrapolação de Ruído Zero (ZNE).
• Impacto: Ao perturbar parâmetros de circuito, o ataque pode enviesar o processo de extrapolação ZNE, levando a valores de objetivo distorcidos e resultados de otimização incorretos. Esses ataques são robustos contra compilação e transpilação porque o comportamento malicioso é codificado nos parâmetros e não na estrutura do circuito.

Contribuições Principais

O artigo sintetiza avanços recentes para fornecer uma visão abrangente do cenário de segurança para VQCs:

• Terminologia Formal: Os autores definem termos-chave incluindo VQC Benigno, VQC Backdooreado, Gatilho, Taxa de Sucesso do Ataque (ASR) e Sigilo, estabelecendo um vocabulário unificado para o campo.
• Modelagem de Ameaças: A pesquisa caracteriza ameaças em três dimensões: objetivos do atacante (comportamento incorreto furtivo), capacidades (controle sobre dados, compilação ou tempo de execução) e cenários (conjuntos de dados de terceiros, plataformas e modelos pré-treinados).
• Análise Crítica de Defesas: O artigo avalia estratégias atuais de detecção e defesa, destacando suas limitações:
  • QSentry: Um framework de detecção baseado em saída que agrupa estatísticas de medição. É eficaz para ataques acionados por entrada, mas falha contra ataques que preservam distribuições de saída ou visam objetivos de otimização.
  • TrojanNet: Um framework de detecção baseado em estrutura usando CNNs para identificar padrões anômalos de circuito. É ineficaz contra backdoors que preservam a topologia do circuito (por exemplo, manipulações em nível de parâmetro).
  • Limitação Geral: As defesas existentes dependem amplamente de assinaturas clássicas (gatilhos de entrada ou anomalias estruturais) e são insuficientes contra ameaças nativas quânticas que exploram ruído, paisagens de parâmetros ou mitigação de erros.

Resultados e Descobertas

A pesquisa revisa estudos representativos (resumidos na Tabela 1) demonstrando que:

• Ataques de envenenamento de dados podem alcançar alta ASR (>97%) em configurações controladas, mas sofrem de baixa robustez em fluxos de trabalho NISQ práticos devido à compilação e ruído.
• Ataques em nível de compilador contornam com sucesso defesas centradas em dados, mas são frequentemente restritos a fluxos de trabalho específicos e tarefas de classificação.
• Ataques nativos quânticos (por exemplo, aqueles que visam ZNE) representam um modelo de ameaça mais potente, capazes de manipular resultados de otimização em VQE e QAOA sem envenenamento de dados, enquanto permanecem robustos à compilação e furtivos sob validação padrão.

Significado e Direções Futuras

O artigo argumenta que, à medida que os VQAs avançam para implantação prática, a segurança deve evoluir de defesas inspiradas em clássicos para abordagens conscientes de quantum e em nível de sistema.

• Ameaças Emergentes: Espera-se que futuros ataques se tornem cada vez mais adaptativos, respondendo dinamicamente às condições de hardware (níveis de ruído, deriva de calibração) e visando toda a pilha híbrida quântico-clássica.
• Requisitos de Defesa: Defesas eficazes devem ir além de camadas de detecção isoladas. Os autores propõem um framework holístico incorporando análise multinível, incluindo inspeção de estrutura de circuito, auditoria do espaço de parâmetros e monitoramento de comportamento em tempo de execução sob diversas condições de ruído.
• Conclusão: Garantir a segurança de VQCs permanece um desafio de pesquisa aberto. O artigo enfatiza que proteger esses sistemas exige abordar a interação única entre algoritmos quânticos, processos de compilação e técnicas de mitigação de erros, em vez de depender exclusivamente de paradigmas tradicionais de segurança de aprendizado de máquina.