Resumo Técnico: QML-PipeGuard

Declaração do Problema

À medida que o Aprendizado de Máquina Quântico (QML) transita de protótipos de pesquisa para serviços em nuvem implantados em hardware da IBM, IonQ e Quantinuum, garantir a integridade da etapa de execução quântica tornou-se um desafio operacional crítico. Os métodos de verificação existentes abordam questões específicas e isoladas, como compensação de ruído no nível de pulsos, deriva na distribuição de entrada, robustez à perturbação de entrada ou autenticação de identidade do dispositivo. No entanto, eles falham em abordar uma questão unificada de integridade no nível do canal: O canal quântico declarado é realmente aquele que está sendo executado?

O artigo identifica duas ameaças distintas, mas estruturalmente semelhantes, à integridade do pipeline:

1. Deriva de Calibração Benigna: Hardware de Computação Quântica de Escala Intermediária Ruidosa (NISQ) sofre alterações naturais de calibração (mudanças na fidelidade das portas, flutuações no tempo de coerência, erros de leitura) entre recalibrações. Um pipeline pode comportar-se de maneira diferente ao longo do tempo, apesar de utilizar a mesma especificação de circuito.
2. Substituição Adversarial de Canal: Uma entidade que controla o ambiente de execução (por exemplo, um provedor de nuvem, um operador interno ou um atacante externo) pode substituir o canal quântico declarado $E_A$ por um canal substituto $E_B$. Este canal "sorrateiro" é projetado para passar em testes de verificação padrão (por exemplo, correspondendo decisões de classificação em um conjunto de teste ou concordando em subconjuntos de observáveis fracos como medições apenas $\{Z\}$), enquanto difere matematicamente em sua estrutura de emaranhamento ou distribuição de confiança em entradas de produção.

Os métodos atuais que dependem de subconjuntos de observáveis fracos perdem essas substituições porque o adversário pode preservar as marginais clássicas por construção. Não existe um quadro existente que cubra tanto a deriva benigna quanto a substituição adversarial sob um único contrato verificável em tempo de execução.

Metodologia: QML-PipeGuard

Os autores introduzem o QML-PipeGuard, um quadro baseado em contratos que caracteriza um pipeline de QML em tempo de execução por meio de sua impressão digital comportamental.

Conceitos Centrais

• Impressão Digital Comportamental: Definida como o vetor de valores esperados de observáveis sob uma família de medições estruturada tomograficamente $\mathcal{O}_A$ para um estado de entrada de referência $\rho$.
• Contrato de Observáveis: Uma especificação $\sigma_A = (H_{spec}, \mathcal{O}_A, \varepsilon_A, \tau_A)$ onde um canal candidato $E_B$ satisfaz o contrato se seus valores esperados de observáveis concordarem com o canal declarado $E_A$ dentro de uma tolerância calibrada $\varepsilon_A$:
  $$|\text{Tr}(O E_B(\rho)) - \text{Tr}(O E_A(\rho))| \leq \varepsilon_A \quad \forall O \in \mathcal{O}_A$$
• Operação em Duplo Modo: O quadro opera sob uma única maquinaria matemática com dois modos:
  1. Monitoramento Consciente de Deriva: Absorve desvios dentro de $\varepsilon_A$ como eventos de calibração benignos, registrando-os sem interromper a execução.
  2. Detecção Adversarial: Sinaliza desvios além de $\varepsilon_A$ em uma família de observáveis informacionalmente completa como violações de integridade, interrompendo o pipeline.

Quadro Teórico

O artigo desenvolve três camadas específicas de QML sobre uma fundação de subtipagem comportamental para software quântico:

1. Composição de Pipeline: Especializa a abstração de canal-como-objeto para a estrutura de codificador–ansatz–medição de modelos de QML (VQCs, QSVMs, QNNs). Introduz um modelo de ameaça onde substituições "sorrateiras" satisfazem a concordância de classificação e a concordância de observáveis fracos, mas violam o contrato completo.
2. Complexidade de Amostragem de Disparos Limitados: Deriva um limite de orçamento de medição (Teorema 4) que transforma o contrato em uma verificação operacionalmente executável sob ruído de disparos. Isso inclui uma constante de limite de quadro apertada $C = \sqrt{3}$ para a família de Pauli de um único qubit, derivada via Cauchy-Schwarz na decomposição de Bloch, que afina limites anteriores.
3. Decomposição de Tolerância: Introduz uma decomposição $\varepsilon_A = \varepsilon_{adv} + \varepsilon_{drift}$ para separar contribuições adversariais e de deriva natural, permitindo a visão em duplo modo.

Principais Contribuições

1. Quadro Unificado Baseado em Contratos: O primeiro quadro a abordar tanto a deriva de calibração benigna quanto a substituição adversarial de canal sob um único contrato verificável em tempo de execução para pipelines de QML de ponta a ponta.
2. Teorema de Detecção (Teorema 1): Prova que qualquer substituição "sorrateira" com uma separação de norma diamante não trivial $\delta$ violará o contrato em uma família de observáveis informacionalmente completa. A prova fornece uma constante de limite de quadro apertada $C = \sqrt{3}$ para famílias de Pauli de um único qubit, melhorando o trabalho concorrente por um fator de $\sqrt{2/3}$.
3. Limite de Complexidade de Amostragem (Teorema 4): Estabelece o orçamento de disparos necessário para "detecção informativa" (distinguir desvio real do canal do ruído de disparos). O limite escala como $O(k \log k / \gamma^2)$, onde $\gamma$ é a margem de detecção. Os autores demonstram que suas constantes mais apertadas e o refinamento de referência pré-calculada reduzem o orçamento de disparos necessário em aproximadamente 100 vezes em comparação com limites mais frouxos em trabalho concorrente.
4. Corolário de Deriva (Corolário 2): Formaliza a condição sob a qual a deriva de calibração é absorvida versus quando desencadeia uma interrupção de integridade, fornecendo um limite quantitativo sobre a variabilidade aceitável do hardware.
5. Validação de Hardware: Uma validação de ponta a ponta no processador IBM Heron r2 (ibm fez) usando um pipeline de Máquina de Vetores de Suporte Quântico (QSVM) de dois qubits.

Resultados Experimentais

O quadro foi validado em um pipeline de QSVM de dois qubits com três experimentos:

1. Detecção de Substituição Sorrateira: Um canal "sorrateiro" (idêntico ao canal honesto, mas com uma porta $S$ inserida antes da medição) foi testado.
   • Contrato Fraco ($\{Z_1Z_2\}$): O canal sorrateiro passou com um desvio de 0,001 (dentro do nível de ruído).
   • Contrato Completo (Família Local de Pauli): O canal sorrateiro foi detectado com um desvio máximo de 0,489 no observável $X_2$, aproximadamente 3,3 vezes a tolerância ($\varepsilon_A = 0,15$). A detecção ocorreu com uma ampla margem de segurança contra o ruído de disparos.
2. Validação de Complexidade de Amostragem: Usando um simulador ruidoso, os autores verificaram que o orçamento de disparos conservador ($N \approx 13.680$) derivado do Corolário 1 alcança uma Taxa de Verdadeiros Positivos (TPR) de 1,00 e uma Taxa de Falsos Positivos (FPR) de 0,00. Reduzir o orçamento por um fator de 10 fez com que a FPR disparasse para 0,15, demonstrando que o orçamento prescrito é o limiar para detecção informativa, não apenas sinalização nominal.
3. Observação de Deriva: A deriva natural do hardware observada em três pontos temporais em um único trabalho em lote resultou em uma magnitude de deriva típica $d_{typ}^{drift} = 0,067$. Isso estava bem dentro do intervalo de tolerância calibrado $[0,067, 0,289]$, confirmando que o quadro pode absorver deriva natural enquanto mantém a capacidade de detecção.

Significado e Alegações

O artigo posiciona o QML-PipeGuard como um passo fundamental em direção à maturidade operacional do QML, análogo à formalização da subtipagem comportamental na programação orientada a objetos clássica.

• Viabilidade Operacional: Os autores afirmam que esta é a primeira validação de hardware de um contrato de integridade de canal em duplo modo em um pipeline de QML de ponta a ponta (incluindo codificador, ansatz, medição, mapa de recursos de múltiplos qubits e amostragem de disparos limitados) em vez de em canais isolados.
• Complementaridade: O quadro não substitui ferramentas existentes (por exemplo, calibração no nível de pulsos, monitoramento de deriva de entrada ou impressão digital de dispositivo), mas preenche a lacuna de "integridade de execução no nível do canal" na pilha de confiança do QML. Ele fornece a camada de contrato em tempo de execução ausente na prática atual.
• Escalabilidade: O quadro foi projetado para estar disponível à medida que o QML escala para produção, abordando ameaças que estão presentes hoje (indústrias regulamentadas, serviços em nuvem, preocupações com reprodutibilidade) em vez de ataques futuros puramente especulativos.
• Limitações: Os autores observam explicitamente que o escopo atual de detecção depende de famílias locais de Pauli, que são informacionalmente completas para substituições de unitárias locais, mas podem perder substituições de portas de emaranhamento ou ruído correlacionado sem expandir a família de observáveis (o que aumenta os custos do orçamento de disparos). Eles também notam a suposição de um verificador confiável com acesso independente à medição.

O trabalho conclui que, embora o quadro seja um "primeiro passo", ele demonstra com sucesso que a integridade no nível do canal pode ser verificada em ambientes de hardware do mundo real com solidez formal e complexidade de amostragem prática.