Resumo Técnico: Aprendizado Federado Quântico Resiste a Backdoors em Nível de Circuito?

Declaração do Problema

O Aprendizado Federado Quântico (QFL) combina a natureza de preservação de privacidade do Aprendizado Federado (FL) com as vantagens computacionais dos Circuitos Quânticos Parametrizados (PQCs). Embora o FL seja conhecido por ser vulnerável a clientes maliciosos injetando backdoors, o QFL introduz uma nova superfície de ataque: a própria circuitaria quântica. Pesquisas existentes não analisaram de forma abrangente como clientes maliciosos podem explorar mecanismos específicos quânticos (como superposição, emaranhamento e estatísticas de medição) para lançar ataques de backdoor furtivos. A questão central abordada é se o QFL pode resistir a ataques de backdoor em nível de circuito propostos por clientes maliciosos que operam dentro das restrições de fidelidade quântica e otimização descentralizada.

Metodologia: O Modelo CULT

Os autores propõem um novo modelo de ameaça denominado Ameaça de Backdoor em Nível de Circuito (CULT). Este modelo formaliza quatro vetores de ataque distintos e furtivos que exploram tanto a fase durante o treinamento (execução do circuito) quanto a fase pós-treinamento (transmissão de atualizações) do QFL.

1. Superfícies de Ataque

O modelo CULT opera em duas superfícies:

• Superfície S1 (Durante o Treinamento/Nível de Circuito): Clientes maliciosos substituem a camada quântica variacional benigna por um circuito de ataque específico durante rodadas de treinamento local com uma certa probabilidade ($\rho$). Eles também escalonam a função de perda em rodadas envenenadas para amplificar o sinal do gradiente.
• Superfície S2 (Pós-Treinamento/Construção de Atualização): Após a otimização local, clientes maliciosos transformam suas atualizações brutas antes da transmissão. Eles utilizam um histórico de atualizações semelhantes às benignas para criar deltas que permanecem próximos à variedade de atualizações benignas, evadindo efetivamente defesas baseadas em norma e baseadas em agrupamento.

2. Quatro Ataques Propostos

O artigo introduz quatro ataques específicos em nível de circuito, todos projetados para permanecerem na proximidade de atualizações benignas:

1. Ataque de Oráculo de Fase de Grover: Aplica uma inversão de fase condicional a um estado da base computacional marcado ($|\omega\rangle$) usando um operador oráculo $O_\omega$. Isso altera os padrões de interferência em camadas posteriores do circuito, enviesando o vetor de características medido antes que a cabeça clássica o processe.
2. Ataque de Rotação de Pauli: Aplica rotações coerentes de produto tensorial de Pauli a um subconjunto selecionado de qubits. Isso desloca as estatísticas de medição enquanto mantém a proximidade geométrica da atualização em relação às atualizações benignas.
3. Ataque de Inversão de Bit: Inverte periodicamente um qubit designado em rodadas específicas para criar uma deriva estruturada de baixa frequência nas estatísticas de strings de bits, em vez de ruído aleatório.
4. Ataque de Inversão de Sinal por Retroação de Fase: Aplica uma fase de $\pi$ a um qubit medido, invertendo o sinal da expectativa de Pauli-Z correspondente. Isso induz efeitos sistemáticos de reversão de gradiente após a retropropagação.

3. Mecanismo de Construção de Atualização

Para garantir furtividade, o atacante constrói uma atualização forjada ($\tilde{\Delta}\theta$) por meio de:

• Ancoragem da atualização à referência benigna histórica mais próxima.
• Remoção dos principais componentes principais do histórico benigno para evitar direções dominantes aprendidas pelas defesas.
• Redimensionamento da atualização para corresponder à distribuição de norma estatística de clientes benignos.
• Aplicação de restrições de esparsidade para imitar estruturas de atualização benignas.

Análise Teórica

O artigo estabelece uma fundamentação teórica rigorosa demonstrando que, sob suposições padrão de suavidade ($L$-suavidade), os ataques CULT induzem uma perturbação limitada à trajetória do modelo global.

• Restrições de Furtividade: Os autores definem um conjunto de furtividade viável onde atualizações maliciosas são restringidas por um raio e um limite de similaridade de cosseno em relação a um centro robusto de deltas benignos.
• Degradação de Precisão: Uma condição suficiente é fornecida mostrando que, se o modelo possui uma massa não trivial de pontos próximos à fronteira de decisão, a deriva limitada induzida pelos ataques é suficiente para inverter previsões, causando uma queda mensurável na precisão. A análise prova que até mesmo um único cliente malicioso pode induzir um desvio significativo na trajetória global.

Resultados Experimentais

Experimentos foram conduzidos nos conjuntos de dados MNIST e CIFAR-10 usando Redes Neurais Quânticas Híbridas (QNNs) com 5 e 9 qubits, respectivamente, sob divisões de dados não-IID (Dirichlet $\alpha=0.9$).

Principais Descobertas:

1. Severidade dos Ataques: Mesmo um único cliente malicioso ($q=5\%$) causa degradação severa de precisão sob agregação FedAvg padrão.
   • No MNIST, o ataque de Grover reduziu a precisão de 92,65% para 40,95% (uma queda de ~52%).
   • No CIFAR-10, o ataque de Grover reduziu a precisão de 70,15% para 34,87%.
2. Falha das Defesas: Métodos de agregação robusta populares (Krum, Multi-Krum, FoolsGold, FLGuardian, Mud-HoG) reduzem a degradação em muitos regimes, mas falham em eliminar casos de falha no pior cenário.
   • Em cenários específicos, a precisão cai até 50% mesmo com defesas ativas.
   • Algumas defesas (por exemplo, Krum) sofrem de "subajuste", onde comprimem o desempenho mesmo na ausência de ataques, fazendo com que pareçam estáveis, mas na realidade reduzem a utilidade do modelo.
3. Furtividade: Os ataques mascaram efetivamente sua presença. Atualizações maliciosas permanecem próximas às normas benignas, permitindo que atacantes evitem a detecção por sistemas que dependem de limites de anomalia ou estatísticas simples de gradiente.
4. Não Monotonicidade: A degradação de precisão não escala monotonicamente com a fração de atacantes ($q$). Devido às divisões não-IID e à natureza estocástica das medições quânticas, a precisão pode flutuar, tornando heurísticas ingênuas (por exemplo, "a precisão deve cair à medida que os atacantes aumentam") inválidas.

Significado e Alegações

O artigo alega ser o primeiro trabalho a analisar e formalizar de forma abrangente ataques de backdoor em nível de circuito no contexto do QFL. Seu significado reside em:

• Preenchimento da Lacuna: Unifica o design de ataques e a análise de furtividade dentro do QFL, respeitando tanto as restrições de fidelidade quântica quanto a natureza descentralizada do FL.
• Desafio às Defesas Atuais: Os resultados demonstram que as técnicas atuais de agregação robusta são insuficientes contra ataques conscientes de quântica, pois atualizações maliciosas podem imitar a geometria benigna enquanto degradam severamente o desempenho do modelo.
• Validação Teórica: O trabalho fornece uma prova teórica de que atualizações limitadas e restritas por furtividade podem inverter previsões e degradar a precisão, indo além da observação empírica para garantias formais de vulnerabilidade.

Os autores concluem que defesas futuras devem ir além da detecção genérica de outliers e integrar sinais conscientes de quântica, como verificações de consistência em nível de circuito e restrições de estabilidade temporal sobre distribuições de medição, para contrariar efetivamente o modelo de ameaça CULT.