⚛️ quantum physics

An End-to-End Multi-Stage Kill-Chain Attack on Quantum Neural Networks: Demonstration on Trapped-Ion Hardware

Este artigo demonstra um ataque abrangente e de múltiplos estágios contra uma rede neural quântica executada em hardware de íons aprisionados, o qual integra reconhecimento de canal lateral, caracterização de crosstalk e geração de exemplos adversários para manipular fisicamente o dispositivo, ao mesmo tempo em que aborda as implicações para provedores de quantum-as-a-service e potenciais mitigações de hardware.

Autores originais: Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Publicado 2026-07-07

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine um computador quântico de alta tecnologia não como uma caixa preta mágica, mas como uma orquestra muito sensível e delicada tocando uma peça musical específica. Este artigo descreve como um "hacker" poderia se infiltrar nesta orquestra, ouvir os músicos, descobrir exatamente qual música eles estão tocando e, então, mexer sutilmente nos instrumentos para fazer a música soar errada — tudo isso sem que o regente (o proprietário do computador) perceba o que aconteceu.

Aqui está a história de seu ataque de "cadeia de ataque" (kill-chain), dividida em etapas simples:

1. A Configuração: A Orquestra Quântica

Os pesquisadores usaram um computador quântico real feito de íons aprisionados (átomos carregados minúsculos mantidos no lugar por lasers). Eles configuraram uma "Rede Neural Quântica" (QNN), que é como um aluno inteligente tentando aprender a reconhecer quatro símbolos diferentes (como um sinal de mais, um sinal de menos e dois colchetes).

2. O Plano de Ataque: Um Assalto de Três Estágios

Em vez de apenas tentar quebrar o computador com força bruta, os atacantes usaram uma estratégia de "cadeia de ataque". Pense nisso como um assaltante de banco que não apenas arromba a porta; primeiro, eles investigam o prédio, depois destrancam a fechadura e, finalmente, desativam o alarme.

Estágio 1: O Espreitador (Reconhecimento)

A Metáfora: Imagine que o computador quântico é uma casa. Os atacantes não conseguem ver o interior, mas podem ficar do lado de fora ouvindo o uso de eletricidade da casa. Cada vez que uma porta abre ou uma luz acende, o medidor de energia tem um pico em um padrão específico.
O que eles fizeram: Os atacantes monitoraram os traços de potência (a energia elétrica usada pelos lasers de controle). Como cada circuito quântico usa um padrão único de pulsos, o consumo de energia parecia uma impressão digital única.
O Resultado: Ao comparar a impressão digital de potência da vítima contra uma biblioteca de circuitos "fictícios" conhecidos, os atacantes conseguiram adivinhar a estrutura exata do modelo quântico da vítima (quantos átomos eles usaram, quantas camadas de lógica e como eles estavam conectados). Eles não precisaram ver o código; a eletricidade contou tudo.

Estágio 2: O Falsificador (Exemplos Adversários)

A Metáfora: Agora que os atacantes sabem a música que a orquestra está tocando, eles querem mudar o final. No mundo digital, eles criaram "exemplos adversários". Isso é como pegar a foto de uma placa de pare e adicionar alguns pixels invisíveis que fazem um carro autônomo pensar que é uma placa de limite de velocidade.
O que eles fizeram: Usando uma simulação de computador poderosa, eles calcularam mudanças minúsculas, quase invisíveis, nos dados de entrada que enganariam o modelo quântico para fazê-lo cometer um erro.
O Problema: Eles não podiam simplesmente enviar esses "pixels invisíveis" para o computador quântico real. O hardware real possui limites físicos. É como tentar mudar uma nota em uma orquestra ao vivo sussurrando para o violinista; você não pode simplesmente digitar uma nova nota no ar.

Estágio 3: O Sabotador (O Ataque de Crosstalk Físico)

A Metáfora: Esta é a parte inteligente. Os atacantes perceberam que, neste computador quântico específico, se você brilhar um laser em um átomo, a luz "transborda" ligeiramente e dá um toque no seu vizinho. Isso é chamado de crosstalk (diafonia). É como se você batesse em um tambor, a vibração viaja pelo chão e faz o tambor ao lado balançar levemente.
O que eles fizeram:
1. Eles usaram a informação do Estágio 1 para saber exatamente quando a "música" da vítima estava tocando.
2. Eles usaram a matemática do Estágio 2 para saber que tipo de toque era necessário para enganar o modelo.
3. Eles rodaram seus próprios lasers de "perturbação" nos átomos ao lado dos átomos da vítima no momento exato.
4. A luz de "transbordamento" de seus lasers deu um toque nos átomos da vítima apenas o suficiente para mimetizar os "pixels invisíveis" que calcularam anteriormente.
O Resultado: O computador quântico da vítima processou os dados, mas devido aos toques físicos dos vizinhos, ele ficou confuso e deu a resposta errada.

3. O Resultado

Os pesquisadores provaram que eles poderiam:

Espionar a estrutura do computador apenas ouvindo seu uso de energia.
Calcular uma maneira de enganá-lo.
Executar fisicamente esse truque usando as próprias falhas físicas do computador (crosstalk) contra ele.

Quando testaram isso em hardware real, o ataque funcionou. O modelo quântico, que geralmente estava correto, começou a cometer erros devido aos toques físicos sutis dos átomos "vizinhos".

Por que isso importa?

O artigo conclui que não podemos olhar para a segurança quântica de forma isolada. Não podemos nos preocupar apenas com "código ruim" ou "matemática ruim". Temos que nos preocupar com como o hardware físico se comporta, como ele vaza informações através da eletricidade e como usuários compartilhando a mesma máquina podem acidentalmente (ou intencionalmente) atrapalhar uns aos outros.

Em resumo: O artigo mostra que, se você compartilhar um computador quântico com um estranho, ele pode ser capaz de ouvir o uso de eletricidade para aprender seus segredos e, então, usar as vibrações físicas do próprio trabalho dele para enganar seus resultados. É um lembrete de que, no mundo quântico, o hardware físico e o código digital estão profundamente interligados.

Resumo Técnico: Ataque de Cadeia de Matança (Kill-Chain) de Múltiplas Etapas de Ponta a Ponta em Redes Neurais Quânticas

Declaração do Problema

A implementação de Aprendizado de Máquina Quântica (QML) em Unidades de Processamento Quântico (QPUs) reais expande a superfície de ataque para além das simulações idealizadas. Embora a literatura existente tenha examinado vetores de ataque individuais — como ataques de canal lateral, crosstalk e exemplos adversários — de forma isolada, há uma falta de compreensão sobre como esses vetores podem ser combinados em uma campanha de ataque de múltiplas etapas coerente. As análises de segurança atuais frequentemente falham em capturar as interdependências entre fraquezas ao nível do hardware (ex: vazamento de canal lateral, falhas induzidas por crosstalk) e manipulações algorítmicas (ex: perturbações adversárias) em ambientes de nuvem multi-inquilino práticos. Este artigo aborda essa lacuna demonstrando um ataque de "cadeia de matança" (kill-chain) de ponta a ponta que vincula reconhecimento, inferência de modelo e manipulação física de hardware para comprometer uma Rede Neural Quântica (QNN).

Metodologia

Os autores propõem um pipeline de ataque estruturado de cinco estágios, adaptado de frameworks de segurança de TI clássicos (especificamente o MITRE ATT&CK e o Lockheed Martin Cyber Kill Chain) para o contexto de QML. A metodologia foi executada em um computador quântico de íons aprisionados (AQT Ibex), com experimentos suplementares em hardware supercondutor detalhados no apêndice.

1. Reconhecimento (Análise de Canal Lateral)

O primeiro estágio envolve a inferência dos parâmetros estruturais da QNN da vítima sem acesso direto aos pesos do modelo.

Técnica: O atacante captura traços de potência da eletrônica de controle durante a execução do circuito da vítima.
Processo: Esses traços são comparados contra uma biblioteca de 24 circuitos de referência com variados números de qubits (4 vs. 8), profundidades de camada (2, 4, 6, 8) e padrões de emaranhamento.
Mecanismo: Ao filtrar candidatos com base na duração total de execução e calcular a distância euclidiana ( $L_2$ -norm) entre o perfil de potência da vítima e os benchmarks, o atacante identifica a arquitetura exata do circuito (número de qubits, profundidade e estrutura de emaranhamento).

2. Geração de Exemplos Adversários

Uma vez conhecida a arquitetura, o atacante gera exemplos adversários.

Restrição: O ataque é limitado pelas limitações físicas do hardware de íons aprisionados AQT. O crosstalk neste dispositivo é induzido primariamente por portas de rotação de qubit único. Portas $R_Z$ virtuais não produzem pulsos físicos e, portanto, não geram crosstalk.
Implementação: Os autores empregam o Gradiente Descendente Projetado (PGD) para gerar exemplos adversários. Crucialmente, eles aplicam uma máscara que restringe as perturções apenas às características de entrada codificadas via rotações $R_Y$ . Isso garante que a perturbação adversária resultante seja fisicamente realizável via crosstalk.

3. Ataque Físico (Injeção de Crosstalk)

O estágio final traduz a perturbação adversária abstrata em um ataque físico de hardware.

Mecanismo: O atacante agenda a execução simultânea de seu próprio circuito em qubits vizinhos. Ao aplicar portas de rotação $R_Y$ específicas a esses vizinhos em tempos precisos (determinados durante o reconhecimento), eles induzem crosstalk nos qubits da vítima.
Objetivo: O crosstalk induzido cria um ângulo de rotação efetivo nos qubits da vítima que aproxima a perturbação adversária matematicamente calculada, manipulando assim a entrada do modelo da vítima sem modificar os dados ou os parâmetros do modelo.

Principais Contribuições

Primeira Demonstração de Ponta a Ponta: O artigo apresenta a primeira demonstração de um ataque de cadeia de matança de múltiplas etapas em uma QNN rodando em hardware real de íons aprisionados, vinculando com sucesso o reconhecimento por canal lateral ao ataque físico de crosstalk.
Taxonomia Estruturada: Introduz uma taxonomia de kill-chain para QML, mapeando explicitamente as interdependências entre vulnerabilidades de hardware (traços de potência, crosstalk) e ataques algorítmicos (exemplos adversários).
Geração Adversária Consciente do Hardware: O trabalho demonstra um método para gerar exemplos adversários que respeitam restrições específicas de hardware (ex: a incapacidade de perturbar características codificadas por $R_Z$ via crosstalk em dispositivos AQT).
Validação Empírica: O estudo valida que a informação vazada via traços de potência é suficiente para reconstruir a estrutura do circuito da vítima com alta confiança, permitindo ataques direcionados.

Resultados

Sucesso do Reconhecimento: O reconhecimento baseado em traços de potência identificou com sucesso a arquitetura da QNN da vítima (4 qubits, 4 camadas) ao compará-la com circuitos de referência. As assinaturas de tempo e amplitude forneceram uma impressão digital única para a estrutura do circuito.
Vulnerabilidade Adversária: Usando PGD, os autores descobriram que 840 de 1.000 amostras de treinamento poderiam ser classificadas incorretamente com um orçamento de perturbação ( $\epsilon$ ) $\le 1.0$ . Sob perturbação adversária, a precisão de classificação da QNN colapsou de 92,4% para 1,07%.
Eficácia do Crosstalk: Quando 50 amostras suscetíveis a ataques adversários (identificadas via simulação) foram executadas no hardware AQT Ibex:
- A precisão do hardware "limpo" foi de 0,64.
- O ataque de "crosstalk" (induzindo perturbações via rotações de vizinhos) resultou em uma precisão de 0,68.
- Embora a queda de precisão tenha sido menos dramática do que na simulação, a análise do Erro Médio Absoluto (MAE) mostrou que o comportamento de hardware induzido por crosstalk ( $hw\_crosstalk$ ) foi significativamente mais próximo do comportamento de hardware adversário ( $hw\_adv$ ) do que o comportamento do hardware limpo. Especificamente, o MAE entre $hw\_adv$ e $hw\_crosstalk$ foi de 0,1236, o menor entre todas as comparações de hardware-para-hardware, confirmando que o crosstalk físico aproximou com sucesso a perturbação adversária pretendida.

Significância e Alegações

O artigo alega que sua principal significância reside em demonstrar que a segurança de QML não pode ser analisada isoladamente. As descobertas destacam que:

Interdependência de Ameaças: Informações de canal lateral (traços de potência) não são meramente um vazamento de privacidade, mas um facilitador crítico para ataques subsequentes mais destrutivos (manipulação adversária baseada em crosstalk).
Realizabilidade Física: Exemplos adversários não são apenas construtos teóricos; eles podem ser realizados fisicamente em dispositivos NISQ através de ruído induzido pelo hardware (crosstalk) sem modificar os dados de entrada ou o modelo.
Defesa em Nível de Sistema: Uma defesa eficaz requer uma abordagem de nível de sistema. Mitigar canais laterais de potência (ex: via pulsos de decerto ou operação de potência constante) e prevenir a execução compartilhada de múltiplos inquilos para bloquear a injeção de crosstalk são necessários para quebrar a cadeia de matança.

Os autores enfatizam que esses ataques operam dentro das restrições dos dispositivos NISQ atuais e não dependem de suposições de tolerância a falhas, tornando os resultados imediatamente relevantes para implantações de QML de curto prazo. O trabalho serve como um alerta para provedores de QaaS e fabricantes de hardware de que os modelos atuais de isolamento e ruído são insuficientes contra adversários coordenados de múltiplas etapas.