When cheap gradients fail: the measurement cost of attacking quantum classifiers

Resumo Técnico: Quando Gradientes Baratos Falham: O Custo de Medição para Atacar Classificadores Quânticos

Declaração do Problema
Perturbações adversárias representam uma ameaça significativa aos classificadores de aprendizado de máquina, incluindo Classificadores Quânticos Variacionais (VQCs). Embora as defesas existentes para Aprendizado de Máquina Quântico (QML) frequentemente dependam de garantias dinâmicas (ex: unitariedade, espalhamento de operador) ou observações empíricas de robustez induzida por ruído, essas análises tipicamente assumem que o atacante tem acesso a valores de esperança exatos. Na realidade, a mecânica quântica proíbe o cálculo de gradiente de custo zero. Cada observável deve ser reconstruído a partir de medições finitas, introduzindo o "ruído de shots" (shot noise).

Este artigo investiga o custo físico de medição necessário para um adversário de caixa branca realizar ataques baseados em gradiente em classificadores de QML. Especificamente, aborda a assimetria onde um defensor amortiza os custos de shots durante o treinamento, enquanto um atacante deve pagar um custo de medição novo e dependente da dimensão para cada consulta de gradiente no tempo de inferência. Os autores desafiam o "princípio do gradiente barato" da diferenciação automática clássica, que postula que os custos de computação de gradiente são limitados por uma constante pequena em relação a uma passagem direta (forward pass), independentemente da dimensão de entrada.

Metodologia
Os autores estabelecem um arcabouço teórico vinculando estatísticas de medição de shots finitos à incerteza de estimativa de gradiente e eficácia de ataque.

1. Modelo de Ameaça: O estudo foca em ataques de evasão de caixa branca em tempo de teste contra classificadores de QML treinados. O adversário conhece a arquitetura e os parâmetros ($\theta$), mas deve estimar o gradiente de entrada $\nabla_x L$ via medições quânticas. O recurso do atacante é o orçamento total de shots $R$ (total de execuções de circuitos).
2. Estimativa de Gradiente: A análise utiliza a Regra de Deslocamento de Parâmetro (PSR), um estimador não enviesado para gradientes. Sob a PSR, cada componente de gradiente requer duas avaliações de circuito deslocado. A variância desses estimadores é governada pelo limite de Cramér–Rao quântico, escalando como $\sigma^2/s$, onde $s$ é o número de shots por componente.
3. Derivação Teórica:
   • Os autores derivam o escalonamento do orçamento de shots $R$ necessário para manter uma taxa de sucesso de ataque ou excedente de perda constantes.
   • Eles analisam ataques de etapa única (ex: FGSM) sob suposições de linearidade local, ruído Gaussiano i.i.d. e regimes de ruído pequeno.
   • Eles estendem a análise para ataques iterativos (ex: Carlini-Wagner) mapeando a otimização de shots finitos para a Dinâmica de Langevin de Gradiente Estocástico (SGLD), tratando o número de shots como um parâmetro de temperatura inversa.
   • Eles distinguem entre o "piso geométrico" (o custo ditado puramente pela geometria do ruído de shots) e o "custo realizado" (que inclui o decaimento das normas de gradiente em circuitos profundos e expressivos).
4. Validação Empírica:
   • Simulação: Experimentos foram conduzidos em conjuntos de dados MNIST e Fashion-MNIST com dimensões de entrada de até $d=784$ ($q=10$ qubits). O estudo variou a profundidade do circuito, dimensão e orçamentos de shots para medir taxas de sucesso de ataque e excedentes de perda.
   • Hardware: Um subconjunto de experimentos ($d=12$, circuitos de 4 qubits) foi realizado no processador IBM ibm_boston para validar as leis de escalonamento contra o ruído de um dispositivo real e comparar com simulações ideais.
   • Baseline: Um baseline clássico correspondente de Redes Neurais Convolucionais (CNN) foi utilizado para computar a razão de custo de gradiente clássico.

Principais Contribuições

1. Leis de Escalonamento de Ruído de Shots: O artigo estabelece que manter a eficácia de ataque constante em QML requer um orçamento de medição que escala polinomialmente com a dimensão de entrada $d$.
   • Para ataques de etapa única com um orçamento de perturbação fixo $\epsilon$, o orçamento total de shots escala como $R = \Theta(d^2)$.
   • Sob escalonamento de concentração de norma ($\epsilon \propto \sqrt{d}$), o orçamento escala como $R = \Theta(d^{5/2})$.
   • Para circuitos expressivos e profundos onde as normas de gradiente decaem com a dimensão (assinatura de platô estéril/barren plateau), o custo realizado cresce ainda mais rápido, empiricamente como $R \approx \Theta(d^3)$.
2. Falha do Princípio do Gradiente Barato: Os autores demonstram que a razão de custo de gradiente quântico (custo de um gradiente em unidades de uma passagem direta) cresce polinomialmente com $d$ (empiricamente $\Theta(d^{3.00})$), enquanto a razão clássica permanece constante ($\approx 5$). Essa divergência significa que o custo relativo para atacar um modelo quântico aumenta drasticamente conforme o modelo escala.
3. Análise de Ataque Iterativo: Ao enquadrar ataques iterativos como SGLD, o artigo mostra que a teoria de convergência de shots finitos não oferece garantia para o atacante escapar das leis de escalonamento de etapa única. Embora exista um "ponto ideal" (sweet spot) na alocação de shots (onde o ruído moderado auxilia na fuga de mínimos locais), o orçamento necessário para atingir o piso de desempenho do gradiente exato ainda cresce rapidamente com a dimensão.
4. Validação de Hardware: Experimentos em um processador IBM de 156 qubits confirmaram que o efeito de robustez ao ruído de shots persiste em hardware real. O ataque no dispositivo acompanhou a simulação ideal dentro de poucos pontos percentuais, validando que a consequência defensiva é intrínseca à medição finita e não um artefato de simulação.

Result resultados

• Expoentes de Escalonamento: Simulações até $d=784$ validaram a estrutura teórica.
  • O baseline geométrico livre de parâmetros (assumindo normas de gradiente estáveis) segue $d^{3/2}$ por dimensão ($d^{5/2}$ total).
  • Os circuitos profundos testados, exibindo decaimento da norma de gradiente ($\|\nabla L\| \propto d^{-0.73}$), realizaram um escalonamento de orçamento total de $d^{3.00}$ (MNIST) e $d^{3.07}$ (Fashion-MNIST).
  • Ao reincorporar a norma de gradiente medida de volta no custo, os dados recuperam o piso geométrico de $d^{3/2}$, confirmando que o excesso de escalonamento é impulsionado pelo decaimento do gradiente do modelo, não pela própria geometria do ruído.
• Custo Prático: Para um classificador MNIST de $d=784$, criar um único exemplo adversário requer aproximadamente $5 \times 10^8$ shots. Assumindo um tempo de execução de 100 $\mu$s por shot, isso equivale a ~15 horas de tempo sequencial de dispositivo por amostra. Um ataque a um conjunto de dados completo exigiria ~17 anos de tempo contínuo de dispositivo.
• Comparação Clássica: O baseline clássico correspondente exibiu uma razão de custo de gradiente independente da dimensão ($\rho \approx 5$), destacando o forte contraste com o caso quântico, onde a razão diverge como $d^{3.00}$.

Significância e Alegações
O artigo alega que as estatísticas de medição quântica finita atuam como uma "defesa integrada" contra ataques baseados em gradiente, mas apenas sob condições específicas:

1. Dificuldade Clássica: A consequência defensiva opera precisamente quando o mapa direto do modelo quântico é classicamente difícil de simular. Neste regime, um atacante de caixa branca não pode usar o atalho de "simular-e-retropropagar" e é forçado a pagar o custo de medição.
2. Custo Intrínseco: Diferente da ofuscação algorítmica ou suavização randomized, esta defesa é intrínseca à física da medição quântica (regra de Born) e não pode ser desligada sem aumentar o orçamento de shots.
3. Escalabilidade: O custo para extrair gradientes diverge polinomialmente conforme o modelo escala. Isso sugere que, à medida que os modelos de QML se movem em direção ao regime de "vantagem quântica" (grande $d$, circuitos profundos), a assimetria de recursos entre defensor e atacante torna-se uma barreira fundamental para ataques eficazes baseados em gradiente.

Os autores mantêm a modéstia, observando que seus experimentos em sistemas pequenos ($q \le 10$) estão no lado "tratável" da fronteira de simulabilidade clássica. Eles não alegam que estes resultados constituem uma defesa implantada nas escalas atuais, mas sim que estabelecem a lei de escalonamento que caracteriza o custo do atacante uma vez que a fronteira de simulabilidade clássica é cruzada. Eles também observam que ataques livres de gradiente (ex: ataques de transferência) são um modelo de ameaça separado não totalmente abordado por estes limites.