Experimental robustness benchmarking of quantum neural networks on a superconducting quantum processor

本文提出了首个针对超导处理器上 20 量子比特量子神经网络的系统性实验鲁棒性基准，表明对抗训练显著增强了安全性，并揭示固有的量子噪声使这些模型相较于经典对应模型具有更优越的对抗鲁棒性。

要点

想象一下，你构建了一个非常智能、具有未来感的机器人大脑（即量子神经网络，或 QNN），它能够观察图片并判断图片中的字母是"Q"还是"T"。你想知道：这个机器人大脑有多“抗揍”？ 如果有人试图通过在图片上添加一个微小到几乎看不见的污点来欺骗它，它是否会感到困惑并给出错误的答案？

这篇论文就像是对该机器人大脑进行的一次压力测试。研究人员利用超冷计算机芯片（超导量子处理器）构建了该大脑的真实物理版本，并试图将其“攻破”。以下是他们发现的内容，以通俗易懂的方式解释：

1. “压力测试”的设置

将 QNN 想象成一名正在参加考试的学生。研究人员想要看看这名学生在失败之前能承受多少“噪声”或“欺骗”。

• 攻击方式：他们使用了一种称为“掩蔽攻击”的巧妙技巧。想象一下，你试图通过只改变图画中最重要的部分（例如"Q"的曲线）来欺骗学生，而保持其余部分不变。这比试图改变每一个像素要高效得多。
• 目标：他们想要找到机器人大脑从说“那是 Q"翻转为“那是 T"的确切临界点。这个点被称为鲁棒性边界。

2. 重大发现：理论与现实

在量子物理世界中，科学家们有数学公式来预测机器人大脑应该有多强。但直到目前，还没有人真正在实体机器上测试过这些公式是否成立。

• 结果：研究人员发现，他们的现实世界攻击与理论数学几乎完美匹配。差异微乎其微（约 0.003），这就像测量一栋大楼的高度，误差却小于人类头发的厚度。
• 意义：这证明了他们的“压力测试”方法完全有效。现在，他们可以信任这些工具来衡量量子人工智能的安全性。

3. “训练”带来的惊喜

就像人类学生一样，机器人大脑可以通过训练变得更“抗揍”。

• 方法：研究人员在训练期间向大脑展示了被“欺骗”过的图片示例。
• 结果：经过这种“对抗性训练”后，大脑变得更难被欺骗。它学会了忽略那些通常会让它困惑的微小污点。这就像通过向学生展示大量伪造证件的示例，教他们识别假身份证。

4. “量子噪声”护盾（最有趣的部分）

这里有一个转折。通常，在普通计算机中，“噪声”（静电干扰、故障、错误）是一件坏事。它会让情况变得更糟。

• 发现：研究人员发现，他们量子计算机内部的自然噪声实际上使机器人大脑比标准经典计算机（比如你笔记本电脑里的那台）在面对攻击时更安全。
• 类比：想象你试图在一个非常嘈杂、刮风的房间里向朋友耳语一个秘密。
  • 在安静的房间（经典计算机）里，一个微小、精准的耳语（攻击）可以被清晰地听到，并改变你朋友的看法。
  • 在嘈杂、刮风的房间（嘈杂的量子计算机）里，同样的微小耳语会被风吹散。风（量子噪声）就像一面护盾，模糊了攻击者使用的那些微小、精准的技巧。
  • 注意：风声大到足以掩盖这些技巧，但又不至于大到让朋友听不清主要信息（即实际图片）。

5. 他们未声称的内容

重要的是要坚守论文实际所说的内容：

• 他们没有声称这项技术已经准备好在今天保护你的银行账户或自动驾驶汽车。
• 他们没有声称量子计算机是无敌的。他们发现，虽然在此特定测试中它们比经典计算机更稳健，但如果攻击足够强大，它们仍然可能被欺骗。
• 他们没有声称这解决了所有安全问题。他们只是构建了第一个可靠的“尺子”，用来测量这些量子大脑有多强。

总结

研究人员构建了一个真实的量子计算机大脑，测试了它容易被欺骗的程度，并发现了两点主要内容：

1. 他们创造了一把完美的“尺子”来测试量子安全性。
2. 令人惊讶的是，量子机器固有的“静电干扰”和“故障”实际上充当了一种天然护盾，使得在此特定场景下，它们比普通计算机更难被欺骗。

这项工作是我们构建可信赖、不易被轻易愚弄的量子人工智能的第一步。

技术摘要

以下是论文《基于超导量子处理器的量子神经网络实验鲁棒性基准测试》的详细技术总结。

1. 问题陈述

量子机器学习（QML）模型，特别是量子神经网络（QNN），在理论上与其经典对应物一样，容易受到对抗性攻击。这些攻击涉及精心设计的、难以察觉的输入扰动，导致分类错误。虽然已有理论框架用于估算 QNN 的鲁棒性（例如基于保真度的界限），但在真实量子硬件上缺乏系统性的实验验证。

• 差距：现有文献缺乏适用于含噪声中等规模量子（NISQ）设备的硬件高效对抗攻击算法。此外，固有量子噪声对鲁棒性的影响以及对抗训练等防御策略的有效性，在物理实验中尚未得到充分量化。
• 挑战：由于需要重复电路评估（梯度估计），在量子硬件上生成对抗样本计算成本高昂，且容易受到硬件噪声的掩盖。

2. 方法论

作者提出了一个综合实验框架，利用 20 量子比特子集，在 72 量子比特超导处理器上对 QNN 鲁棒性进行基准测试。

A. 实验设置

• 硬件：一款具有 72 个量子比特和 126 个耦合器的频率可调翻转芯片超导量子处理器。
• QNN 架构：一个变分量子电路（VQC）分类器，包含：
  • 状态制备：将数据编码为量子态。
  • 变分电路：40 层 SU(2) 单量子比特旋转和最近邻受控-Z（CZ）纠缠门（共 181 个可训练参数）。
  • 测量：对输出量子比特进行 Pauli-Z 测量以确定分类概率。
• 数据集：
  1. EMNIST：手写字母"Q"和"T"（通过数据重加载编码的经典图像数据）。
  2. LCEI（线性簇激发识别）：一个合成量子数据集，用于区分“激发”和“非激发”的 20 量子比特簇态。

B. 提出的攻击算法：Mask-FGSM

为了克服 NISQ 设备上全梯度估计的高昂成本，作者开发了Mask-FGSM（掩蔽快速梯度符号法）。

• 机制：该算法不扰动所有输入特征，而是分析输入梯度以识别稀疏的“脆弱”特征子集（图像的像素，量子态的旋转角度）。
• 实现：构建一个二进制掩码 $M$，选择梯度幅度最高的前 $r$ 比例特征。仅对这些选定的坐标应用扰动：
  $$x' = x + \epsilon \cdot (M \odot \text{sign}(\nabla_x L))$$
• 优势：这将梯度估计的计算成本降低了 $1/r$ 倍，并减轻了噪声主导的梯度分量的影响，使得在硬件上进行批量攻击成为可能。

C. 鲁棒性指标

1. 鲁棒性界限：
   • **下界（$RLB$）**：利用态保真度（$F$）和预测概率（$p_1, p_2$）解析推导得出：$RLB = \frac{1}{2}(\sqrt{p_1} - \sqrt{p_2})^2$。
   • 上界（$RUB$）：通过迭代应用 Mask-FGSM 直到发生分类错误，在临界阈值处测量态保真度 $D(\rho, \sigma) = 1 - F(\rho, \sigma)$ 来经验提取。
2. 对抗鲁棒性得分（$R_{adv}$）：一个基于logit 敏感度（$S$）的定量指标。
   • 敏感度 $S = \Delta L / \hat{\epsilon}$，其中 $L$ 是源自期望值 $\langle \sigma_z \rangle$ 的“量子 logit"。
   • $R_{adv}$ 定义为整个数据集上敏感度镜像 sigmoid 函数的平均值。

D. 防御策略

• 对抗训练：使用包含 50% 干净样本和 50% 通过 Mask-FGSM 生成的对抗样本的数据集重新训练 QNN。该过程旨在正则化输入梯度，减少其与对抗扰动方向的对齐度。

3. 关键结果

A. 鲁棒性界限的验证

• 实验成功提取了 20 量子比特 QNN 的经验上界（$RUB$）。
• 紧密性：实验提取的 $RUB$与分析得出的$RLB$ 之间的差距极小：
  • EMNIST：$\Delta \approx 2.96 \times 10^{-3}$
  • LCEI：$\Delta \approx 3.25 \times 10^{-3}$
• 意义：这证实了 Mask-FGSM 攻击在识别脆弱子空间方面几乎是最佳的，并验证了基于保真度的理论界限在噪声硬件环境中的紧密性。

B. 对抗训练的有效性

• 对抗训练显著增强了鲁棒性。
  • EMNIST：鲁棒性得分从 $8.90 \times 10^{-3}$（干净）提升至 $0.330$（对抗）。
  • LCEI：鲁棒性得分从 $0.105$提升至$0.339$。
• 机制：输入梯度分析表明，对抗训练重新定向了梯度向量，降低了其与扰动方向（$\delta$）的余弦相似度。这充当了隐式正则化器，在保留关键特征区域的同时，降低了对针对性攻击的敏感度。

C. 量子与经典鲁棒性对比

• 惊人发现：在干净训练下，QNN 表现出比在相同 EMNIST 任务上具有相当参数数量和准确度的经典前馈神经网络（FNN）显著更高的对抗鲁棒性得分。
  • 在干净训练下，QNN 的鲁棒性得分比 FNN 高出64 倍以上。
• 原因：作者将此归因于噪声诱导的梯度衰减。固有硬件噪声（退相干、$T_1$、$T_2$）充当了天然的“低通滤波器”或梯度掩码。它抑制了对抗攻击所需的细粒度敏感度，同时保留了正确分类所需的宏观特征。
• 仿真验证：QNN 与 FNN 的无噪声仿真显示没有固有的鲁棒性优势，证实了观察到的益处是 NISQ 硬件噪声的直接结果。

4. 意义与贡献

1. 首个硬件级基准测试：这项工作提出了超导处理器上 QNN 鲁棒性的首个系统性实验基准测试，超越了理论仿真。
2. 高效攻击协议：引入Mask-FGSM提供了一种可扩展、硬件高效的 NISQ 设备对抗样本生成方法，解决了梯度估计成本的瓶颈。
3. 理论界限验证：分析下界与实验上界之间的微小差距，为基于保真度的鲁棒性指标在现实量子系统中的有效性提供了强有力的经验证据。
4. 噪声作为防御：发现固有量子噪声可以充当天然防御机制（梯度掩蔽），挑战了将噪声视为纯粹有害的传统观点。这表明 NISQ 设备相比无噪声的经典或量子模型具有独特的安全特性。
5. 安全 QML 框架：该研究建立了一个可重复的框架，用于诊断漏洞和评估防御策略（如对抗训练），为高风险领域中安全可靠的量子机器学习应用的开发铺平了道路。

结论

该论文表明，尽管 QNN 容易受到对抗性攻击，但其鲁棒性可以被有效量化和增强。定制的攻击算法（Mask-FGSM）、对抗训练以及超导硬件的固有噪声相结合，形成了一种鲁棒的防御概况，在某些情况下甚至超越了经典神经网络。这项工作为未来量子人工智能系统的安全评估奠定了方法论基础。