⚛️ quantum physics

An End-to-End Multi-Stage Kill-Chain Attack on Quantum Neural Networks: Demonstration on Trapped-Ion Hardware

本文展示了一种针对运行在离子阱硬件上的量子神经网络的综合性多阶段攻击，该攻击整合了侧信道侦察、串扰表征以及对抗样本生成，旨在物理性地操纵设备，同时还探讨了其对量子即服务（QaaS）提供商的影响及潜在的硬件缓解措施。

原作者： Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

发布于 2026-07-07

📖 1 分钟阅读🧠 深度阅读

CC BY 4.0

原作者： Cedric Brügmann, Daniel Herr, Daniel Ohl de Mello, Pascal Debus, Maximilian Wendlinger, Kilian Tscharke, Juris Ulmanis, Alexander Erhard, Arthur Schmidt, Fabian Petsch

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一台高科技量子计算机不应被视为一个神秘的黑匣子，而应被视为一支正在演奏特定乐曲、极其敏感且脆弱的管弦乐队。这篇论文描述了“黑客”如何潜入这支管弦乐队，聆听乐手们的演奏，弄清他们到底在演奏什么曲子，然后微妙地干扰乐器，使音乐听起来走调——而指挥家（计算机所有者）却完全察觉不到发生了什么。

以下是他们“杀伤链”（kill-chain）攻击的故事，分为简单的步骤进行拆解：

1. 背景设定：量子管弦乐队

研究人员使用了一台由离子阱（通过激光固定住的带电微小原子）制成的真实量子计算机。他们设置了一个“量子神经网络”（QNN），这就像一个试图学习识别四种不同符号（例如加号、减号和两个括号）的聪明学生。

2. 攻击计划：三阶段劫持

攻击者并没有尝试用蛮力破坏计算机，而是使用了“杀伤链”策略。这就像一名银行劫匪，他不会直接砸门，而是先侦察建筑，然后撬开锁具，最后切断警报系统。

第一阶段：窃听者（侦察）

隐喻： 想象量子计算机是一座房子。攻击者看不见房子内部，但他们可以站在外面监听房子的用电情况。每当一扇门打开或一盏灯亮起时，电表都会出现特定的脉冲模式。
他们做了什么： 攻击者监测了功率轨迹（控制激光所消耗的电能）。因为每个量子电路都有独特的脉冲模式，所以功耗看起来就像是一个独特的指纹。
结果： 通过将受害者的功率指纹与已知“虚拟”电路库进行对比，攻击者成功猜中了受害者量子模型的精确结构（使用了多少个原子、有多少层逻辑层以及它们是如何连接的）。他们不需要看到代码；电力向他们展示了一切。

第二阶段：伪造者（对抗样本）

隐喻： 现在攻击者已经知道管弦乐队在演奏什么曲子，他们想要改变结尾。在数字世界中，他们创建了“对抗样本”。这就像是在一张停止标志的照片上添加一些肉眼几乎看不见的像素，从而让自动驾驶汽车误以为那是限速标志。
他们做了什么： 利用强大的计算机模拟，他们计算出了对输入数据进行微小、近乎不可见的修改，从而诱骗量子模型做出错误判断。
问题在于： 他们无法直接将这些“隐形像素”发送到真实的量子计算机上。真实的硬件存在物理限制。这就像试图通过对着小提琴手耳语来改变现场管弦乐队的一个音符——你不能直接在空气中输入一个新的音符。

第三阶段：破坏者（物理串扰攻击）

隐喻： 这是最聪明的部分。攻击者意识到，在这种特定的量子计算机中，如果你把激光照射到一个原子上，光线会轻微地“溢出”并触动它的邻居。这被称为串扰（Crosstalk）。这就像如果你敲击一个鼓，震动会通过地板传导，导致旁边的鼓也发生轻微晃动。
他们做了什么：
1. 他们利用第一阶段获得的信息，精准掌握了受害者“音乐”演奏的确切时刻。
2. 他们利用第二阶段的数学方法，确定了需要什么样的“触动”才能诱骗模型。
3. 他们在受害者原子相邻的原子上，在完全相同的时刻运行了自己的“干扰”激光。
4. 他们激光产生的“溢出”光线恰到好处地触动了受害者的原子，其程度刚好模拟了他们之前计算出的“隐形像素”。
结果： 受害者的量子计算机处理了数据，但由于来自邻居的物理触动，它产生了混乱并给出了错误的答案。

3. 结果

研究人员证明了他们可以：

通过监听电力使用情况来窥探计算机的结构。
计算出一种欺骗它的方法。
通过利用计算机自身的物理缺陷（串扰）来物理性地执行这种欺骗。

当他们在真实硬件上进行测试时，攻击奏效了。原本通常表现正确的量子模型开始出错，原因正是来自于“邻居”原子的那些微妙物理触动。

为什么这很重要？

论文的结论是，我们不能孤立地看待量子安全。我们不能只担心“糟糕的代码”或“糟糕的数学”。我们必须关注物理硬件是如何表现的，信息是如何通过电力泄露的，以及共享同一台机器的用户如何会在无意中（或有意地）互相干扰。

简而言之： 这篇论文表明，如果你与陌生人共享一台量子计算机，他们可能通过监听你的用电情况来获取你的秘密，然后利用他们自己工作的物理震动来误导你的计算结果。这提醒我们，在量子世界中，物理硬件与数字代码是深度交织在一起的。

技术摘要：针对量子神经网络的端到端多阶段杀伤链攻击

问题陈述

在真实的量子处理器（QPU）上部署量子机器学习（QML），使得攻击面超出了理想化模拟的范畴。虽然现有文献已经分别研究了单个攻击向量（如侧信道攻击、串扰和对抗样本），但缺乏对于如何将这些向量组合成一个连贯的多阶段攻击活动的理解。目前的安全性分析往往无法捕捉硬件级弱点（如侧信道泄露、串扰诱发的故障）与算法操纵（如对抗性扰动）在实际的多租户云环境中的相互依赖关系。本文通过演示一个将侦察、模型推理和物理硬件操纵相结合的端到端“杀伤链”攻击，来填补这一空白，从而破坏量子神经网络（QNN）。

方法论

作者提出了一个借鉴自经典 IT 安全框架（特别是 MITRE ATT&CK 和洛克希德·马丁网络杀伤链）并适配于 QML 背景的结构化五阶段攻击流水线。该方法在捕获离子阱量子计算机（AQT Ibex）上执行，并在附录中详细说明了在超导硬件上的补充实验。

1. 侦察（侧信道分析）

第一阶段涉及在无法直接访问模型权重的情况下，推断受害者 QNN 的结构参数。

技术： 攻击者在执行受害者电路期间，从控制电子设备中捕获功率迹线（power traces）。
过程： 将这些迹线与包含不同量子比特数（4 对 8）、层深度（2、4、6、8）和纠缠模式的 24 个基准电路库进行对比。
机制： 通过根据总执行时长对候选电路进行过滤，并计算受害者的功率剖面与基准电路之间的欧几里得距离（ $L_2$ 范数），攻击者可以识别出精确的电路架构（量子比特数、深度和纠缠结构）。

2. 对抗样本生成

一旦已知架构，攻击者便开始生成对抗样本。

约束： 攻击受限于 AQT 离子阱硬件的物理限制。该平台上的串扰主要由单量子比特旋转门诱发。虚拟 $R_Z$ 门不产生物理脉冲，因此不会产生串扰。
实现： 作者采用投影梯度下降法（PGD）来生成对抗样本。至关重要的是，他们应用了一个掩码（mask），将扰动限制在仅通过 $R_Y$ 旋转编码的输入特征上。这确保了生成的对抗性扰动在物理上可以通过串扰来实现。

3. 物理攻击（串扰注入）

最后阶段将抽象的对抗性扰动转化为物理硬件攻击。

机制： 攻击者通过在相邻量子比特上并行调度执行自己的电路。通过在精确的时间点（由侦察阶段确定）对这些相邻量子比特施加特定的 $R_Y$ 旋转门，他们在受害者量子比特上诱发串扰。
目标： 诱发的串扰在受害者量子比特上产生一个有效的旋转角度，该角度近似于数学计算出的对抗性扰动，从而在不修改数据或模型参数的情况下操纵受害者模型。

核心贡献

首次端到端演示： 本文展示了第一个针对运行在真实离子阱硬件上的 QNN 的多阶段杀伤链攻击，成功地将侧信道侦察与物理串扰攻击联系起来。
结构化分类法： 引入了 QML 杀伤链分类法，明确映射了硬件漏洞（功率迹线、串扰）与算法攻击（对抗样本）之间的相互依赖关系。
硬件感知型对抗生成： 该工作展示了一种生成符合特定硬件约束（例如，无法通过串扰扰动 $R_Z$ 编码特征的 AQT 设备）的对抗样本的方法。
实证验证： 研究验证了通过功率迹线泄露的信息足以高置信度地重建受害者的电路结构，从而实现针对性攻击。

结果

侦察成功率： 基于功率迹线的侦察通过与基准电路匹配，成功识别了受害者 QNN 的架构（4 量子比特，4 层）。时序和振幅特征提供了独特的电路结构指纹。
对抗脆弱性： 使用 PGD，作者发现 1,000 个训练样本中有 840 个在扰动预算（ $\epsilon$ ） $\le 1.0$ 时会被误分类。在对抗性扰动下，QNN 的分类准确率从 92.4% 骤降至 1.07%。
串扰有效性： 当在 AQT Ibex 硬件上执行 50 个易受对抗攻击的样本（通过模拟识别）时：
- “干净”硬件的准确率为 0.64。
- “串扰”攻击（通过相邻旋转诱发扰动）导致的准确率为 0.68。
- 虽然准确率下降不如在模拟中那样剧烈，但平均绝对误差（MAE）分析表明，串扰诱导的硬件行为（ $hw\_crosstalk$ ）比干净的硬件行为（ $hw\_clean$ ）更接近对抗性硬件行为（ $hw\_adv$ ）。具体而言， $hw\_adv$ 与 $hw\_crosstalk$ 之间的 MAE 为 0.1236，是所有硬件间比较中的最低值，证实了物理串扰成功近似了预期的对抗性扰动。

重要性与主张

本文声称其主要意义在于证明了 QML 的安全性不能孤立地进行分析。研究结果强调了：

威胁的相互依赖性： 侧信道信息（功率迹线）不仅是隐私泄露，更是后续更具破坏性攻击（基于串扰的对抗性操纵）的关键使能因素。
物理可实现性： 对抗样本并非仅仅是理论构想；它们可以通过硬件诱导噪声（串扰）在 NISQ 设备上物理实现，而无需修改输入数据或模型。
系统级防御： 有效的防御需要系统级的方案。缓解功率侧信道（例如，通过诱饵脉冲或恒定功率操作）以及防止多租户共享执行（以阻断串扰注入）对于打破杀伤链是必要的。

作者强调，这些攻击是在当前含噪声中等规模量子（NISQ）设备的约束下进行的，并不依赖于容错假设，这使得研究结果对近期的 QML 部署具有直接相关性。该工作向 QaaS 提供商和硬件制造商发出了警告：当前的隔离和噪声模型不足以应对协调的多阶段攻击者。