⚛️ quantum physics

When cheap gradients fail: the measurement cost of attacking quantum classifiers

本文证明了有限量子测量统计（散粒噪声）通过施加随输入维度超线性增长的测量成本，为变分量子分类器针对基于梯度的攻击提供了一种内置防御机制，从而使得白盒对抗攻击相比于经典对应方案变得极其昂贵。

原作者： Bacui Li, Chandra Thapa, Tansu Alpcan, Udaya Parampalli

发布于 2026-07-14

📖 1 分钟阅读🧠 深度阅读

原作者： Bacui Li, Chandra Thapa, Tansu Alpcan, Udaya Parampalli

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图在照片中偷偷植入一个微小的、肉眼不可见的改动，以此来欺骗一个聪明的 AI，让它把一只猫误认为是一只狗。在常规计算机程序的领域中，这就像拥有了一个“作弊码”。你可以询问程序：“我应该如何微调像素才能获胜？”程序会几乎免费且瞬间告诉你答案。这被称为“廉价梯度原则”（cheap-gradient principle）。攻击者非常喜爱这一点，因为他们可以极其快速地尝试数百万次微小的调整。

但在**量子机器学习（QML）**的世界里，游戏的规则完全改变了。这篇论文指出，量子计算机拥有一种内置的“防御机制”，使得这类隐蔽攻击变得异常昂贵且缓慢。以下是其运作原理，我们通过一些有趣的类比来进行说明。

“测量噪声”之墙

想象一下，你正试图猜测一杯咖啡的确切温度，但你每次只能尝试喝一小口，而且这一口还摇摇晃晃的。如果你只喝一口，你的猜测可能会大错特错。为了得到一个准确的猜测，你必须喝很多很多口，然后取其平均值。

在量子计算机中，“喝一小口”被称为测量（measurement）或采样（shot）。由于量子物理学的奇特定律，你无法仅仅通过一次测量就完美地“读取”答案。你必须反复运行电路，才能获得清晰的图像。这种随机性被称为测量噪声（shot noise）。

论文表明，如果攻击者想要弄清楚应该如何微调输入（即梯度），他们必须针对图像的每一个特征（feature）都进行这些“采样”。如果一张图像有 784 个像素（例如像小型 MNIST 数字图像），攻击者仅仅为了获得一个模糊的攻击方向，就必须进行海量的采样。

潜入的代价

作者对高达 784 像素（标准小型数字图像的大小）的图像进行了模拟，并发现了一个令攻击者恐惧的趋势：图像越大，攻击就越难。

挣扎的数学逻辑： 如果图像的大小增加一倍，攻击者所需的采样次数并不仅仅是翻倍，而是呈爆炸式增长。论文发现，对于他们测试的模型，总采样量大约随维度的立方（即 $d^{3.00}$ ）增长。
现实世界的价格标签： 让我们来算一下单次攻击的账。为了欺骗一个正在观察 784 像素图像的量子 AI，攻击者可能需要运行量子电路 5 亿次（ $5 \times 10^8$ $5 \times 1 0^{8}$ 次采样），仅仅是为了制作出一张具有欺骗性的图像。
- 如果量子计算机处理每次采样大约需要 100 微秒，那么单次攻击就需要大约 15 小时 的不间断运行时间。
- 如果你想攻击整个包含 10,000 张图像 的数据集，在单台设备上大约需要连续运行 17 年。

这就是“测量成本”。它将一个快速的“作弊码”变成了一场长达十年的马拉松。

这并不是什么（以及它排除了什么）

了解这篇论文并非在说什么非常重要，因为作者对其界限进行了非常谨慎的界定：

它不是针对所有事物的万能护盾： 论文明确指出，只有当量子计算机正在进行某种复杂到常规计算机无法模拟的任务时，这种防御才有效。如果常规计算机可以模拟该量子模型，攻击者就可以直接利用常规计算机进行瞬时的数学计算（即“模拟与反向传播捷径”）。只有当量子模型真正“难以复制”时，这种防御才会生效。
它不是关于“隐藏”模型： 有些防御手段试图隐藏模型的运作方式（使其成为“黑盒”）。而本文认为，即使攻击者知道模型的一切细节（即“白盒”攻击），他们仍然必须支付测量成本。你无法通过作弊来规避物理层面的测量规律。
它不是关于故意添加“随机噪声”： 这不像是在无线电信号中加入静电来干扰他人。这是测量噪声（shot noise），是量子力学运作的一个基本组成部分。除非你支付更多的采样成本，否则你无法将其关闭。

我们有多确定？

作者对缩放法则（scaling law）（即展示成本如何随规模增长的数学逻辑）非常有信心，但对具体的数值保持谨慎。

模拟实验： 主要结果来自于在“伪装成量子计算机”的计算机上进行的模拟。他们测试了高达 784 个输入维度，并发现成本随 $d^{3.00}$ 增长。
硬件检查： 为了确保他们的模拟没有出错，他们在真实的 156 量子比特 IBM 量子处理器上测试了一个较小的版本（仅使用 12 个输入维度）。真实硬件的表现与模拟结果几乎完全一致，证实了“测量噪声”防御是真实存在的，而非仅仅是计算机故障。
“底线”： 论文指出，对于“完美”的量子模型（即梯度不会随着模型规模增大而减弱的模型），成本将以 $d^{2.5}$ 的速度增长。然而，他们实际测试的模型其梯度会随着规模增大而减弱，从而将成本推高到了 $d^{3.00}$ 。

核心结论

论文得出结论：量子测量噪声是一种天然的、内置的针对基于梯度的攻击的防御机制。 普通的 AI 可能会让攻击者以极低的计算成本完成微小的改动，而量子 AI 则可能要求数年的计算时间才能完成同样的诡计。

这就像试图从罐子里偷饼干。在普通的房子里，你只需伸手进去即可。而在这个量子房子里，每当你伸手时，罐子都会摇晃，你必须伸手进去数百万次，才能确定自己真的抓住了那块饼干。等你完成这一切时，你已经耗费了太多的精力，以至于不再值得为了那块饼干而努力。

作者强调，这是一个缩放法则：随着量子模型变得越来越大、越来越有用（也越来越难以模拟），这种防御也会变得越来越强，使攻击者的任务呈指数级变难。

技术摘要：当廉价梯度失效时：攻击量子分类器的测量成本

问题陈述
对抗性扰动对机器学习分类器（包括变分量子分类器 VQC）构成了显著威胁。虽然现有的量子机器学习（QML）防御措施通常依赖于动力学保证（例如，幺正性、算符混淆）或噪声诱导鲁棒性的经验观察，但这些分析通常假设攻击者可以获取精确的期望值。然而在现实中，量子力学禁止零成本的梯度计算。每一个可观测量都必须通过有限次的测量进行重建，这引入了“采样噪声”（shot noise）。

本文研究了白盒攻击者对 QML 分类器进行基于梯度的攻击时所需的物理测量成本。具体而言，它探讨了一种不对称性：防御者在训练过程中摊销了采样成本，而攻击者在推理阶段进行每一次梯度查询时，必须支付一个与维度相关的全新测量成本。作者挑战了经典自动微分中的“廉价梯度原则”（cheap-gradient principle），该原则认为无论输入维度如何，梯度计算的成本相对于前向传播过程而言，其比例都受限于一个很小的常数。

方法论
作者建立了一个将有限采样统计量与梯度估计不确定性和攻击有效性联系起来的理论框架。

威胁模型： 本研究关注针对已训练 QML 分类器的测试时（test-time）白盒规避攻击。攻击者已知架构和参数 ( $\theta$ )，但必须通过量子测量来估计输入梯度 $\nabla_x L$ 。攻击者的资源是总采样预算 $R$ （总电路执行次数）。
梯度估计： 分析采用了参数移位规则（Parameter-Shift Rule, PSR），这是一种无偏梯度估计器。在 PSR 下，每个梯度分量需要两次移位后的电路评估。这些估计值的方差受量子克拉美-罗下界（Cramér–Rao bound）控制，其规模为 $\sigma^2/s$ ，其中 $s$ 是每个分量的采样数。
理论推导：
- 作者推导了维持恒定攻击成功率或损失盈余所需的采样预算 $R$ 的缩放规律。
- 在局部线性、独立同分布（i.i.d.）高斯噪声以及小噪声假设下，分析了单步攻击（如 FGSM）。
- 通过将有限采样优化映射到随机梯度朗之万动力学（SGLD），将分析扩展到迭代攻击（如 Carlini-Wagner）。在此过程中，将采样数视为逆温度参数。
- 他们区分了“几何底线”（由纯粹的采样噪声几何结构决定的成本）和“实现成本”（包括深度、高表达力电路中梯度范数的衰减）。
经验验证：
- 模拟： 在输入维度高达 $d=784$ （ $q=10$ 个量子比特）的 MNIST 和 Fashion-MNIST 数据集上进行了实验。研究通过改变电路深度、维度和采样预算来测量攻击成功率和损失盈余。
- 硬件： 在 IBM ibm_boston 处理器上对子集实验（ $d=12$ ，4 量子比特电路）进行了测试，以验证缩放规律是否符合真实设备的噪声情况，并与理想模拟进行对比。
- 基准： 使用了匹配的经典卷积神经网络（CNN）基准来计算经典梯度成本比。

核心贡献

采样噪声缩放规律： 本文确立了在 QML 中保持恒定攻击效能需要一个随输入维度 $d$ $d$ 多项式增长的测量预算。
- 对于具有固定扰动预算 $\epsilon$ 的单步攻击，总采样预算缩放为 $R = \Theta(d^2)$ 。
- 在范数集中缩放（ $\epsilon \propto \sqrt{d}$ ）下，预算缩放为 $R = \Theta(d^{5/2})$ 。
- 对于具有梯度范数随维度衰减特征（巴伦平台/Barren Plateau 特征）的表达力强的深层电路，实现成本增长得更快，经验上为 $R \approx \Theta(d^3)$ 。
廉价梯度原则的失效： 作者证明了量子梯度成本比（以单位前向传播计算的梯度成本）随 $d$ 多项式增长（经验上为 $\Theta(d^{3.00})$ ），而经典比例保持不变（ $\approx 5$ ）。这种分歧意味着随着模型规模扩大，攻击量子模型的相对成本会剧烈增加。
迭代攻击分析： 通过将迭代攻击建模为 SGLD，论文表明有限采样收敛理论无法保证攻击者能够逃脱单步缩放规律。虽然存在一个采样分配的“甜点区”（即适度的噪声有助于跳出局部极小值），但达到精确梯度性能底线所需的预算仍随维度快速增长。
硬件验证： 在 156 量子比特 IBM 处理器的实验证实，采样噪声鲁棒性效应在真实硬件上依然存在。设备端的攻击追踪了理想模拟结果，误差在百分之几以内，验证了这种防御后果是内在的测量特性而非模拟伪影。

结果

缩放指数： 高达 $d=784$ $d = 784$ 的模拟验证了理论结构。
- 无参数几何基准（假设梯度范数稳定）遵循每个维度 $d^{3/2}$ （总计 $d^{5/2}$ ）。
- 测试的深层电路表现出梯度范数衰减（ $\|\nabla L\| \propto d^{-0.73}$ ），其实际总预算缩放分别为 $d^{3.00}$ （MNIST）和 $d^{3.07}$ （Fashion-MNIST）。
- 当将测得的梯度范数重新折算回成本时，数据恢复了 $d^{3/2}$ 的几何底线，从而证实过剩的缩放是由模型的梯度衰减驱动的，而非噪声几何本身。
实际成本： 对于一个 $d=784$ 的 MNIST 分类器，制作单个对抗样本大约需要 $5 \times 10^8$ 次采样。假设每次采样执行时间为 100 $\mu$ s，这相当于每个样本需要约 15 小时的连续设备运行时间。对整个数据集进行攻击则需要约 17 年的持续设备运行时间。
经典对比： 匹配的经典基准表现出与维度无关的梯度成本比（ $\rho \approx 5$ ），凸显了量子情况下的鲜明对比，即其比例随 $d^{3.00}$ 发散。

意义与主张
论文声称，有限量子测量统计量充当了一种“内置防御”，但仅在特定条件下生效：

经典硬度： 当量子模型的正向映射在经典上难以模拟时，这种防御效果最为显著。在这种情况下，白盒攻击者无法使用“模拟并反向传播”的捷径，被迫必须支付测量成本。
内在成本： 与算法混淆或随机平滑不同，这种防御是量子测量（Born 定律）物理特性的内在属性，如果不增加采样预算，则无法被关闭。
可扩展性： 提取梯度的成本随模型规模呈多项式发散。这表明，随着 QML 模型向“量子优势”阶段（大 $d$ ，深层电路）迈进，防御者与攻击者之间的资源不对称性将成为对抗有效梯度攻击的根本障碍。

作者保持了谦逊的态度，指出他们在小系统（ $q \le 10$ ）上的实验处于经典难度的“易处理”边界一侧。他们并非声称这些结果构成了当前规模下的已部署防御，而是建立了模型一旦跨越经典可模拟性边界后，所呈现的攻击者成本缩放规律。他们还指出，无梯度攻击（如迁移攻击）属于不同的威胁模型，本文并未充分讨论其边界。