⚛️ quantum physics

Does the Readout Bypass Leak the Input? A Feature-Visibility Audit of Hybrid Quantum-Classical Models

本文审计了具有读取侧残差（readout-side residuals）的量子-经典混合模型，证明了虽然旁路机制允许通过梯度分析实现原始输入坐标的近乎完美的重建，但这种泄漏是经典旁路而非量子编码本身失效的直接结果，并且目前在单样本训练下并不会转化为有效的成员资格攻击。

原作者： Guilin Zhang (Workday AI Research), Kai Zhao (Workday AI Research), Xiquan Cui (Workday AI Research), Henry Heng (Workday AI Research), Xu Chu (Workday AI Research), Aletta Johanna Blanken (Workday AI

发布于 2026-10-01

📖 1 分钟阅读🧠 深度阅读

CC BY 4.0

原作者： Guilin Zhang (Workday AI Research), Kai Zhao (Workday AI Research), Xiquan Cui (Workday AI Research), Henry Heng (Workday AI Research), Xu Chu (Workday AI Research), Aletta Johanna Blanken (Workday AI Research)

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在量子机器学习这一新兴领域，研究人员正试图教计算机利用奇特的量子物理定律来寻找模式。这些系统通常将大量的普通数据压缩进一个微小的量子态中，然后通过测量少量的结果来进行预测。由于数据被隐藏在量子系统中，一些科学家曾希望这一过程能充当一种天然的护盾，保护原始信息不被窥视。这种想法对于一种被称为“联邦学习”的方法尤为重要，在这种方法中，许多不同的计算机协同处理一个共享问题，而无需将私有数据发送给中央服务器。相反，它们只发送关于模型如何学习的小规模更新。人们希望这些更新不会泄露每台计算机最初持有的特定记录。

由 Workday AI Research 的研究人员开展的一项近期研究挑战了旨在改进这些量子系统的特定设计，表明该设计可能并不像许多人假设的那样提供隐私保护。该团队调查了一种试图兼顾两全其美的混合模型：它使用量子电路来处理部分数据，但同时也让原始的、未经处理的数据对系统可见，以帮助提高准确性。这种被称为“读取侧残差混合”（readout-side residual hybrid）的设计，将原始输入直接连接到模型的最终决策部分。研究人员想知道，这个有助于模型更好学习的“捷径”，是否也会在无意中将私密数据泄露回服务器。他们发现，在许多情况下，确实如此，即使不需要破解量子编码，服务器也能以惊人的清晰度重建原始数据。

这项研究聚焦于一种特定的隐私风险，即一个“诚实但好奇”的服务器接收来自客户端计算机的数学更新。在典型场景下，客户端基于单个数据样本（例如一份葡萄酒的化学成分记录或一份病人的医疗记录）发送一次更新。研究人员模拟了这种交换过程，并提出了一个简单的问题：如果服务器看到了更新，它能否通过逆向推导来查明原始数据是什么？他们在两个常用数据集上进行了测试，一个涉及葡萄酒特征，另一个涉及乳腺癌记录。他们对比了仅使用量子处理数据的模型与同时包含原始数据及量子结果的模型。

结果非常严峻。对于包含原始数据的模型，服务器能够以极高的精度重建原始记录。从技术层面来说，这种重建质量之高，使得原始数据与恢复数据之间的差异几乎不可察觉，其测量值在 73 到 96 分贝之间。这种清晰度意味着服务器可以看见客户端最初使用的精确数值。研究人员指出，这是由于这些模型构建中的一个已知弱点造成的：计算的第一步会在更新中留下原始输入的直接数学痕迹。模型中的量子部分对于暴露这些数据并非必要；仅靠原始数据路径本身就足以将其泄露。

当研究人员观察仅使用量子处理数据的模型时，情况变得更加复杂但也同样具有启发性。在全量数据特征集上，重建效果很差，这表明量子部分确实隐藏了一些信息。然而，当他们专注于量子系统实际处理的那六个特定特征时，服务器可以以极高的准确度重建这些特定数值，范围在 54 到 96 分贝之间。这意味着，虽然量子系统可能会隐藏它忽略的特征，但它并不能隐藏它所使用的特征。研究强调，量子编码并未为它触及的数据提供神奇的护盾；通过发送给服务器的数学更新，数据仍然是可恢复的。

这项研究的一个关键部分是对如何衡量隐私的常见误解进行了纠正。以往对类似系统的评估依赖于一种称为“成员推理攻击”（membership inference attack）的测试，该测试询问某个特定记录是否被用于训练模型。在这些测试中，结果往往看起来像是随机的抛硬币，从而暗示系统具有隐私性。然而，研究人员指出，这种测试并不能衡量实际数据是否可以被重建。一个系统可以很好地隐藏某条记录是否被使用，却仍允许服务器完美地重建记录本身。该研究认为，隐私审计必须观察服务器实际可见哪些数据，并衡量该特定数据被恢复的程度，而不是依赖于更宽泛、精度较低的测试。

研究人员谨慎地指出了其研究结果的局限性。他们的工作是在使用少量数据点和单步学习的模拟环境下进行的，而非针对具有多步学习和复杂防御机制的大规模真实网络进行的测试。他们并未声称这种泄露发生在每一种可能的量子学习场景中，也没有证明整个量子电路可以被反转以揭示隐藏的数据。然而，对于他们测试的特定架构而言，结论是明确的：为了提高准确性而将原始数据与量子特征并列的设计，创造了一条直接的数据泄露路径。这项研究作为一个警告：添加原始数据以提高准确性可能会抵消量子处理带来的隐私益处，未来的系统必须在设计时明确理解哪些信息正在被暴露。

最终，这篇论文为看待量子机器学习中的隐私问题提供了一种新视角。它表明，仅仅存在量子计算机并不自动保证隐私，尤其是当系统为了追求效率而使用原始数据时。研究人员呼吁该领域进行更严谨的报告，敦促科学家明确说明更新中哪些部分是可见的，并基于重建这些特定部分的成功率来衡量隐私。通过这样做，该领域可以避免将“数据可见性的缺乏”误认为是“实际的保护”，从而确保量子机器学习的承诺不会被简单的、可避免的泄露所破坏。

技术摘要：“读取旁路（Readout Bypass）是否泄露了输入？”

问题陈述
量子机器学习（QML）中的读取侧残差混合模型通过将原始经典输入 ( $x$ ) 与测量的量子特征 ( $Q(x)$ ) 进行拼接，旨在不增加量子电路深度的前提下提高下游准确率。虽然此前对该架构的评估声称基于成员推理攻击（MIA）产生的近乎随机的 AUC 分数（~0.5）具有隐私保护优势，但这些测试并未评估服务器是否能从共享的模型更新（梯度）中重建特定的客户端记录。本文研究了这种“旁路”机制（即直接将原始输入馈送到分类器中的机制）是否会将输入数据暴露在已知的梯度泄露漏洞之下，特别是在单样本梯度共享的条件下。

方法论
作者使用两个表格数据集（葡萄酒和乳腺癌数据集）以及四种不同的架构进行了特征可见性审计：

纯量子（Pure Quantum）： 仅使用 $Q(x)$ 。
仅 $Q(x)$ -MLP（Q(x)-only MLP）： 仅使用 $Q(x)$ ，但其 MLP 宽度与残差模型相匹配。
仅输入（Input-only）： 仅使用原始 $x$ 。
残差旁路（Residual Bypass）： 拼接 $z = [x \parallel Q(x)]$ 。

关键实验控制：

可见性调节（Visibility Conditioning）： 量子路径仅对输入的头六个特征进行编码，而旁路路径接收所有 $d$ 个特征。为了避免将隐私保护与特征可见性混淆，作者针对全量记录和所有量子模型可见的共享六个坐标分别报告了重建指标（PSante PSNR, MSE, 余弦相似度）。
对手模型： 一个“诚实但好奇”的服务器观察单个训练样本的梯度（单步 SGD）以及已知的学习率。该服务器已知训练后的权重，并接收所有参数梯度，包括第一层仿射层的权重梯度和偏置梯度。
攻击向量： 研究采用了两种泄露机制：
1. 解析恢复（Analytic Recovery）： 利用有偏线性层的标准泄露特性，其中 $g_W = \delta z^\top$ 且 $g_b = \delta$ 。如果偏置梯度非零，则可以解析地恢复输入 $z = g_W / g_b$ 。
2. 迭代梯度匹配（Iterative Gradient Matching）： 使用余弦梯度匹配（类似于 iDLG）来最小化观测到的梯度与重建的输入梯度之间的差异。

关键结果

解析脆弱性： 残差旁路直接暴露了原始坐标。对于残差和仅输入头部，解析泄露允许对输入进行标准恢复。
重建质量 (PSNR)：
- 残差与仅输入头部： 实现的全记录中值 PSNR 为 73–96 dB，表明可以近乎精确地重建原始输入。
- 仅量子头部： 由于模型不处理被省略的坐标，因此实现了较低的全记录 PSNR (8–11 dB)。然而，对于所有量子模型实际编码的共享六个坐标，这些模型实现了 54–96 dB 的 PSNR，表明所编码的特征也是可重建的。
成员推理： 尽管重建准确度很高，但 MIA AUC 分数仍保持在近乎随机的基准线附近 (0.477–0.540)。这证实了成员推理和记录重建衡量的是本质上不同的属性；一个模型即使能抵御成员推理，也可能在记录重建方面表现脆弱。
优化方差： 迭代攻击显示出变异性（例如，200 步匹配有时无法利用解析脆弱层），但解析基准保证了只要偏置梯度非零即可实现恢复。

核心贡献

可见性调节的审计： 本文引入了一个关键的隐私评估区分：指标必须根据哪些输入坐标实际影响了传输的更新来进行调节；如果架构观察到的特征子集不同，那么使用全向量误差得分是具有误导性的。
澄清“隐私”主张： 作者证明了旁路直接暴露了原始坐标。残差路径本身就足以导致已知的仿射层泄露，量子交互对于这种暴露是不必要的。
解耦重建与成员推理： 研究强调，近乎随机的 MIA 分数并不意味着能够抵御梯度反转。原工作中缺乏“隐私证书”的原因在于混淆了这两个不同的攻击向量。
对量子隐私直觉的局限性： 结果警示不要将常被引用的“状态坍缩”（用于解释量子隐私）的直觉转移到可微训练梯度上。在这种特定的设置中，量子编码并不能防止重建其实际处理的特征。

意义与主张
本文并非旨在建立一种新的通用梯度反转攻击，或证明在聚合或多步训练（如 FedAvg）下的泄露情况。其意义在于：

纠正评估标准： 作者认为隐私评估表必须明确说明哪些输入坐标影响了更新，并且不应将“省略的坐标”归功于量子处理提供的隐私保护。
解读指标： 作者断言，不同架构之间近乎精确的 PSNR 差异（例如 73 dB 与 96 dB）反映的是优化残差和数值精度，而非具有实际意义的隐私等级排名。
研究范围： 研究结果特定于单样本更新中的个体梯度。作者明确指出，其结果并不适用于聚合更新或多次局部训练步骤，也不证明压缩量子编码在一般情况下的可逆性，仅针对所测试的六输入、六观测值的电路。

总之，混合 QML 模型中的读取旁路会暴露原始特征，且此类系统的隐私性不能仅凭成员推理指标或量子组件的存在来推断。

技术摘要：“读取旁路（Readout Bypass）是否泄露了输入？”

类似论文