[論文レビュー] Benchmarking Adversarially Robust Quantum Machine Learning at Scale

Maxwell T. West, Sarah Erfani+4 more|arXiv (Cornell University)|Nov 23, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

この論文は、PGD、FGSM、AutoAttackといった高度な敵対的攻撃を用いて、多様な画像データセットを用いて量子変分分類器（QVCs）の敵対的ロバストネスを大規模にベンチマークした。QVCsは、古典的ネットワークが検出できない特徴を学習することで、古典的敵対的攻撃に対して著しく向上したロバストネスを示し、ロバストネスにおける新たな量子優位性を明らかにしたが、一方で古典的攻撃は依然として量子モデルをだますことができるため、ハイブリッド検出フレームワークの構築が可能である。

ABSTRACT

Machine learning (ML) methods such as artificial neural networks are rapidly becoming ubiquitous in modern science, technology and industry. Despite their accuracy and sophistication, neural networks can be easily fooled by carefully designed malicious inputs known as adversarial attacks. While such vulnerabilities remain a serious challenge for classical neural networks, the extent of their existence is not fully understood in the quantum ML setting. In this work, we benchmark the robustness of quantum ML networks, such as quantum variational classifiers (QVC), at scale by performing rigorous training for both simple and complex image datasets and through a variety of high-end adversarial attacks. Our results show that QVCs offer a notably enhanced robustness against classical adversarial attacks by learning features which are not detected by the classical neural networks, indicating a possible quantum advantage for ML tasks. Contrarily, and remarkably, the converse is not true, with attacks on quantum networks also capable of deceiving classical neural networks. By combining quantum and classical network outcomes, we propose a novel adversarial attack detection technology. Traditionally quantum advantage in ML systems has been sought through increased accuracy or algorithmic speed-up, but our work has revealed the potential for a new kind of quantum advantage through superior robustness of ML models, whose practical realisation will address serious security concerns and reliability issues of ML algorithms employed in a myriad of applications including autonomous vehicles, cybersecurity, and surveillance robotic systems.

研究の動機と目的

• 量子機械学習モデル、特に量子変分分類器（QVCs）が、古典的ニューラルネットワークと比較して敵対的攻撃に対して優れたロバストネスを示すかどうかを調査すること。
• 敵対的攻撃の転送性を評価し、あるドメイン向けに設計された攻撃が他方のモデルをだますかどうかを検証すること。
• 正確性や速度ではなく、敵対的摂動に対するロバストネスという観点から、機械学習における新たな形の量子優位性の可能性を探ること。
• 古典的および量子分類器の出力を組み合わせることで、敵対的攻撃検出のためのハイブリッド手法を構築し、検証すること。
• 量子ノイズ（デポラライゼーション、アンプリチュードデーミング、ビット反転）が敵対的条件下でのQVCのロバストネスに与える影響を評価すること。

提案手法

• PyTorchとPennylaneを用いて、MNIST、FMNIST、CIFAR-10、Celeb-Aなどの標準データセット上で、古典的ニューラルネットワーク（ConvNetおよびResNet18）と量子変分分類器（QVCs）を訓練した。
• 画像データを量子状態にアモニチュード符号化し、100、500、1000層の単一キュービット回転とCZエンタングルゲートを用いた深層パラメータ化された量子回路を適用した。
• PGD、FGSM、AutoAttackといった高強度の敵対的攻撃を、$ \epsilon $ で制御される$ \infty $-ノルム摂動を用いて実行し、古典的および量子的攻撃を生成して相互テストを行った。
• PGDを用いた敵対的訓練を実施し、3ステップの勾配更新と50％のクリーンデータ／50％の敵対的データを用いてロバストネスを向上させた。
• デポラライゼーション、アンプリチュードデーミング、ビット反転チャネルを含むさまざまな量子ノイズモデルを評価し、ノイズ強度パラメータ $ p $ および $ \gamma $ を用いた。
• 古典的および量子分類器の予測を比較することで、片方のモデルをだますがもう片方はだまされない敵対的入力を特定する、ハイブリッド検出メカニズムを提案した。

実験結果

リサーチクエスチョン

• RQ1 量子変分分類器（QVCs）は、古典的敵対的攻撃に対して、古典的ニューラルネットワークと比較してより高いロバストネスを示すか？
• RQ2 敵対的攻撃は古典的モデルと量子モデルの間でどれほど転送可能か？　つまり、古典的攻撃は量子モデルをだますことができるか、逆に量子攻撃は古典的モデルをだますことができるか？
• RQ3 量子モデルは、古典的モデルが処理できない特徴を学習できるか？　その結果、敵対的攻撃がそれらに対して効果を持たなくなるか？
• RQ4 量子ノイズ（デポラライゼーション、アンプリチュードデーミング、ビット反転）はQVCのロバストネスを低下させるか？　また、その影響はセキュリティプロファイルにどのように現れるか？
• RQ5 古典的および量子モデルの予測の組み合わせにより、敵対的例を検出する新たなより信頼性の高い手法が可能になるか？

主な発見

• QVCsは、すべてのテスト済みデータセットで、PGD、FGSM、AutoAttackの成功確率が低く、クリーン精度が高いことから、古典的敵対的攻撃に対して著しく向上したロバストネスを示した。
• 古典的敵対的例は、深層QVCs（例：QVC200、QVC500、QVC1000）への転送が効果的に機能せず、QVCsが古典的モデルが検出できない特徴を学習していることを示している。
• 驚くべきことに、古典的攻撃は依然としてQVCsを効果的にだますことができ、量子モデルが敵対的摂動に対して本質的に免疫であるとは限らないことを示している。
• 古典的および量子予測の不一致に基づくハイブリッド検出フレームワークは、片方のモデルをだますがもう片方はだまされない敵対的例を効果的に同定した。
• QVCsのロバストネスは、高い精度のおかげではなく、非古典的特徴を学習していることに起因しており、ロバストネスにおける新たな形の量子優位性を示唆している。
• 量子ノイズ（デポラライゼーション、アンプリチュードデーミング、ビット反転）はQVCのロバストネス優位性を低下させるが、完全に消失させないため、ノイズに強い量子機械学習の展開が可能であると考えられる。