[논문 리뷰] Benchmarking Adversarially Robust Quantum Machine Learning at Scale

Maxwell T. West, Sarah Erfani외 4명|arXiv (Cornell University)|2022. 11. 23.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 다양한 이미지 데이터셋과 고급 적대적 공격(이격, FGSM, AutoAttack)을 사용하여 양자 변분 분류기(QVCs)의 적대적 내성에 대해 스케일링된 벤치마킹을 수행한다. QVCs가 고전적 네트워크가 감지할 수 없는 특징을 학습함으로써 고전적 적대적 공격에 대해 상당히 향상된 내성을 보임을 입증하며, 내성에서 새로운 양자 우월성을 드러낸다—비록 고전적 공격이 여전히 양자 모델을 속일 수 있지만, 이는 하이브리드 탐지 프레임워크를 가능하게 한다.

ABSTRACT

Machine learning (ML) methods such as artificial neural networks are rapidly becoming ubiquitous in modern science, technology and industry. Despite their accuracy and sophistication, neural networks can be easily fooled by carefully designed malicious inputs known as adversarial attacks. While such vulnerabilities remain a serious challenge for classical neural networks, the extent of their existence is not fully understood in the quantum ML setting. In this work, we benchmark the robustness of quantum ML networks, such as quantum variational classifiers (QVC), at scale by performing rigorous training for both simple and complex image datasets and through a variety of high-end adversarial attacks. Our results show that QVCs offer a notably enhanced robustness against classical adversarial attacks by learning features which are not detected by the classical neural networks, indicating a possible quantum advantage for ML tasks. Contrarily, and remarkably, the converse is not true, with attacks on quantum networks also capable of deceiving classical neural networks. By combining quantum and classical network outcomes, we propose a novel adversarial attack detection technology. Traditionally quantum advantage in ML systems has been sought through increased accuracy or algorithmic speed-up, but our work has revealed the potential for a new kind of quantum advantage through superior robustness of ML models, whose practical realisation will address serious security concerns and reliability issues of ML algorithms employed in a myriad of applications including autonomous vehicles, cybersecurity, and surveillance robotic systems.

연구 동기 및 목표

• 양자 기계학습 모델, 특히 양자 변분 분류기(QVCs)가 고전적 신경망보다 적대적 공격에 대해 뛰어난 내성을 보이는지 조사하는 것.
• 고전적 모델과 양자 모델 간의 적대적 공격 이행성 평가: 한 도메인을 위해 제작된 공격이 다른 도메인을 속일 수 있는지 테스트하는 것.
• 정확도나 속도가 아닌, 적대적 편향에 대한 내성에서 새로운 형태의 양자 우월성 가능성을 탐색하는 것.
• 고전적 및 양자 분류기의 출력을 조합하여 하이브리드 적대적 공격 탐지 방법을 개발하고 검증하는 것.
• 양자 노이즈(분해, 진폭 감쇠, 비트 전환)가 적대적 조건 하에서 QVC의 내성에 어떤 영향을 미치는지 평가하는 것.

제안 방법

• PyTorch와 Pennylane를 사용하여 MNIST, FMNIST, CIFAR-10, Celeb-A 등의 표준 데이터셋에서 고전적 신경망(ConvNet 및 ResNet18)과 양자 변분 분류기(QVCs)를 훈련시켰다.
• 이미지 데이터를 양자 상태로 매핑하기 위해 진폭 인코딩을 적용한 후, 단일 큐비트 회전과 CZ 얽힘 게이트로 구성된 깊이 200, 500, 또는 1000층의 양자 회로를 사용하였다.
• $ \epsilon $로 제어되는 $ \infty $-노름 편향을 가진 고강도 적대적 공격(PGD, FGSM, AutoAttack)을 적용하여 고전적 및 양자 공격를 모두 생성하고 상호 테스트를 수행하였다.
• 내성을 향상시키기 위해 PGD를 사용한 적대적 훈련을 실시하였으며, 3단계의 기울기 계산과 50% 정상/50% 적대적 예제 조합을 사용하였다.
• 분해, 진폭 감쇠, 비트 전환 채널 등의 다양한 양자 노이즈 모델을 평가하였으며, 노이즈 강도 파rameter $ p $ 및 $ \gamma $를 사용하였다.
• 고전적 및 양자 모델의 예측을 비교하여, 한 모델은 속이지만 다른 모델은 속이지 않는 적대적 입력을 식별하는 하이브리드 탐지 메커니즘을 제안하였다.

실험 결과

연구 질문

• RQ1 양자 변분 분류기(QVCs)는 고전적 적대적 공격에 대해 고전적 신경망보다 더 높은 내성을 보이는가?
• RQ2 적대적 공격이 고전적 모델과 양자 모델 간에 얼마나 이행되는가? 즉, 고전적 공격이 양자 모델을 속일 수 있으며, 반대로도 마찬가지인가?
• RQ3 양자 모델이 고전적 모델이 해석할 수 없는 특징을 학습함으로써, 적대적 공격가 양자 모델에 효과를 발휘하지 못하게 할 수 있는가?
• RQ4 양자 노이즈가 QVC의 내성에 악영향을 미치는가? 이는 보안 프ofile에 어떤 영향을 미치는가?
• RQ5 고전적 및 양자 모델의 예측 조합을 통해, 더 신뢰할 수 있는 새로운 적대적 예외 탐지 방법을 만들 수 있는가?

주요 결과

• 모든 테스트 데이터셋에서 QVCs는 고전적 적대적 공격에 대해 뚜렷한 내성을 보이며, 더 높은 정상 정확도와 PGD, FGSM, AutoAttack의 공격 성공률 저하를 보였다.
• 고전적 적대적 예제는 깊은 QVCs(QVC200, QVC500, QVC1000)로 효과적으로 이행되지 않아, QVCs가 고전적 모델이 감지할 수 없는 특징을 학습하고 있음을 시사한다.
• 놀랍게도 고전적 공격은 여전히 QVCs를 성공적으로 속일 수 있어, 양자 모델이 적대적 편향에 대해 본질적으로 면역이 아니라는 것을 입증한다.
• 고전적 및 양자 예측 간의 불일치를 기반으로 한 하이브리드 탐지 프레임워크는 한 모델을 속이지만 다른 모델은 속이지 않는 적대적 예외를 성공적으로 식별하였다.
• QVCs의 내성은 더 높은 정확도 때문이 아니라, 고전적이지 않은 특징을 학습함으로써 비롯되며, 이는 내성에서 새로운 형태의 양자 우월성을 시사한다.
• 양자 노이즈(분해, 진폭 감쇠, 비트 전환)는 QVCs의 내성 장점을 감소시키지만 완전히 제거하지는 않아, 노이즈에 강건한 양자 머신러닝 배포 가능성을 시사한다.