[论文解读] Benchmarking Adversarially Robust Quantum Machine Learning at Scale

Maxwell T. West, Sarah Erfani+4 more|arXiv (Cornell University)|Nov 23, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

该论文通过多样化的图像数据集和先进的对抗攻击方法（PGD、FGSM、AutoAttack），大规模基准测试了量子变分分类器（QVCs）的对抗鲁棒性。结果表明，QVCs 通过学习经典网络无法检测到的特征，显著增强了对经典对抗攻击的鲁棒性，揭示了鲁棒性方面的一种新型量子优势——尽管经典攻击仍可欺骗量子模型，从而支持构建混合检测框架。

ABSTRACT

Machine learning (ML) methods such as artificial neural networks are rapidly becoming ubiquitous in modern science, technology and industry. Despite their accuracy and sophistication, neural networks can be easily fooled by carefully designed malicious inputs known as adversarial attacks. While such vulnerabilities remain a serious challenge for classical neural networks, the extent of their existence is not fully understood in the quantum ML setting. In this work, we benchmark the robustness of quantum ML networks, such as quantum variational classifiers (QVC), at scale by performing rigorous training for both simple and complex image datasets and through a variety of high-end adversarial attacks. Our results show that QVCs offer a notably enhanced robustness against classical adversarial attacks by learning features which are not detected by the classical neural networks, indicating a possible quantum advantage for ML tasks. Contrarily, and remarkably, the converse is not true, with attacks on quantum networks also capable of deceiving classical neural networks. By combining quantum and classical network outcomes, we propose a novel adversarial attack detection technology. Traditionally quantum advantage in ML systems has been sought through increased accuracy or algorithmic speed-up, but our work has revealed the potential for a new kind of quantum advantage through superior robustness of ML models, whose practical realisation will address serious security concerns and reliability issues of ML algorithms employed in a myriad of applications including autonomous vehicles, cybersecurity, and surveillance robotic systems.

研究动机与目标

• 探究量子机器学习模型，特别是量子变分分类器（QVCs），是否相比经典神经网络展现出更优的对抗攻击鲁棒性。
• 评估对抗攻击在经典与量子模型之间的可迁移性，检验为某一领域设计的攻击是否能欺骗另一领域。
• 探索机器学习中一种新型量子优势的可能性——并非体现在准确率或速度上，而是体现在对对抗扰动的鲁棒性上。
• 通过结合经典与量子分类器的输出，开发并验证一种混合对抗攻击检测方法。
• 评估量子噪声（去极化、振幅阻尼、比特翻转）在对抗条件下对 QVC 鲁棒性的影响。

提出的方法

• 使用 PyTorch 和 Pennylane 在 MNIST、FMNIST、CIFAR-10 和 Celeb-A 等标准数据集上，对经典神经网络（ConvNet 和 ResNet18）和量子变分分类器（QVCs）进行训练。
• 采用振幅编码将图像数据映射为量子态，随后使用包含 200、500 或 1000 层单量子比特旋转与 CZ entangling 门的深度参数化量子电路。
• 应用高强度对抗攻击（PGD、FGSM、AutoAttack），通过 $ \epsilon $ 控制 $ \\_\infty $-范数扰动，生成用于交叉测试的古典与量子攻击。
• 采用 PGD 进行对抗训练，包含 3 次梯度步骤，并使用 50% 清洁样本与 50% 对抗样本以提升鲁棒性。
• 在去极化、振幅阻尼和比特翻转通道等不同量子噪声模型下评估鲁棒性，噪声强度参数为 $ p $ 和 $ \gamma $。
• 通过比较经典与量子模型的预测结果，提出一种混合检测机制，以识别仅欺骗其中一个模型而未欺骗另一个的对抗输入。

实验结果

研究问题

• RQ1 量子变分分类器（QVCs）是否在对抗经典攻击方面表现出比经典神经网络更高的鲁棒性？
• RQ2 对抗攻击在经典与量子模型之间可迁移的程度如何——经典攻击能否欺骗量子模型，反之亦然？
• RQ3 量子模型是否能学习经典模型无法处理的特征，从而使得对抗攻击对其无效？
• RQ4 量子噪声是否降低 QVC 的鲁棒性，以及这对它们的安全性配置有何影响？
• RQ5 结合经典与量子模型预测结果，能否实现一种更可靠的新方法来检测对抗样本？

主要发现

• QVCs 在所有测试数据集上均表现出对经典对抗攻击的显著增强鲁棒性，具有更高的干净准确率和更低的 PGD、FGSM 与 AutoAttack 攻击成功率。
• 经典对抗样本难以有效转移到深度 QVCs（如 QVC200、QVC500、QVC1000），表明 QVCs 学习了经典模型无法检测到的特征。
• 令人惊讶的是，经典攻击仍可成功欺骗 QVCs，表明量子模型并非对对抗扰动具有内在免疫性。
• 基于经典与量子预测结果不一致的混合检测框架，能够有效识别出仅欺骗一个模型而未欺骗另一个的对抗样本。
• QVC 的鲁棒性并非源于更高的准确率，而是源于学习到独特且非经典的特征，提示了一种新型的鲁棒性量子优势。
• 量子噪声（去极化、振幅阻尼、比特翻转）虽会降低 QVC 的鲁棒性优势，但并未完全消除，表明未来可实现抗噪声的量子机器学习部署。