[论文解读] Expressive variational quantum circuits provide inherent privacy in federated learning

Niraj Kumar, Jamie Heredge+4 more|arXiv (Cornell University)|Sep 22, 2023

Stochastic Gradient Optimization Techniques被引用 4

一句话总结

本文提出一种基于高频率傅里叶分量的表达性变分量子线路（VQC）的量子联邦学习框架，可内在抵抗梯度反演攻击。通过利用过参数化的试探态和表达性强的数据编码，该方法将客户端数据转化为梯度空间中的高阶多元切比雪夫多项式，使攻击者面临指数级困难的优化问题，从而在无需额外噪声或掩码的情况下提供内在隐私保护。

ABSTRACT

Federated learning has emerged as a viable distributed solution to train machine learning models without the actual need to share data with the central aggregator. However, standard neural network-based federated learning models have been shown to be susceptible to data leakage from the gradients shared with the server. In this work, we introduce federated learning with variational quantum circuit model built using expressive encoding maps coupled with overparameterized ansätze. We show that expressive maps lead to inherent privacy against gradient inversion attacks, while overparameterization ensures model trainability. Our privacy framework centers on the complexity of solving the system of high-degree multivariate Chebyshev polynomials generated by the gradients of quantum circuit. We present compelling arguments highlighting the inherent difficulty in solving these equations, both in exact and approximate scenarios. Additionally, we delve into machine learning-based attack strategies and establish a direct connection between overparameterization in the original federated learning model and underparameterization in the attack model. Furthermore, we provide numerical scaling arguments showcasing that underparameterization of the expressive map in the attack model leads to the loss landscape being swamped with exponentially many spurious local minima points, thus making it extremely hard to realize a successful attack. This provides a strong claim, for the first time, that the nature of quantum machine learning models inherently helps prevent data leakage in federated learning.

研究动机与目标

• 解决经典联邦学习中因梯度反演攻击导致的敏感客户端数据泄露这一关键隐私漏洞。
• 探究量子机器学习模型（尤其是变分量子线路）是否能通过内在机制提供隐私保护，而无需依赖梯度噪声或掩码等启发式防御方法。
• 研究量子线路表达性（特别是高频傅里叶分量）在联邦训练过程中增强隐私的作用。
• 证明联邦学习模型的过参数化与攻击模型的欠参数化之间存在根本性不对称性，从而保护数据隐私。
• 提供理论与实证证据，表明即使对基于机器学习的攻击，求解由量子梯度导出的高阶切比雪夫多项式系统也呈指数级困难。

提出的方法

• 采用具有表达性编码映射的变分量子线路（VQC），将经典数据投影到高维希尔伯特空间，从而生成具有大量非简并傅里叶频率的模型。
• 使用过参数化的试探态以确保联邦学习模型的可训练性，同时保持特征映射的高表达性。
• 将梯度反演攻击建模为求解由量子线路参数移位规则导出的高阶多元切比雪夫多项式方程组。
• 分析求解这些多项式系统的计算困难性，包括精确求解与近似求解，表明其在量子比特数量上呈指数级增长。
• 通过数值模拟比较攻击模型在输入变量上欠参数化与联邦学习模型在参数上过参数化时的损失景观，证明攻击模型中出现大量虚假局部极小值。
• 使用含2和4个量子比特的单变量量子模型模拟数据恢复攻击，表明高频模型能保留高频分量，从而维持隐私。

实验结果

研究问题

• RQ1 在联邦学习中，具有表达性的变分量子线路是否能内在防止共享梯度中的数据泄露，而无需额外的隐私机制？
• RQ2 当量子线路具有高傅里叶表达性时，从量子联邦学习的梯度中恢复客户端输入的计算复杂度是多少？
• RQ3 联邦学习模型的过参数化与攻击模型的欠参数化之间的差异如何影响梯度反演攻击的成功可行性？
• RQ4 量子特征映射中的高频分量在多大程度上增强了联邦学习中的隐私鲁棒性？
• RQ5 是否可以利用量子线路的结构（特别是其多项式梯度行为）来为攻击者构建一个可证明困难的逆问题？

主要发现

• 具有高频傅里叶分量的表达性量子线路生成的梯度对应于高阶多元切比雪夫多项式，使得逆问题难以求解，呈指数级困难。
• 理论分析表明，由于量子比特数量增加导致项数呈指数增长，由量子梯度导出的方程组在精确和近似求解上均不可行。
• 数值模拟证实，当攻击模型在输入变量上欠参数化时，损失景观被指数级数量的虚假局部极小值主导，严重阻碍优化与数据恢复。
• 相比之下，由于试探态的过参数化，联邦学习模型仍保持可训练性，确保高表达性不会损害模型性能。
• 4量子比特模型即使在拟合低频信号时，仍能保留目标函数的高频分量，而2量子比特模型则会抑制这些分量，导致隐私性下降。
• 量子模型输出中高频项的保留确保了梯度信息的复杂性与不可逆性，为联邦学习中的内在隐私提供了坚实基础。