用于量子神经网络中对抗样本净化的混合量子-经典GAN

《Physica A: Statistical Mechanics and its Applications》：Hybrid quantum–classical GAN for adversarial example purification in quantum neural networks

　　摘要：量子机器学习在提升传统学习系统性能方面展现出巨大潜力。然而，量子神经网络仍极易受到对抗性干扰的影响，这会大幅降低其预测的可靠性和稳健性。为解决这一问题，本文提出了一种名为QPurGAN的混合量子-经典对抗性净化框架，用于重构量子神经网络中的对抗性样本。在该框架中，生成器通过可训练的参数化量子电路实现，从而将量子计算特性融入对抗性防御过程。通过结合对抗性输入及对应的类别标签，生成器能够重构出经过净化的样本，有效抑制对抗性干扰，恢复数据的原始分布。我们在PennyLane平台上针对多种对抗性攻击场景和不同干扰强度进行了大量实验，结果表明所提方法能够成功重构高质量的MNIST和Fashion-MNIST样本，在净化后的样本上分别实现了99%和92.5%的分类准确率。与传统的APE-GAN方法相比，QPurGAN在基于图像的量子分类任务中具有更出色的重构质量和防御性能，充分证明了其在减轻对抗性干扰方面的有效性。此外，该方法还在基于量子神经网络的股票价格预测任务中得到了验证，重构后的金融时间序列样本与原始样本的相似度保持在92%，显示出较强的重构精度以及该框架在现实应用中的潜力。

引言：在大数据时代，各领域产生的海量数据不仅提供了宝贵信息，也对数据存储和计算资源提出了巨大需求。随着云计算的快速发展，机器学习即服务逐渐普及，用户可通过云平台获得可扩展的计算资源以及灵活的模型训练和推理功能。但将敏感数据及机器学习任务外包给第三方服务也会带来不容忽视的安全和隐私风险。一旦数据脱离用户的直接控制，确保其保密性、完整性和真实性就变得极为困难。除数据安全问题外，部署在云环境中的机器学习模型还容易遭受对抗性样本攻击。攻击者通过向正常输入添加精心设计的、难以察觉的扰动，生成看似正常的样本，却会导致模型出现错误分类或预测结果。这类攻击可能降低模型性能，严重时还会影响基于云服务的可用性与可靠性。为提升MLaaS的安全性和稳健性，人们提出了多种防御措施，包括对抗性训练、输入变换和对抗性检测等，以此来减轻对抗性攻击并增强模型鲁棒性。

随着量子计算的飞速发展，人们越来越关注将其与机器学习相结合，由此诞生了量子机器学习。目前已有多种量子算法和模型被提出，如Grover搜索算法、量子相位估计、量子主成分分析以及量子卷积神经网络等。与传统方法相比，这些方法在某些特定计算任务上有望实现二次甚至指数级的速度提升。然而，目前的实用量子计算硬件价格昂贵，且需要严格的实验条件，导致大多数用户无法在当地使用量子资源。因此，量子机器学习的功能越来越多地通过云平台提供，形成了量子机器学习云服务。虽然云部署提升了量子计算资源的可访问性，但也扩大了攻击面。在多租户且可能存在不可信因素的云环境中，恶意用户的存在以及攻击策略、时机和影响的不确定性，给量子机器学习云服务带来了严峻的安全挑战。其中，对抗性样本攻击尤为危险，因为它会在模型的训练和推理阶段都威胁到其可靠性。因此，有必要为量子机器学习云服务开发有效的防御机制，要么提升量子模型本身的稳健性，要么引入能够削弱对抗性输入影响的辅助防御组件。

在传统机器学习中，对抗性防御已经得到了广泛研究，常见的方法包括去噪或输入净化、对抗性训练、防御性蒸馏以及梯度掩码等。相比之下，针对量子机器学习的对抗性防御研究仍处于起步阶段。现有研究主要聚焦于通过改进训练策略或引入额外的防御模块来提升模型鲁棒性，但专门为量子机器学习模型设计的系统且有效的对抗性防御方法仍然有限。在安全要求更高的云环境中，这一差距更为明显。因此，为量子机器学习云服务开发实用且有效的对抗性防御方法，是一项既重要又具有挑战性的研究课题。

为解决这一问题，本文提出了QPurGAN，这是一种用于量子神经网络中对抗性样本净化的混合量子-经典GAN模型。该方法利用生成器中的可训练参数化量子电路，将量子计算优势融入对抗性防御框架。给定一个对抗性样本及其标签信息，生成器能够重构出更接近纯净数据分布的样本，从而降低对抗性干扰的效果。为证明该方法的实用性和通用性，我们不仅将其应用于图像分类任务，还用于股票价格预测——在金融时间序列数据中，对抗性干扰可能导致预测不准确和决策支持不可靠。本文的主要贡献如下：1. 提出了名为QPurGAN的混合量子-经典对抗性净化框架，可将对抗性样本恢复到接近纯净数据分布的状态。通过将可训练的参数化量子电路整合到生成器中，QPurGAN将量子计算特性纳入对抗性防御过程。实验表明，该方法在净化后的MNIST样本上可实现99%的分类准确率，在基于图像的量子分类任务中优于传统的APE-GAN方法。2. 在该框架中加入了特征提取机制，用于降低高维输入的复杂性，从而使该方法不仅能应用于手写数字数据集，还能实现有效的对抗性净化。在Fashion-MNIST上的实验进一步验证了QPurGAN的泛化能力，其在对抗性攻击下的净化样本分类准确率可达92.5%。3. 通过改变强纠缠层数量（从2层到8层），研究了参数化量子电路深度对重构质量和防御性能的影响。实验结果显示，较浅层的参数化量子电路具有更强的分类鲁棒性，在MNIST和Fashion-MNIST上的准确率分别为98.0%和99.0%，而更深层的电路在某些情况下能提高重构样本的相似度。4. 进一步将该框架应用于基于量子神经网络的股票价格预测任务，结果显示重构后的金融时间序列样本与原始样本的相似度保持在92%，表明QPurGAN在实际量子学习场景中具有应用潜力。

本文的其余结构如下：第2节回顾了关于对抗性攻击和防御的相关研究；第3节分析了量子机器学习在云环境中可能面临的对抗性威胁，并探讨了相应的防御需求；第4节介绍了必要的基础知识；第5节阐述了所提出的对抗性样本防御方法，包括其整体框架和模型架构；第6节通过仿真实验评估了该方法的有效性和实用性；最后，第7节对全文进行总结，并提出了未来研究的方向。