1. 量子机器学习模型的安全隐忧：当你的“量子秘方”面临窃取风险

量子机器学习（QML）正从理论实验室走向工程实践，成为解决特定复杂优化、材料模拟和药物发现问题的前沿工具。其核心魅力在于，通过精心设计的参数化量子电路，我们有望利用量子叠加和纠缠的“超能力”，在经典计算机难以企及的维度上处理数据。然而，当我们将这些凝聚了智慧与计算资源的QML模型部署到云端量子处理器上时，一个经典计算领域的老对手—— 反向工程 ——正以新的形态悄然浮现。想象一下，你花费数月时间，通过反复迭代和调参，训练出一个在特定分类任务上表现优异的量子神经网络模型。这个模型的“智力”就蕴藏在一系列旋转门的特定角度参数中。现在，你将这个训练好的电路交给云服务商去执行。攻击者（可能是恶意的云服务商内部人员）无需接触你的原始代码，仅通过分析云平台最终执行时所用的、经过编译和优化的底层量子门序列，就有可能逆向推导出你那套宝贵的旋转角度参数。这无异于有人通过拆解和测量一块已经烘焙好的精密芯片，反推出其核心的晶体管布局和掺杂浓度。本文就将深入探讨这种针对QML模型的反向工程攻击是如何具体实施的，它的实际威胁有多大，以及我们作为设计者，可以采取哪些切实有效的策略来保护自己的知识产权，让攻击者的逆向之路变得代价高昂甚至不可行。

2. 攻击原理深度剖析：从编译优化到参数“泄密”

要理解反向工程攻击为何可能成功，我们必须先厘清QML模型从设计到执行的完整链条，尤其是其中关键的一环： 量子电路编译 。

2.1 量子电路编译：一把必要的“双刃剑”

用户设计的QML模型，通常使用高层次、与硬件无关的量子门来表示，例如在特定轴上进行参数化旋转的 Rx(θ) 、 Ry(θ) 、 Rz(θ) 门。然而，实际的量子硬件（如超导量子比特或离子阱）有其固有的 原生门集 。例如，IBM的超导量子处理器通常以 SX 门（即 Rx(π/2) ）和 Rz 门作为基础门。因此，在电路真正上机运行前，必须经过一个称为“ 编译 ”或“ 转译 ”的过程。

这个过程由云平台的编译器自动完成。编译器会将用户电路中的高层次门分解、合并、优化，转换成完全由目标硬件原生门构成的等效电路。优化目标通常是减少门数量、深度或特定的错误率。 关键点在于 ：这个编译过程通常是公开、透明甚至可逆推的。编译器使用的转换规则是确定的。例如，一个 Ry(θ) 门可能会被编译成 Rz(π/2) - SX - Rz(θ+π) - SX - Rz(-π/2) 这样的原生门序列。

注意 ：编译优化是为了性能，但它无意中创建了一个“侧信道”。攻击者看到的不是你的原始参数 θ ，而是由 θ 经过一系列固定数学变换后产生的、由原生门和（可能包含 θ 的）新旋转参数构成的新电路。只要攻击者知道编译规则，他就有可能从这个新电路中反解出你的原始 θ 。

2.2 攻击者视角：如何实施反向工程

攻击模型假设攻击者（如不受信任的云提供商）拥有以下能力：

1. 白盒访问编译后电路 ：能够获取到准备在真实硬件上执行的、编译优化后的最终量子电路。
2. 知晓目标硬件原生门集及编译规则 ：了解云平台编译器将常见门（如 Rx, Ry, Rz ）分解为目标原生门（如 SX, Rz ）的通用规则。这些规则可以通过分析编译器行为或公开文档获得。
3. 知晓用户电路的原始架构 ：即知道用户使用了多少量子比特、电路的层状结构（Ansatz），以及每一层使用了哪些类型的参数化门。这通常可以通过模型接口、公开的论文或对类似应用的推测获得。攻击者不需要知道参数值，但需要知道参数的“位置”和“类型”。

攻击者的目标是从编译后的电路中，逆向提取出用户原始电路中的所有可训练参数 {θ_i} 。其核心方法可以概括为 基于查找表的暴力搜索匹配 ：

1. 建立编译查找表（LUT） ：攻击者预先为每一种可能的基础参数化门（如 Rx(θ) ，其中 θ 未知）模拟其编译过程。由于编译规则是固定的， Rx(θ) 被编译后的原生门序列形式是已知的，只是序列中的某些 Rz 门的旋转角是 θ 的线性函数（如 θ + C ，C为常数）。攻击者可以为 θ 在 [0, 2π) 范围内以一定步长（如 0.1 ）采样，生成一系列编译后的模板电路片段，并建立映射关系。
2. 电路切片与匹配 ：攻击者将获取到的长编译电路，按照原始电路的结构知识进行切片，分割成与原始门一一对应的段落。
3. 参数逆向求解 ：对于每一个切片，攻击者将其与LUT中的模板进行比对。通过计算切片电路与模板电路之间的 保真度 或 门迹距离 ，找到匹配度最高的模板，该模板对应的 θ 采样值即为原始参数的估计值。由于关系通常是线性的，精确值可以通过简单的数学反解得到。
4. 全局拼接与验证 ：将所有逆向得到的参数拼接，重构出估计的原始用户电路。攻击者可以使用一个小的验证数据集，运行重构的电路，测试其性能。如果分类准确率与原始模型报告的相近，则攻击成功。

这个过程听起来计算量很大，但关键在于，对于每个参数，搜索空间是独立的一维空间（ [0, 2π) ），而非所有参数的组合空间。这使得暴力搜索在参数数量不多时变得可行。

3. 攻击可行性实验验证：误差、时间与规模的关系

理论是否成立需要数据支撑。我们通过一系列受控实验，量化评估了反向工程攻击的可行性边界。实验基于常见的量子神经网络分类器架构，使用 PennyLane 和 Qiskit 进行模拟。

3.1 实验设置与评估指标

我们构建了不同规模的量子分类器，从简单的1量子比特电路到更复杂的8量子比特电路，层数也从1层到3层不等。所有模型在经典的 MNIST 数据集子集（如区分数字0和1）上进行训练，直至收敛。训练完成后，我们模拟攻击者行为：

• 获取编译后电路 ：使用 Qiskit 的 transpile 函数，将训练好的参数化电路编译到以 SX 和 Rz 为原生门的假想硬件基础门集上。
• 实施反向工程 ：根据已知的原始电路结构（Ansatz）和编译规则，执行前述的基于LUT的暴力搜索算法。
• 评估攻击效果 ：我们主要关注两个核心指标：
  1. 参数误差 ：计算提取出的参数与原始训练参数之间的均方误差（Mean Error）和标准差（SD）。这直接反映了参数被窃取的精度。
  2. 性能误差 ：在独立的测试集上，分别运行原始模型和逆向工程得到的模型，计算两者分类准确率的百分比差值（Acc. Error %）。这反映了窃取模型的实际效用损失。

3.2 核心发现：攻击的“成本-收益”曲线

实验结果清晰地揭示了反向工程攻击的特性，如下表所示：

表1：不同规模分类器的反向工程误差分析

分类器架构	参数数量	参数均方误差 (Mean)	参数误差标准差 (SD)	测试准确率误差 (%)
1量子比特	4	5.94e-02	8.55e-02	~0
2量子比特，1层	6	5.33e-02	2.50e-02	1.7
2量子比特，2层	12	6.10e-02	4.43e-02	3.2
2量子比特，3层	18	8.45e-02	8.99e-02	5.7
4量子比特，1层	8	7.29e-02	7.73e-02	2.1
4量子比特，2层	16	9.29e-02	9.91e-02	5.9
4量子比特，3层	24	1.18e-01	9.79e-02	6.3
8量子比特，1层	16	6.16e-02	3.84e-02	4.1
8量子比特，2层	32	8.71e-02	3.69e-02	5.3
8量子比特，3层	48	1.71e-01	2.81e-01	7.6

数据分析与解读：

1. 攻击是有效的 ：即使对于8量子比特、3层（48个参数）的相对复杂模型，逆向工程得到的模型在测试集上的准确率损失也仅为7.6%。这意味着攻击者成功窃取了一个性能相近的副本，模型的核心知识产权（即参数集）已经泄露。
2. 误差随复杂度增加 ：参数误差和性能误差总体上随着量子比特数和层数（即总参数数量）的增加而上升。这是因为在反向工程过程中，每个参数提取时引入的微小误差会在整个电路中累积传播。
3. 参数数量是关键 ：性能误差与参数数量的相关性比与量子比特数的相关性更明显。例如，8量子比特1层（16参数）的误差低于4量子比特3层（24参数）。这提示我们，模型的“容量”或“可训练参数规模”是影响攻击精度的更直接因素。

3.3 时间开销分析：攻击的“阿喀琉斯之踵”

虽然攻击在精度上可行，但其时间成本是防御的突破口。我们测量了反向工程不同规模电路所需的时间。

图8：反向工程时间随量子比特数增长（均为3层电路） （横轴：量子比特数，纵轴：时间（秒，对数尺度）） 实验显示，对于一个3层的电路，反向工程时间从1量子比特的秒级，急剧增长到8量子比特的百万秒级（约11.5天）。时间开销近似随量子比特数指数增长。

表2：步长选择对1量子比特分类器攻击的影响

搜索步长	反向工程时间（秒）	参数均方误差
0.1	51	5.94e-02
0.01	662	3.66e-03
0.001	852,000	5.01e-04

关键洞察 ：攻击者需要在 精度 和 时间 之间权衡。使用更精细的步长（如0.01）可以极大提升参数窃取精度（误差降低一个数量级），但时间成本增加了10倍以上。而将步长从0.01降到0.001，时间暴增1000倍以上，但精度提升却不再显著。因此，攻击者为了在合理时间内完成攻击，通常会选择较大的步长（如0.1），这为我们设计防御策略提供了思路： 让攻击者即使用较大步长，也不得不面对极高的时间成本。

4. 主动防御策略设计：如何为你的QML模型“加锁”

基于上述攻击模型和实验分析，我们可以设计出主动的、结构化的防御策略。核心思想不是让攻击变得“不可能”，而是让其变得“不划算”，即极大提升攻击者的时间与计算成本。所有策略都围绕一个共同点： 在用户原始电路中，插入非可训练的、参数固定的“诱饵”量子门。

4.1 策略一：增加虚设参数层

这是最直接的防御方法。在用户原有的参数化电路层之间或首尾，插入额外的量子门层，但这些层的旋转角度是固定的、非训练的参数（例如，全部设置为 α = 0.5 ）。

• 操作 ：如图9所示，在一个原有的2量子比特、单层电路（6个可训练参数）中，额外增加一层包含4个固定参数旋转门的结构。
• 防御机理 ：经过编译后，这些固定参数的门和可训练参数的门会被同等优化、混合在一起。攻击者无法从编译后的电路中区分哪些门对应可训练参数，哪些对应固定参数。为了提取他认为是“可训练”的参数，他不得不对 所有 参数（本例中为6+4=10个）都进行反向工程搜索。这直接增加了需要搜索的参数数量。
• 开销分析 ：如表3所示，对于一个4量子比特的分类器，随着固定参数层的增加，反向工程时间急剧上升。增加层数能有效提升防御强度。
• 实操心得 ：固定参数的选择可以随机，也可以是有规律但非最优的值（如 π/4 ）。关键是要让这些门在电路中“看起来”和可训练门一样活跃。可以将这些虚设层与可训练层交错放置，增加攻击者解析电路结构的难度。

4.2 策略二：增加虚设量子比特

另一种思路是扩展电路的宽度而非深度。在用户电路的基础上，添加额外的量子比特，并在这些比特上施加包含固定参数的量子门操作。这些额外的比特可以不与主计算比特纠缠，也可以以简单的方式（如固定参数的受控门）连接。

• 操作 ：如图10所示，在原有的2量子比特电路旁，增加一个辅助量子比特 qp ，并在其上施加3个固定参数的旋转门。
• 防御机理 ：同样，编译后这些操作会融入整个电路。攻击者知道原始模型是2量子比特，但他看到的编译电路涉及3个比特。他要么需要尝试推断哪两个比特是“真实的”，要么需要对所有3个比特上的所有参数进行反向工程。这显著增加了搜索空间的维度和复杂性。
• 开销分析 ：实验表明，为一个2量子比特3层的基线模型增加8个带固定参数的虚设量子比特，可以将攻击者的反向工程时间增加约3.4倍。
• 注意事项 ：添加的虚设比特可能会引入额外的串扰噪声，在实际硬件上可能影响主计算比特的性能。需要在防御强度和实际运行效果之间取得平衡。一种更隐蔽的做法是，让虚设比特与主比特有微弱的、固定参数的纠缠，这样编译后电路更融合，更难被剥离。

4.3 策略三：复合防御策略——层与比特双增加

为了获得更强的防御能力，可以同时采用上述两种方法，即既增加包含固定参数的虚设层，又增加带有固定参数的虚设量子比特。

• 操作 ：如图11所示，在基线模型上，同时增加一个虚设层（4个固定参数）和一个虚设比特（3个固定参数），使得总参数数量从6个可训练参数变为6个可训练参数加7个固定参数。
• 防御机理 ：这是两种防御机制的叠加效应。攻击者需要反向工程的参数空间从6维暴增到13维。更重要的是，固定参数与可训练参数、不同比特之间的操作在编译后高度耦合，使得攻击者几乎无法有效分割电路，必须进行全局的、高维度的搜索，导致时间开销呈指数级增长（如图12(3)所示）。
• 性能权衡 ：如表4所示，为基线模型添加防御结构会轻微影响模型性能（测试准确率有3%-9%的下降），这是因为引入的固定门可能会轻微改变电路的总体演化路径。但这是一种以极小性能代价换取极大安全增益的策略。用户可以通过在添加防御结构后，对可训练部分进行微调，来部分补偿性能损失。

4.4 防御策略的工程化考量

在实际部署这些防御策略时，有以下几个工程要点需要关注：

1. 固定参数的隐蔽性 ：不要将所有固定参数设为0或 π 这样明显的值。使用随机生成或看似合理的值，使它们在编译后的电路中与可训练参数无异。
2. 结构随机化 ：虚设层和虚设比特的插入位置可以随机化，而不是固定的模式。每次训练或部署时，可以生成不同的防御结构“密钥”，增加攻击者建模的难度。
3. 与经典加密结合 ：在将量子电路发送到云端前，可以对电路描述文件进行轻量级的对称加密。虽然云提供商最终需要解密以执行编译，但这增加了攻击链的环节，并留下了审计日志。
4. 合同与法律保障 ：技术手段需与商业手段结合。在与云服务商签订合同时，明确知识产权的归属和对反向工程等行为的禁止条款，并约定审计权利。

5. 常见问题与实战排查指南

在实际研究和应用这些攻防技术时，你可能会遇到以下典型问题。这里分享一些从实验中获得的一手排查经验。

5.1 攻击实施阶段常见问题

Q1：反向工程得到的参数误差很大，重构模型完全失效，可能是什么原因？ A：首先检查你的 编译规则查找表（LUT）是否准确 。不同量子后端、不同版本的编译器，其转译规则可能有细微差别。务必使用与目标后端完全一致的编译流程和基础门集来生成LUT。其次，确认你对 原始电路结构的假设是否正确 。如果攻击者猜错了Ansatz（例如，以为用户用的是 RY 纠缠层，而实际用的是 RZ 纠缠层），那么逆向工程必然失败。最后，检查 参数搜索的步长和范围 。对于某些门，参数可能存在周期性，确保搜索范围覆盖 [0, 2π) ，并尝试缩小步长看误差是否收敛。

Q2：反向工程的时间远超预期，如何优化？ A：暴力搜索是时间瓶颈。可以尝试以下优化： ①分层逆向 ：对于层状结构的电路，尝试逐层或逐模块进行反向工程，减少每次需要匹配的电路片段长度。 ②利用参数连续性 ：如果知道参数是连续训练得到的，相邻层的同类型参数可能数值相近，可以以此作为搜索的初始点，缩小搜索范围。 ③启发式搜索替代暴力搜索 ：对于高维情况，可以考虑使用梯度下降等优化算法来最小化编译后电路与模板电路之间的差异，但这需要定义可微分的损失函数。

5.2 防御策略部署阶段常见问题

Q3：添加了虚设层/比特后，模型训练不收敛或性能下降严重怎么办？ A：这说明引入的防御结构可能对信息流造成了过多干扰。 调整防御结构的“透明度” ：尝试减少虚设门的数量，或者改变它们的位置（例如，全部放在电路的最前端或最后端）。 使用更“温和”的固定参数 ：避免使用 π 或 π/2 这种会产生极大旋转的门，尝试使用接近0的小角度参数。最重要的是， 在添加防御后，进行充分的再训练或微调 。将原有训练好的参数作为初始点，在包含防御结构的新电路上继续训练若干轮，让模型适应新的计算图。

Q4：如何评估我设计的防御策略的实际强度？ A：不能只凭感觉。你需要进行 量化评估 。设定一个假想的攻击者算力上限（例如，他愿意花费的最长时间T）。然后，对你设计了防御的电路，模拟攻击者的反向工程过程，测量其实际所需时间 t_attack 。防御强度可以用 t_attack / T 的比值来衡量，比值越大越好。同时，也要在测试集上评估防御后的模型性能损失 ΔAcc 。最终目标是找到 (t_attack, ΔAcc) 帕累托前沿上的最优解，即在可接受的性能损失下，最大化攻击时间。

5.3 关于噪声与真实硬件的考量

Q5：在真实的含噪声量子硬件上，这些攻防方法还适用吗？ A：这是一个非常好的问题。对于 攻击方 而言，噪声主要影响训练阶段，从而影响最终存储的参数值。但攻击发生在训练之后，攻击者获取到的是已经确定的、包含噪声影响的编译后电路。因此，反向工程过程本身 不受硬件噪声的直接影响 ，它提取的是电路当前的“静态”参数。实验在无噪声模拟器上进行是合理的，因为它剥离了噪声，专注于评估逆向算法本身的有效性。

对于 防御方 而言，在真实硬件上部署包含虚设结构的电路时，需要额外考虑噪声影响。虚设的门和比特会增加电路的深度和宽度，可能放大退相干误差和门错误。因此，在设计防御时，应选择在目标硬件上保真度较高的量子门类型作为固定门，并利用编译器的噪声自适应优化功能，尽量将防御结构安排在错误率较低的量子比特上。

量子机器学习的安全之路才刚刚开始。反向工程攻击揭示了在云环境中部署QML模型时一个切实存在的知识产权风险。我们的实验表明，这种攻击在当前模型规模下是可行且有效的。幸运的是，通过有意识地设计电路结构，引入非可训练的“诱饵”元素，我们可以显著提高攻击者的成本。这本质上是一场设计者与攻击者之间的资源博弈。作为设计者，我们的目标不是建造一座无法攻破的堡垒，而是让窃取的成本远远高于模型本身的价值。未来，更复杂的防御机制，如动态变化的电路结构、与经典同态加密结合的混合方案，或许能提供更强的保护。但无论如何，在拥抱量子计算强大潜力的同时，将安全性作为模型设计的内在考量，而非事后补救，这应当成为每一位量子算法工程师和研究员的基本素养。