量子对抗鲁棒性：从理论极限到可计算下界

1. 量子对抗鲁棒性从理论极限到可计算下界在机器学习的世界里我们训练模型去识别猫狗、翻译语言、甚至驾驶汽车。这些模型在精心准备的“干净”测试集上往往表现优异准确率高达99%以上。然而一个令人不安的事实是只需对输入数据施加人类肉眼几乎无法察觉的微小扰动就足以让最先进的模型做出完全错误的判断。一张被巧妙修改的“停车”标志图片可能被自动驾驶系统识别为“限速80公里”。这种针对机器学习模型的“对抗性攻击”揭示了模型在安全性上的致命软肋——缺乏对抗鲁棒性。对抗鲁棒性简而言之就是模型在面对这种精心设计的、旨在导致其出错的输入扰动时保持正确分类的能力。评估一个模型的鲁棒性传统做法是使用已知最强的攻击方法如PGD攻击去测试它看它在攻击下的错误率即对抗错误率有多高。但这里存在一个根本性问题我们如何知道一个模型已经足够鲁棒它的对抗错误率是否已经低到了“理论上可能的最低值”还是说通过改进模型架构或训练方法我们还能让它更抗揍这就引出了“对抗风险下界”的概念。它不是一个具体的数字而是一个由数据分布本身决定的、理论上的极限。想象一下你的数据点就像星空中的星星每个类别占据一片星域。由于星星的分布并非完全分离总有一些区域是模糊的、容易混淆的。对抗风险下界描述的就是无论你设计出多么完美的分类器只要它在干净数据上的错误率非对抗错误率是α那么在最强的攻击下它的对抗错误率不可能低于某个值c_adv(α)。这个c_adv(α)就是下界它只取决于数据点之间的“距离”结构在经典场景是欧氏距离在量子场景是迹距离和攻击者被允许的扰动强度ε。它为所有模型的鲁棒性表现划定了一条起跑线。将这套理论框架迁移到量子机器学习事情变得更有趣也更复杂。QML利用量子比特的叠加和纠缠特性处理信息有望在某些任务上超越经典极限。但量子模型同样面临对抗性威胁而且攻击面更广攻击者不仅可以在经典的输入数据上做手脚经典扰动攻击还可以在数据被编码成量子态之后直接对量子态本身进行扰动量子扰动攻击。后者是QML独有的安全挑战。评估量子模型的鲁棒性如果只是简单套用经典方法就像用尺子去量测海水的温度——工具根本不对。我们需要一套适配量子特性的、全新的鲁棒性评估基准。这正是我们工作的核心首次为量子机器学习特别是量子扰动攻击场景建立了一套可计算的对抗风险下界估计方法。我们不仅从理论上证明了在量子希尔伯特空间中基于迹距离的“误差区域”扩展遵循新的几何规则而非简单的半径相加还设计了一套高效的GPU并行算法来实际计算这个下界。我们在MNIST和Fashion-MNIST数据集上对量子变分电路模型进行了全面测试。结果清晰表明无论模型在训练中如何变化其实际对抗错误率始终高于我们计算出的理论下界。这就像为量子模型的“抗打击能力”比赛设置了一条明确的合格线任何选手的成绩都必须在这条线之上。它为未来设计真正鲁棒的量子学习模型提供了一个不可或缺的、客观的衡量标尺。1.1 核心挑战为什么量子对抗鲁棒性与众不同要理解我们工作的价值首先要看清量子对抗鲁棒性评估的特殊难点。这不仅仅是把经典公式里的l2范数换成迹距离那么简单。第一个难点在于攻击场景的物理意义不同。在经典攻击中扰动强度ε通常用l∞、l2或l1范数来衡量约束的是像素值的变化总量。在量子攻击中我们扰动的是量子态。如何度量两个量子态之间的“差异”最自然的度量是迹距离。更重要的是这个距离有直接的物理操作对应量子态验证。假设防御方可以对输入的量子态进行有限次比如n次的测量以验证它是否是被篡改过的“赝品”。根据量子信息理论只有当原始态和扰动态之间的迹距离大于约O(1/√n)时防御方才能以高置信度区分两者。因此一个成功的、能逃过检测的量子扰动攻击其扰动强度ε在迹距离意义上必须足够小。这就为我们的下界计算定义了一个具有明确物理意义的攻击强度参数。第二个难点在于误差区域扩展的几何复杂性。计算下界的核心思路是在数据空间中画出所有可能被模型分错的点构成“误差区域”E然后将这个区域向外“扩展”一个攻击强度ε的距离得到扩展区域E_ε。对抗风险理论上的对抗错误率就是这个扩展区域的“体积”概率测度。在经典欧氏空间中一个半径为r的球体扩展ε距离后新半径就是简单的r‘ r ε。但在量子态的希尔伯特空间中两个纯态之间的迹距离D与它们之间的Bures角θ满足D sin θ。经过推导详见论文附录我们发现一个在Bures角意义下半径为θ_r的“球体”在受到最大迹距离为ε sin θ_ε的扰动后其扩展区域的半径θ_r’满足一个三角关系θ_r‘ θ_r θ_ε。对应的在迹距离表示的球体半径上扩展规则变为r‘ r * sqrt(1 - ε^2) ε * sqrt(1 - r^2)这个公式远比经典的加法复杂它源于量子态空间本身的球面几何结构。忽略这一点直接套用经典公式会导致下界估计出现根本性错误。第三个难点是计算效率。下界估计算法本质上是搜索数据空间寻找能以最小“扩展体积”覆盖给定“误差体积”的球体组合。这是一个高维空间中的组合优化问题。经典算法如基于Ball Tree的方法在处理大规模数据集或高维量子态编码时会面临严重的计算瓶颈。量子态编码如振幅编码后的数据维度可能是指数级的对于n个量子比特状态空间是2^n维这使得高效计算成为将理论付诸实践的关键。我们提出的方法正是为了系统性地解决这三个核心挑战为QML的对抗鲁棒性研究提供一个坚实、可用的理论基础和计算工具。2. 理论基石从对抗错误率到可计算的风险下界要构建一个可计算的下界我们需要一套严谨的数学语言将直观的“模型在攻击下会多容易出错”这个概念转化为一个可以优化的具体问题。这个过程就像为“鲁棒性”这座大厦打下地基。2.1 定义战场对抗错误率与对抗风险首先我们需要精确区分两个紧密相关但略有不同的概念对抗错误率和对抗风险。对抗错误率是我们在实验中直接测量的。给定一个分类器f一个测试集Ω_test和一个在强度ε约束下的攻击算法A对抗错误率就是攻击后分类错误的样本比例AdvErr_{ε, A, f} #{(x_i, y_i) ∈ Ω_test | f(A(f, x_i, ε)) ≠ y_i} / #Ω_test这个值依赖于三个东西具体的模型f、具体的攻击算法A、以及具体的测试集。它告诉我们“这个模型在这个攻击下在这个数据集上表现如何”。对抗风险则是一个更理论化的概念。它不考虑具体的模型和攻击算法而是考虑最优攻击和数据本身的概率分布。假设我们知道了数据的真实分布μ以及一个假设的“真实标签函数” f*(x)。对于一个分类器f它的对抗风险定义为从分布中随机采样一个点x存在一个在其ε邻域内的点x‘使得f(x’) ≠ f*(x’)的概率。用数学写出来就是AdvRisk_{ε, f} μ({ x | ∃ x‘ s.t. ||x‘ - x|| ε and f(x‘) ≠ f*(x‘) })这里的关键在于条件变成了f(x‘) ≠ f*(x‘)而不是实验中的f(x‘) ≠ y其中y f*(x)。这意味着对抗风险考虑的是攻击可能将样本扰动到另一个真实类别的区域而不仅仅是让模型出错。那么这两个概念在什么情况下可以划等号呢需要一个关键的假设鲁棒的真实性。即对于数据分布中的绝大多数点x在其ε邻域内真实标签函数f*保持不变。也就是说小的扰动不会改变样本的本质类别。在MNIST数据集中对一个数字“7”的图片做微小扰动它看起来仍然应该是个“7”。如果这个假设成立那么对抗风险就近似等于在最优攻击下的对抗错误率的期望值。我们的整个下界理论都是在这个假设下为对抗风险进而为对抗错误率寻找一个最小值。2.2 化繁为简从分类器到误差区域直接对分类器f进行优化来最小化对抗风险是极其困难的因为f可以是任意复杂的函数。一个巧妙的思路是进行变量替换。我们不直接优化f而是优化由f定义的误差区域EE { x | f(x) ≠ f*(x) }这个区域包含了所有被模型分错的点。对抗风险可以重新表述为这个误差区域的“ε扩展”区域的体积AdvRisk_{ε, E} μ(E_ε)其中扩展区域E_ε定义为所有与E中某个点距离小于ε的点的集合。E_ε { x | ∃ x‘ ∈ E s.t. ||x‘ - x|| ε }这个转换至关重要。它将问题从“寻找一个鲁棒的分类函数”简化成了“在数据空间中寻找一个形状最优的误差区域”。所谓“形状最优”是指在固定误差区域体积μ(E) α即给定的干净错误率的前提下使其扩展体积μ(E_ε)最小。这个最小的μ(E_ε)就是我们寻找的对抗风险下界c_adv。核心洞见这个下界c_adv是模型无关的。它不关心你用的是量子神经网络还是经典神经网络是ResNet还是Transformer。它只取决于三件事1) 数据分布的内在几何结构点与点之间的距离2) 你允许的干净错误率α3) 攻击者的能力ε。因此它为所有可能的模型设定了一个统一的、公平的鲁棒性基准。2.3 量子空间的独特几何Bures角与三角不等式在经典空间如R^n与l2距离中一个球体的扩展就是半径增加ε。但在量子纯态的空间复投影空间中事情没那么简单。我们用Bures角θ来度量两个纯态 |ψ⟩ 和 |ϕ⟩ 之间的“角度”距离cos θ |⟨ψ|ϕ⟩|。迹距离D与Bures角的关系是 D sin θ。我们的一个关键理论贡献是证明并应用了Bures角的三角不等式。对于任意三个单位复向量量子态|v1⟩, |v2⟩, |v3⟩它们之间的Bures角满足θ_{v1,v3} ≤ θ_{v1,v2} θ_{v2,v3}等号成立的条件是这三个向量线性相关且它们的内积乘积为实数。这个三角不等式是直观的从态|v1⟩“走到”态|v3⟩最短路径不会比经过一个中间态|v2⟩更长。正是基于这个不等式我们才能严格推导出前面提到的量子球体扩展公式r‘ r * sqrt(1 - ε^2) ε * sqrt(1 - r^2)。这个公式确保了在量子迹距离度量下扩展操作的数学正确性是后续所有计算的基础。3. 核心算法高效并行化的下界估计引擎理论很优美但如何从有限的数据样本中实际计算出这个下界c_adv我们面对的是一个高维空间中的非凸优化问题寻找一组球体使得它们的并集误差区域E恰好覆盖一定比例α的样本点同时这组球体在扩展ε后所覆盖的样本比例即μ(E_ε)的估计最小。3.1 算法骨架贪婪搜索与球体填充我们的算法采用一种贪婪启发式搜索策略来近似求解这个难题。其核心思想是既然最优的误差区域E可能形状极其复杂我们用一个相对简单的形状——有限个超球体的并集——来近似它。算法迭代地进行以下步骤预处理计算所有样本点之间的两两距离矩阵D。对于量子攻击场景这个距离是迹距离对于经典攻击则是欧氏距离。这一步计算量较大复杂度为O(n²d)其中n是样本数d是数据维度或量子态维度。但它是后续所有快速查询的基础。迭代选球进行T轮迭代T是一个超参数如20。在每一轮中 a.候选生成遍历每一个样本点作为球心i并遍历一系列可能的球体半径对应覆盖k个样本。对于每个(i, k)对计算当前球体覆盖的样本数即对非对抗风险α的贡献并利用扩展公式计算其ε扩展后覆盖的样本数即对对抗风险的贡献。 b.最优选择选择那个能最小化“对抗风险增量 / 非对抗风险增量”比值的球体(i, k)。这相当于在当前步骤用最小的“扩展代价”来覆盖尽可能多的“误差预算”。 c.更新状态将这个球体及其扩展区域分别加入当前已构建的误差区域E和扩展区域E_ε。从距离矩阵中移除已被覆盖的样本点相关的信息避免重复计算。结果输出经过T轮后我们得到一组球心C和半径R它们定义的球体并集近似了最优误差区域。我们在一个独立的测试集上评估这个区域及其扩展区域的样本覆盖率分别得到测试集上的非对抗风险估计值Risk_ν和对抗风险估计值AdvRisk_ν。3.2 效率飞跃GPU并行化与数据结构优化经典的下界估计算法严重依赖Ball Tree数据结构来加速近邻搜索其主循环复杂度约为O(n²d)且难以并行化。我们算法的最大创新点在于其高度并行化的设计使其能够充分利用现代GPU的算力。矩阵化与排序我们将所有样本间的两两距离预先计算并存储为一个矩阵D。然后对每一行即每个样本点到其他所有点的距离进行排序得到排序后的距离矩阵D^(s)和一个索引矩阵I。I记录了排序后每个距离值在原矩阵中的列位置。并行化核心循环算法中最耗时的部分是遍历所有球心i和所有可能的覆盖样本数k。在我们的设计中对于固定的k所有球心i对应的计算计算半径、查找扩展后的覆盖数都是完全独立的这意味着我们可以将i和k的循环展开将成千上万个计算任务一次性提交给GPU进行并行计算。查找扩展后覆盖数k‘的操作是通过在排序后的距离列表D^(s)_i上进行二分查找完成的复杂度仅为O(log n)。高效的状态更新当一个新的球体被选中并覆盖了一批样本后我们需要更新数据结构移除这些已被覆盖的样本。我们设计了一个高效的Condense函数。它利用预先计算好的索引矩阵I’可以快速定位并移除已覆盖样本对应的距离值生成新的、压缩后的排序距离列表用于下一轮迭代。通过以上设计我们将算法主循环的复杂度降低到了O(n² log n)并且将最繁重的计算部分完美映射到了GPU的并行架构上。对于万数量级的样本这带来了数量级的加速使得在合理时间内为真实数据集计算量子对抗风险下界成为可能。3.3 提高精度回归校正与超参数选择由于我们使用训练集来寻找误差区域并在测试集上评估风险会存在估计偏差。为了得到在目标非对抗错误率α处的精确下界估计我们引入了回归校正步骤我们不是只针对一个α值运行算法而是在α附近选择一个范围[α_l, α_u]在此范围内均匀选取m个不同的目标值{α_ν}。对每个α_ν我们多次随机划分训练集和测试集运行算法得到多组(Risk_ν, AdvRisk_ν)数据点。对这些数据点进行线性回归拟合出测试集对抗风险与测试集非对抗风险之间的关系曲线。最后将我们关心的目标α代入回归模型插值得到对应的对抗风险下界估计值c_adv。这个方法有效地平滑了由于随机采样和启发式搜索带来的噪声得到了更稳定、更准确的下界估计。超参数T的选择算法中用于近似误差区域的球体数量T是一个关键超参数。T太小则简单的球体并集无法很好地拟合复杂的误差区域形状导致估计的下界偏高不紧。T太大则每个球体覆盖的样本数很少统计估计的方差会变大同时可能导致过拟合训练集使得在测试集上的泛化性变差。在实践中我们通过在一个验证集上进行网格搜索来选择T通常T在10到50之间能取得较好的平衡。我们的实验表明当T超过一定值后测试集上的估计下界会趋于稳定。4. 实验验证在量子变分电路上的实战检验理论和方法需要实验的验证。我们在两个经典的图像数据集MNIST手写数字和Fashion-MNIST服装物品上构建了量子变分电路模型并进行了全面的测试。4.1 实验设置模型、攻击与评估模型架构我们采用主流的量子变分电路模型。其结构分为三个阶段编码阶段采用振幅编码。将28x28784像素的灰度图像归一化后编码到一个10量子比特系统的量子态振幅中2^101024 784多余维度补零。即 |ψ⟩ Σ_i u_i |i⟩其中u_i是归一化后的像素值。量子电路使用PennyLane库提供的StrongEntanglingLayers作为可训练的参数化量子电路层共200层。每层包含单比特旋转门和受控Z门用于产生纠缠和复杂的量子变换。经典后处理测量每个量子比特的Pauli-Z算符期望值⟨σ_z^(i)⟩得到一个10维向量对应10个类别。训练时对此向量使用Softmax函数输出概率分布测试时直接取argmax作为预测类别。关键调节旋钮Softmax温度t。为了研究模型行为我们引入了Softmax温度参数Softmax(z_i) exp(z_i / t) / Σ_j exp(z_j / t)。温度t控制着输出概率分布的“尖锐”程度。t越小Softmax越接近argmax模型对量子电路输出的细微差异越敏感。我们训练了不同温度t1, 1/10, 1/20的模型分别命名为M1/M2/M3MNIST和F1/F2/F3FMNIST。攻击方法经典l2攻击标准的PGD攻击约束扰动在l2范数球内ε 100/255。量子TD-PGD攻击这是我们为量子扰动场景设计的攻击。扰动施加在编码后的量子态上约束在迹距离球内ε 0.1。攻击梯度通过模拟的量子反向传播获得。由于振幅编码下归一化向量的迹距离约束等价于对经典输入向量的余弦相似度约束因此攻击步骤包括沿损失梯度方向在归一化球面上移动一步然后投影回以原始态为中心、迹距离为ε的球面上。下界计算对于每个模型对应一个特定的非对抗错误率α和每种攻击对应一个攻击强度ε我们运行第3章描述的并行化算法计算其对抗风险下界。超参数设置为球体数T20回归迭代次数m10α搜索范围为[α, 1.1α]。4.2 结果分析下界有效性与模型行为洞察实验的核心结果总结在下表中数据集模型Softmax温度 (t)非对抗错误率 (α)攻击类型 (强度ε)实际对抗错误率估计下界 (c_adv)是否高于下界MNISTM110.2543l2 (100/255)0.3760.273是lq (0.1)0.6170.307是M21/100.1601l2 (100/255)0.2430.168是lq (0.1)0.5010.186是M31/200.0772l2 (100/255)0.1400.082是lq (0.1)0.5640.084是FMNISTF110.4207l2 (100/255)0.4990.442是lq (0.1)0.6550.499是F21/100.3179l2 (100/255)0.3620.331是lq (0.1)0.5260.358是F31/200.2228l2 (100/255)0.3060.237是lq (0.1)0.6730.260是核心结论1下界的有效性。在所有6个模型、两种攻击共12组实验中模型的实际对抗错误率无一例外地高于我们计算出的理论下界。这强有力地证实了我们所提出下界的正确性它确实为任何量子分类器在给定攻击强度下的对抗错误率设定了一个无法逾越的理论下限。核心结论2训练轨迹的合规性。我们不仅看了训练完成后的模型还监控了模型在整个训练过程中对抗错误率与非对抗错误率的变化轨迹。我们将这些轨迹点与对应非对抗错误率下的理论下界曲线进行对比。结果显示所有训练轨迹都始终位于下界曲线的上方并且随着训练进行错误率下降轨迹逐渐靠近但从未穿过下界曲线。这表明下界在整个模型优化过程中都是一个一致且有效的约束。深入观察温度t的影响与鲁棒性-准确性权衡。一个有趣的发现是关于Softmax温度t的作用。降低t使输出更尖锐可以显著降低模型的非对抗错误率M3/F3比M1/F1低得多这是符合直觉的。然而观察“对抗错误率 / 下界”这个比值可以看作模型距离理论最优鲁棒性的“差距”我们发现了一个趋势对于同一种攻击温度t更低的模型这个比值往往更大。例如在MNIST的lq攻击下M1的比值为2.01M2为2.69M3高达6.71。这意味着什么虽然低温模型在干净数据上更准确但其对抗鲁棒性相对于理论极限的“缺口”反而更大了。换句话说在追求更高准确率的同时我们可能牺牲了模型达到其理论最大鲁棒性的潜力。这呼应了经典机器学习中著名的“鲁棒性-准确性权衡”现象并在量子场景中得到了体现。一个可能的解释是低温迫使模型学习到更复杂、更脆弱的决策边界这些边界虽然能更精细地区分干净样本但也更容易被微小的对抗性扰动所跨越。对抗样本的可解释性我们还可视化了攻击生成的对抗样本。一个有趣的模式是对于使用较高温度t1训练的模型如M1F1其对抗扰动往往表现出更强的系统性特征。例如在MNIST上攻击倾向于给数字“0”添加水平笔画或加粗数字“1”的笔画在FMNIST上给T恤添加袖子或去掉外套的袖子。这些扰动方向与人类“改变物体类别”的直觉有一定吻合。而对于高精度低温模型这种系统性特征减弱扰动看起来更随机、更难以解释。这表明更鲁棒的型相对其理论极限更近的模型其决策可能依赖于更人类可理解的特征而纯粹追求高精度的模型可能依赖于更抽象、更脆弱的特征。4.3 算法性能与效率我们的并行化算法在配备NVIDIA GPU的工作站上对于MNIST/FMNIST数据集万级样本完成一次完整的下界计算包括多次回归迭代通常在几分钟到十分钟内。这相比传统的串行或基于树结构的算法有显著提升使得该方法可以应用于更大规模的数据集和更复杂的量子编码方案。实操心得在实现算法时最大的性能瓶颈往往是距离矩阵的计算和存储。对于振幅编码迹距离的计算可以简化为计算归一化样本向量之间的点积复杂度为O(d)其中d是原始数据维度。对于相位编码等其他编码方式需要推导相应的保真度计算简化公式。提前将距离计算优化好并利用GPU的并行计算能力进行矩阵排序和搜索是工程实现的关键。5. 常见问题、挑战与未来方向尽管我们提出的框架在理论和实验上都取得了成功但在实际应用和未来研究中仍有一些重要的问题和挑战需要关注。5.1 理论假设的局限性与现实考量我们的整个下界理论建立在两个核心假设之上鲁棒的真实性即真实标签函数f*在样本的ε邻域内是恒定的。最优攻击的可达性我们计算的下界是针对“最优攻击”的。实验中我们使用PGD及其量子变体TD-PGD作为近似。在现实数据集中假设1可能被违反。例如在图像分类的边缘案例中一个像“7”又像“1”的手写体其微小邻域内可能确实包含语义上的歧义。这种情况下我们计算的下界可能过于乐观即实际可能的最低对抗错误率比我们的下界更高。未来的工作需要探索如何量化这种“标签噪声”或“固有歧义”对下界的影响。对于假设2PGD攻击在经典领域已被广泛验证为一种极强的、接近最优的一阶攻击。我们将其适配到量子场景TD-PGD是基于合理的梯度利用。然而是否存在更强的、非梯度的量子攻击算法这仍然是一个开放问题。下界的紧致性即是否存在模型能真正达到或无限接近这个下界也依赖于攻击的最优性。5.2 计算复杂性与扩展性挑战虽然我们的并行算法大大提升了效率但计算所有样本对之间的距离矩阵其O(n²d)的复杂度对于超大规模数据集如ImageNet仍然是 prohibitive 的。未来的改进方向可能包括基于采样的估计不需要计算全部样本对的距离而是通过精心采样子集来估计数据分布的几何特性从而近似计算下界。量子加速的距离计算对于量子扰动攻击迹距离本身可以通过量子算法如Swap Test或振幅估计在量子计算机上以潜在指数级加速进行估计。这将把最耗时的部分卸载到量子硬件上实现真正的量子-经典混合计算范式。更高效的启发式搜索当前的贪婪算法是局部最优的。可以探索基于全局优化的方法如模拟退火、遗传算法来寻找更优的球体组合虽然可能会增加单次迭代成本但可能用更少的球体T达到更好的近似效果。5.3 迈向更紧致的下界与模型设计指导目前的下界在大多数情况下与模型的实际性能还有一定差距例如对抗错误率可能是下界的1.5到6倍。这中间的巨大空间正是模型改进的潜力所在。我们的框架为评估这种改进提供了标尺。如何利用下界指导模型设计架构搜索当设计一个新的量子电路Ansatz时除了看它在干净数据上的准确率还应评估其在攻击下的错误率距离理论下界有多远。一个“好”的架构应该能在保持高准确率的同时让对抗错误率尽可能贴近下界。训练策略验证对抗训练、正则化等鲁棒性增强技术其有效性可以用量化指标来评估它们是否显著缩小了“实际对抗错误率”与“理论下界”之间的差距数据增强与编码方案选择不同的数据预处理和量子编码方案会改变数据点在量子希尔伯特空间中的几何分布。我们的下界计算可以作为一个工具来评估哪种编码方案能从数据层面提供更高的固有鲁棒性下界。例如或许某种特定的特征映射feature map能将不同类别的数据点推得更开从而在相同攻击强度下获得一个更低的c_adv。5.4 超越分类回归、生成模型与更广泛的攻击目前的工作聚焦于分类任务下的逃避攻击。这套理论框架有潜力扩展到更广泛的机器学习任务和攻击类型量子生成模型如何定义生成模型如量子生成对抗网络的对抗鲁棒性攻击者可能旨在扰动输入噪声向量以产生特定的错误输出或扰动生成样本以欺骗判别器。为其定义合理的风险下界是一个新颖的方向。量子回归模型对于回归任务对抗风险的定义需要从“错误分类”变为“预测误差超过某个阈值”。这需要重新定义“误差区域”E但核心的“区域扩展”思想依然适用。数据投毒攻击与后门攻击这些是在训练阶段发生的攻击。我们的下界框架主要针对推理阶段的逃避攻击。为训练阶段攻击建立理论下界是另一个更具挑战性的前沿课题。最后一个根本性的问题是我们能否设计出达到或接近理论下界的量子模型这可能是量子对抗机器学习领域的“圣杯”之一。这需要模型不仅能够拟合数据还能学习到数据分布中“最本质”、“最鲁棒”的特征。我们的工作为追寻这个目标提供了第一块路标和一把可靠的尺子。通过持续地将模型的实际表现与理论极限进行比较我们能够更清晰地知道前进的方向和剩余的潜力从而逐步逼近量子机器学习安全性的终极边界。