量子原生访问下量子机器学习（QML）的隐私风险刻画

量子计算能力与量子信息访问，会不会让针对 QNN 的成员推断强于只拿经典测量结果的设定。

• 场景：作者认为 QML-as-a-service 的常见假设是服务只返回预测标签或 logits 等经典比特，用户与对手只有经典计算。量子设备、量子网络服务和分布式量子计算使对手可能提交并接收量子信息；固定测量会丢掉相干与互补基信息，从而低估隐私泄漏。
• 现有工作的不足：作者称已有 QML 成员推断与数据重构（Heredge 等、Su 等）只用测量后的经典结果，未考虑能拿到量子态、或能自选测量的对手。
• 核心问题：RQ1 问有量子计算能力的对手，在成员推断上是否相对纯经典计算对手有量子优势；RQ2 问拿到量子信息能否做出更强的成员推断。
• 威胁模型：
  • 目标：对 Definition 1 的 QNN，按 Game 1 判断样本 z=(x,y) 是否在训练集中，优势 L=2Pr[b̂=b]−1，L∈[0,1]。
  • 知识与能力：对手有量子计算能力，能训练、执行并测量量子电路与 VQC；可从与目标模型相同的数据分布采样代理数据。
  • 三种访问（Table I）：Ck 提交经典 x，服务用固定 POVM 返回 k 次经典结果，对手不能接触 ρθ(x)；Mk 可另提交重复 Pauli 测量 Mu，仍只得经典结果；Qk 直接收到测量前态 ρθ(x)⊗k。
  • 层次：作者要说明访问越多，成员推断优势越大，即 C ⪯ M ⪯ Q。
• 本文做了什么：给出上述层次的可证明优势，以及有限影子模型下理论最优优势与经验优势之差的上界；在无噪声模拟上检验该关系。作者称这是在量子原生访问下考察 QML 隐私泄漏的第一步。

论文把相关工作放在 QML 预备知识、经典成员推断，以及针对 QML 的隐私推断三条线上。

QML 模型

• 算法谱系：量子核方法、变分量子本征求解器（VQE）、变分量子电路（VQC）、量子神经网络（QNN）与混合量子–经典神经网络（HQNN）。本文只做监督学习 QNN，作者称这是当代量子处理器上机器学习的主要途径。
• VQC：参数化酉 U(θ) 作用在编码态上，再用测量得到期望；有限 shot 给出该期望的随机估计。训练在电路求值与经典参数更新之间交替，旋转门导数用 parameter-shift rule。

经典成员推断

• 群体级 MIA：Shokri 等用同源分布的影子模型训练攻击模型；Yeom 等用模型置信度，认为过拟合使成员的置信度更高。
• 实例级 MIA：Carlini 等的似然比攻击（LiRA）为每个目标样本训练“在/不在训练集”两套影子模型，比较输出分布；Ye 等沿用该直觉，但用 (x,y) 上的置信度。本文的 Game 1 跟随 Carlini 等。

QML 上的隐私攻击与防御

• 防御向工作：Zhou 等提出量子差分隐私（QDP）；Watkins 等把 QDP 用于混合量子–经典模型，以约束训练数据的成员泄漏。
• 攻击向工作：Heredge 等把 QML 对量子与经典数据重构的易感性，以及 VQC 梯度，联系到动力学李代数，并讨论隐私–可训练性权衡。Kumar 等认为表达能力强的量子编码使数据重构变难，并认为 QML 对数据重构有内在韧性；作者指出其暴露给对手的信息仍是梯度与电路描述等经典量。
• 最近的对照：Su 等对 QNN 与 HQNN 做群体级成员推断，并讨论可用量子机器遗忘缓解；实验覆盖无噪声模拟与量子硬件，且测量 shot 数影响可观测的成员泄漏。作者称该攻击同样以测量后的 QNN 结果为输入。

基线方法与基准/数据集：经验攻击沿用 Carlini 等的影子模型划分，数据为 MNIST 子集上的二分类，设定跟随 Su 等；电路规模作者称与 Heredge 等所用模型相当。Ck 被作者当作现有“经典”对手工作所采用的访问。

作者把本文定位为：在成员推断中明确考察 Mk 与 Qk 这些更强访问，并说明固定读出会丢掉可由量子算法利用的信息；经典结果访问 C 则消除这一量子优势。

作者在 C、M、Q 三种访问上定义成员推断优势，证明访问越量子化优势越大，再把有限影子模型造成的理论–经验差距用成员条件态的估计误差上界。

问题设定与形式化

• QNN：经典 x 经 Uenc 编入 n 比特态，再经可训练 VQC。测量前态为 ρθ(x)=U(θ)Uenc(x)ρ0Uenc(x)†U(θ)†。POVM M={Ey} 给出 p(y|ρθ)=tr(Ey ρθ)。
• Game 1：挑战者在只差目标样本 z 的相邻数据集上训练 θb；对手给出 h，输出成员比特。优势 L=2Pr[b̂=b]−1。
• 访问（Table I）：Ck 由服务固定测量并只回经典结果；Mk 的 Mu 限制为重复 Pauli 测量；Qk 返回 k 份测量前态。编码用角度编码或振幅编码均可，作者称结论不依赖具体编码。

三种访问下的最优优势

• Ck 无量子优势：k 次经典输出是两个分布 p0^(k)、p1^(k) 的假设检验。等先验下最优优势为总变差距离，LC=TV(p0^(k),p1^(k))。把经典输出写成对角态后，Helstrom 定理给出的最优量子测量成功率与该总变差一致。Theorem III.1 称：任何有量子计算能力的对手，都存在一个只有经典计算能力、优势相同的对手。量子算法仍可能在额外分布谕示下降低经典检验的计算复杂度，但 Observation 1 称这不构成 Ck 下的成员推断量子优势。
• 层次：Definition 2 把成员条件期望态写成 Ωb(x)=E[ρθb(x)⊗k]，差异 Δ(x)=Ω1(x)−Ω0(x)。Theorem III.2：LC≤LM≤LQ。LM 是对测量 M 取总变差的上确界；Qk 上 LQ=∥Δ(x)∥1/2。证明依靠从 Ck 到 Mk 再到 Qk，可选测量扩大，信息严格变多。
• shot：Observation 2 称同一访问 I 下，优势对 k 非降，L_I^(k+1)≥L_I^(k)。

有限资源下的差距

• 经验攻击：对手只能训练 K 对影子模型。经验优势 L̂_I(z,θ|K) 用这些模型上的测量分布（或 Q 上的经验 Helstrom 测量）计算。差距 ε_I=L_I−L̂_I。
• 上界：Theorem III.3 给出 ε_I(z,θ|K)≤∥Δ(x)−Δ̂(x)∥1。Δ̂ 是 K 对影子态之差的平均。迹距离收缩加上三角不等式得到该界。作者 deliberately 不给下界：可以构造 k=1 且理论优势小于 1、经验优势等于 1 的情形，故 Observation 3 称差距应以期望来研究。
• 期望界：Corollary III.4 中，若单份态维数为 d，则 k 份态维数为 d^k，E[ε_I]≤√(2 d^k / K)。证明用到 Hilbert–Schmidt 范数至多 √2，以及 ∥A∥1≤√(d^k)∥A∥2。
• 作者对界的解读：更大的 K 让影子模型更好逼近成员条件分布，从而缩小差距。更大的 k 提高该期望上界，但 Observation 2 同时称更多 shot 提高任一访问下的攻击优势。Eq. 36 被作者解释为理论优势的可学习性，而不是经验攻击性能本身。

经验攻击怎么实现

• 数据与电路：MNIST 图像归一化到 28×28、像素落在 [−1,1]，PCA 取前 4 个主成分。Fig. 1 的 QNN 有 4 比特、3 层变分：每比特 RY、RZ，再加一圈 CNOT，共 24 个可训练角；输入 xi 用 RY(π xi) 编码。预测为 Z0 的期望，文中记为 ZIII。
• 训练：PennyLane 模拟。80 epoch，Adam，学习率 5×10^−2，二元交叉熵，初始化尺度 0.2。全局群体 512 点，从两类均匀采样；每个目标或影子训练集再抽 |D|=|Ds|=256。K∈{8,16,32,64} 对影子模型。shot 取 k∈{1,2,4,8,16,32}。
• 三种特征：Ck 在可能的 ZIII 计数里拟合最优子集；Mk 对 4 比特全部 255 个 Pauli 串 ⟨X,Y,Z,I⟩⊗4 取成员优势的上确界；Qk 直接算经验 Helstrom 测量，作为量子对手经验性能的上界。Fig. 3 再按 Pauli 权重 ≤1 到 ≤4 分组。
• 成功判定：报告对数据群体中全部目标 z 的平均推断优势 L̂_I，以及平均差距 E_z[ε_I]。

实验设置

• 模型：目标与影子 QNN 同为 Fig. 1 的 4 比特、3 层变分、24 个可训练角电路，PennyLane 无噪声模拟。预测为 Z0 期望（ZIII）。
• 数据：MNIST 两个二分类子集，“0” vs “1”与“3” vs “8”。图像 28×28、像素 [−1,1]，PCA 取前 4 个成分。全局群体 512 点，各类均匀采样；每个模型训练集 256 点。
• 训练：80 epoch，Adam，学习率 5×10^−2，二元交叉熵，初始化尺度 0.2。影子模型配对数 K∈{8,16,32,64}。
• 访问与 shot：Ck 用固定 ZIII；Mk 在 255 个 Pauli 串上取最优；Qk 用集体 Helstrom 测量。k∈{1,2,4,8,16,32}。
• 指标：成员推断优势 L_I（图中写作 LI(z,θ)）及其经验值；理论–经验差距的群体均值 E_z[|ε_I|]（图题为 Mean |ε_I|）。优势对群体中全部目标 z 取平均。论文未报告重复次数、训练集准确率，也未报告与人工判定的对照。
• 图的坐标：Figure 2a、2b 横轴为 k-shot，纵轴为 LI(z,θ)，范围 0 到 1，K=64。Figure 2c、2d 横轴为 K-pair（8、16、32、64），k=32。Figure 3 横轴为 Measurement Family：Ck，Mk 的权重 1–4，Qk。Figure 4 纵轴为对数刻度的 Mean |ε_I|，横轴 K 从 8 到 256，并画有 K^{−1/2} 参照线。

主结果

正文没有给出 Figure 2 各点的读数，只给出坐标轴、图例和作者对曲线关系的陈述。下表只列论文写明的实验条件，不填图上未标注的优势数值。

表格较宽，可左右滑动

任务	K 或 k	访问	论文给出的比较
“0” vs “1”	K=64，k=1…32	Ck / Mk / Qk	作者称 Fig. 2a 呈 Theorem III.2 的层次，且 k 增大时经验优势增大
“3” vs “8”	K=64，k=1…32	Ck / Mk / Qk	作者称 Fig. 2b 同样支持该层次与 shot 效应
“0” vs “1”	k=32，K=8…64	Ck / Mk / Qk	Fig. 2c 横轴为影子配对数；正文未逐点报数
“3” vs “8”	k=32，K=8…64	Ck / Mk / Qk	Fig. 2d 与 2c 对称；正文未逐点报数

• 层次：作者称 Figure 2 在相同影子预算下确认 Ck、可编程 Pauli 的 Mk、集体 Helstrom 的 Qk 这一严格层次，并以此回答 RQ2：量子访问在理论上和经验上都带来成员推断优势。
• shot 与 K：Figure 2a、2b 被作者用来支持 Observation 2，即测量预算 k 增大时经验优势 L̂_I 增大。Figure 2c、2d 改变的是 K，正文未单独给出随 K 变化的读数。
• Sec. V 的记号：讨论实验时写 I∈{Ck,Pk,Qk}。Table I 与 Figure 2 图例使用的是 Mk 而不是 Pk；作者称的层次仍是 C、可编程测量与量子态访问。

测量选择

• 测了什么：Mk 上按 Pauli 权重 ≤1 到 ≤4 分组，每组在每个 k 上取该组测量的最优经验优势，并以 Ck、Qk 为参照。Figure 3a、3b 分别为 “0” vs “1” 与 “3” vs “8”，K=64，k∈{1,2,4,8,16,32}。
• 结果：作者称测量算子 Mu 的选择本身影响优势；更复杂的测量保留 ρθ(x) 中更多信息，优势严格更强。Pauli 权重 ≤4 时，作者称对手相对 Ck 有 significant advantage。图中未标注各柱或各点的具体读数。
• 作者的解读：Mk 被作者视为近期最突出的访问（可编程测量、服务端仍返回经典比特）。该结果被作者理解为对近期 QML 隐私泄漏的一个强结果。

理论–经验差距

• 测了什么：Figure 4 画 E_z[ε_I] 随 K 的变化，分 Ck、Mk、Qk 三幅，曲线对应 k=2、4、8，并叠加 K^{−1/2}。横轴 K 画到 128 与 256；正文训练预算写的是 K∈{8,16,32,64}。
• 结果：作者称更大 K 把差距推向 0，更大 k 提供更多关于 ρθ(x) 的信息，从而确认 Corollary III.4 与 Observation 4。Corollary 的界不被作者当作紧界：Figure 4a–4c 中 K^{−1/2} 的下降慢于实际观测。Qk 上量子信息使差距指数衰减；Ck 与 Mk 上作者称对手能以超指数速率缩小差距，并称已有工作在 Ck 下演示过接近完美的 MIA。图中未标出各点的数值。
• 作者的解读：概率性的 QML 造成理论优势与有限资源经验收益之间的差距，使对手更难在经验上利用量子信息，但不阻止成员推断。作者把更紧的界留作后续工作。

其他消融与分析

• 论文没有另做学习率、层数、编码方式或噪声强度的消融；被扫的变量就是访问 I、shot k、影子对数 K，以及 Mk 的 Pauli 权重。
• 防御讨论在 Sec. V-B，没有对应的攻击后数字：作者提出可把 Ck 当作相对 Mk、Qk 更强的限制，或限制 Mu 与 k，并指出这会带来隐私–效用权衡，该权衡的讨论指向 Heredge 等。
• QDP 被作者论证为对 θ 的后处理：Qk、Mk、Ck 上的成员推断不能超出 ε 或 (ε,δ) 界；量子噪声可在训练中充当 QDP 的扰动来源。作者称仍需要分别给出差分隐私 QNN 在三种访问下泄漏的形式界，本文未报告该界或相应实验。

作者指出的局限与后续方向

• 差距的界不紧：Sec. IV-B 称 Corollary III.4 不打算作为紧界，并把理论与经验隐私泄漏之间更紧的界留作后续工作。（Sec. IV-B）
• 访问是抽象：Sec. V-A 称 Ck、Mk、Qk 应理解为越来越量子原生的服务接口抽象，而不是都已实现的量子计算服务。Ck 对应只返回经典测量的 QML 即服务；Mk 被描述为近期可信的可编程测量；Qk 更远，由量子网络与分布式量子计算所推动。（Sec. V-A）
• 量子互联网：作者把量子互联网上更细致的 MIA 分析留作后续，并称本文结论不依赖 Mk 或 Qk 的某一种具体实现。（Sec. V-A）
• 防御尚未形式化：Sec. V-B 称需要为差分隐私 QNN 分别建立 Ck、Mk、Qk 下隐私泄漏的形式界。限制测量或 shot 被作者认为会冲击模型性能，该权衡指向 Heredge 等的讨论。（Sec. V-B）
• 模型规模与噪声：Conclusion 的 Limitations 写，本文研究的是小规模（4 比特、24 参数）QNN，且在无噪声条件下。（Conclusion, Limitations）
• 定位：Conclusion 称本文建立的是量子原生访问下 QML 隐私的一种刻画，并证明有限查询与有限影子模型训练预算下经验 MIA 性能的一个界。（Conclusion）

实验覆盖范围

• 被测电路是 Fig. 1 的 4 比特、24 参数 QNN，目标与影子模型同结构，全部在 PennyLane 中无噪声模拟，训练 80 epoch。（Sec. IV-A）
• 数据是 MNIST 的两个二分类子集，“0” vs “1”与 “3” vs “8”；群体 512 点，每个模型训练集 256 点。（Sec. IV-A）
• 影子配对数取 K∈{8,16,32,64}，shot 取 k∈{1,2,4,8,16,32}；Mk 评估 255 个 Pauli 串，Figure 3 再按 Pauli 权重 ≤1 至 ≤4 分组。（Sec. IV-A、IV-B）
• 主图为 Figure 2 的平均成员优势、Figure 3 的测量族比较、Figure 4 的平均差距；Figure 4 横轴画到 K=256，并含 K^{−1/2} 参照线。论文未报告各点的数值表，也未报告重复次数。（Sec. IV-B）
• Sec. V-B 讨论了把接口限制在 Ck、限制 Mu 或 k，以及用 QDP 与 NISQ 噪声作防御；这些讨论没有配套的攻击成功率或效用数字。

作者研究 量子原生访问下 QNN 的成员推断：对手不再只拿到固定测量的经典比特。

• 问题：服务只返回经典结果时，测量丢掉相干与互补基信息。作者问量子计算能力（RQ1）和量子信息访问（RQ2）是否加强成员推断。
• 理论：Game 1 的优势在 Ck 上等于输出分布的总变差，量子测量不能再提高，故 Ck 下没有成员推断的量子优势。允许自选 Pauli 测量的 Mk，以及直接拿到 ρθ(x)⊗k 的 Qk，满足 LC≤LM≤LQ；Qk 的最优优势是成员条件态差的迹范数之一半。同一访问下，更多 shot 不降低优势。
• 差距：K 对影子模型只能估计成员条件分布。理论优势与经验优势之差不超过该估计误差的迹范数；其期望不超过 √(2 d^k / K)。更多影子模型缩小差距，更多 shot 放宽这一期望上界，同时提高攻击优势。作者把该界解释为理论优势可学习到什么程度。
• 实验：4 比特、24 参数、无噪声 PennyLane QNN，MNIST “0”/“1”与 “3”/“8”，群体 512、训练集 256，K 至 64 对，shot 至 32。Figure 2 被作者用来确认访问层次和 shot 效应；Figure 3 被用来说明更高 Pauli 权重带来更高 Mk 优势；Figure 4 被用来说明 K 增大时差距趋向 0，且所给 K^{−1/2} 界下降慢于观测。图中没有标注可逐点抄录的优势百分数。
• 结论：作者认为现有只看经典输出的 QML 隐私研究，低估了量子原生访问下的泄漏；QML 的概率性拉大理论与经验之间的差距，但不阻止成员推断。Ck、限制测量和 QDP 被当作可能的防御方向，形式界留待以后。