Ataque FGSM atravessa da simulação para hardware quântico real contra detector de intrusão
Um estudo acadêmico treinou um classificador quântico variacional para detectar DDoS e mostrou que ataques adversariais do tipo FGSM, desenvolvidos inteiramente em simulação, continuam funcionando quando aplicados a um processador quântico real da IBM. Os autores também descobrem que o ruído do hardware, em vez de proteger o modelo, apenas reduz sua confiança e facilita o ataque — invalidando a ideia de que ruído quântico funcionaria como defesa natural.
Com computação quântica cada vez mais acessível via nuvem, já existem propostas de usar classificadores quânticos variacionais (VQC) para detecção de intrusão de rede. O estudo testa a robustez desses modelos treinados no subconjunto de DDoS do CICIDS2017 contra dois vetores: envenenamento por inversão de rótulos durante o treino e evasão por FGSM no momento da predição, comparando sempre o comportamento em simulação com o comportamento no processador supercondutor Heron r2 da IBM.
O achado central é que acurácia não é um bom proxy para robustez: dois modelos com desempenho parecido no conjunto de teste podem ter resiliência muito diferente a perturbações mínimas na entrada. Um modelo que decide com pouca confiança perde metade das detecções com uma alteração muito pequena no input; um modelo treinado para decidir com mais confiança exige uma perturbação bem maior antes de falhar — e esse segundo tipo de modelo, quando atacado com sucesso em simulação, também falha no hardware quântico real, com o dispositivo classificando corretamente toda amostra de ataque não alterada.
O ponto mais contraintuitivo é sobre o ruído de hardware quântico: a hipótese natural seria que o ruído físico do processador atrapalharia o atacante, funcionando como uma defesa gratuita. Os resultados mostram o oposto — o ruído não reduz a acurácia do modelo, mas reduz sua confiança nas decisões, e isso facilita o ataque. Ou seja, a imperfeição física do hardware quântico atual não deve ser contada como mitigação de segurança.
Na prática, isso tem uma implicação direta de custo para quem pensa em atacar (ou defender) esse tipo de sistema: como o ataque pode ser inteiramente prototipado em simulação barata antes de ser validado em hardware real, o custo de desenvolver um exploit funcional contra um IDS quântico em produção cai bastante, enquanto o label flipping se mostrou um vetor pouco prático, exigindo corromper 15% dos rótulos de treino para ter efeito mensurável.