量子对抗鲁棒性：从理论极限到可计算下界

1. 量子对抗鲁棒性：从理论极限到可计算下界

在机器学习的世界里，我们训练模型去识别猫狗、翻译语言、甚至驾驶汽车。这些模型在精心准备的“干净”测试集上往往表现优异，准确率高达99%以上。然而，一个令人不安的事实是，只需对输入数据施加人类肉眼几乎无法察觉的微小扰动，就足以让最先进的模型做出完全错误的判断。一张被巧妙修改的“停车”标志图片，可能被自动驾驶系统识别为“限速80公里”。这种针对机器学习模型的“对抗性攻击”，揭示了模型在安全性上的致命软肋——缺乏对抗鲁棒性。

对抗鲁棒性，简而言之，就是模型在面对这种精心设计的、旨在导致其出错的输入扰动时，保持正确分类的能力。评估一个模型的鲁棒性，传统做法是使用已知最强的攻击方法（如PGD攻击）去测试它，看它在攻击下的错误率（即对抗错误率）有多高。但这里存在一个根本性问题：我们如何知道一个模型已经足够鲁棒？它的对抗错误率是否已经低到了“理论上可能的最低值”？还是说，通过改进模型架构或训练方法，我们还能让它更抗揍？

这就引出了“对抗风险下界”的概念。它不是一个具体的数字，而是一个由数据分布本身决定的、理论上的极限。想象一下，你的数据点就像星空中的星星，每个类别占据一片星域。由于星星的分布并非完全分离，总有一些区域是模糊的、容易混淆的。对抗风险下界描述的就是：无论你设计出多么完美的分类器，只要它在干净数据上的错误率（非对抗错误率）是α，那么在最强的攻击下，它的对抗错误率不可能低于某个值c_adv(α)。这个c_adv(α)就是下界，它只取决于数据点之间的“距离”结构（在经典场景是欧氏距离，在量子场景是迹距离）和攻击者被允许的扰动强度ε。它为所有模型的鲁棒性表现划定了一条起跑线。

将这套理论框架迁移到量子机器学习，事情变得更有趣，也更复杂。QML利用量子比特的叠加和纠缠特性处理信息，有望在某些任务上超越经典极限。但量子模型同样面临对抗性威胁，而且攻击面更广：攻击者不仅可以在经典的输入数据上做手脚（经典扰动攻击），还可以在数据被编码成量子态之后，直接对量子态本身进行扰动（量子扰动攻击）。后者是QML独有的安全挑战。评估量子模型的鲁棒性，如果只是简单套用经典方法，就像用尺子去量测海水的温度——工具根本不对。我们需要一套适配量子特性的、全新的鲁棒性评估基准。

这正是我们工作的核心：首次为量子机器学习，特别是量子扰动攻击场景，建立了一套可计算的对抗风险下界估计方法。我们不仅从理论上证明了在量子希尔伯特空间中，基于迹距离的“误差区域”扩展遵循新的几何规则（而非简单的半径相加），还设计了一套高效的GPU并行算法来实际计算这个下界。我们在MNIST和Fashion-MNIST数据集上，对量子变分电路模型进行了全面测试。结果清晰表明，无论模型在训练中如何变化，其实际对抗错误率始终高于我们计算出的理论下界。这就像为量子模型的“抗打击能力”比赛设置了一条明确的合格线，任何选手的成绩都必须在这条线之上。它为未来设计真正鲁棒的量子学习模型提供了一个不可或缺的、客观的衡量标尺。

1.1 核心挑战：为什么量子对抗鲁棒性与众不同？

要理解我们工作的价值，首先要看清量子对抗鲁棒性评估的特殊难点。这不仅仅是把经典公式里的l2范数换成迹距离那么简单。

第一个难点在于攻击场景的物理意义不同。在经典攻击中，扰动强度ε通常用l∞、l2或l1范数来衡量，约束的是像素值的变化总量。在量子攻击中，我们扰动的是量子态。如何度量两个量子态之间的“差异”？最自然的度量是迹距离。更重要的是，这个距离有直接的物理操作对应：量子态验证。假设防御方可以对输入的量子态进行有限次（比如n次）的测量，以验证它是否是被篡改过的“赝品”。根据量子信息理论，只有当原始态和扰动态之间的迹距离大于约O(1/√n)时，防御方才能以高置信度区分两者。因此，一个成功的、能逃过检测的量子扰动攻击，其扰动强度ε在迹距离意义上必须足够小。这就为我们的下界计算定义了一个具有明确物理意义的攻击强度参数。

第二个难点在于误差区域扩展的几何复杂性。计算下界的核心思路是：在数据空间中，画出所有可能被模型分错的点（构成“误差区域”E），然后将这个区域向外“扩展”一个攻击强度ε的距离，得到扩展区域E_ε。对抗风险（理论上的对抗错误率）就是这个扩展区域的“体积”（概率测度）。在经典欧氏空间中，一个半径为r的球体，扩展ε距离后，新半径就是简单的r‘ = r + ε。但在量子态的希尔伯特空间中，两个纯态之间的迹距离D与它们之间的Bures角θ满足D = sin θ。经过推导（详见论文附录），我们发现，一个在Bures角意义下半径为θ_r的“球体”，在受到最大迹距离为ε = sin θ_ε的扰动后，其扩展区域的半径θ_r’满足一个三角关系：θ_r‘ = θ_r + θ_ε。对应的，在迹距离表示的球体半径上，扩展规则变为：r‘ = r * sqrt(1 - ε^2) + ε * sqrt(1 - r^2)这个公式远比经典的加法复杂，它源于量子态空间本身的球面几何结构。忽略这一点，直接套用经典公式，会导致下界估计出现根本性错误。

第三个难点是计算效率。下界估计算法本质上是搜索数据空间，寻找能以最小“扩展体积”覆盖给定“误差体积”的球体组合。这是一个高维空间中的组合优化问题。经典算法（如基于Ball Tree的方法）在处理大规模数据集或高维量子态编码时，会面临严重的计算瓶颈。量子态编码（如振幅编码）后的数据维度可能是指数级的（对于n个量子比特，状态空间是2^n维），这使得高效计算成为将理论付诸实践的关键。

我们提出的方法，正是为了系统性地解决这三个核心挑战，为QML的对抗鲁棒性研究提供一个坚实、可用的理论基础和计算工具。

2. 理论基石：从对抗错误率到可计算的风险下界

要构建一个可计算的下界，我们需要一套严谨的数学语言，将直观的“模型在攻击下会多容易出错”这个概念，转化为一个可以优化的具体问题。这个过程就像为“鲁棒性”这座大厦打下地基。

2.1 定义战场：对抗错误率与对抗风险

首先，我们需要精确区分两个紧密相关但略有不同的概念：对抗错误率和对抗风险。

• 对抗错误率是我们在实验中直接测量的。给定一个分类器f，一个测试集Ω_test，和一个在强度ε约束下的攻击算法A，对抗错误率就是攻击后分类错误的样本比例：AdvErr_{ε, A, f} = #{(x_i, y_i) ∈ Ω_test | f(A(f, x_i, ε)) ≠ y_i} / #Ω_test这个值依赖于三个东西：具体的模型f、具体的攻击算法A、以及具体的测试集。它告诉我们“这个模型，在这个攻击下，在这个数据集上，表现如何”。

• 对抗风险则是一个更理论化的概念。它不考虑具体的模型和攻击算法，而是考虑最优攻击和数据本身的概率分布。假设我们知道了数据的真实分布μ，以及一个假设的“真实标签函数” f*(x)。对于一个分类器f，它的对抗风险定义为：从分布中随机采样一个点x，存在一个在其ε邻域内的点x‘，使得f(x’) ≠ f*(x’)的概率。用数学写出来就是：AdvRisk_{ε, f} = μ({ x | ∃ x‘ s.t. ||x‘ - x|| < ε and f(x‘) ≠ f*(x‘) })这里的关键在于条件变成了f(x‘) ≠ f*(x‘)，而不是实验中的f(x‘) ≠ y（其中y = f*(x)）。这意味着，对抗风险考虑的是攻击可能将样本扰动到另一个真实类别的区域，而不仅仅是让模型出错。

那么，这两个概念在什么情况下可以划等号呢？需要一个关键的假设：鲁棒的真实性。即，对于数据分布中的绝大多数点x，在其ε邻域内，真实标签函数f*保持不变。也就是说，小的扰动不会改变样本的本质类别。在MNIST数据集中，对一个数字“7”的图片做微小扰动，它看起来仍然应该是个“7”。如果这个假设成立，那么对抗风险就近似等于在最优攻击下的对抗错误率的期望值。我们的整个下界理论，都是在这个假设下，为对抗风险（进而为对抗错误率）寻找一个最小值。

2.2 化繁为简：从分类器到误差区域

直接对分类器f进行优化来最小化对抗风险是极其困难的，因为f可以是任意复杂的函数。一个巧妙的思路是进行变量替换。我们不直接优化f，而是优化由f定义的误差区域E：E = { x | f(x) ≠ f*(x) }这个区域包含了所有被模型分错的点。对抗风险可以重新表述为这个误差区域的“ε扩展”区域的体积：AdvRisk_{ε, E} = μ(E_ε)其中，扩展区域E_ε定义为：所有与E中某个点距离小于ε的点的集合。E_ε = { x | ∃ x‘ ∈ E s.t. ||x‘ - x|| < ε }

这个转换至关重要。它将问题从“寻找一个鲁棒的分类函数”简化成了“在数据空间中寻找一个形状最优的误差区域”。所谓“形状最优”，是指在固定误差区域体积μ(E) = α（即给定的干净错误率）的前提下，使其扩展体积μ(E_ε)最小。这个最小的μ(E_ε)就是我们寻找的对抗风险下界c_adv。

核心洞见：这个下界c_adv是模型无关的。它不关心你用的是量子神经网络还是经典神经网络，是ResNet还是Transformer。它只取决于三件事：1) 数据分布的内在几何结构（点与点之间的距离），2) 你允许的干净错误率α，3) 攻击者的能力ε。因此，它为所有可能的模型设定了一个统一的、公平的鲁棒性基准。

2.3 量子空间的独特几何：Bures角与三角不等式

在经典空间（如R^n与l2距离）中，一个球体的扩展就是半径增加ε。但在量子纯态的空间（复投影空间）中，事情没那么简单。我们用Bures角θ来度量两个纯态 |ψ⟩ 和 |ϕ⟩ 之间的“角度”距离：cos θ = |⟨ψ|ϕ⟩|。迹距离D与Bures角的关系是 D = sin θ。

我们的一个关键理论贡献是证明并应用了Bures角的三角不等式。对于任意三个单位复向量（量子态）|v1⟩, |v2⟩, |v3⟩，它们之间的Bures角满足：θ_{v1,v3} ≤ θ_{v1,v2} + θ_{v2,v3}等号成立的条件是这三个向量线性相关，且它们的内积乘积为实数。

这个三角不等式是直观的：从态|v1⟩“走到”态|v3⟩，最短路径不会比经过一个中间态|v2⟩更长。正是基于这个不等式，我们才能严格推导出前面提到的量子球体扩展公式r‘ = r * sqrt(1 - ε^2) + ε * sqrt(1 - r^2)。这个公式确保了在量子迹距离度量下，扩展操作的数学正确性，是后续所有计算的基础。

3. 核心算法：高效并行化的下界估计引擎

理论很优美，但如何从有限的数据样本中实际计算出这个下界c_adv？我们面对的是一个高维空间中的非凸优化问题：寻找一组球体，使得它们的并集（误差区域E）恰好覆盖一定比例（α）的样本点，同时这组球体在扩展ε后所覆盖的样本比例（即μ(E_ε)的估计）最小。

3.1 算法骨架：贪婪搜索与球体填充

我们的算法采用一种贪婪启发式搜索策略来近似求解这个难题。其核心思想是：既然最优的误差区域E可能形状极其复杂，我们用一个相对简单的形状——有限个超球体的并集——来近似它。算法迭代地进行以下步骤：

1. 预处理：计算所有样本点之间的两两距离矩阵D。对于量子攻击场景，这个距离是迹距离；对于经典攻击，则是欧氏距离。这一步计算量较大，复杂度为O(n²d)，其中n是样本数，d是数据维度（或量子态维度）。但它是后续所有快速查询的基础。
2. 迭代选球：进行T轮迭代（T是一个超参数，如20）。在每一轮中： a.候选生成：遍历每一个样本点作为球心i，并遍历一系列可能的球体半径（对应覆盖k个样本）。对于每个(i, k)对，计算当前球体覆盖的样本数（即对非对抗风险α的贡献），并利用扩展公式计算其ε扩展后覆盖的样本数（即对对抗风险的贡献）。 b.最优选择：选择那个能最小化“对抗风险增量 / 非对抗风险增量”比值的球体(i, k)。这相当于在当前步骤，用最小的“扩展代价”来覆盖尽可能多的“误差预算”。 c.更新状态：将这个球体及其扩展区域分别加入当前已构建的误差区域E和扩展区域E_ε。从距离矩阵中移除已被覆盖的样本点相关的信息，避免重复计算。
3. 结果输出：经过T轮后，我们得到一组球心C和半径R，它们定义的球体并集近似了最优误差区域。我们在一个独立的测试集上评估这个区域及其扩展区域的样本覆盖率，分别得到测试集上的非对抗风险估计值Risk_ν和对抗风险估计值AdvRisk_ν。

3.2 效率飞跃：GPU并行化与数据结构优化

经典的下界估计算法严重依赖Ball Tree数据结构来加速近邻搜索，其主循环复杂度约为O(n²d)，且难以并行化。我们算法的最大创新点在于其高度并行化的设计，使其能够充分利用现代GPU的算力。

• 矩阵化与排序：我们将所有样本间的两两距离预先计算并存储为一个矩阵D。然后，对每一行（即每个样本点到其他所有点的距离）进行排序，得到排序后的距离矩阵D^(s)和一个索引矩阵I。I记录了排序后每个距离值在原矩阵中的列位置。
• 并行化核心循环：算法中最耗时的部分是遍历所有球心i和所有可能的覆盖样本数k。在我们的设计中，对于固定的k，所有球心i对应的计算（计算半径、查找扩展后的覆盖数）都是完全独立的！这意味着我们可以将i和k的循环展开，将成千上万个计算任务一次性提交给GPU进行并行计算。查找扩展后覆盖数k‘的操作，是通过在排序后的距离列表D^(s)_i上进行二分查找完成的，复杂度仅为O(log n)。
• 高效的状态更新：当一个新的球体被选中并覆盖了一批样本后，我们需要更新数据结构，移除这些已被覆盖的样本。我们设计了一个高效的Condense函数。它利用预先计算好的索引矩阵I’，可以快速定位并移除已覆盖样本对应的距离值，生成新的、压缩后的排序距离列表，用于下一轮迭代。

通过以上设计，我们将算法主循环的复杂度降低到了O(n² log n)，并且将最繁重的计算部分完美映射到了GPU的并行架构上。对于万数量级的样本，这带来了数量级的加速，使得在合理时间内为真实数据集计算量子对抗风险下界成为可能。

3.3 提高精度：回归校正与超参数选择

由于我们使用训练集来寻找误差区域，并在测试集上评估风险，会存在估计偏差。为了得到在目标非对抗错误率α处的精确下界估计，我们引入了回归校正步骤：

1. 我们不是只针对一个α值运行算法，而是在α附近选择一个范围[α_l, α_u]，在此范围内均匀选取m个不同的目标值{α_ν}。
2. 对每个α_ν，我们多次随机划分训练集和测试集，运行算法，得到多组(Risk_ν, AdvRisk_ν)数据点。
3. 对这些数据点进行线性回归，拟合出测试集对抗风险与测试集非对抗风险之间的关系曲线。
4. 最后，将我们关心的目标α代入回归模型，插值得到对应的对抗风险下界估计值c_adv。

这个方法有效地平滑了由于随机采样和启发式搜索带来的噪声，得到了更稳定、更准确的下界估计。

超参数T的选择：算法中用于近似误差区域的球体数量T是一个关键超参数。T太小，则简单的球体并集无法很好地拟合复杂的误差区域形状，导致估计的下界偏高（不紧）。T太大，则每个球体覆盖的样本数很少，统计估计的方差会变大，同时可能导致过拟合训练集，使得在测试集上的泛化性变差。在实践中，我们通过在一个验证集上进行网格搜索来选择T，通常T在10到50之间能取得较好的平衡。我们的实验表明，当T超过一定值后，测试集上的估计下界会趋于稳定。

4. 实验验证：在量子变分电路上的实战检验

理论和方法需要实验的验证。我们在两个经典的图像数据集MNIST（手写数字）和Fashion-MNIST（服装物品）上，构建了量子变分电路模型，并进行了全面的测试。

4.1 实验设置：模型、攻击与评估

模型架构：我们采用主流的量子变分电路模型。其结构分为三个阶段：

1. 编码阶段：采用振幅编码。将28x28=784像素的灰度图像归一化后，编码到一个10量子比特系统的量子态振幅中（2^10=1024 > 784，多余维度补零）。即 |ψ⟩ = Σ_i u_i |i⟩，其中u_i是归一化后的像素值。
2. 量子电路：使用PennyLane库提供的StrongEntanglingLayers作为可训练的参数化量子电路层，共200层。每层包含单比特旋转门和受控Z门，用于产生纠缠和复杂的量子变换。
3. 经典后处理：测量每个量子比特的Pauli-Z算符期望值⟨σ_z^(i)⟩，得到一个10维向量（对应10个类别）。训练时，对此向量使用Softmax函数输出概率分布；测试时，直接取argmax作为预测类别。

关键调节旋钮：Softmax温度t。为了研究模型行为，我们引入了Softmax温度参数：Softmax(z_i) = exp(z_i / t) / Σ_j exp(z_j / t)。温度t控制着输出概率分布的“尖锐”程度。t越小，Softmax越接近argmax，模型对量子电路输出的细微差异越敏感。我们训练了不同温度（t=1, 1/10, 1/20）的模型，分别命名为M1/M2/M3（MNIST）和F1/F2/F3（FMNIST）。

攻击方法：

• 经典l2攻击：标准的PGD攻击，约束扰动在l2范数球内（ε = 100/255）。
• 量子TD-PGD攻击：这是我们为量子扰动场景设计的攻击。扰动施加在编码后的量子态上，约束在迹距离球内（ε = 0.1）。攻击梯度通过模拟的量子反向传播获得。由于振幅编码下，归一化向量的迹距离约束等价于对经典输入向量的余弦相似度约束，因此攻击步骤包括：沿损失梯度方向在归一化球面上移动一步，然后投影回以原始态为中心、迹距离为ε的球面上。

下界计算：对于每个模型（对应一个特定的非对抗错误率α）和每种攻击（对应一个攻击强度ε），我们运行第3章描述的并行化算法，计算其对抗风险下界。超参数设置为：球体数T=20，回归迭代次数m=10，α搜索范围为[α, 1.1α]。

4.2 结果分析：下界有效性与模型行为洞察

实验的核心结果总结在下表中：

核心结论1：下界的有效性。在所有6个模型、两种攻击共12组实验中，模型的实际对抗错误率无一例外地高于我们计算出的理论下界。这强有力地证实了我们所提出下界的正确性：它确实为任何量子分类器在给定攻击强度下的对抗错误率设定了一个无法逾越的理论下限。

核心结论2：训练轨迹的合规性。我们不仅看了训练完成后的模型，还监控了模型在整个训练过程中对抗错误率与非对抗错误率的变化轨迹。我们将这些轨迹点与对应非对抗错误率下的理论下界曲线进行对比。结果显示，所有训练轨迹都始终位于下界曲线的上方，并且随着训练进行（错误率下降），轨迹逐渐靠近但从未穿过下界曲线。这表明，下界在整个模型优化过程中都是一个一致且有效的约束。

深入观察：温度t的影响与鲁棒性-准确性权衡。一个有趣的发现是关于Softmax温度t的作用。降低t（使输出更尖锐）可以显著降低模型的非对抗错误率（M3/F3比M1/F1低得多），这是符合直觉的。然而，观察“对抗错误率 / 下界”这个比值（可以看作模型距离理论最优鲁棒性的“差距”），我们发现了一个趋势：对于同一种攻击，温度t更低的模型，这个比值往往更大。例如，在MNIST的lq攻击下，M1的比值为2.01，M2为2.69，M3高达6.71。

这意味着什么？虽然低温模型在干净数据上更准确，但其对抗鲁棒性相对于理论极限的“缺口”反而更大了。换句话说，在追求更高准确率的同时，我们可能牺牲了模型达到其理论最大鲁棒性的潜力。这呼应了经典机器学习中著名的“鲁棒性-准确性权衡”现象，并在量子场景中得到了体现。一个可能的解释是，低温迫使模型学习到更复杂、更脆弱的决策边界，这些边界虽然能更精细地区分干净样本，但也更容易被微小的对抗性扰动所跨越。

对抗样本的可解释性：我们还可视化了攻击生成的对抗样本。一个有趣的模式是，对于使用较高温度（t=1）训练的模型（如M1，F1），其对抗扰动往往表现出更强的系统性特征。例如，在MNIST上，攻击倾向于给数字“0”添加水平笔画，或加粗数字“1”的笔画；在FMNIST上，给T恤添加袖子，或去掉外套的袖子。这些扰动方向与人类“改变物体类别”的直觉有一定吻合。而对于高精度（低温）模型，这种系统性特征减弱，扰动看起来更随机、更难以解释。这表明，更鲁棒的��型（相对其理论极限更近的模型）其决策可能依赖于更人类可理解的特征，而纯粹追求高精度的模型可能依赖于更抽象、更脆弱的特征。

4.3 算法性能与效率

我们的并行化算法在配备NVIDIA GPU的工作站上，对于MNIST/FMNIST数据集（万级样本），完成一次完整的下界计算（包括多次回归迭代）通常在几分钟到十分钟内。这相比传统的串行或基于树结构的算法有显著提升，使得该方法可以应用于更大规模的数据集和更复杂的量子编码方案。

实操心得：在实现算法时，最大的性能瓶颈往往是距离矩阵的计算和存储。对于振幅编码，迹距离的计算可以简化为计算归一化样本向量之间的点积，复杂度为O(d)，其中d是原始数据维度。对于相位编码等其他编码方式，需要推导相应的保真度计算简化公式。提前将距离计算优化好，并利用GPU的并行计算能力进行矩阵排序和搜索，是工程实现的关键。

5. 常见问题、挑战与未来方向

尽管我们提出的框架在理论和实验上都取得了成功，但在实际应用和未来研究中，仍有一些重要的问题和挑战需要关注。

5.1 理论假设的局限性与现实考量

我们的整个下界理论建立在两个核心假设之上：

1. 鲁棒的真实性：即真实标签函数f*在样本的ε邻域内是恒定的。
2. 最优攻击的可达性：我们计算的下界是针对“最优攻击”的。实验中我们使用PGD及其量子变体TD-PGD作为近似。

在现实数据集中，假设1可能被违反。例如，在图像分类的边缘案例中（一个像“7”又像“1”的手写体），其微小邻域内可能确实包含语义上的歧义。这种情况下，我们计算的下界可能过于乐观（即实际可能的最低对抗错误率比我们的下界更高）。未来的工作需要探索如何量化这种“标签噪声”或“固有歧义”对下界的影响。

对于假设2，PGD攻击在经典领域已被广泛验证为一种极强的、接近最优的一阶攻击。我们将其适配到量子场景（TD-PGD）是基于合理的梯度利用。然而，是否存在更强的、非梯度的量子攻击算法？这仍然是一个开放问题。下界的紧致性（即是否存在模型能真正达到或无限接近这个下界）也依赖于攻击的最优性。

5.2 计算复杂性与扩展性挑战

虽然我们的并行算法大大提升了效率，但计算所有样本对之间的距离矩阵，其O(n²d)的复杂度对于超大规模数据集（如ImageNet）仍然是 prohibitive 的。未来的改进方向可能包括：

• 基于采样的估计：不需要计算全部样本对的距离，而是通过精心采样子集来估计数据分布的几何特性，从而近似计算下界。
• 量子加速的距离计算：对于量子扰动攻击，迹距离本身可以通过量子算法（如Swap Test或振幅估计）在量子计算机上以潜在指数级加速进行估计。这将把最耗时的部分卸载到量子硬件上，实现真正的量子-经典混合计算范式。
• 更高效的启发式搜索：当前的贪婪算法是局部最优的。可以探索基于全局优化的方法（如模拟退火、遗传算法）来寻找更优的球体组合，虽然可能会增加单次迭代成本，但可能用更少的球体T达到更好的近似效果。

5.3 迈向更紧致的下界与模型设计指导

目前的下界在大多数情况下与模型的实际性能还有一定差距（例如，对抗错误率可能是下界的1.5到6倍）。这中间的巨大空间，正是模型改进的潜力所在。我们的框架为评估这种改进提供了标尺。

如何利用下界指导模型设计？

1. 架构搜索：当设计一个新的量子电路Ansatz时，除了看它在干净数据上的准确率，还应评估其在攻击下的错误率距离理论下界有多远。一个“好”的架构应该能在保持高准确率的同时，让对抗错误率尽可能贴近下界。
2. 训练策略验证：对抗训练、正则化等鲁棒性增强技术，其有效性可以用量化指标来评估：它们是否显著缩小了“实际对抗错误率”与“理论下界”之间的差距？
3. 数据增强与编码方案选择：不同的数据预处理和量子编码方案会改变数据点在量子希尔伯特空间中的几何分布。我们的下界计算可以作为一个工具，来评估哪种编码方案能从数据层面提供更高的固有鲁棒性下界。例如，或许某种特定的特征映射（feature map）能将不同类别的数据点推得更开，从而在相同攻击强度下，获得一个更低的c_adv。

5.4 超越分类：回归、生成模型与更广泛的攻击

目前的工作聚焦于分类任务下的逃避攻击。这套理论框架有潜力扩展到更广泛的机器学习任务和攻击类型：

• 量子生成模型：如何定义生成模型（如量子生成对抗网络）的对抗鲁棒性？攻击者可能旨在扰动输入噪声向量以产生特定的错误输出，或扰动生成样本以欺骗判别器。为其定义合理的风险下界是一个新颖的方向。
• 量子回归模型：对于回归任务，对抗风险的定义需要从“错误分类”变为“预测误差超过某个阈值”。这需要重新定义“误差区域”E，但核心的“区域扩展”思想依然适用。
• 数据投毒攻击与后门攻击：这些是在训练阶段发生的攻击。我们的下界框架主要针对推理阶段的逃避攻击。为训练阶段攻击建立理论下界是另一个更具挑战性的前沿课题。

最后，一个根本性的问题是：我们能否设计出达到或接近理论下界的量子模型？这可能是量子对抗机器学习领域的“圣杯”之一。这需要模型不仅能够拟合数据，还能学习到数据分布中“最本质”、“最鲁棒”的特征。我们的工作为追寻这个目标提供了第一块路标和一把可靠的尺子。通过持续地将模型的实际表现与理论极限进行比较，我们能够更清晰地知道前进的方向和剩余的潜力，从而逐步逼近量子机器学习安全性的终极边界。