量子生成模型外包给远程服务器：采样协议不只给通过或中止，还能估出被污染样本比例

量子生成模型的推理采样可以外包给一台可能作恶的远程量子服务器，客户端仍能判断返回的样本是否按约定线路生成。 此前的可验证盲采样协议建立在Mahadev协议之上，安全性依赖计算假设，且在近期设备上更难运行；基于陷阱线路的认证协议则假定设备诚实、噪声符合建模假设。 协议把验证开销分摊到多轮，而不是逐次采样验证；在4量子比特IQP玻恩机的Bars&Stripes基准上，陷阱检测次数与错误样本数相关，接受率随攻击概率上升而下降。

协议在通过或中止之外，还能给出被污染样本比例的估计，把验证结果与面向应用的基准测试连起来。 通常的验证协议只返回接受或中止这一二元结果，不描述输出质量。 在更大参数与更宽攻击概率范围的重复实验中，该估计量能恢复真实的污染率，其标准差随测试轮数增加而下降。

训练阶段的外包被推广到不满足期望值损失与参数移位规则梯度的量子生成模型。 此前的可验证端到端委托变分量子算法只覆盖期望值损失与参数移位规则梯度，无法直接套用到采样型距离度量的生成模型。 只要损失函数的误差能按被污染轮数比例界定，且一个梯度步内的所有线路求值共享同一MBQC图，验证步骤即可成立；QCBM配MMD损失和基于MBQC的生成模型被列为满足该假设的例子。

该协议面向需要把量子生成模型推理外包给远程量子服务器的客户端，安全保证来自通用盲量子计算与陷阱化方案，属于信息论层面而非计算假设。采样协议本身不限于量子生成模型，可用于任何基于采样的量子计算。训练阶段的推广适用于损失误差可按被污染轮数比例界定、且一个梯度步内所有线路求值共享同一MBQC图的模型。数值模拟在4量子比特IQP玻恩机的Bars&Stripes基准上完成，攻击用退相位噪声模型演示。

污染率估计的界在无穷多次采样下饱和，有限采样会引入额外的方差项，分析中把采样数视为足够大以使该贡献相对可忽略。训练推广要求一个梯度步内所有线路求值共享同一MBQC图，依赖异构线路估计梯度的量子生成模型落在该假设之外。数值模拟只覆盖推理阶段，训练部分为高层方案。协议在通过或中止之外返回污染率估计，但接受或中止的判定在全部轮次委托完成后才作出。