[論文レビュー] Adversarial Exposure Attack on Diabetic Retinopathy Imagery Grading

Yupeng Cheng, Qing Guo+4 more|arXiv (Cornell University)|Sep 19, 2020

Adversarial Robustness in Machine Learning参考文献 53被引用数 29

ひとこと要約

本稿では、糖尿病網膜症（DR）グレーディングにおける深層ニューラルネットワークをだますために、網膜視床画像の露出を操作する画期的な敵対的露出攻撃を提案する。露出攻撃をラプラシアンピラミッド空間における括弧付き露出統合として定式化し、畳み込み統合を拡張することで、自然な外観の敵対的画像を生成する手法を構築した。この手法は高い転送性を達成し、MobileNet や EfficientNet などのモデルを対象とした転送攻撃で最大 84.6% の成功率を達成した。

ABSTRACT

Diabetic Retinopathy (DR) is a leading cause of vision loss around the world. To help diagnose it, numerous cutting-edge works have built powerful deep neural networks (DNNs) to automatically grade DR via retinal fundus images (RFIs). However, RFIs are commonly affected by camera exposure issues that may lead to incorrect grades. The mis-graded results can potentially pose high risks to an aggravation of the condition. In this paper, we study this problem from the viewpoint of adversarial attacks. We identify and introduce a novel solution to an entirely new task, termed as adversarial exposure attack, which is able to produce natural exposure images and mislead the state-of-the-art DNNs. We validate our proposed method on a real-world public DR dataset with three DNNs, e.g., ResNet50, MobileNet, and EfficientNet, demonstrating that our method achieves high image quality and success rate in transferring the attacks. Our method reveals the potential threats to DNN-based automatic DR grading and would benefit the development of exposure-robust DR grading methods in the future.

研究の動機と目的

• 深層学習に基づく糖尿病網膜症（DR）グレーディングシステムが露出操作による敵対的攻撃に対してどれほど脆弱であるかを調査すること。
• 露出チューニングによる効果的な敵対的例を生成する際の、画像の自然さを維持する課題に対処すること。
• 異なる事前学習済みモデル（例：ResNet50、MobileNet、EfficientNet）間での敵対的例の転送性を向上させること。
• ラプラシアンピラミッド空間における露出の統合問題としてのモデル化により、高い画像品質と高い攻撃成功確率の両立を図ること。
• 自動DR診断における露出関連のロバストネスギャップのリスクを明らかにし、露出に強いモデルの開発を促進すること。

提案手法

• 画像露出の乗法的摂動に基づく攻撃をベースラインとして提案し、画像の自然さを維持する課題を明らかにした。
• 敵対的括弧付き露出統合（BEF）を導入し、ラプラシアンピラミッド空間における括弧付き露出シーケンスの要素ごとの統合として攻撃をモデル化することで、現実性を向上させた。
• 畳み込み括弧付き露出統合（CBEF）を構築し、要素ごとの乗算を学習可能な畳み込みカーネルに拡張することで、転送性を向上させた。
• マルチスケールの画像構造を保持し、知覚的品質を確保するために、ラプラシアンピラミッドドメインにこの手法を適用した。
• 異なるiable最適化を用いて露出パラメータをチューニングし、人間の観察者には自然に見えるがDNNをだます敵対的例を生成した。
• SOTAモデル（ResNet50、MobileNet、EfficientNet）を用いた公開DRデータセット上で、この手法の有効性を検証した。

実験結果

リサーチクエスチョン

• RQ1 画像露出を敵対的に操作することで、自然な外観を保ちつつ、糖尿病網膜症グレーディングにおける深層ニューラルネットワークをだますことは可能か？
• RQ2 ピラミッドレベルLにおける統合が、露出ベースの敵対的攻撃における画像品質と攻撃成功確率のトレードオフに与える影響は何か？
• RQ3 要素ごとの統合を畳み込み操作に拡張することで、異なるDNNアーキテクチャ間での敵対的例の転送性はどの程度向上するか？
• RQ4 畳み込み括弧付き露出統合におけるカーネルサイズKが、転送攻撃の成功率に与える影響は何か？
• RQ5 露出ベースの敵対的攻撃は、自動DR診断システムにおける重要なロバストネス脆弱性を明らかにできるか？

主な発見

• 乗法的摂動に基づく露出攻撃は画像の自然さを維持できず、構造的な統合手法の必要性が浮き彫りになった。
• 敵対的括弧付き露出統合（BEF）は画像品質を向上させるが、ピラミッドレベルLが高くなると転送性が低下し、Lが1から5に増加した際、MobileNetでは攻撃成功率が45.2%から8.6%に低下した。
• 畳み込み括弧付き露出統合（CBEF）は、転送性を顕著に向上させた。L=3のとき、MobileNetでは84.6%、EfficientNetでは81.8%の攻撃成功率を達成し、Lが高くなるとBEFを上回った。
• CBEFにおけるカーネルサイズKは非単調な影響を示した。L=3のとき、K=3で成功率がピークに達し、K=1（BEFに相当）では最も低い性能を示した。これは空間的に適応する統合の利点を示唆した。
• L=3、K=3の条件下で、CBEFはResNet50から生成された敵対的例を用いてMobileNetを攻撃した際、84.6%の最高の転送成功率を達成した。
• 結果から、CBEFが高品質な画像と高い転送性を効果的に両立できることを示し、医療画像システムのロバストネスを検証する強力な候補であることが明らかになった。