[論文レビュー] CT-GAN: Malicious Tampering of 3D Medical Imagery using Deep Learning

Yisroel Mirsky, Tom Mahler+2 more|arXiv (Cornell University)|Jan 11, 2019

Digital Media Forensic Detection参考文献 46被引用数 108

ひとこと要約

CT-GAN は条件付き GAN を用いて 3D CT スキャンにおける証拠の自動的かつ現実的な注入/削除を実証し、放射線科医と AI がこの改ざんに対して脆弱であることを検証します。

ABSTRACT

In 2018, clinics and hospitals were hit with numerous attacks leading to significant data breaches and interruptions in medical services. An attacker with access to medical records can do much more than hold the data for ransom or sell it on the black market. In this paper, we show how an attacker can use deep-learning to add or remove evidence of medical conditions from volumetric (3D) medical scans. An attacker may perform this act in order to stop a political candidate, sabotage research, commit insurance fraud, perform an act of terrorism, or even commit murder. We implement the attack using a 3D conditional GAN and show how the framework (CT-GAN) can be automated. Although the body is complex and 3D medical scans are very large, CT-GAN achieves realistic results which can be executed in milliseconds. To evaluate the attack, we focused on injecting and removing lung cancer from CT scans. We show how three expert radiologists and a state-of-the-art deep learning AI are highly susceptible to the attack. We also explore the attack surface of a modern radiology network and demonstrate one attack vector: we intercepted and manipulated CT scans in an active hospital network with a covert penetration test. Demo video: https://youtu.be/_mkRAArj-x0 Source code: https://github.com/ymirsky/CT-GAN

研究の動機と目的

• 現実的で自動化された方法を暴露するため、3D 医療画像に病気の証拠を注入または削除して改ざんする。
• 放射線科医と AI 肺がんスクリーニングシステムを改ざんされた CT スキャンで評価して脅威を評価する。
• 病院の PACS ネットワーク内の攻撃ベクトルをデモンストレーションし、実用的な対策について議論する。
• さらなる調査と防御のための再現可能なデータセットとコードを提供する。

提案手法

• 局所的な3D CT領域に対して、(不健康) の組織を注入するか(健康) の組織を削除するための2つの条件付き GAN (cGAN) を用いたインペインティング。
• ターゲット証拠領域を特定し、長方体を抽出・リサイズ（補間）し、cGAN 変更を適用して、スキャンに再挿入する処理を行う。
• ヒストグラム均等化、組織密度マスキング（Hounsfield units）、ガウスノイズを用いて辺縁アーティファクトを低減し、現実性を高める。
• 空気で絶縒された PACS 環境で攻撃を自動化し、専門の放射線医と最新の AI 肺がんスクリーニングモデルで検証する。
• 現実的な攻撃面と潜在的な interception パスを示す病院への侵入テストを実演する。

実験結果

リサーチクエスチョン

• RQ1 3D の医用画像（CTスキャン）を現実的に改ざんして、病気の証拠を注入または削除できるか、深層学習を用いて？
• RQ2 放射線科医と機械学習モデルは、改ざんされた3D医用画像を検出する際にどの程度効果的か？
• RQ3 このような改ざんを展開するための現代的なPACs/RISネットワーク内の妥当な攻撃サーフェスとベクトルは何か？
• RQ4 自動改ざんを緩和し検出を改善する対策は何か？

主な発見

• 3名の放射線科医は、注入された癌ケースの99%を悪性と正しく診断した。
• 3名の放射線科医は、癌を削除したケースの94%を healthy と判断した。
• 攻撃について放射線科医に通知した後でも、注入の60%が依然として悪性と誤診され、削除の87%が悪性と誤診された。
• 最先端の AI 肺がんスクリーニングモデルは、改ざんされた患者の100%を誤診した。
• 攻撃は現実的な病院ネットワークで実行可能で、空気ギャップのあるシステムでも自動化できる。