[論文レビュー] FIBA: Frequency-Injection based Backdoor Attack in Medical Image Analysis

Yu Feng, Benteng Ma+4 more|arXiv (Cornell University)|Dec 2, 2021

Adversarial Robustness in Machine Learning参考文献 47被引用数 6

ひとこと要約

本稿では、周波数ドメインにおけるスペクトルアンプリチュードブレンドを用いてトリガーを埋め込むことで、元の画像の位相スペクトルを維持することで意味的整合性を保ちながら、医療画像解析のための新規な周波数インジェクション型バックドア攻撃FIBAを提案する。FIBAは分類モデルおよび密度予測モデル（例：セグメンテーション）を、99%を超える高い攻撃成功率で効果的に攻撃する一方で、防御機構を回避する。

ABSTRACT

In recent years, the security of AI systems has drawn increasing research attention, especially in the medical imaging realm. To develop a secure medical image analysis (MIA) system, it is a must to study possible backdoor attacks (BAs), which can embed hidden malicious behaviors into the system. However, designing a unified BA method that can be applied to various MIA systems is challenging due to the diversity of imaging modalities (e.g., X-Ray, CT, and MRI) and analysis tasks (e.g., classification, detection, and segmentation). Most existing BA methods are designed to attack natural image classification models, which apply spatial triggers to training images and inevitably corrupt the semantics of poisoned pixels, leading to the failures of attacking dense prediction models. To address this issue, we propose a novel Frequency-Injection based Backdoor Attack method (FIBA) that is capable of delivering attacks in various MIA tasks. Specifically, FIBA leverages a trigger function in the frequency domain that can inject the low-frequency information of a trigger image into the poisoned image by linearly combining the spectral amplitude of both images. Since it preserves the semantics of the poisoned image pixels, FIBA can perform attacks on both classification and dense prediction models. Experiments on three benchmarks in MIA (i.e., ISIC-2019 for skin lesion classification, KiTS-19 for kidney tumor segmentation, and EAD-2019 for endoscopic artifact detection), validate the effectiveness of FIBA and its superiority over state-of-the-art methods in attacking MIA models as well as bypassing backdoor defense. Source code will be available at https://github.com/HazardFY/FIBA.

研究の動機と目的

• 異なる医療画像モodalities（レントゲン、CT、MRI）およびタスク（分類、セグメンテーション、検出）に適用可能な統合的バックドア攻撃手法の設計という課題に対処すること。
• 空間的トリガーに基づくバックドア攻撃の限界を克服すること。特に、画像の意味的整合性を損なう点と、密度予測モデルでは失敗する点を改善すること。
• 視覚的および意味的整合性を保ったまま、中毒化された医療画像の外観を自然に保つ、静かで見えないバックドア攻撃を開発すること。
• 最先端のバックドア防御メカニズム（例：DF-TND）を回避しつつ、高い攻撃成功率を確保すること。

提案手法

• 良性画像およびトリガー画像の両方を高速フーリエ変換（FFT）を用いて振幅スペクトルと位相スペクトルに分解する。
• 良性画像の位相スペクトルを維持することで、空間的配置と意味的整合性を保つ。
• 良性画像とトリガー画像の振幅スペクトルを線形合成することで、新たなスペクトル振幅を合成する。
• 元の位相スペクトルと新しい振幅スペクトルを組み合わせ、逆フーリエ変換（iFFT）を用いて中毒化画像を再構築する。
• トリガーの注入強度を制御するためのブレンド比αを導入し、静かさと効果性の両立を可能にする。
• 画像ピクセルの空間的汚染を避けるために、周波数ドメインでトリガーをインジェクションする。

実験結果

リサーチクエスチョン

• RQ1 周波数ドメインにおけるバックドア攻撃は、医療画像解析における分類モデルおよび密度予測モデルの両方に対して、画像の意味的整合性を保ちつつ効果的な攻撃を可能にするか？
• RQ2 FIBAは、空間的トリガーに基づく既存の攻撃（例：BadNet、Blended）と比較して、攻撃成功率および意味的整合性の両面で優れているか？
• RQ3 FIBAは、DF-TNDのような最先端のバックドア防御機構をどの程度効果的に回避できるか？
• RQ4 FIBAの性能は、トリガー画像の選択、ブレンド比α、周波数ドメインのパrameterの変化に対してどの程度感度を示すか？

主な発見

• ISIC-2019の皮膚腫瘍分類ベンチマークにおいて、FIBAは99.53%の攻撃成功率（ASR）を達成し、ISSBA（99.33%）およびFIBA-H（98.43%）を上回った。
• KiTS-19における腎腫瘍セグメンテーションにおいて、FIBAは最適設定下で最高99.38%のASRを維持しつつ、臓器および腫瘍のIoUスコアが75%以上を維持した。
• DF-TND防御下で、FIBAは最小のロジット増加（LI = 6.72）を示し、BadNet（60.44）、WaNet（10.54）、ISSBA（43.79）と比較して優れた回避能力を示した。
• トリガー画像の選択に対して頑健である：ISIC-2019において、グレー、動物、人間の異なるトリガー画像を用いてもASRは99%以上を維持した。
• cuPyを用いてGPUで高速化した場合、FFT/iFFTの計算コストを考慮しても、FIBAの学習時間（9.5時間）はBlended（12時間）を下回り、高速であった。
• FIBAは、ほぼ完璧なASRを達成しながらも、クリーンデータの精度（例：ISIC-2019で93.75%）を高く維持しており、優れたモデルの有用性と静かさを示した。