[논문 리뷰] Adversarial Exposure Attack on Diabetic Retinopathy Imagery Grading

Yupeng Cheng, Qing Guo외 4명|arXiv (Cornell University)|2020. 09. 19.

Adversarial Robustness in Machine Learning참고 문헌 53인용 수 29

한 줄 요약

이 논문은 당뇨성 망막병변(DR) 등급 분류에서 깊이 신경망을 속이기 위해 망막 기저도 영상 曝光을 조작하는 새로운 적대적 曝光 공격을 제안한다. 노출 공격를 라플라시안 피라미드 공간에서의 중괄호 노출 융합으로 수식화하고, 컨volutional 융합으로 확장함으로써 자연스러운 외관을 가진 적대적 이미지를 생성하며, 이는 이동성(transferability)이 매우 높으며, MobileNet 및 EfficientNet 등의 모델에서 최대 84.6%의 성공률을 기록한다.

ABSTRACT

Diabetic Retinopathy (DR) is a leading cause of vision loss around the world. To help diagnose it, numerous cutting-edge works have built powerful deep neural networks (DNNs) to automatically grade DR via retinal fundus images (RFIs). However, RFIs are commonly affected by camera exposure issues that may lead to incorrect grades. The mis-graded results can potentially pose high risks to an aggravation of the condition. In this paper, we study this problem from the viewpoint of adversarial attacks. We identify and introduce a novel solution to an entirely new task, termed as adversarial exposure attack, which is able to produce natural exposure images and mislead the state-of-the-art DNNs. We validate our proposed method on a real-world public DR dataset with three DNNs, e.g., ResNet50, MobileNet, and EfficientNet, demonstrating that our method achieves high image quality and success rate in transferring the attacks. Our method reveals the potential threats to DNN-based automatic DR grading and would benefit the development of exposure-robust DR grading methods in the future.

연구 동기 및 목표

• 딥 러닝 기반의 당뇨성 망막병변(DR) 등급 분류 시스템이 영상 노출 조작을 통해 적대적 공격에 취약한가를 조사하기 위해.
• 노출 조정을 통해 효과적인 적대적 예제를 생성하면서도 이미지의 자연스러움을 유지하는 데 도전 과제를 해결하기 위해.
• 다양한 사전 훈련된 모델(예: ResNet50, MobileNet, EfficientNet) 간에 적대적 예제의 이동성을 향상시키기 위해.
• 라플라시안 피라미드 공간에서의 노출을 융합 문제로 모델링하여 고화질 이미지와 높은 공격 성공률을 동시에 확보하는 방법을 개발하기 위해.
• 자동화된 DR 진단 시스템에서 노출 관련 강건성 격차의 위험을 드러내고, 노출에 강건한 모델 개발을 이끌기 위해.

제안 방법

• 이중 곱셈 편향 기반의 노출 공격를 기준선으로 제안하여, 이미지의 자연스러움을 유지하는 데 어려움이 있음을 드러낸다.
• 적대적 중괄호 노출 융합(BEF)을 도입하여, 라플라시안-피라미드 공간에서 중괄호 노출 시퀀스의 원소별 융합으로 공격를 모델링함으로써 현실감을 향상시킨다.
• 원소별 곱셈을 학습 가능한 컨볼루션 커널로 확장하여 이동성을 향상시킨 컨볼루션 중괄호 노출 융합(CBEF)을 개발한다.
• 다중 척도 이미지 구조를 유지하고 인지적 품질을 확보하기 위해 라플라시안 피라미드 도메인에서 방법을 적용한다.
• 다양이 가능 최적화를 통해 노출 파rameter를 조정하여, 인간 관찰자에게 자연스럽게 보이지만 DNN을 오도하는 적대적 예제를 생성한다.
• 최신 기술 모델인 ResNet50, MobileNet, EfficientNet을 사용하여 공개된 DR 데이터셋에서 방법을 검증한다.

실험 결과

연구 질문

• RQ1 이미지 노출을 적대적으로 조작하여 깊이 신경망이 당뇨성 망막병변 등급 분류에서 오도되게 할 수 있으며, 동시에 이미지의 자연스러움을 유지할 수 있는가?
• RQ2 피라미드 수준 L에서의 융합은 노출 기반 적대적 공격에서 이미지 품질과 공격 성공률 사이의 트레이드오프에 어떤 영향을 미치는가?
• RQ3 원소별 융합을 컨볼루션 연산으로 확장할 경우, 다양한 DNN 아키텍처 간에 적대적 예제의 이동성을 얼마나 향상시킬 수 있는가?
• RQ4 컨볼루션 중괄호 노출 융합에서 커널 크기 K가 전이 공격 성공률에 미치는 영향은 무엇인가?
• RQ5 노출 기반 적대적 공격는 자동화된 DR 진단 시스템에서 임계적인 강건성 취약점을 드러낼 수 있는가?

주요 결과

• 곱셈 편향 기반의 노출 공격는 이미지의 자연스러움을 유지하지 못하며, 체계적인 융합 방법이 필요함을 시사한다.
• 적대적 중괄호 노출 융합(BEF)은 이미지 품질을 향상시키지만, 피라미드 수준 L이 증가할수록 이동성이 감소한다. L이 1에서 5로 증가할 때, MobileNet에서 전이 공격 성공률가 45.2%에서 8.6%로 감소한다.
• 컨볼루션 중괄호 노출 융합(CBEF)는 이동성을 크게 향상시킨다. L=3일 때, 전이 공격 성공률이 MobileNet에서 84.6%, EfficientNet에서 81.8%에 도달하며, 높은 L 수준에서 BEF를 능가한다.
• CBEF의 커널 크기 K는 비단조화적인 영향을 미친다. L=3일 때 K=3에서 성공률가 최고에 도달하며, K=1(즉, BEF에 해당)일 경우 성능가 가장 낮다. 이는 공간적으로 적응형 융합의 이점이 있음을 시사한다.
• L=3 및 K=3일 때, CBEF는 ResNet50에서 제작된 적대적 예제를 사용해 MobileNet을 공격할 때 최고의 전이 성공률 84.6%를 기록한다.
• 결과적으로 CBEF는 고화질과 높은 이동성 사이의 균형을 성공적으로 달성하여, 의료 영상 시스템의 강건성 탐색에 매우 강력한 후보로 나타난다.