[논문 리뷰] Bias Field Poses a Threat to DNN-based X-Ray Recognition

Binyu Tian, Qing Guo외 6명|arXiv (Cornell University)|2020. 09. 19.

Adversarial Robustness in Machine Learning참고 문헌 60인용 수 6

한 줄 요약

이 논문은 적대적 스무스 바이어스 필드 공격을 제안하며, 공간적 스무스함을 유지하면서도 적대적으로 조정된 바이어스 필드를 사용하여 현실적이고 인지하기 어려운 적대적 X-ray 영상을 생성하는 새로운 방법이다. 이 방법은 최신 DNN(예: ResNet50, DenseNet121)에서 높은 공격 성공률를 달성하면서도 높은 영상 실재감을 유지하여 DNN 기반 X-ray 진단 시스템의 심각한 취약성을 드러낸다.

ABSTRACT

The chest X-ray plays a key role in screening and diagnosis of many lung diseases including the COVID-19. More recently, many works construct deep neural networks (DNNs) for chest X-ray images to realize automated and efficient diagnosis of lung diseases. However, bias field caused by the improper medical image acquisition process widely exists in the chest X-ray images while the robustness of DNNs to the bias field is rarely explored, which definitely poses a threat to the X-ray-based automated diagnosis system. In this paper, we study this problem based on the recent adversarial attack and propose a brand new attack, i.e., the adversarial bias field attack where the bias field instead of the additive noise works as the adversarial perturbations for fooling the DNNs. This novel attack posts a key problem: how to locally tune the bias field to realize high attack success rate while maintaining its spatial smoothness to guarantee high realisticity. These two goals contradict each other and thus has made the attack significantly challenging. To overcome this challenge, we propose the adversarial-smooth bias field attack that can locally tune the bias field with joint smooth & adversarial constraints. As a result, the adversarial X-ray images can not only fool the DNNs effectively but also retain very high level of realisticity. We validate our method on real chest X-ray datasets with powerful DNNs, e.g., ResNet50, DenseNet121, and MobileNet, and show different properties to the state-of-the-art attacks in both image realisticity and attack transferability. Our method reveals the potential threat to the DNN-based X-ray automated diagnosis and can definitely benefit the development of bias-field-robust automated diagnosis system.

연구 동기 및 목표

• 의료 영상에서 흔한 바이어스 필드 편향에 의한 DNN 기반 X-ray 인식 시스템의 취약성을 조사하기 위해.
• 기존의 추가 노이즈가 아닌 바이어스 필드를 조작하여, 매우 효과적이면서도 시각적으로 현실적인 적대적 예제를 생성하는 데 도전하기 위해.
• 공격 성공률와 바이어스 필드의 공간적 스무스함을 동시에 최적화하여 실재감과 인지 불가능성을 확보하는 방법을 개발하기 위해.
• DNN가 바이어스 필드 변화에 얼마나 공간적으로 민감한지 파악하고, 가장 잘못 분류되기 쉬운 영역을 특정하기 위해.
• 임상 환경에서 바이어스 필드에 강건한 자동 진단 시스템을 구축하기 위한 통찰을 제공하기 위해.

제안 방법

• 기존의 추가 노이즈를 대체하여 바이어스 필드를 적대적 편향으로 간주하는 새로운 적대적-스무스 바이어스 필드 공격을 제안한다.
• 지역적 조정이 가능하면서도 제어된 스무스함을 갖도록 바이어스 필드를 다항식 모델로 매개변수화한다.
• 공격 효과성과 스무스함을 균형 있게 조절하기 위해 적대적 손실과 총 변동성(TV) 정규화를 조합한 공동 최적화 목표를 도입한다.
• 탄성 있고 국소적인 조작이 가능한 공간 변형을 모델링하기 위해 박막판 스퍼링(TPS) 변환을 활용한다.
• 최적화된 바이어스 필드를 정제된 X-ray 영상에 적용하여 고감도의 인지 품질을 유지하는 적대적 예제를 생성한다.
• 기울기 기반 최적화를 통해 바이어스 필드 민감 영역을 식별하고, DNN 예측에 영향을 미치는 강도 변화가 가장 큰 영역을 시각화한다.

실험 결과

연구 질문

• RQ1 바이어스 필드 편향은 DNN 기반 X-ray 인식 시스템에 대해 현실적이고 인지하기 어려운 형태의 적대적 공격으로 사용될 수 있는가?
• RQ2 높은 공격 성공률와 바이어스 필드의 공간적 스무스함 사이의 상충 관계를 효과적으로 해결할 수 있는가?
• RQ3 X-ray 영상에서 어떤 해부학적 영역이 DNN에 의한 바이어스 필드 유도 오분류에 가장 민감한가?
• RQ4 다항식 차수와 TPS 제어점의 선택이 공격 성능와 실재감에 어떤 영향을 미치는가?
• RQ5 제안된 공격이 다양한 DNN 아키텍처와 데이터셋 간에 얼마나 잘 전이되는가?

주요 결과

• 제안된 적대적-스무스 바이어스 필드 공격은 BRISQUE 점수로 측정된 높은 영상 실재감을 유지하면서도 높은 공격 성공률(예: ResNet50에서 90% 이상)을 달성한다.
• 이 공격은 실제 흉부 X-ray 데이터셋에서 최신의 여러 모델(ResNet50, DenseNet121, MobileNet 등)을 성공적으로 속이는 데 성공했다.
• 주의 맵의 시각화 결과 바이어스 필드 민감 영역은 주로 X-ray 영상의 상단과 하단에 위치해 있으며, 이는 기관의 위치와 상관관계가 있다.
• 무시된 저차수 다항식 항목 수(D₀)를 증가시키면 공격 성공률는 감소하지만 영상 품질은 향상되어 실재감과 효과성 사이의 상충 관계를 확인한다.
• 공격은 다양한 DNN 아키텍처 간에 강력한 전이성을 보이며, 바이어스 필드 조작에 대한 일반적인 취약성을 시사한다.
• 이 방법은 고성능 DNN에서도 바이어스 필드 변화가 오분류를 유도할 수 있음을 드러내며, 의료 AI 시스템의 심각한 강건성 격차를 확인한다.