[논문 리뷰] FIBA: Frequency-Injection based Backdoor Attack in Medical Image Analysis

Yu Feng, Benteng Ma외 4명|arXiv (Cornell University)|2021. 12. 02.

Adversarial Robustness in Machine Learning참고 문헌 47인용 수 6

한 줄 요약

이 논문은 주파수 도메인에서 스펙트럼 진폭 블렌딩을 사용해 트리거를 주입함으로써 의미적 통일성을 유지하는 새로운 주파수 주입 백도어 공격인 FIBA를 제안한다. 기존 이미지의 단계 스펙트럼을 유지함으로써 FIBA는 분류 및 조밀 예측 모델(예: 세분화) 모두에 대해 매우 높은 공격 성공률(>99%)을 기록하면서도 방어 조치를 회피한다.

ABSTRACT

In recent years, the security of AI systems has drawn increasing research attention, especially in the medical imaging realm. To develop a secure medical image analysis (MIA) system, it is a must to study possible backdoor attacks (BAs), which can embed hidden malicious behaviors into the system. However, designing a unified BA method that can be applied to various MIA systems is challenging due to the diversity of imaging modalities (e.g., X-Ray, CT, and MRI) and analysis tasks (e.g., classification, detection, and segmentation). Most existing BA methods are designed to attack natural image classification models, which apply spatial triggers to training images and inevitably corrupt the semantics of poisoned pixels, leading to the failures of attacking dense prediction models. To address this issue, we propose a novel Frequency-Injection based Backdoor Attack method (FIBA) that is capable of delivering attacks in various MIA tasks. Specifically, FIBA leverages a trigger function in the frequency domain that can inject the low-frequency information of a trigger image into the poisoned image by linearly combining the spectral amplitude of both images. Since it preserves the semantics of the poisoned image pixels, FIBA can perform attacks on both classification and dense prediction models. Experiments on three benchmarks in MIA (i.e., ISIC-2019 for skin lesion classification, KiTS-19 for kidney tumor segmentation, and EAD-2019 for endoscopic artifact detection), validate the effectiveness of FIBA and its superiority over state-of-the-art methods in attacking MIA models as well as bypassing backdoor defense. Source code will be available at https://github.com/HazardFY/FIBA.

연구 동기 및 목표

• 다양한 의료 영상 모odalities(X-ray, CT, MRI)와 작업(분류, 세분화, 검출)에 적용 가능한 통합 백도어 공격 방법 설계의 과제를 해결한다.
• 공간 트리거 기반 백도어 공격의 한계를 극복하여 이미지 의미를 손상시키고 조밀 예측 모델에서 실패하는 문제를 해결한다.
• 위장성 있고 시각적·의미적 일관성을 유지하는 비가시적 백도어 공격을 개발한다.
• 최신 백도어 방어 기법들(예: DF-TND)을 우회하면서도 높은 공격 성공률을 확보한다.

제안 방법

• 정상 이미지와 트리거 이미지를 빠른 푸리에 변환(FFT)을 적용해 진폭 스펙트럼과 단계 스펙트럼으로 분해한다.
• 정상 이미지의 단계 스펙트럼을 유지함으로써 공간 레이아웃과 의미 일관성을 유지한다.
• 정상 이미지와 트리거 이미지의 진폭 스펙트럼을 선형 블렌딩하여 새로운 스펙트럼 진폭을 합성한다.
• 결합된 스펙트럼(새로운 진폭 + 원본 단계)을 사용해 역 푸리에 변환(iFFT)을 통해 오염된 이미지를 재구성한다.
• 트리거 주입 강도를 제어하기 위해 블렌딩 비율 α를 사용하여 은폐성과 효과성의 조절이 가능하다.
• 공간적 이미지 픽셀 손상 방지를 위해 주파수 도메인에서 트리거 주입을 구현한다.

실험 결과

연구 질문

• RQ1 주파수 도메인 백도어 공격은 의료 영상 분석에서 분류 및 조밀 예측 모델 모두에 효과적으로 공격하면서도 이미지 의미를 유지할 수 있는가?
• RQ2 기존의 공간 트리거 기반 공격(예: BadNet, Blended)과 비교해 FIBA는 공격 성공률과 의미 유지 측면에서 어떤가?
• RQ3 DF-TND와 같은 최신 백도어 방어 기법을 얼마나 효과적으로 우회할 수 있는가?
• RQ4 트리거 이미지 선택, 블렌딩 비율 α, 주파수 도메인 파rameter의 변화에 따라 FIBA의 성능은 얼마나 민감한가?

주요 결과

• 피부 병변 분류를 위한 ISIC-2019 벤치마크에서 FIBA는 99.53%의 공격 성공률(ASR)을 기록하여 ISSBA(99.33%)와 FIBA-H(98.43%)를 능가한다.
• 신장 종양 세분화를 위한 KiTS-19에서 FIBA는 최적 설정 하에 99.38%까지 높은 ASR를 유지하면서도 기관 및 종양 IoU 점수를 75% 이상 유지한다.
• DF-TND 방어 하에서 FIBA는 최저 수준의 로짓 증가(LI = 6.72)를 기록하여 BadNet(60.44), WaNet(10.54), ISSBA(43.79)에 비해 열등한 회피 능력을 보였다.
• 트리거 이미지 선택에 대해 강건함: ISIC-2019에서 다양한 트리거 이미지(grayscale, 동물, 인간)를 사용해도 ASR가 99% 이상 유지된다.
• cuPy를 사용해 GPU에서 가속화한 결과, FFT/iFFT 연산의 계산 비용에도 불구하고 FIBA의 학습 시간(9.5시간)은 Blended(12시간)보다 빠르다.
• 정상 데이터 정확도가 높은 편(예: ISIC-2019에서 93.75%)을 유지하면서도 거의 완벽한 ASR를 달성하여 강력한 모델 유틸리티와 은폐성을 입증한다.