[논문 리뷰] Stabilized Medical Image Attacks

Gege Qi, Lijun Gong외 3명|arXiv (Cornell University)|2021. 03. 09.

Adversarial Robustness in Machine Learning참고 문헌 32인용 수 16

한 줄 요약

이 논문은 손실 이탈 항목과 손실 안정화 항목을 조합하여 다양한 모odalities(예: CT, 펌터스, 내 endoscopic) 간 공격 일관성을 향상시키는 새로운 적대적 공격 방법인 Stabilized Medical Image Attacks(SMIA)를 제안한다. 안정화 항목은 국소 최적해를 회피하는 부드럽고 변동성이 작은 편향을 보장하여, 여러 벤치마크에서 진단 정확도를 크게 떨어뜨리면서도 작은 편향 변동성을 유지한다.

ABSTRACT

Convolutional Neural Networks (CNNs) have advanced existing medical systems for automatic disease diagnosis. However, a threat to these systems arises that adversarial attacks make CNNs vulnerable. Inaccurate diagnosis results make a negative influence on human healthcare. There is a need to investigate potential adversarial attacks to robustify deep medical diagnosis systems. On the other side, there are several modalities of medical images (e.g., CT, fundus, and endoscopic image) of which each type is significantly different from others. It is more challenging to generate adversarial perturbations for different types of medical images. In this paper, we propose an image-based medical adversarial attack method to consistently produce adversarial perturbations on medical images. The objective function of our method consists of a loss deviation term and a loss stabilization term. The loss deviation term increases the divergence between the CNN prediction of an adversarial example and its ground truth label. Meanwhile, the loss stabilization term ensures similar CNN predictions of this example and its smoothed input. From the perspective of the whole iterations for perturbation generation, the proposed loss stabilization term exhaustively searches the perturbation space to smooth the single spot for local optimum escape. We further analyze the KL-divergence of the proposed loss function and find that the loss stabilization term makes the perturbations updated towards a fixed objective spot while deviating from the ground truth. This stabilization ensures the proposed medical attack effective for different types of medical images while producing perturbations in small variance. Experiments on several medical image analysis benchmarks including the recent COVID-19 dataset show the stability of the proposed method.

연구 동기 및 목표

• CT, 펌터스, 내 endoscopic 영상과 같은 다양한 의료 영상 모달리티 간 일관되지 않은 적대적 공격 문제를 해결하기 위해.
• 의료 영상 유형 간 큰 데이터 변동성에도 불구하고 높은 효과성을 유지할 수 있는 강력한 적대적 공격 방법을 개발하기 위해.
• 딥 의료 진단 시스템에서의 적대적 공격 생성 시 편향 안정성과 일관성을 향상시키기 위해.
• 공격 성공률을 극대화하면서도 편향 변동성을 최소화하여 CNN 기반 의료 분류기의 신뢰성 있는 회피를 보장하기 위해.
• 실제 의료 벤치마크, 즉 코로나19, 당뇨성 망막병변, 잡음 탐지 데이터셋에서의 방법의 효과성을 평가하기 위해.

제안 방법

• 공격 예측과 진짜 레이블 간의 발산을 증가시키기 위해 손실 이탈 항목을 포함하는 목적 함수를 수립한다.
• 공격 예제와 그의 스무딩된 입력 간 유사한 CNN 예측을 강제하는 손실 안정화 항목을 도입하여 편향 공간에서의 안정성을 증진시킨다.
• 안정화 항목은 특징 공간에서 고정된 목표 지점으로 향하는 방향으로 편향 업데이트를 정규화하여 변동성을 감소시키고 국소 최적해에서의 탈출을 가능하게 한다.
• 이 복합 목적 함수를 기반으로 기울기 기반 업데이트를 반복적으로 사용하여 편향을 생성한다.
• KL 발산 분석을 통해 안정화 항목이 변동성을 최소화하면서 일관된 목표로 향하는 편향을 이끌어내는 것으로 확인된다.
• 다양한 데이터셋을 사용하여 분류, 세그멘테이션, 탐지 등의 다양한 의료 영상 작업에서 방법을 평가한다.

실험 결과

연구 질문

• RQ1 CT, 펌터스, 내 endoscopic 영상과 같은 다양한 의료 영상 모달리티 간에 적대적 공격가 일관되게 효과적일 수 있는가?
• RQ2 의료 영상의 적대적 공격에서 편향 안정성과 낮은 변동성을 어떻게 달성할 수 있는가?
• RQ3 제안된 손실 안정화 항목은 기존의 적대적 공격 방법에 비해 공격 성능 향상에 어느 정도 기여하는가?
• RQ4 SMIA는 다양한 의료 진단 작업에서 편향 변동성을 줄이면서도 높은 공격 성공률을 유지하는가?
• RQ5 SMIA는 FGSM, PGD, DAG, DeepFool과 같은 최첨단 공격 방법과 실의료 벤치마크에서 어떻게 비교되는가?

주요 결과

• 코로나19 폐 세그멘테이션 데이터셋에서 SMIA는 두 번째로 효과적인 방법(DAG)보다 9% 더 높은 인식 정확도 저하를 기록하여 공격 효과성이 뛰어나다는 것을 입증했다.
• APTOS-2019 당뇨성 망막병변 등급 분류 데이터셋에서 SMIA는 두 번째로 효과적인 방법(PGD)보다 10% 더 큰 정확도 저하를 달성했다.
• SMIA의 편향 변동성은 모든 베이스라인보다 일관되게 낮았다 — 코로나19에서 0.001, APTOS-2019에서 0.019, Kaggle-DR에서 0.041로, 높은 안정성을 나타냈다.
• EAD-2019 잡음 탐지 작업에서 SMIA는 IoU 지표를 4.8%로 낮췄고, 전용 설계된 DAG(7.62%)보다 공격 영향력이 뛰어나게 나타났다.
• Kaggle-DR에서 SMIA는 27.80%의 위양성률을 기록하여 다른 방법들보다 높아 분류의 혼란을 더 강하게 유도했다.
• MNIST 데이터셋에서도 SMIA는 FGSM과 PGD보다 더 높은 인식 정확도 저하를 기록하여 의료 영상 외의 분야에서도 광범위한 적용 가능성을 확인했다.