[論文レビュー] Defending against adversarial attacks on medical imaging AI system, classification or detection?

Xin Li, Deng Pan+1 more|arXiv (Cornell University)|Jun 24, 2020

Adversarial Robustness in Machine Learning参考文献 25被引用数 5

ひとこと要約

本稿では、限られたラベル付きデータとラベルなしデータを活用して不正な攻撃に対して耐性を持つ医療画像AIシステムを強化するため、半教師付き対抗的訓練（SSAT）と非教師付き対抗的検出（UAD）を組み合わせたハイブリッド防御フレームワークを提案する。SSATではラベル付きデータとラベルなしデータを用いて偽ラベルを生成し、分布内攻撃に対して耐性を向上させる。UADでは潜在特徴空間における混合モデル密度推定に基づき、攻撃タイプの事前知識なしに分布外の対抗的サンプルを検出する。強力なPGD攻撃下で0.215の対抗的リスクを達成し、ベースラインと比べ顕著に低い値を示しており、OCT画像データにおける優れた耐性を実証した。

ABSTRACT

Medical imaging AI systems such as disease classification and segmentation are increasingly inspired and transformed from computer vision based AI systems. Although an array of adversarial training and/or loss function based defense techniques have been developed and proved to be effective in computer vision, defending against adversarial attacks on medical images remains largely an uncharted territory due to the following unique challenges: 1) label scarcity in medical images significantly limits adversarial generalizability of the AI system; 2) vastly similar and dominant fore- and background in medical images make it hard samples for learning the discriminating features between different disease classes; and 3) crafted adversarial noises added to the entire medical image as opposed to the focused organ target can make clean and adversarial examples more discriminate than that between different disease classes. In this paper, we propose a novel robust medical imaging AI framework based on Semi-Supervised Adversarial Training (SSAT) and Unsupervised Adversarial Detection (UAD), followed by designing a new measure for assessing systems adversarial risk. We systematically demonstrate the advantages of our robust medical imaging AI system over the existing adversarial defense techniques under diverse real-world settings of adversarial attacks using a benchmark OCT imaging data set.

研究の動機と目的

• ラベル付きデータが限られる状況下で、医療画像AIシステムの対抗的攻撃に対する防御を課題とする。
• 医療画像の前景と背景の類似性が高いため、対抗的サンプルとクリーンサンプルを区別することが難しいという困難を克服する。
• 対抗的サンプルの密度推定に依存せずに、未観測で多様な対抗的攻撃に対して耐性を高める。
• クリーン画像での高い精度を維持しながら、分布外の対抗的サンプルを効果的に検出・緩和する防御フレームワークを開発する。
• 多様な攻撃設定下でのシステム耐性を評価するための新しい対抗的リスク指標を導入する。

提案手法

• ラベル付きデータとラベルなしデータを用いて偽ラベルを生成する半教師付き対抗的訓練（SSAT）を採用し、分布内攻撃に対する耐性を向上させる。
• 潜在特徴空間における混合モデル密度推定に基づく非教師付き対抗的検出（UAD）を適用し、攻撃タイプの事前知識なしに分布外の対抗的サンプルを検出する。
• 特徴抽出および対抗的耐性の向上のため、ImageNetで事前学習されたResNet-18をバックボーンネットワークとして使用する。
• SGDを用いて10エポック訓練し、バッチサイズ64、SSAT損失関数におけるトレードオフハイパーパrameter λ=5 を設定する。
• T-SNE可視化を用いて、クリーンサンプルと対抗的サンプル間の特徴空間分布のシフトを分析する。
• 予測精度と検出性能を統合した新しい対抗的リスク指標を導入し、システム耐性を包括的に評価する。

実験結果

リサーチクエスチョン

• RQ1 限られたラベル付きデータで、半教師付き対抗的訓練アプローチが医療画像分類における耐性向上に有効に機能するか？
• RQ2 攻撃タイプの事前知識なしに、非教師付き対抗的検出が分布外の対抗的サンプルを効果的に同定できるか？
• RQ3 白ボックス攻撃下で、SSATとUADの組み合わせは既存の防御手法と比較して、対抗的リスクの観点で優れているか？
• RQ4 特に強力な攻撃下において、UADを強化学習と組み合わせることで、対抗的リスクはどの程度低減されるか？
• RQ5 提案されたシステムは、未観測の攻撃に対して強力な防御を実現しながら、クリーン画像での高い性能を維持できるか？

主な発見

• SSATは全クラスで平均97.3%のAUPRCを達成し、分布外の対抗的サンプルを効果的に同定できることを示した。
• ε=0.005のPGD攻撃下で、提案手法は対抗的リスクを0.215まで低減した。これは、次に優れたベースライン（0.634）と比べ顕著に低い値であった。
• より強いPGD攻撃（ε=0.01）下では、UADを適用することで対抗的リスクが0.912から0.450に低下し、リスクは50%削減された。
• 強力な攻撃下でも、対抗的サンプルに対して86.4%の予測精度を維持した。これは、高い耐性を示している。
• SSATは、FGSM、PGD、C&Wを含む全攻撃タイプで、自然学習、GCE損失、標準的な対抗的訓練を上回った。特に強力な攻撃下で顕著な優位性を示した。
• 提案された対抗的リスク指標は、システムの脆弱性を効果的に捉えており、UADが訓練手法が強固であっても耐性を顕著に向上させることを明らかにした。