[论文解读] FIBA: Frequency-Injection based Backdoor Attack in Medical Image Analysis

Yu Feng, Benteng Ma+4 more|arXiv (Cornell University)|Dec 2, 2021

Adversarial Robustness in Machine Learning参考文献 47被引用 6

一句话总结

本文提出FIBA，一种新颖的频率注入后门攻击方法，用于医学图像分析，通过在频域使用光谱振幅混合注入触发器，以保持语义完整性。通过保留原始图像的相位谱，FIBA在分类和密集预测模型（如分割）上均实现了超过99%的高攻击成功率，同时有效规避防御机制。

ABSTRACT

In recent years, the security of AI systems has drawn increasing research attention, especially in the medical imaging realm. To develop a secure medical image analysis (MIA) system, it is a must to study possible backdoor attacks (BAs), which can embed hidden malicious behaviors into the system. However, designing a unified BA method that can be applied to various MIA systems is challenging due to the diversity of imaging modalities (e.g., X-Ray, CT, and MRI) and analysis tasks (e.g., classification, detection, and segmentation). Most existing BA methods are designed to attack natural image classification models, which apply spatial triggers to training images and inevitably corrupt the semantics of poisoned pixels, leading to the failures of attacking dense prediction models. To address this issue, we propose a novel Frequency-Injection based Backdoor Attack method (FIBA) that is capable of delivering attacks in various MIA tasks. Specifically, FIBA leverages a trigger function in the frequency domain that can inject the low-frequency information of a trigger image into the poisoned image by linearly combining the spectral amplitude of both images. Since it preserves the semantics of the poisoned image pixels, FIBA can perform attacks on both classification and dense prediction models. Experiments on three benchmarks in MIA (i.e., ISIC-2019 for skin lesion classification, KiTS-19 for kidney tumor segmentation, and EAD-2019 for endoscopic artifact detection), validate the effectiveness of FIBA and its superiority over state-of-the-art methods in attacking MIA models as well as bypassing backdoor defense. Source code will be available at https://github.com/HazardFY/FIBA.

研究动机与目标

• 解决在多种医学影像模态（X光、CT、MRI）和任务（分类、分割、检测）中适用的统一后门攻击方法的设计挑战。
• 克服基于空间触发器的后门攻击方法在语义上造成图像污染且在密集预测模型上失效的局限性。
• 开发一种隐蔽、不可见的后门攻击方法，以保持中毒医学图像的视觉和语义一致性。
• 在绕过最先进的后门防御机制（如DF-TND）的同时，确保高攻击成功率。

提出的方法

• 对良性图像和触发器图像分别应用快速傅里叶变换（FFT），将其分解为振幅谱和相位谱。
• 保留良性图像的相位谱，以维持空间布局和语义一致性。
• 通过线性混合良性图像和触发器图像的振幅谱，合成新的光谱振幅。
• 利用逆向快速傅里叶变换（iFFT）对组合光谱（新振幅 + 原始相位）进行重建，生成中毒图像。
• 使用混合比例α控制触发器注入强度，实现可调节的隐蔽性与有效性。
• 在频域中实现触发器注入，以避免对图像像素的空间污染。

实验结果

研究问题

• RQ1 基于频域的后门攻击是否能够在保持图像语义完整性的同时，有效攻击医学图像分析中的分类和密集预测模型？
• RQ2 与现有基于空间触发器的攻击方法（如BadNet、Blended）相比，FIBA在攻击成功率和语义保持方面表现如何？
• RQ3 FIBA在多大程度上能够规避最先进的后门防御机制（如DF-TND）？
• RQ4 FIBA的性能对触发器图像选择、混合比例α以及频域参数的变化有多敏感？

主要发现

• 在ISIC-2019皮肤病变分类基准上，FIBA实现了99.53%的攻击成功率（ASR），优于ISSBA（99.33%）和FIBA-H（98.43%）。
• 在KiTS-19肾脏肿瘤分割任务中，FIBA在最优设置下保持了高达99.38%的ASR，同时器官和肿瘤的IoU分数均高于75%。
• 在DF-TND防御下，FIBA的logit增加量最低（LI = 6.72），表明其相比BadNet（60.44）、WaNet（10.54）和ISSBA（43.79）具有更优的规避能力。
• 该方法对触发器图像选择具有鲁棒性：在ISIC-2019上，不同触发器图像（灰色、动物、人像）下ASR均保持在99%以上。
• 尽管FFT/iFFT操作计算成本较高，但使用cuPy在GPU上加速后，FIBA的训练时间（9.5小时）仍快于Blended（12小时）。
• FIBA在实现接近完美的ASR的同时，保持了较高的干净数据准确率（如ISIC-2019上为93.75%），展现出强大的模型实用性和隐蔽性。