[論文レビュー] The Security of Deep Learning Defences for Medical Imaging

Moshe Levy, Guy Amit+2 more|arXiv (Cornell University)|Jan 21, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本論文は、勾配を意識した敵対的サンプルを生成することで、5つのテスト済み防御をすべて回避できる、知的で適応的な攻撃者に対して、医療画像における最先端のディープラーニング防御が効果を発揮しないことを示している。著者らは、2つの強力な代替策を提案する：医療画像へのアクセスを防ぐためのシステムセキュリティの強化、およびDICOMでサポートされるデジタル署名を用いた画像整合性の確保であり、医療AIにおける敵対的脅威に対して実用的で暗号的に信頼性の高い解決策を提示している。

ABSTRACT

Deep learning has shown great promise in the domain of medical image analysis. Medical professionals and healthcare providers have been adopting the technology to speed up and enhance their work. These systems use deep neural networks (DNN) which are vulnerable to adversarial samples; images with imperceivable changes that can alter the model's prediction. Researchers have proposed defences which either make a DNN more robust or detect the adversarial samples before they do harm. However, none of these works consider an informed attacker which can adapt to the defence mechanism. We show that an informed attacker can evade five of the current state of the art defences while successfully fooling the victim's deep learning model, rendering these defences useless. We then suggest better alternatives for securing healthcare DNNs from such attacks: (1) harden the system's security and (2) use digital signatures.

研究の動機と目的

• 既存の医療画像におけるディープラーニング防御が、防御メカニズムを把握している知的で適応的攻撃者にどのように容易に回避可能であるかを明らかにすること。
• 攻撃者が非適応的であると仮定する防御のセキュリティギャップが、医療AIシステムにおいて深刻であることを解明すること。
• モデルベースの防御に代わるより効果的で実用的な代替策として、システムレベルのセキュリティ強化とデジタル署名の導入を提唱すること。
• 医療提供者および研究者が、安全で耐障害性のあるAIシステムを医療画像解析に導入するための指針を提供すること。

提案手法

• 著者らは、勾配に基づく回避技術を用いて、適応的敵対的攻撃に対して5つの最先端の医療画像防御を評価した。
• 攻撃者は防御メカニズム（モデルアーキテクチャや防御ロジックを含む）を完全に把握していると想定した、知的攻撃者のシナリオを再現した。
• 被害者モデルの勾配情報を活用して、検知を回避し、DNNをだませる敵対的摂動を生成した。
• ネットワーク暗号化、アクセス制御、パッチ管理を用いたシステムの強化を通じて、攻撃者が画像にアクセスするのを防ぐ。
• DICOM標準を用いたエンドツーエンドのデジタル署名統合を推奨し、画像の整合性を暗号的に検証する。
• PACSシステムは、画像解析を実行する前に、エンドポイントでデジタル署名の検証を必須とするべきであると提言した。

実験結果

リサーチクエスチョン

• RQ1 防御メカニズムを把握している攻撃者が、医療画像における5つの最先端防御を効果的に回避できるか？
• RQ2 攻撃者がモデルの勾配を観測できる適応的攻撃者に対して、なぜ現在の防御が失敗するのか？
• RQ3 実際の医療環境において、医療DNNを敵対的攻撃から効果的に保護する代替セキュリティメカニズムは何か？
• RQ4 PACSネットワークにおける医療画像の整合性を保つために、デジタル署名はどのように活用できるか？
• RQ5 システムの強化は攻撃面を縮小し、医療画像パイプラインにおける敵対的サンプルの挿入を防げるか？

主な発見

• 評価された5つの最先端防御すべてが、モデルの勾配を観測できる適応的攻撃者によって効果的に回避された。
• 現在の防御の根本的な失敗要因は、勾配漏洩を防げないことにあり、これにより勾配ベースの敵対的攻撃に対して脆弱である。
• DICOM標準で既にサポートされているデジタル署名は、画像の整合性を暗号的に検証し、改ざんを防止できる。
• ネットワーク暗号化、アクセス制御、定期的なアップデートを含むシステムの強化は、インfraレベルで多くの攻撃ベクトルを効果的にブロックできる。
• PACS管理者は、モデルベースの敵対的検出に依存するのではなく、ネットワークのセキュリティ強化とエンドポイントでのデジタル署名検証を最優先すべきである。
• 医療画像分野は、他の分野とは異なり、閉鎖的システムとエンドツーエンドのデータライフサイクル制御を有するという独自の利点を持ち、より強固で信頼性の高いセキュリティ対策を講じられる。