[论文解读] Bias Field Poses a Threat to DNN-based X-Ray Recognition

Binyu Tian, Qing Guo+6 more|arXiv (Cornell University)|Sep 19, 2020

Adversarial Robustness in Machine Learning参考文献 60被引用 6

一句话总结

本文提出了一种对抗性平滑偏置场攻击（adversarial-smooth bias field attack），这是一种新颖的方法，通过对抗性地调整偏置场并保持其空间平滑性，生成逼真且难以察觉的对抗性X光影像。该方法在最先进的深度神经网络（如ResNet50、DenseNet121）上实现了高攻击成功率，同时保持了高图像真实度，揭示了基于深度神经网络的X光诊断系统中的关键脆弱性。

ABSTRACT

The chest X-ray plays a key role in screening and diagnosis of many lung diseases including the COVID-19. More recently, many works construct deep neural networks (DNNs) for chest X-ray images to realize automated and efficient diagnosis of lung diseases. However, bias field caused by the improper medical image acquisition process widely exists in the chest X-ray images while the robustness of DNNs to the bias field is rarely explored, which definitely poses a threat to the X-ray-based automated diagnosis system. In this paper, we study this problem based on the recent adversarial attack and propose a brand new attack, i.e., the adversarial bias field attack where the bias field instead of the additive noise works as the adversarial perturbations for fooling the DNNs. This novel attack posts a key problem: how to locally tune the bias field to realize high attack success rate while maintaining its spatial smoothness to guarantee high realisticity. These two goals contradict each other and thus has made the attack significantly challenging. To overcome this challenge, we propose the adversarial-smooth bias field attack that can locally tune the bias field with joint smooth & adversarial constraints. As a result, the adversarial X-ray images can not only fool the DNNs effectively but also retain very high level of realisticity. We validate our method on real chest X-ray datasets with powerful DNNs, e.g., ResNet50, DenseNet121, and MobileNet, and show different properties to the state-of-the-art attacks in both image realisticity and attack transferability. Our method reveals the potential threat to the DNN-based X-ray automated diagnosis and can definitely benefit the development of bias-field-robust automated diagnosis system.

研究动机与目标

• 研究基于深度神经网络的X光识别系统对偏置场扰动的脆弱性，此类扰动在医学影像中常见，但在对抗鲁棒性研究中尚未得到充分探索。
• 解决通过操纵偏置场而非加性噪声来生成既高效又视觉逼真的对抗样本的挑战。
• 开发一种联合优化方法，同时提升对抗攻击成功率与偏置场的空间平滑性，以确保图像的真实感与不可察觉性。
• 揭示深度神经网络对偏置场变化的空间敏感性，并识别最易发生误分类的区域。
• 为临床环境中构建对偏置场具有鲁棒性的自动化诊断系统提供洞见。

提出的方法

• 提出一种新颖的对抗性平滑偏置场攻击方法，将偏置场视为对抗性扰动，取代传统的加性噪声。
• 采用多元多项式模型对偏置场进行参数化，实现局部调优并控制其平滑性。
• 引入联合优化目标，结合对抗损失与总变差（TV）正则化，以平衡攻击效果与平滑性。
• 使用薄板样条（TPS）变换对偏置场的空间形变进行建模，实现灵活且局部化的调控。
• 将优化后的偏置场应用于干净的X光影像，生成保持高感知质量的对抗样本。
• 采用基于梯度的优化方法识别偏置场敏感区域，可视化强度变化对深度神经网络预测影响最大的位置。

实验结果

研究问题

• RQ1 偏置场扰动能否作为对基于深度神经网络的X光识别系统的一种真实且难以察觉的对抗攻击形式？
• RQ2 如何有效解决高攻击成功率与偏置场空间平滑性之间的权衡？
• RQ3 在X光影像中，哪些解剖结构区域最易受偏置场引起的误分类影响？
• RQ4 多项式次数与TPS控制点的选择如何影响攻击性能与真实感？
• RQ5 所提出的攻击在不同深度神经网络架构与数据集之间具有多大程度的迁移能力？

主要发现

• 所提出的对抗性平滑偏置场攻击在保持高图像真实感（BRISQUE评分衡量）的同时，实现了高攻击成功率（例如，在ResNet50上超过90%）。
• 该攻击在真实胸部X光数据集上成功欺骗了多种最先进的模型，包括ResNet50、DenseNet121和MobileNet。
• 注意力图可视化显示，偏置场敏感区域主要位于X光影像的上下两端，与器官位置存在相关性。
• 增加被忽略的低次多项式项数量（D₀）会降低攻击成功率但提升图像质量，证实了真实感与有效性之间的权衡。
• 该攻击在不同深度神经网络架构之间表现出强大的迁移能力，表明对偏置场操纵存在普遍性脆弱性。
• 该方法揭示，即使在高性能深度神经网络中，偏置场的变化仍可引发误分类，凸显了医学人工智能系统中关键的鲁棒性缺陷。