[论文解读] CT-GAN: Malicious Tampering of 3D Medical Imagery using Deep Learning

Yisroel Mirsky, Tom Mahler+2 more|arXiv (Cornell University)|Jan 11, 2019

Digital Media Forensic Detection参考文献 46被引用 108

一句话总结

CT-GAN 展示了在 3D CT 扫描中使用条件 GAN 自动化、真实地注入/移除证据（例如肺癌），并验证放射科医生和 AI 对此类篡改的易感性。

ABSTRACT

In 2018, clinics and hospitals were hit with numerous attacks leading to significant data breaches and interruptions in medical services. An attacker with access to medical records can do much more than hold the data for ransom or sell it on the black market. In this paper, we show how an attacker can use deep-learning to add or remove evidence of medical conditions from volumetric (3D) medical scans. An attacker may perform this act in order to stop a political candidate, sabotage research, commit insurance fraud, perform an act of terrorism, or even commit murder. We implement the attack using a 3D conditional GAN and show how the framework (CT-GAN) can be automated. Although the body is complex and 3D medical scans are very large, CT-GAN achieves realistic results which can be executed in milliseconds. To evaluate the attack, we focused on injecting and removing lung cancer from CT scans. We show how three expert radiologists and a state-of-the-art deep learning AI are highly susceptible to the attack. We also explore the attack surface of a modern radiology network and demonstrate one attack vector: we intercepted and manipulated CT scans in an active hospital network with a covert penetration test. Demo video: https://youtu.be/_mkRAArj-x0 Source code: https://github.com/ymirsky/CT-GAN

研究动机与目标

• 暴露一种现实、自动化的方法，通过注入或移除疾病证据来篡改 3D 医学影像。
• 通过在被篡改的 CT 扫描上测试放射科医生和 AI 肺癌筛查系统来评估威胁。
• 演示在医院 PACS 网络中的一个攻击向量，并讨论实际的对策。
• 提供可重复的数据集和代码，以促进进一步的研究和防御。

提出的方法

• 使用两个条件 GAN（cGAN）进行修复以在局部 3D CT 区域注入（病灶）或移除（健康）组织。
• 过程包括定位目标证据区域、提取一个矩形长方体、对其进行调整大小（插值）、应用 cGAN 修改，并将长方体重新插回到扫描中。
• 通过直方图均衡、组织密度遮罩（Hounsfield 单位）和高斯噪声来增强真实感，以降低边界伪影。
• 实现攻击的自动化，使其在空气隔离的 PACS 环境中工作，并通过资深放射科医生和最先进的 AI 肺癌筛查模型进行验证。
• 演示一次医院渗透测试，以展示实际的攻击面和潜在的拦截路径。

实验结果

研究问题

• RQ1 是否可以使用深度学习对 3D 医学影像（CT 扫描）进行真实地篡改，以注入或移除疾病证据？
• RQ2 放射科医生和机器学习模型在检测被篡改的 3D 医学影像方面的有效性如何？
• RQ3 在现代 PACS/RIS 网络中部署此类篡改的可行攻击面和向量有哪些？
• RQ4 哪些对策可以减轻自动化篡改并提高检测能力？

主要发现

• 三位放射科医生将注入的癌症病例中 99% 诊断为恶性。
• 三位放射科医生将移除癌症的病例中 94% 评估为健康。
• 在告知放射科医生攻击信息后，60% 的注入仍被错误诊断为癌症，87% 的移除错误诊断为癌症。
• 最先进的 AI 肺癌筛查模型对被篡改的患者诊断全部错误（100%）。
• 该攻击在现实的医院网络中是可行的，并且可以为空气隔离系统实现自动化。