[论文解读] Identify Susceptible Locations in Medical Records via Adversarial Attacks on Deep Predictive Models

Mengying Sun, Fengyi Tang+3 more|arXiv (Cornell University)|Feb 13, 2018

Machine Learning in Healthcare参考文献 36被引用 7

一句话总结

本文提出了一种对抗性攻击框架，通过利用基于深度LSTM的预测模型中的漏洞，识别电子健康记录（EHR）中易受攻击的位置。通过生成时间优先、稀疏的对抗性扰动，该方法可精确定位最可能因记录不准确而导致误分类的关键临床指标，表明仅通过最小扰动修改患者记录中3%的条目，即可使超过50%的患者被误导。

ABSTRACT

The surging availability of electronic medical records (EHR) leads to increased research interests in medical predictive modeling. Recently many deep learning based predicted models are also developed for EHR data and demonstrated impressive performance. However, a series of recent studies showed that these deep models are not safe: they suffer from certain vulnerabilities. In short, a well-trained deep network can be extremely sensitive to inputs with negligible changes. These inputs are referred to as adversarial examples. In the context of medical informatics, such attacks could alter the result of a high performance deep predictive model by slightly perturbing a patient's medical records. Such instability not only reflects the weakness of deep architectures, more importantly, it offers guide on detecting susceptible parts on the inputs. In this paper, we propose an efficient and effective framework that learns a time-preferential minimum attack targeting the LSTM model with EHR inputs, and we leverage this attack strategy to screen medical records of patients and identify susceptible events and measurements. The efficient screening procedure can assist decision makers to pay extra attentions to the locations that can cause severe consequence if not measured correctly. We conduct extensive empirical studies on a real-world urgent care cohort and demonstrate the effectiveness of the proposed screening approach.

研究动机与目标

• 解决深度学习模型在EHR预测系统中的脆弱性问题，即微小的输入扰动可能显著改变预测结果。
• 识别EHR中对对抗性扰动最敏感的特定临床指标和时间点。
• 开发一种高效、稀疏、时间优先的对抗性攻击方法，专门针对序列化EHR数据。
• 在个体和群体层面引入易感性评分，以指导临床关注和监测频率。
• 使用真实急诊护理数据（MIMIC-III）评估攻击的有效性，并提出一种新的稀疏对抗性攻击度量标准。

提出的方法

• 基于迭代优化开发一种稀疏对抗性攻击框架，以在EHR序列上生成最小扰动。
• 实施一种时间优先策略，优先对序列中较近的时间步进行扰动，以反映其临床相关性。
• 采用约束优化方法，在最小化扰动幅度的同时最大化在基于LSTM的预测模型上的误分类成功率。
• 在每个时间步为每个特征引入一个易感性评分，通过跨患者计算，以识别高风险测量指标。
• 提出一种结合稀疏性和扰动幅度的新评估指标，以衡量攻击效率。
• 将该攻击方法应用于真实的MIMIC-III EHR数据，生成对抗性样本并推导出群体层面的易感性热点区域。

实验结果

研究问题

• RQ1 在EHR中，哪些临床指标和时间点对深度预测模型中的小规模对抗性扰动最为脆弱？
• RQ2 如何高效地将对抗性攻击方法适配于具有时间依赖敏感性的序列化、异构EHR数据？
• RQ3 对抗性攻击模式能否揭示对个体患者和人群具有临床意义的易感性评分？
• RQ4 在EHR中，攻击成功率、稀疏性和扰动幅度之间的权衡关系如何？
• RQ5 易感性评分如何指导临床监测和诊断检测的最佳频率？

主要发现

• 在MIMIC-III队列中，超过50%的患者可通过仅扰动其EHR记录中3%的位置而被成功误分类。
• 成功攻击所需的平均扰动幅度小于0.02，表明模型对微小变化具有高度敏感性。
• 靠近决策边界的患者其最大扰动阈值显著更低，表明模型不确定性更高。
• 扰动网格中的热点区域（表示高易感性）与生命体征和实验室检查（如CMP）等特征相关，尤其在近期测量时更为明显。
• 从1到0的攻击方向（例如，从高风险预测变为低风险预测）比相反方向更具挑战性，表明模型决策边界存在不对称脆弱性。
• 易感性评分可指导临床医生调整昂贵检测（如CMP）的采样频率，从而在不损害风险预测准确性的前提下降低医疗成本。