[论文解读] Non-Local Context Encoder: Robust Biomedical Image Segmentation against Adversarial Attacks

Xiang He, Sibei Yang+4 more|arXiv (Cornell University)|Apr 27, 2019

Adversarial Robustness in Machine Learning参考文献 28被引用 4

一句话总结

本文提出了一种新型模块——非局部上下文编码器（NLCE），通过建模全局空间依赖性和利用通道注意力编码全局上下文信息，显著提升了生物医学图像分割的鲁棒性。将NLCE集成到非局部上下文编码网络（NLCEN）中后，该模型在保持高分割精度的同时，显著增强了对对抗攻击的防御能力，适用于肺部和皮肤病变数据集。

ABSTRACT

Recent progress in biomedical image segmentation based on deep convolutional neural networks (CNNs) has drawn much attention. However, its vulnerability towards adversarial samples cannot be overlooked. This paper is the first one that discovers that all the CNN-based state-of-the-art biomedical image segmentation models are sensitive to adversarial perturbations. This limits the deployment of these methods in safety-critical biomedical fields. In this paper, we discover that global spatial dependencies and global contextual information in a biomedical image can be exploited to defend against adversarial attacks. To this end, non-local context encoder (NLCE) is proposed to model short- and long range spatial dependencies and encode global contexts for strengthening feature activations by channel-wise attention. The NLCE modules enhance the robustness and accuracy of the non-local context encoding network (NLCEN), which learns robust enhanced pyramid feature representations with NLCE modules, and then integrates the information across different levels. Experiments on both lung and skin lesion segmentation datasets have demonstrated that NLCEN outperforms any other state-of-the-art biomedical image segmentation methods against adversarial attacks. In addition, NLCE modules can be applied to improve the robustness of other CNN-based biomedical image segmentation methods.

研究动机与目标

• 解决最先进的基于CNN的生物医学图像分割模型在对抗攻击下的脆弱性问题。
• 探究全局空间依赖性和全局上下文信息是否能够提升模型的鲁棒性。
• 设计一种通用且可集成的模块，以提升鲁棒性，而无需从头开始重新训练模型。
• 在多种生物医学分割架构和数据集上验证所提模块的有效性。

提出的方法

• 提出非局部上下文编码器（NLCE）模块，通过在所有空间位置上计算加权响应来建模长距离空间依赖性。
• 引入通道注意力机制以增强特征图激活，利用编码的全局上下文信息。
• 通过在金字塔特征学习框架中堆叠NLCE模块，构建非局部上下文编码网络（NLCEN）。
• 采用不同扰动强度（ε = 16, 32）的迭代FGSM对抗攻击来评估模型鲁棒性。
• 使用生成的对抗样本进行对抗训练以提升泛化能力，同时测试NLCE在不同模型间的迁移能力。
• 通过移除NLCE、全局依赖或全局上下文组件进行消融研究，以验证其各自及联合贡献。

实验结果

研究问题

• RQ1 全局空间依赖性和全局上下文信息是否能提升生物医学图像分割在对抗攻击下的鲁棒性？
• RQ2 NLCE模块是否可作为通用的即插即用组件，有效提升现有基于CNN的分割模型的鲁棒性？
• RQ3 在不同扰动强度的强对抗攻击下，NLCE模块与最先进模型相比表现如何？
• RQ4 全局空间依赖性与全局上下文编码在对抗鲁棒性中的相对贡献分别是什么？
• RQ5 NLCE是否能在不损害生物医学分割基准上干净准确率的前提下提升鲁棒性？

主要发现

• 所有测试的最先进的基于CNN的生物医学分割模型在对抗攻击下均表现出脆弱性，尤其在FGSM攻击下性能显著下降。
• 所提出的NLCEN模型在JSRT（肺部）和ISBI 2016（皮肤病变）数据集上均实现了最高鲁棒性，优于所有基线模型。
• 在JSRT数据集上，NLCEN在ε = 32的FGSM攻击下仍保持高性能，准确率下降极小，展现出强大的防御能力。
• 消融研究证实，全局空间依赖性和全局上下文编码均不可或缺且具有互补性，完整NLCE模块实现最佳鲁棒性。
• 将NLCE模块添加到其他模型（SLSDeep、NWCN、UNet、InvertNet、CDNN）后，其鲁棒性显著提升，JSRT数据集上Dice（DIC）和Jaccard相似度（JSC）得分更高。
• 在不冻结层的情况下对完整NLCEN模型进行微调，可进一步提升准确率和鲁棒性，表明仍有优化空间。