[论文解读] Stabilized Medical Image Attacks

Gege Qi, Lijun Gong+3 more|arXiv (Cornell University)|Mar 9, 2021

Adversarial Robustness in Machine Learning参考文献 32被引用 16

一句话总结

本文提出了一种新型对抗性攻击方法——稳定医学影像攻击（SMIA），通过结合损失偏差项与损失稳定项，显著提升在不同医学影像模态（如CT、眼底图像、内窥镜图像）间攻击的一致性。该方法通过损失稳定项确保扰动平滑且方差低，有效逃离局部最优解，从而在多个基准测试中大幅降低诊断准确率，同时保持极小的扰动方差。

ABSTRACT

Convolutional Neural Networks (CNNs) have advanced existing medical systems for automatic disease diagnosis. However, a threat to these systems arises that adversarial attacks make CNNs vulnerable. Inaccurate diagnosis results make a negative influence on human healthcare. There is a need to investigate potential adversarial attacks to robustify deep medical diagnosis systems. On the other side, there are several modalities of medical images (e.g., CT, fundus, and endoscopic image) of which each type is significantly different from others. It is more challenging to generate adversarial perturbations for different types of medical images. In this paper, we propose an image-based medical adversarial attack method to consistently produce adversarial perturbations on medical images. The objective function of our method consists of a loss deviation term and a loss stabilization term. The loss deviation term increases the divergence between the CNN prediction of an adversarial example and its ground truth label. Meanwhile, the loss stabilization term ensures similar CNN predictions of this example and its smoothed input. From the perspective of the whole iterations for perturbation generation, the proposed loss stabilization term exhaustively searches the perturbation space to smooth the single spot for local optimum escape. We further analyze the KL-divergence of the proposed loss function and find that the loss stabilization term makes the perturbations updated towards a fixed objective spot while deviating from the ground truth. This stabilization ensures the proposed medical attack effective for different types of medical images while producing perturbations in small variance. Experiments on several medical image analysis benchmarks including the recent COVID-19 dataset show the stability of the proposed method.

研究动机与目标

• 解决在CT、眼底图像及内窥镜图像等多样化医学影像模态间对抗性攻击不一致的挑战。
• 开发一种鲁棒的对抗性攻击方法，即使在不同医学影像类型间存在显著数据差异时，仍能保持高攻击效果。
• 提升深度医学诊断系统中对抗性攻击生成扰动的稳定性和一致性。
• 在最大化攻击成功率的同时降低扰动方差，确保可靠规避基于CNN的医学分类器。
• 在真实世界医学基准数据集（包括COVID-19、糖尿病视网膜病变及伪影检测数据集）上评估该方法的有效性。

提出的方法

• 该方法构建一个目标函数，结合损失偏差项以增强对抗性预测与真实标签之间的差异。
• 引入损失稳定项，强制对抗样本与其平滑输入在CNN预测上保持一致，从而在扰动空间中提升稳定性。
• 该稳定项通过正则化扰动更新，使其在特征空间中朝向一个固定目标点移动，从而降低方差并实现对局部最优解的逃离。
• 通过梯度更新迭代优化该复合目标函数，逐步生成扰动。
• KL散度分析表明，稳定项引导扰动朝向一致目标，同时最小化方差。
• 该方法在多种医学图像任务（包括分类、分割与检测）中，基于多样化数据集进行了评估。

实验结果

研究问题

• RQ1 对抗性攻击是否能在CT、眼底图像及内窥镜图像等多样化医学影像模态间保持一致的有效性？
• RQ2 如何在医学图像的对抗性攻击中实现扰动的稳定性和低方差？
• RQ3 与标准对抗性方法相比，所提出的损失稳定项在多大程度上提升了攻击性能？
• RQ4 SMIA是否在降低扰动方差的同时，仍能保持高攻击成功率，适用于多种医学诊断任务？
• RQ5 SMIA与FGSM、PGD、DAG及DeepFool等最先进攻击方法相比，在真实医学基准上的表现如何？

主要发现

• 在COVID-19肺部分段数据集上，SMIA使识别准确率比第二好的方法（DAG）降低9%，证明其攻击效果更优。
• 在APTOS-2019糖尿病视网膜病变分级数据集上，SMIA使准确率下降幅度比第二好的方法PGD高出10%。
• SMIA的扰动方差始终低于所有基线方法——在COVID-19数据集上为0.001，在APTOS-2019上为0.019，在Kaggle-DR上为0.041，表明其具有高度稳定性。
• 在EAD-2019伪影检测任务中，SMIA将IoU指标降低至4.8%，尽管DAG具有专门设计，SMIA的攻击影响仍更优（DAG为7.62%）。
• 在Kaggle-DR数据集上，SMIA的假阳性率达到27.80%，高于其他方法，表明其对分类任务的干扰更强。
• 在MNIST数据集上，SMIA使识别准确率下降程度超过FGSM和PGD，证实其在医学图像之外也具备更广泛的应用潜力。