《Scientific Reports》：A multi-layered defense against adversarial attacks in brain tumor classification using ensemble adversarial training and feature squeezing
編輯推薦：
在醫療影像中，深度學習模型（如 VGG16）用于腦腫瘤分類時易受對抗攻擊（如 FGSM、PGD）影響。研究人員采用集成對抗訓練與特征壓縮（位深度縮減、高斯模糊）的多層防御策略，使模型在對抗樣本上的準確率提升至 54%（FGSM）和 47%（PGD），增強了 AI 在醫療中的可靠性。
在醫療人工智能領域，腦腫瘤的精準診斷對臨床治療至關重要。磁共振成像（MRI）憑借高分辨率和無電離輻射的優勢，成為腦腫瘤診斷的重要手段，但人工分析 MRI 圖像不僅耗時，還易受主觀因素影響，存在誤診風險。深度學習技術，尤其是卷積神經網絡（CNNs），在腦腫瘤分類中展現出強大潛力，然而其在對抗攻擊面前的脆弱性卻成為臨床應用的重大隱患。對抗攻擊通過對輸入圖像進行微小擾動，可能導致模型做出錯誤且危險的預測，例如將高級別腫瘤誤判為低級別，進而引發不恰當的治療方案。因此，如何提升模型在對抗環境下的魯棒性，成為保障 AI 在醫療影像中可靠應用的關鍵問題。
為解決這一難題，美國中田納西州立大學（Middle Tennessee State University）的研究人員開展了一項針對腦腫瘤分類模型對抗攻擊防御的研究。他們提出一種多層防御策略，通過集成對抗訓練與特征壓縮技術，顯著提升了模型在對抗攻擊下的穩定性。該研究成果發表在《Scientific Reports》上，為醫療 AI 的安全性提供了重要的解決思路。
研究人員主要采用了以下關鍵技術方法：以 VGG16 卷積神經網絡為基礎模型，利用遷移學習對腦腫瘤 MRI 圖像進行分類。采用 Fast Gradient Sign Method（FGSM）和 Projected Gradient Descent（PGD）兩種對抗攻擊方法評估模型的脆弱性。通過集成對抗訓練，使用 FGSM 和 PGD 生成的對抗樣本對模型進行再訓練，并結合特征壓縮技術，包括位深度縮減和高斯模糊，以降低模型對微小擾動的敏感性。研究使用的數據集為復合 MRI 數據集，包含 7023 張圖像，來源于 Figshare、SARTAJ 和 Br35H 等公開數據集。
基線性能與對抗攻擊評估
研究首先在干凈的 MRI 數據集上訓練模型，結果顯示，初始模型在腦腫瘤分類中表現出較高性能，整體準確率達到 96%，各腫瘤類別的精確率、召回率和 F1 分數均保持在較高水平，為后續對抗攻擊的評估奠定了堅實基礎。
在對抗攻擊評估階段（預防御），FGSM 攻擊（參數 ε=0.01）使模型在 FGSM 生成的對抗數據上的準確率驟降至 32%；PGD 攻擊（參數 ε=0.01，α=0.002，10 次迭代）則使準確率進一步降至 13%。腫瘤類別的性能退化尤為顯著，表明模型在對抗攻擊面前存在嚴重的脆弱性，亟需有效的防御措施。
對抗訓練與防御機制
研究采用多層防御策略，將 FGSM 和 PGD 對抗樣本與特征壓縮技術相結合，對模型進行對抗訓練。通過兩種模擬策略（調整 FGSM 和 PGD 的參數 ε、α 及迭代次數）評估防御效果。特征壓縮技術通過 4 位深度縮減和 3×3 高斯模糊，有效降低了輸入圖像對微小擾動的敏感性，增強了模型的魯棒性。
防御效果評估
對抗訓練后，模型在對抗數據上的性能顯著提升。在 FGSM 攻擊下，準確率提升至 54%；在 PGD 攻擊下，準確率提升至 47%。各腫瘤類別的精確率、召回率和 F1 分數均有明顯改善，尤其是垂體瘤和無腫瘤類別。置信度分析表明，防御后的模型在對抗樣本分類中表現出更平衡的置信度分布，減少了高置信度誤判的情況，進一步驗證了多層防御策略的有效性。
研究結論與意義
本研究成功開發了一種集成對抗訓練與特征壓縮的多層防御框架，顯著提升了 VGG16 模型在腦腫瘤分類中對抗 FGSM 和 PGD 攻擊的魯棒性。通過系統分析模型的對抗脆弱性，驗證了多層防御策略在提升模型穩定性方面的優勢，為醫療影像中 AI 模型的安全性提供了新的解決方案。研究結果表明，合理校準對抗訓練參數可在不影響干凈數據分類精度的前提下，有效增強模型對對抗擾動的抵抗能力。
該研究填補了腦腫瘤分類領域對抗防御的研究空白，為醫療 AI 在高風險臨床環境中的可靠應用提供了重要支撐。其提出的多層防御框架具有可擴展性和適應性，不僅適用于腦腫瘤分類，還可為其他醫療影像領域的對抗防御研究提供參考。未來研究可進一步探索優化計算效率、擴展至其他神經網絡架構及更多對抗攻擊類型，以推動醫療 AI 向更安全、可靠的方向發展。
