敵対的攻撃2026/8/29arXiv:2608.29456

テキスト誘導拡散モデルによる胸部X線画像への敵対的攻撃

Text-Guided Diffusion-Based Adversarial Attacks on Chest X-Ray Images

胸部X線画像の分類モデルに対する、テキスト条件を最適化する拡散ベースの敵対的攻撃手法を提案し、既存の画素操作攻撃よりも高い攻撃成功率と画像品質を実現した。

詳しい要約

1. どんなもの？

本論文は、胸部X線（CXR）画像に対する敵対的攻撃の新しいフレームワークを提案している。テキストガイドによる拡散モデルを用いて、学習可能なテキスト条件を最適化し、拡散生成器とターゲット分類器を凍結したまま、直接的なピクセル操作ではなく学習された画像事前分布を介して敵対的画像を生成する。バイナリ（無気肺）およびマルチ疾患CXR分類の両方で評価し、従来のピクセル空間攻撃（FGSM、PGD、Carlini-Wagner）と比較して、分類器の性能を最も低下させ、かつ画像忠実度が高いことを示す。さらに、臨床医の解釈は大部分の敵対的画像で変化しないことを示し、人間と機械の解釈の乖離を明らかにする。

2. 先行研究と比べてどこがすごい？

既存のロバスト性評価は、数値的に制約された摂動を導入するピクセル空間攻撃に依存しており、現実的なX線撮影の変動を表現できない可能性がある。特に、複数の重複する病変を同時に評価するマルチ疾患CXR分類では、この制限が重要である。提案手法は、拡散モデルによる生成を利用することで、ピクセル操作ではなく画像事前分布に基づく攻撃を可能にし、より臨床的に妥当で視覚的に自然な敵対的画像を生成する点で先行研究より優れている。

3. 技術・手法の肝は？

手法の核心は、テキストガイド拡散モデルを用いた敵対的攻撃である。具体的には、学習可能なテキスト条件を最適化し、拡散生成器とターゲット分類器は凍結したまま、敵対的画像を生成する。これにより、直接的なピクセル摂動ではなく、生成モデルの事前分布を利用して、分類器を誤分類させる画像を生成する。

4. どうやって有効だと検証した？

複数の分類器アーキテクチャを用いて、バイナリ無気肺分類とマルチ疾患CXR分類の両方で評価した。比較対象としてFGSM、PGD、Carlini-Wagner攻撃を用いた。提案手法は、バイナリ分類でAUROCを0.3885-0.5646に、マルチ疾患設定で0.4441-0.4878に低下させ、最も大きな性能劣化をもたらした。また、画像忠実度はSSIM 0.9080、LPIPS 0.1670、FID 51.23と優れていた。さらに、臨床医の解釈はバイナリで95.9%、マルチ疾患で73.8%の敵対的画像で変化しなかった。

5. 議論はある？

議論として、提案された生成的脅威モデルは、人間の解釈が変わらないにもかかわらずモデルの予測を大きく変えるため、臨床的に重要な人間と機械の解釈の乖離を明らかにしている。これは、医療AIのロバスト性評価を従来のピクセル空間攻撃を超えて拡張する必要性を示している。しかし、要旨からは、提案手法の計算コストや実用性、他のデータセットへの一般化可能性などについては不明である。

6. 次に読むべき論文は？

要旨で参照されている攻撃手法はFGSM、PGD、Carlini-Wagner攻撃であり、これらは敵対的攻撃の古典的な手法である。また、拡散モデルを用いた攻撃は近年の研究であり、関連する研究として、拡散モデルを用いた敵対的攻撃や生成的敵対的攻撃に関する論文が考えられる。具体的には、DiffAttackやその他の拡散ベースの攻撃手法が関連する。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Basudha Pal, Arjun Narayanan, Neha Ajith, Vikas R Bhat, Muhammad Umair

分類: cs.CV

原文アブストラクト

As artificial intelligence is increasingly integrated into chest X-ray (CXR) interpretation, triage, and clinical decision support, understanding its vulnerability to adversarial manipulation is critical for safe deployment. Existing robustness evaluations, however, predominantly rely on pixel-space attacks that introduce numerically constrained perturbations but may not represent plausible radiographic variation. This limitation is particularly important in multi-disease CXR classification, where models simultaneously evaluate multiple overlapping pathologies and adversarial failures may alter several diagnostic predictions. We propose a text-guided diffusion-based adversarial framework that optimizes learnable text conditioning while keeping the diffusion generator and target classifier frozen, enabling adversarial generation through a learned image prior rather than direct pixel manipulation. We evaluate the framework across multiple classifier architectures in both binary atelectasis and multi-disease CXR classification and compare it with FGSM, PGD, and Carlini-Wagner attacks. Our approach consistently produced the greatest degradation in classifier performance, reducing AUROC to 0.3885-0.5646 in binary classification and 0.4441-0.4878 in the multi-disease setting, while achieving superior image fidelity (SSIM 0.9080, LPIPS 0.1670, FID 51.23). Importantly, clinician interpretation remained unchanged for 95.9% of binary and 73.8% of multi-disease adversarial images despite substantial changes in model predictions. These findings reveal a clinically important discrepancy between human and machine interpretation and demonstrate the need to extend medical AI robustness evaluation beyond conventional pixel-space attacks toward generative threat models that can expose failures under visually and clinically plausible image variations.

arXivで原文を読む →arXiv概要ページ