Training-Free Adversarial Robustness in Computational MRI

Motivation

• Known: Deep learning 기반 accelerated MRI reconstruction(특히 physics-driven DL, PD-DL)은 기존 parallel imaging이나 compressed sensing보다 뛰어난 성능을 보이는 state-of-the-art 기법으로 자리잡았다. 그러나 이러한 PD-DL 네트워크는 사람 눈에 보이지 않는 작은 adversarial perturbation에 취약하여 출력 이미지에 큰 왜곡을 초래할 수 있음이 알려져 있다.
• Gap: 기존에 제안된 adversarial robustness 향상 전략들(adversarial training 등)은 모두 네트워크 재학습(retraining)을 필요로 하여 높은 계산 비용이 들고, clean/non-attack 입력에 대해서도 추가적인 artifact를 유발하는 경향이 있다. 또한 k-space에서의 impulse noise(herringbone artifact)와 같은 실제적인 sparse & bounded adversarial 시나리오나, blind/adaptive attack 같은 현실적 확장 시나리오에 대한 검증이 부족했다.
• Why: MRI 재구성은 임상 진단에 직접 활용되는 의료 영상 분야이므로, adversarial perturbation에 의한 재구성 오류는 오진 등 심각한 문제로 이어질 수 있다. 재학습 없이 즉시 적용 가능한 defense 기법은 다양한 사전 학습된 PD-DL 모델에 실용적으로 적용될 수 있어 임상 배포 관점에서 중요성이 크다.
• Approach: 저자들은 cyclic measurement consistency 개념을 이용해, 공격이 없을 때는 원래 forward model과 유사한 분포에서 합성된 새로운 undersampling pattern으로 얻은 재구성 결과가 서로 cycle-consistent해야 한다는 아이디어에 기반해, 공격 입력 주변 small ball에서 이 consistency를 극대화하는 방향으로 입력을 보정하는 mitigation objective를 제안한다.

Achievement

Figure 3. Representative reconstruction results for Cor-PD knee, and Ax-FLAIR brain MRI Datasets at R = 4. The attack in

1. 재학습 없는 완화 기법: 네트워크 파라미터를 수정하거나 재학습하지 않고, 추론 시점에서만 입력을 보정하여 adversarial perturbation의 영향을 크게 줄이는 방법을 제안하였다.
2. 다양한 조건에서의 우수성 입증: 여러 데이터셋, PD-DL 네트워크, attack 종류/강도, undersampling pattern에 걸쳐 정성적·정량적으로 기존 mitigation 방법 대비 우수한 성능을 보였다.
3. 현실적 impulse noise(herringbone artifact) 시나리오 제시: k-space 상의 sparse & bounded adversarial attack으로서 impulse noise를 실제적 시나리오로 처음 제시하고, 제안 방법이 이를 효과적으로 완화함을 보였다.
4. Blind 및 adaptive attack 상황에서의 강건성 검증: 공격 강도/알고리즘을 모르는 blind 설정과, 공격자가 defense 전략을 완전히 알고 있는 adaptive attack 설정에서도 방법이 유효함을 확인하였다.
5. 기존 robust training과의 결합 가능성: 제안 방법이 기존 adversarial training 기법과 결합되어 추가적인 성능 향상을 이끌어낼 수 있음을 보였다.

How

Figure 2. Proposed mitigation strategy to reverse the adversarial

• k-space 측정치 yΩ = EΩx + n 및 PD-DL unrolled network f(zΩ, EΩ; θ)를 기반으로, 기존 adversarial attack을 arg max_{r:||r||p≤ε} L(f(zΩ+r,...), f(zΩ,...)) 형태의 unsupervised worst-case perturbation으로 정의(PGD 사용).
• Cyclic measurement consistency: 네트워크 출력으로부터 원래 forward model과 유사한 분포의 새로운 undersampling pattern으로 measurement를 합성(synthesize)하고, 이 합성 측정치로부터 다시 재구성했을 때 원래 재구성과 일치해야 한다는 성질을 이용.
• 공격이 없을 때는 이 cyclic consistency가 유지되지만, adversarial perturbation이 있을 때는 실제 측정치 기반 재구성과 합성 측정치 기반 재구성 사이에 큰 불일치가 발생한다는 관찰에 기반하여, 공격 입력 주변 small ball 내에서 이 불일치를 최소화하는 "corrective" perturbation을 최적화하는 목적함수를 설계(Figure 1, 2).
• ℓ∞ image-domain attack을 k-space 표현 w=(EΩ^H)†r로 변환할 수 있음을 이용해 물리 기반(physics-driven) 관점에서 방법을 설계, adaptive attack에 대한 강건성도 확보.
• Cor-PD knee, Ax-FLAIR brain 등 다양한 데이터셋과 MoDL 기반 PD-DL 네트워크, 다양한 attack 강도(ε)에 대해 실험을 수행하고 기존 adversarial training 및 다른 mitigation 기법과 비교(Figure 3, 4).
• Blind 설정(공격 강도/알고리즘 미상) 및 adaptive attack(공격자가 defense를 알고 있는 worst-case) 시나리오에서도 방법을 검증(Figure 5), 기존 robust training 기법과 결합하는 실험도 수행.

Originality

• 기존에 parallel imaging 개선이나 self-supervised DL reconstruction 학습, uncertainty guidance에 사용되던 cyclic measurement consistency 개념을 adversarial attack의 특성화 및 완화라는 완전히 새로운 방향에 적용한 점이 독창적이다.
• 재학습이 필요 없는 test-time defense를 제안함으로써, 기존 adversarial training 계열 방법들의 근본적 한계(높은 계산비용, clean 입력에 대한 성능 저하)를 우회하였다.
• k-space impulse noise(herringbone artifact)를 sparse & bounded adversarial attack의 현실적 모델로 처음 제시하여, 이론적 adversarial robustness 연구와 실제 MRI 아티팩트 현상을 연결하였다.
• Blind 및 adaptive attack이라는 실제 배포 환경에 가까운 두 가지 확장 시나리오에서까지 강건성을 검증한 점도 기존 연구 대비 실용적 기여로 볼 수 있다.

Limitation & Further Study

• 본 방법은 최적화 기반 test-time correction이므로, 재학습이 필요 없는 대신 추론 시점에서 추가적인 반복 최적화 연산이 필요해 계산 오버헤드(inference latency)가 발생할 가능성이 있으며, 이에 대한 실용적 시간/자원 분석이 충분히 제시되지 않았을 수 있다.
• 실험이 특정 PD-DL 아키텍처(MoDL 계열)와 특정 undersampling/attack 유형(주로 ℓ∞ image-domain PGD)에 집중되어 있어, 더 다양한 네트워크 구조나 실제 임상 스캐너 노이즈, 비선형적 공격 기법에 대한 일반화 가능성은 추가 검증이 필요하다.
• Adaptive attack 실험이 특정 white-box 가정 하에 이루어졌을 가능성이 있어, 공격자가 cyclic consistency 기반 defense의 세부 구현까지 완전히 알고 최적화하는 더 강력한 adaptive attack 시나리오에 대한 취약성은 추가 연구가 필요하다.
• 후속 연구로 다른 이미징 역문제(CT, 압축센싱 기반 영상 등)로의 확장이나, 다양한 defense 기법과의 결합 최적화 등을 고려할 수 있다.

Evaluation

총평: 재학습 없이 cyclic measurement consistency만으로 MRI 재구성 모델의 adversarial robustness를 확보한다는 아이디어가 신선하고 실용적이며, 다양한 실험 시나리오(blind, adaptive, impulse noise)를 통해 방법의 견고함을 폭넓게 검증한 완성도 높은 연구이다.