🤖 machine learning

Exploring Adversarial Watermarking in Transformer-Based Models: Transferability and Robustness Against Defense Mechanism for Medical Images

Diese Arbeit untersucht die Anfälligkeit von Vision Transformern (ViTs) gegenüber adversen Wasserzeichen in der dermatologischen Bildanalyse, wobei sie deren Übertragbarkeit auf CNNs sowie die Wirksamkeit von adversarialem Training zur Erhöhung der Robustheit analysiert.

Ursprüngliche Autoren: Rifat Sadik, Tanvir Rahman, Arpan Bhattacharjee, Bikash Chandra Halder, Ismail Hossain, Mridul Banik, Jia Uddin

Veröffentlicht 2026-02-10

📖 3 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Rifat Sadik, Tanvir Rahman, Arpan Bhattacharjee, Bikash Chandra Halder, Ismail Hossain, Mridul Banik, Jia Uddin

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Der digitale „Blinde Passagier“: Warum KI-Ärzte getäuscht werden können (und wie wir sie schützen)

Stellen Sie sich vor, Sie haben einen hochmodernen, digitalen Hautarzt – eine Künstliche Intelligenz (KI). Diese KI ist wie ein extrem scharfsinniger Detektiv. Sie kann auf einem Foto winzige Details erkennen, die ein menschlicher Arzt vielleicht übersieht, und sagt Ihnen sofort, ob ein Muttermal harmlos ist oder gefährlich werden könnte.

In dieser Forschungsarbeit geht es um zwei Arten von „Detektiven“:

Die alten Profis (CNNs): Das sind erfahrene Ermittler, die mit der Lupe ganz nah an die Details herangehen. Sie schauen sich jeden Millimeter genau an.
Die neuen Super-Genies (Vision Transformers/ViTs): Das sind die neuen High-Tech-Detektive. Sie schauen nicht nur auf Details, sondern behalten das ganze Bild gleichzeitig im Blick. Sie verstehen die Zusammenhänge zwischen allen Teilen eines Bildes perfekt.

Das Problem: Der unsichtbare Tarnmantel

Jetzt kommt der Haken: Die neuen Super-Genies (die Transformers) haben eine Schwachstelle. Forscher haben herausgefunden, dass man sie mit einer Art „digitalem Tarnmantel“ austricksen kann.

Stellen Sie sich vor, jemand nimmt ein Foto eines gefährlichen Hautkrebses und sprüht eine hauchdünne, für das menschliche Auge völlig unsichtbare Schicht aus buntem Glitzer darüber. Für uns sieht das Bild immer noch ganz normal aus. Aber für das „Super-Genie“ (den Transformer) wirkt dieser Glitzer wie ein riesiges Störsignal. Das Gehirn der KI wird völlig verwirrt, weil die Zusammenhänge im Bild plötzlich nicht mehr stimmen. Das Ergebnis? Die KI sagt: „Alles super, völlig gesund!“, obwohl das Bild eigentlich eine Gefahr zeigt.

Die Forscher nennen das „Adversarial Watermarking“. Es ist wie ein winziger, bösartiger Fingerabdruck, der das Modell in die Irre führt.

Die Überraschung: Die neuen sind anfälliger

Die Forscher haben getestet, wie stark diese „Glitzer-Attacken“ wirken. Und das Ergebnis war schockierend:

Die alten Profis (CNNs) waren recht robust. Sie ließen sich ein bisschen ärgern, aber sie behielten meistens den Durchblick.
Die neuen Super-Genies (Transformers) brachen völlig zusammen! Ihre Genauigkeit stürzte von fast 95 % auf mickrige 27 % ab. Sie waren also extrem leicht zu täuschen.

Die Lösung: Das „Trockentraining“ für die KI

Aber es gibt gute Nachrichten! Die Forscher haben eine Lösung gefunden: Adversarial Training (Adversariales Training).

Man kann sich das wie ein Training für einen Boxer vorstellen. Anstatt den Boxer nur gegen sanfte Sandsäcke trainieren zu lassen, lässt man ihn im Training gegen echte, fiese Gegner antreten, die versuchen, ihn zu täuschen.

Die Forscher haben die KI also absichtlich mit diesen „Glitzer-Bildern“ (den manipulierten Fotos) trainiert. Die KI musste lernen: „Aha, auch wenn dieser winzige digitale Schmutz auf dem Bild ist, das hier ist trotzdem ein Hautkrebs!“

Das Ergebnis des Trainings war spektakulär:
Die Super-Genie-KI (der Transformer) hat gelernt, den Tarnmantel zu durchschauen. Ihre Genauigkeit sprang von den katastrophalen 27 % wieder hoch auf stolze 90 %.

Zusammenfassung

Die Forschung zeigt uns: Die modernsten KI-Modelle, die wir in der Medizin nutzen wollen, sind zwar extrem schlau, aber auch leichtgläubig. Sie sind wie Genies, die sich von einem kleinen Trick täuschen lassen. Aber durch gezieltes „Härtetraining“ können wir sie so robust machen, dass sie auch in einer Welt voller digitaler Täuschungsmanöver sicher und zuverlässig bleiben.

Technische Zusammenfassung: Untersuchung adversarieller Wasserzeichen in Transformer-basierten Modellen für medizinische Bilder

Problemstellung

Mit dem Aufkommen von Vision Transformers (ViTs) in der Computer Vision, insbesondere in der dermatologischen Bildanalyse, hat sich ein neues Sicherheitsrisiko abgezeichnet. Während ViTs durch ihren Self-Attention-Mechanismus globale Kontextbeziehungen besser erfassen können als klassische Convolutional Neural Networks (CNNs), macht sie genau diese Eigenschaft anfällig für adversarielle Störungen.

Das Kernproblem der Arbeit besteht darin, dass minimale, für das menschliche Auge unsichtbare Veränderungen (adversarielle Wasserzeichen) in medizinischen Bildern die Klassifizierung massiv verfälschen können. In der Dermatologie könnte dies dazu führen, dass bösartige Melanome fälschlicherweise als gutartig eingestuft werden, was schwerwiegende klinische Folgen hätte. Die Autoren untersuchen die Anfälligkeit von ViTs, die Übertragbarkeit dieser Angriffe auf CNNs und die Effektivität von Verteidigungsmechanismen.

Methodik

Die Studie nutzt einen experimentellen Ansatz, der auf folgenden Komponenten basiert:

Angriffsmethode (PGD): Zur Erzeugung der adversariellen Wasserzeichen wurde der Projected Gradient Descent (PGD) Algorithmus verwendet. PGD ist ein iteratives Optimierungsverfahren, das die Verlustfunktion des Modells maximiert, um die Fehlklassifizierung zu provozieren, während die Störung innerhalb eines definierten $\epsilon$ -Bereichs bleibt, um die Imperzeptibilität (Unsichtbarkeit) zu gewährleisten.
Modellarchitekturen: Es wurden drei verschiedene Architekturen verglichen:
- Vision Transformer (ViT): Ein auf Self-Attention basierendes Modell.
- ResNet-50: Ein tiefes CNN mit Residualverbindungen.
- VGG16: Ein klassisches, tiefes CNN.
Datensatz: Ein dermatologischer Datensatz mit fünf Klassen von Hautkrankheiten (Atopische Dermatitis, Ekzem, Herpes, Naevus und Melanom).
Verteidigungsmechanismus: Die Autoren implementierten Adversarial Training. Hierbei werden die Modelle während des Trainingsprozesses gezielt mit adversariellen Beispielen konfrontiert, um sie zu robusten Repräsentationen zu zwingen.

Wesentliche Beiträge (Key Contributions)

Analyse der Architektur-Vulnerabilität: Die Arbeit zeigt auf, dass die globale Aufmerksamkeit von ViTs eine spezifische Schwachstelle darstellt, die sie anfälliger für verteilte, subtile Störungen macht als lokale CNN-Strukturen.
Transferabilitäts-Untersuchung: Es wird untersucht, wie effektiv Angriffe, die für ein Modell entwickelt wurden, auf andere Architekturen übertragbar sind.
Validierung von Verteidigungsstrategien: Die Studie liefert empirische Belege dafür, dass Adversarial Training die Robustheit von ViTs in medizinischen Kontexten signifikant wiederherstellen kann.

Ergebnisse

Die experimentellen Ergebnisse liefern folgende Erkenntnisse:

Baseline-Leistung (Clean Images): Auf ungestörten Bildern zeigen ViT (94,4 %) und ResNet-50 (94,2 %) eine exzellente Genauigkeit, während VGG16 (84,0 %) schwächer abschneidet.
Anfälligkeit unter Angriff: Unter PGD-Angriffen bricht die Genauigkeit von ViT dramatisch auf 27,6 % ein. Im Vergleich dazu sind CNNs robuster: ResNet-50 sinkt auf 70,0 % und VGG16 auf 54,4 %. Dies bestätigt, dass die globale Natur der Transformer sie verwundbarer macht.
Effektivität des Trainings: Durch Adversarial Training konnte die Genauigkeit von ViT auf 90,0 % gesteigert werden (eine Verbesserung um +62,4 %). Auch ResNet-50 und VGG16 profitierten von der Robustheitssteigerung.

Bedeutung (Significance)

Die Arbeit ist von hoher Relevanz für die Sicherheit medizinischer KI-Systeme. Sie verdeutlicht, dass der Einsatz von State-of-the-Art-Modellen wie ViTs in der klinischen Praxis ohne entsprechende Schutzmaßnahmen (wie Adversarial Training) ein erhebliches Sicherheitsrisiko darstellt. Die Ergebnisse zeigen jedoch auch einen klaren Pfad auf: Transformer-Modelle sind nicht inhärent unsicher, sofern sie durch gezielte Trainingsmethoden gegen adversarielle Manipulationen gehärtet werden. Dies ist eine Grundvoraussetzung für die Akzeptanz und den sicheren Einsatz von KI in der Teledermatologie und anderen medizinischen Fachbereichen.