Triggering hallucinations in model-based MRI reconstruction via adversarial perturbations

Diese Studie zeigt, dass generative Modelle zur Rekonstruktion von Magnetresonanzbildern durch kleine, adversarische Störungen leicht zu Halluzinationen verleitet werden können, die herkömmliche Qualitätsmetriken nicht zuverlässig erkennen und somit ein Risiko für Fehldiagnosen darstellen.

Das Wesentliche

🧠 Das Problem: Wenn KI-Bilder „halluzinieren"

Stell dir vor, du gehst zum Arzt und machst ein MRT (Magnetresonanztomographie) von deinem Knie oder deinem Gehirn. Das Gerät fängt nicht sofort ein scharfes Foto auf, sondern sammelt nur verrauschte, unvollständige Daten – wie ein Puzzle, bei dem viele Teile fehlen.

Früher haben Computer diese Puzzles mit strengen mathematischen Regeln zusammengesetzt. Das war sicher, aber die Bilder waren oft unscharf oder körnig.
Heute nutzen Ärzte Künstliche Intelligenz (KI), um diese Puzzles zu lösen. Die KI ist wie ein extrem talentierter Künstler, der die fehlenden Teile „errät". Das Ergebnis sieht oft viel schöner und schärfer aus.

Aber hier liegt die Falle:
Diese KI-Künstler sind manchmal zu kreativ. Sie „halluzinieren". Das bedeutet, sie malen Dinge in das Bild hinein, die gar nicht da sind (z. B. einen Riss im Knorpel, der gar nicht existiert) oder echte Krankheiten auslöschen.

• Die Gefahr: Wenn die KI einen falschen Riss malt, könnte der Arzt denken, der Patient sei krank, und eine unnötige Operation durchführen. Wenn sie einen echten Riss wegmalt, wird die Krankheit übersehen.

🎭 Der Angriff: Wie man die KI austrickst

Die Forscher in diesem Papier wollten herausfinden, wie leicht es ist, diese KI zum „Halluzinieren" zu bringen. Sie haben einen cleveren Trick angewendet, ähnlich wie ein Zauberer, der eine unsichtbare Tinte benutzt.

1. Der unsichtbare Störfaktor: Die Forscher haben winzige, für das menschliche Auge völlig unsichtbare Rausch-Signale in die Rohdaten des MRTs eingefügt. Stell dir vor, du würdest einem Foto einen einzigen Pixel hinzufügen, der so klein ist, dass du ihn nicht siehst, aber er verändert die Art, wie die KI das Bild interpretiert.
2. Der Effekt: Wenn die KI diese „vergifteten" Daten verarbeitet, fängt sie plötzlich an, Dinge zu erfinden.
   • Beispiel: Sie malt eine extra Falte in das Gehirn eines gesunden Patienten oder lässt eine Verletzung im Knie verschwinden.
3. Das Ergebnis: Die KI ist so empfindlich, dass schon dieser winzige, unsichtbare „Staubkorn"-Fehler ausreicht, um sie völlig durcheinanderzubringen. Sie ist wie ein sehr sensibler Seher, der bei einem leichten Windhauch anfängt, Gespenster zu sehen.

🕵️‍♂️ Das große Rätsel: Warum man den Betrug nicht merkt

Das Schlimmste an der Geschichte ist nicht nur, dass die KI halluziniert, sondern dass niemand merkt, dass etwas falsch ist.

Die Forscher haben versucht, die Bilder mit den üblichen „Messlatten" für Bildqualität zu prüfen (wie ein Lineal für Schärfe oder Helligkeit).

• Der Vergleich: Stell dir vor, du hast zwei Fotos. Eines ist echt, das andere wurde von der KI manipuliert. Wenn du sie mit dem Lineal (den Messlatten) misst, sehen sie fast identisch aus. Die Zahlen sagen: „Alles super!"
• Die Realität: Das manipulierte Bild enthält aber eine tödliche Lüge (eine falsche Krankheit).

Die Studie zeigt also: Unsere aktuellen Werkzeuge sind blind für diese Art von Betrug. Man kann nicht einfach auf eine Zahl schauen und sagen: „Aha, hier wurde gelogen."

🛡️ Was bedeutet das für die Zukunft?

Die Forscher kommen zu einem ernsten Schluss:

• Vertrauen ist gefährlich: Wir können den aktuellen KI-Modellen für medizinische Bilder noch nicht blind vertrauen. Sie sind zu instabil.
• Neue Lösungen nötig: Wir brauchen neue Methoden, um diese Halluzinationen zu erkennen. Vielleicht muss man die KI trainieren, indem man ihr gezielt solche Tricks vorspielt (wie ein Immunsystem, das gegen Viren geimpft wird), damit sie widerstandsfähiger wird.
• Mathematik statt Intuition: Da einfache Messungen nicht funktionieren, müssen wir auf strengere mathematische Beweise setzen, um sicherzustellen, dass das Bild, das wir sehen, wirklich das ist, was im Körper ist.

Zusammenfassend:
Die KI in der Medizin ist ein genialer Assistent, der aber manchmal zu viel Phantasie hat. Dieser Papier zeigt, wie leicht man ihn dazu bringen kann, Lügen zu erzählen, und warnt uns davor, dass wir diese Lügen mit den aktuellen Methoden gar nicht bemerken. Wir müssen lernen, ihm nicht mehr blind zu glauben, bis wir bessere Werkzeuge haben, um die Wahrheit zu erkennen.

Technische Zusammenfassung

1. Problemstellung

Generative Modelle, insbesondere tiefe neuronale Netze, werden zunehmend zur Rekonstruktion medizinischer Bilddaten (z. B. MRT und CT) eingesetzt, um die Bildqualität zu verbessern und die Scanzeiten zu verkürzen. Ein kritisches, aber oft unterschätztes Risiko dieser Modelle ist die Halluzination: Das Modell fügt Merkmale in das rekonstruierte Bild ein, die im Original nicht vorhanden sind, oder entfernt tatsächlich vorhandene Merkmale.

Im medizinischen Kontext kann dies zu schwerwiegenden Fehldiagnosen führen. Bisher gibt es jedoch keine effektiven Methoden, um das Auftreten solcher Halluzinationen zuverlässig zu erkennen oder zu verhindern. Die Autoren stellen die Hypothese auf, dass diese Modelle gegenüber kleinen Eingangsstörungen (Perturbationen) extrem instabil sind und dass diese Instabilität die Ursache für Halluzinationen darstellt.

2. Methodik

Die Autoren entwickeln einen gezielten adversarialen Angriff, der darauf abzielt, Halluzinationen in state-of-the-art MRT-Rekonstruktionsmodellen künstlich hervorzurufen.

• Ziel: Erzeugung von für das menschliche Auge unsichtbaren Perturbationen im Eingangsraum (k-Raum-Daten), die dazu führen, dass das Rekonstruktionsmodell spezifische, nicht vorhandene Details (Halluzinationen) in das Ausgabebild einfügt.
• Optimierungsproblem: Der Angriff löst ein Optimierungsproblem, um eine Perturbation $\delta$ zu finden, die die Differenz zwischen der rekonstruierten Ausgabe $F(z + \delta)$ und einem Zielbild $y_t$ in einem definierten Bereich minimiert, während die Differenz außerhalb dieses Bereichs zur ursprünglichen Rekonstruktion $F(z)$ minimiert wird.
  • Die Zielfunktion (Gleichung 3) balanciert zwei Terme:
    1. Minimierung des Fehlers im Zielbereich (Einfügen der Halluzination, z. B. eine weiße Linie).
    2. Minimierung des Fehlers außerhalb des Zielbereichs (Wahrung der Bildtreue).
  • Die Perturbation ist durch eine $L_\infty$-Norm-Beschränkung ($\|\delta\|_\infty \le \varepsilon$) begrenzt, um Unsichtbarkeit zu gewährleisten.
• Implementierung:
  • Die Methode basiert auf dem Basic Iterative Method (BIM) Algorithmus.
  • Es werden nur die Realteile der komplexen k-Raum-Daten perturbiert, um die Berechnung zu vereinfachen.
  • Als Ziel ($y_t$) wird eine kurze weiße Linie in der Bildmitte verwendet, maskiert durch eine binäre Maske $m$.
• Getestete Modelle: Der Angriff wurde gegen zwei führende Architekturen evaluiert: UNet und End-to-End VarNet (E2E-VarNet).
• Datensatz: Die Evaluation erfolgte auf dem fastMRI-Datensatz (Gehirn- und Kniebilder, ein- und mehrspulig).

3. Wichtige Beiträge

1. Nachweis der Instabilität: Die Studie demonstriert, dass moderne MRT-Rekonstruktionsmodelle extrem anfällig für winzige, unsichtbare Perturbationen sind, die gezielt Halluzinationen auslösen.
2. Fehlschlagen traditioneller Metriken: Die Autoren zeigen, dass gängige Bildqualitätsmetriken (PSNR, NRMSE, SSIM) nicht in der Lage sind, zwischen sauberen Rekonstruktionen und solchen mit Halluzinationen zu unterscheiden. Die Verteilungen dieser Metriken überlappen sich fast vollständig.
3. Generierung eines Testdatensatzes: Die vorgestellte Methode dient als Werkzeug, um Datensätze mit kontrollierten Halluzinationen zu erstellen. Diese können genutzt werden, um Detektoren zu trainieren oder adversariales Training zur Erhöhung der Robustheit durchzuführen.
4. Erweiterte Verzerrung: Qualitative Analysen zeigen, dass erfolgreiche Angriffe oft nicht nur das Zielgebiet betreffen, sondern weitere biologisch plausible Verzerrungen im gesamten Bild verursachen.

4. Ergebnisse

• Erfolgreiche Halluzinationen: Der Angriff führte bei allen getesteten Modellen (UNet, VarNet) und Datensätzen (Knie, Gehirn) zu signifikanten Verzerrungen in den rekonstruierten Bildern, obwohl die Eingangs-Perturbationen für das menschliche Auge unsichtbar blieben.
• Metrische Bewertung:
  • Eingangsdaten: Die Perturbationen waren so gering, dass die Metriken (PSNR, SSIM) zwischen den ursprünglichen und den perturbierten k-Raum-Daten nahezu identisch waren (z. B. PSNR > 50 dB, SSIM $\approx$ 1,0).
  • Rekonstruktionsdaten: Bei den rekonstruierten Bildern sanken die Metriken drastisch (z. B. PSNR auf ~30–40 dB, SSIM auf ~0,6–0,9), was auf eine massive Qualitätsverschlechterung hinweist.
• Unmöglichkeit der Detektion: Der kritischste Befund ist, dass der Vergleich der rekonstruierten Bilder mit klassischen Rekonstruktionsalgorithmen (z. B. Total Variation, TV) keine Trennung erlaubt. Die Verteilungen der Metriken für "saubere" und "halluzinierte" Bilder überlappen sich fast vollständig. Selbst wenn ein TV-Rekonstruktor als Referenz dient, können die adversarialen Halluzinationen nicht zuverlässig erkannt werden.
• Robustheit: Die Modelle zeigten keine Widerstandsfähigkeit; selbst sehr kleine Perturbationen ($\varepsilon = 10^{-6}$) reichten aus, um die Modelle zu täuschen.

5. Bedeutung und Schlussfolgerung

Die Arbeit liefert einen ernsten Warnhinweis für den Einsatz von Deep-Learning-Modellen in der medizinischen Bildgebung:

• Sicherheitsrisiko: Da Halluzinationen durch zufälliges Rauschen (das in realen Scans immer vorhanden ist) ausgelöst werden können, stellen diese Modelle ein potenzielles Risiko für die Patientensicherheit dar.
• Limitierung aktueller Ansätze: Traditionelle Qualitätsmetriken sind für die Validierung von generativen Rekonstruktionen ungeeignet, da sie das Vorhandensein von Halluzinationen nicht erfassen.
• Zukünftige Richtungen:
  • Es werden mathematisch fundierte Ansätze benötigt, um zertifizierte Verteidigungen oder Detektoren zu entwickeln.
  • Adversariales Training könnte helfen, die Robustheit der Modelle zu erhöhen.
  • Da generische Detektionsansätze oft versagen, sollten spezifische mathematische Ergebnisse aus dem Bereich der Compressed Sensing genutzt werden, um provable (beweisbare) Lösungen für die Halluzinationserkennung in der MRT zu finden.

Zusammenfassend zeigt das Paper, dass die Stabilität von Modell-basierten Rekonstruktionen eine offene und kritische Frage ist, die dringend gelöst werden muss, bevor diese Technologien breit in der klinischen Routine eingesetzt werden können.