Adversarial Robustness of Capsule Networks for Medical Image Classification

Die Studie zeigt, dass Capsule-Netzwerke im Vergleich zu CNNs und Vision-Transformern eine überlegene intrinsische Robustheit gegenüber adversariellen Störungen bei der Klassifizierung medizinischer Bilder aufweisen, was sie zu einer zuverlässigen Alternative für klinische Anwendungen macht.

Das Wesentliche

Titel: Warum Kapsel-Netze die „Roboter-Ärzte" sind, die nicht so leicht getäuscht werden können

Stellen Sie sich vor, Sie haben einen sehr klugen, aber etwas naiven Assistenten, der medizinische Bilder (wie Röntgenaufnahmen oder Blutbilder) analysiert, um Krankheiten zu erkennen. In der Welt der künstlichen Intelligenz (KI) sind die heutigen „Assistenten" meist Convolutional Neural Networks (CNNs) oder Vision Transformers (ViTs). Sie sind extrem gut darin, Muster zu erkennen – so gut, dass sie oft besser sind als Menschen.

Aber sie haben einen großen Schwachpunkt: Sie sind wie ein Kind, das lernt, Tiere zu erkennen. Wenn Sie einem Kind ein Bild von einer Katze zeigen, erkennt es die Katze. Wenn Sie dem Kind aber ein winziges, für das menschliche Auge unsichtbares Muster auf das Bild malen (ein sogenannter „adversarialer Angriff"), denkt das Kind plötzlich: „Das ist ein Hundefoto!" Das Kind wurde getäuscht, obwohl das Bild fast identisch aussieht.

In der Medizin ist das ein riesiges Problem. Wenn ein KI-System durch ein unsichtbares Rauschen getäuscht wird, könnte es eine Lungenentzündung übersehen oder eine gesunde Lunge als krank einstufen. Das ist lebensgefährlich.

Die Lösung: Die Kapsel-Netze (Capsule Networks)

In dieser Studie haben die Forscher eine andere Art von KI-Architektur getestet, die Capsule Networks (CapsNets) heißt.

Die Analogie: Der Baukasten vs. die Pixel-Sammlung

• Die alten Modelle (CNNs/ViT): Stellen Sie sich vor, diese Modelle schauen sich ein Bild an wie eine riesige Sammlung von einzelnen Pixeln. Sie erkennen, dass hier ein „grünes Pixel" und dort ein „rotes Pixel" ist. Sie wissen aber nicht wirklich, wie diese Pixel zueinander stehen. Wenn Sie das Bild ein bisschen verzerren, verlieren sie den Überblick.
• Die neuen Modelle (CapsNets): Diese Modelle arbeiten wie ein intelligenter Baukasten. Statt nur zu sagen „da ist ein Rad", sagen sie: „Da ist ein Rad, es steht unter dem Auto, es ist rund und es rollt." Sie verstehen die Beziehung zwischen den Teilen. Ein Kapsel-Netzwerk weiß, dass ein Rad nicht einfach irgendwo schweben kann; es muss an der richtigen Stelle sein.

Was haben die Forscher herausgefunden?

Die Wissenschaftler haben verschiedene KI-Modelle (die alten CNNs, die neuen ViTs und die Kapsel-Netze) auf vier verschiedenen medizinischen Aufgaben getestet:

1. Lungenentzündung (Röntgenbilder von Kindern)
2. Brustkrebs (Ultraschallbilder)
3. Lungenknoten (3D-CT-Scans)
4. Blutzellen (Mikroskopie)

Dann haben sie diese Modelle mit „unsichtbaren Störungen" (adversarialen Angriffen) bombardiert, die so schwach waren, dass ein Mensch sie gar nicht gesehen hätte.

Das Ergebnis war klar:

• Die alten Modelle (CNNs und ViTs) waren wie Kartenhäuser. Schon bei ganz kleinen Störungen stürzten sie ein. Sie begannen, völlig falsche Diagnosen zu stellen.
• Die Kapsel-Netze (CapsNets) waren wie ein Fels in der Brandung. Selbst wenn die Störungen stärker wurden, blieben sie stabil. Sie erkannten die Krankheit weiterhin korrekt, weil sie auf die Struktur und die Beziehungen im Bild achteten, nicht nur auf die einzelnen Pixel.

Ein besonders spannendes Detail: Eine spezielle Variante der Kapsel-Netze, die Bayes-Pearson-Routing-Methode genannt wird, war sogar noch robuster. Man kann sich das vorstellen wie einen besonders erfahrenen Chef, der seine Mitarbeiter (die Kapseln) so anweist, dass laute, verwirrte Stimmen (Rauschen) ignoriert werden und nur die klaren, wichtigen Informationen durchkommen.

Warum ist das wichtig?

Stellen Sie sich vor, Sie bauen ein Sicherheitssystem für ein Krankenhaus.

• Ein herkömmliches System könnte durch ein winziges, unsichtbares Muster im Röntgenbild dazu gebracht werden, einen Krebs zu übersehen.
• Ein Kapsel-System würde sagen: „Moment mal, die Form und die Position dieses Flecks passen nicht zu einem Krebs, egal wie sehr das Bild gestört ist."

Die Studie zeigt, dass Kapsel-Netze nicht nur gut darin sind, Krankheiten zu erkennen, sondern dass sie zuverlässiger sind, wenn etwas schiefgeht oder wenn jemand versucht, sie zu täuschen.

Fazit für den Alltag

Diese Forschung sagt uns: Wenn wir KI in der Medizin einsetzen wollen, sollten wir nicht nur auf die Modelle setzen, die im Labor die höchsten Punktzahlen erreichen. Wir müssen auch auf Modelle setzen, die stabil sind.

Kapsel-Netze sind wie ein erfahrener Arzt, der nicht nur die Symptome sieht, sondern versteht, wie der ganze Körper zusammenhängt. Wenn das Bild ein bisschen verrauscht ist oder jemand versucht, ihn zu verwirren, bleibt dieser Arzt ruhig und trifft die richtige Entscheidung. Das macht sie zu einem vielversprechenden Kandidaten für die Zukunft der sicheren medizinischen KI.

Technische Zusammenfassung

Titel: Adversarial Robustheit von Capsule-Netzwerken für die medizinische Bildklassifizierung

1. Problemstellung

Deep-Learning-Modelle, insbesondere Convolutional Neural Networks (CNNs) und Vision Transformers (ViTs), werden zunehmend in der medizinischen Diagnostik eingesetzt. Trotz hoher Genauigkeit bei Standardaufgaben sind diese Modelle jedoch anfällig für adversariale Angriffe (Adversarial Attacks). Dabei werden dem Eingabebild kaum wahrnehmbare Störungen (Perturbationen) hinzugefügt, die dazu führen, dass das Modell falsche Vorhersagen trifft. Dies stellt ein erhebliches Sicherheitsrisiko für den klinischen Einsatz dar, da die Zuverlässigkeit der Modelle bei minimalen Änderungen der Eingabedaten nicht gewährleistet ist. Bisherige Ansätze zur Verbesserung der Robustheit konzentrierten sich oft auf Adversarial Training, was jedoch häufig zu Kompromissen bei der Standardgenauigkeit führt. Ein alternativer Ansatz, die Untersuchung anderer Architekturen, wurde für medizinische Anwendungen noch nicht systematisch erforscht.

2. Methodik

Die Studie vergleicht die adversariale Robustheit verschiedener Deep-Learning-Architekturen über mehrere medizinische und natürliche Bilddatensätze hinweg.

• Vergleichsmodelle:
  • CNNs: ResNet-18 und ResNet-50.
  • Vision Transformer: MedViT (eine hybride Architektur für medizinische Bilder).
  • Capsule Networks (CapsNets):
    • DR-CapsNet: Verwendet das originale dynamische Routing (Dynamic Routing).
    • BP-CapsNet: Verwendet einen Bayes-Pearson-Routing-Algorithmus, der die Ähnlichkeitsmessung durch Pearson-Korrelation ersetzt und ein "Self-Exclusion"-Mechanismus für Rauschen enthält.
• Datensätze:
  • Medizinisch: PneumoniaMNIST (Röntgen), BreastMNIST (Ultraschall), NoduleMNIST3D (CT-Volumen), BloodMNIST (Blutzellen-Mikroskopie).
  • Kontrolle: MNIST (Handgeschriebene Ziffern).
• Adversariale Angriffe:
  • Es wurden zwei weiße-Box-Angriffsmethoden verwendet: Projected Gradient Descent (PGD) (iterativ, stärker) und Fast Gradient Sign Method (FGSM) (einstufig, schwächer).
  • Die Angriffe wurden mit variierenden Störungsstärken ($\epsilon$) durchgeführt.
• Auswertungsmaße:
  • Leistungsmetriken: Area Under the Curve (AUC) und Genauigkeit (Accuracy) auf den adversarialen Testsets.
  • Interpretierbarkeit: Analyse des Latent Space (mittels t-SNE) und Grad-CAM (Gradient-weighted Class Activation Mapping), um zu untersuchen, wie sich die Merkmalsdarstellungen und Aufmerksamkeitskarten unter Störungen verhalten.

3. Wichtige Beiträge

• Systematischer Vergleich im medizinischen Kontext: Erstmals wurde die adversariale Robustheit von CapsNets im Vergleich zu modernen CNNs und ViTs systematisch über diverse medizinische Modalitäten (2D, 3D, verschiedene Bildgebungsverfahren) hinweg evaluiert.
• Architekturelle Analyse: Die Studie zeigt, dass CapsNets inhärente Vorteile gegenüber CNNs und ViTs besitzen und dass spezifische Routing-Verfahren (Bayes-Pearson) die Robustheit weiter steigern können.
• Interpretierbarkeit der Robustheit: Durch Latent-Space- und Grad-CAM-Analysen wird ein mechanistisches Verständnis dafür geliefert, warum CapsNets robuster sind (stabilere Feature-Embeddings und konsistentere Aufmerksamkeitskarten).

4. Ergebnisse

• Überlegene Robustheit: CapsNets (sowohl DR- als auch BP-CapsNet) zeigten auf allen Datensätzen eine deutlich höhere Robustheit gegen PGD- und FGSM-Angriffe als ResNet-Modelle und MedViT.
  • Während die Leistung von CNNs und ViTs bei moderaten Störungen ($\epsilon = 0.032$) drastisch einbrach (AUC-Werte oft < 0.50), behielten CapsNets hohe AUC-Werte bei (z. B. BP-CapsNet: 0.856–0.987 auf medizinischen Datensätzen).
  • BP-CapsNet erwies sich als das robusteste Modell insgesamt.
• Stabilität der Feature-Repräsentation:
  • Latent Space: Die Einbettungen von CapsNets zeigten unter adversarialen Angriffen eine geringere "Drift" (Verschiebung im Merkmalsraum) als CNNs und ViTs. Die Klassenclustering blieb auch bei gestörten Eingaben erhalten.
  • Grad-CAM: Die Aufmerksamkeitskarten (Heatmaps) von CapsNets blieben auch nach Perturbationen stabil und fokussierten weiterhin auf relevante Bildbereiche. Im Gegensatz dazu verlagerten sich die Fokusregionen von CNNs und ViTs oft auf irrelevante Bildbereiche oder Rauschen.
• Einfluss des Routing-Algorithmus: Der Bayes-Pearson-Routing-Algorithmus (BP-CapsNet) verbesserte die Robustheit im Vergleich zum Standard-Dynamic-Routing (DR-CapsNet), ohne die Baseline-Leistung zu beeinträchtigen. Dies wird darauf zurückgeführt, dass der Algorithmus das Einfluss von Rauschen oder schwach korrelierten Capseln besser unterdrückt.
• Visuelle Analyse: Um die Leistung von CapsNets unter einen AUC von 0.50 zu drücken, waren deutlich stärkere, visuell offensichtliche Verzerrungen nötig als bei CNNs/ViTs, die bereits bei kaum wahrnehmbaren Störungen versagten.

5. Bedeutung und Fazit

Die Studie liefert starke Evidenz dafür, dass Capsule Networks eine zuverlässige Alternative zu CNNs und Vision Transformers für medizinische Bildklassifizierungsaufgaben darstellen, insbesondere wenn die Zuverlässigkeit unter unsicheren Bedingungen (z. B. Bildartefakte, Rauschen oder potenzielle Angriffe) kritisch ist.

• Klinische Relevanz: Da medizinische Modelle oft mit komplexen biologischen Texturen arbeiten und anfälliger für adversariale Angriffe sein können, bietet die inhärente Stabilität von CapsNets ein höheres Sicherheitsniveau für den klinischen Einsatz.
• Architekturelle Implikation: Die Ergebnisse deuten darauf hin, dass die Fähigkeit von CapsNets, räumliche Hierarchien und Pose-Informationen durch Vektoren zu modellieren, sowie spezielle Routing-Mechanismen (wie Bayes-Pearson), die Robustheit gegen gradientenbasierte Angriffe fundamental verbessern.
• Zukunftsausblick: Die Autoren empfehlen, CapsNets in klinischen Anwendungen zu berücksichtigen, wo Modellzuverlässigkeit essenziell ist, und schlagen weitere Untersuchungen für andere Aufgaben (Segmentierung, Rekonstruktion) vor.

Zusammenfassend widerlegt diese Arbeit die Annahme, dass nur durch Adversarial Training Robustheit erreicht werden kann, und zeigt, dass die Wahl der Netzwerkarchitektur (CapsNets) einen signifikanten, inhärenten Vorteil für die Sicherheit medizinischer KI-Systeme bietet.