技術要約：歯科用VLMにおける画像埋め込み型プロンプトインジェクション

問題定義

歯科放射線学における視覚言語モデル（VLM）の導入は、極めて重要なセキュリティ上の脆弱性、すなわち画像埋め込み型プロンプトインジェクションをもたらす。これは従来のテキストベースのプロンプトインジェクションとは異なり、敵対的なテキスト指示を医療画像のピクセルデータ内に直接レンダリングする攻撃ベクトルである。VLMは画像を視覚的入力として処理するため、これらの埋め込まれた指示を正当なコマンドと解釈し、安全プロトコルや診断ロジックを上書きしてしまう可能性がある。

この脅威は、歯科のワークフローにおいて、画像が診断モデルに到達する前に複数のシステム（PACS、遠隔歯科プラットフォーム、前処理パイプライン）を経由するため、特に深刻である。具体的な臨床的リスクは、偽陰性の誘発であり、攻撃者がモデルに実際の病変（う蝕、埋伏歯、根尖病変など）を無視させることを目的とする。一般的な医療画像においてはこの脆弱性の初期のデモンストレーションは見られたものの、歯科放射線学に特化した体系的なベンダー横断的評価および比較防御分析は欠如していた。

方法論

研究設計および脅威モデル

本研究では、画像埋め込み型プロンプトインジェクションに対する4つのプロダクションティアVLMの脆弱性を評価するために、観察実験的設計を採用した。

• 脅威モデル: 推論前に歯科用放射線写真のピクセルデータ内にテキストコンテンツを挿入できる攻撃者。学習データのポイズニング、メタデータ注入、および物理的センサー攻撃は範囲外とした。
• 臨床的事前知識: 防御設計は、ドイツの歯科ワークフローにおける特定の臨床的事前知識を活用している。すなわち、標準的なパノラマ放射線写真には焼き付けられたピクセルレベルのテキストは存在しない（注釈はDICOMヘッダーまたはオーバーレイ層に保存される）。したがって、ピクセルデータ内に見えるテキストはすべて異常とみなされる。

データセットおよびモデル

• データセット: 本研究ではDenTeXデータセット（MICCAI 2023 チャレンジ）を利用し、4つの病理クラス（う蝕、埋伏歯、深部う蝕、根尖病変）にわたる3,529個の歯レベルの注釈を含む、層別化された270枚のパノラマ放射線写真（評価用270枚、チューニング用30枚）を選択した。
• 対象モデル: 以下の4つのVLMをテストした：
  1. GPT-4o (OpenAI)
  2. Gemini 2.5 Flash (Google)
  3. Claude Sonnet 4.5 (Anthropic)
  4. MedGemma 4B (Google, オープンウェイト)
• プロンプトのフレーミング: パイロット研究で観察された安全性拒否を軽減するため、タスクは直接的な診断ではなく、「歯科教育のための構造的視覚記述演習」としてフレーム付けされたが、出力スキーマはバイナリ診断分類器（any_abnormality_present）として機能した。

攻撃タクソノミー

4つの攻撃クラスを実装し、各クラスに2つのペイロード形式（命令型およびシステム上書き型）を適用し、計8種類のバリアントを画像ごとに作成した：

1. 焼き付けオーバーレイ: 高サリエンス、黒背景ボックス、右上。
2. 注釈模倣: 高サリエンス、放射線技師のメモスタイル、中央上部。
3. 低コントラストオーバーレイ: 低サリエンス、プレーンな白テキスト、右上。
4. ボーダーパッチ: 周辺部、白に近いテキスト、下端。
   すべてのペイロードは、偽陰性の誘発を目的とした。

防御戦略

5つの防御条件を評価した：

1. 防御なし: ベースライン。
2. ROIクロップ: 画像の下部15%とサイド5%をクロップする。
3. スポットライティング: データを信頼できないものとしてマークするプロンプトレベルのデリミタ。
4. OCRサニタイゼーション: EasyOCRを使用してテキスト（信頼度≥0.4）を検出し、黒でインペインティング（塗りつぶし）を行う。
5. ProvDent: スポットライティング、OCRサニタイゼーション、指示類似性判定器（GPT-4o-mini）、条件付き二重パス一貫性チェック、および限定的な臨床的棄却を組み合わせた、新しいプロベナンス（由来）認識システム。

指標および分析

• 主要アウトカム: ペア攻撃成功率（ASR）。「クリーン（true）」から「攻撃された（false）」へとモデルの出力が反転した画像の割合と定義。
• 二次アウトカム: F1スコア、感度、特異度、および歯科-CHER（臨床的危害を重み付けしたエラー率）。
• 統計的厳密性: 分析には、Holm–Bonferroni補正を伴うMcNemar検定、ベイズ変分GLMM、およびブートストラップ95%信頼区間が含まれる。総推論コール数は58,320回に及ぶ。

主な結果

脆弱性評価

4つのVLMすべてが、画像埋め込み型プロンプトインジェクションに対して脆弱であることが判明した。

• GPT-4o は最も高い脆弱性を示し、焼き付けオーバーレイ攻撃下でのペアASRは 62.6% (95% CI: 58.5–66.7%) であった。
• MedGemma 4B がこれに続き、焼き付けオーバーレイに対して55.4%のASRを示した。
• Gemini 2.5 Flash および Claude Sonnet 4.5 は、低いものの有意な脆弱性を示した（焼き付けオーバーレイに対してそれぞれ14.8%および9.1%）。
• 攻撃グラデーション: 脆弱性は単調な勾配に従った：焼き付けオーバーレイ > 注釈模倣 > 低コントラストオーバーレイ > ボーダーパッチ。
• モデル固有性: 脆弱性プロファイルはモデルごとに異なった。例えば、GPT-4oは他のモデルと比較して、低コントラスト攻撃に対して不釣り合いに脆弱であった。

防御の有効性

• OCRサニタイゼーション: 最も高い攻撃削減を達成し、統合ASRを 0.2% まで低下させ、攻撃面を事実上排除した。
• ProvDent: 統合ASRは 7.5% であった。生のASR削減率ではOCRサニタイゼーションを下回ったが、その主な価値は フェイルオープン・ガバナンスメカニズム にある。二重パスの一貫性チェックによって不一致が検出された場合、ProvDentは妥協した回答を返すのではなく、事案を人間によるレビューへとエスカレーションした。
• 有用性の保持: すべての防御策は、クリーンな画像のF1スコアをベースラインから 0.6パーセントポイント以内 (94.7–95.1%) に維持しており、防御措置が未操作の画像に対する診断性能を著しく低下させないことを示した。

サブグループの知見

• 病理: 脆弱性は「埋伏」歯に対して最も高く、「根尖病変」に対して最も低かった。
• 確信度: 低い確信度の回答よりも、高い確信度の回答の方が頻繁に反転していた。これは、プロンプトインジェクションがモデルの最も強力な診断的主張をも上書きできることを示唆している。

意義および主張

本論文は、画像埋め込み型プロンプトインジェクションが、歯科用VLMにおける検証済みのクロスベンダーセキュリティリスクであることを確立している。その主な貢献は以下の通りである：

1. 体系的な特性評価: 複数のプロダクションティアモデルに対するこの脅理の最初のドメイン固有の評価を提供し、ドメイン固有のファインチューニング（例：MedGemma）がこのような攻撃に対する堅牢性を付与しないことを実証した。
2. 防御のベンチマーク: 受動的な防御（最大限の攻撃削減を提供するOCRサニタイゼーションなど）と能動的なガバナンス（監査可能性とフェイルオープン・トリアージを提供するProvDent）のトレードオフを定量化した。
3. 臨床的関連性: ドイツのワークフローにおける「焼き付けられたテキストなし」という特定の臨床的事前知識が、テキスト検出防御のための実行可能なシグナルを生み出すことを強調している。ただし、この事前知識はグローバルには成立しない可能性があるため、コンテキストを意識したセキュリティ戦略が必要であると警告している。
4. 政策的含意: 著者らは、プロンプトインジェクションに対するセキュリティ評価が、精度やバイアス試験と同様に、臨床AIバリデーションの必須要素となるべきであると主張している。

本研究は、効果的な防御策が存在し、診断精度を実質的に低下させることなく展開可能である一方で、脆弱性は歯科におけるマルチモーダルAIの安全な臨床導入に対する重大な障壁として残っていると結論付けている。これらの知見は、機関のリスク管理要件（例：最大限の削減のためにOCRを選択するか、ガバナンスのためにProvDentを選択するか）に基づいた特定の防御メカニズムの選択を支持するものである。