Triggering hallucinations in model-based MRI reconstruction via adversarial perturbations

이 논문은 UNet 과 VarNet 과 같은 최신 생성 모델을 MRI 재구성에 적용할 때, 작은 적대적 교란이 실제 존재하지 않는 특징을 생성하는 '환각' 현상을 유발할 수 있음을 보여주며, 기존 이미지 품질 지표로는 이를 탐지하기 어렵고 적대적 훈련과 같은 새로운 접근법이 필요함을 강조합니다.

핵심

🏥 1. 배경: 왜 MRI 를 다시 그려야 할까요?

MRI 기기는 환자가 움직이거나 잡음 때문에 원래의 선명한 사진을 바로 찍어주지 못합니다. 그래서 컴퓨터가 "부족한 조각을 맞춰서" 선명한 이미지를 만들어냅니다 (재구성).

예전에는 수학 공식으로만 이 작업을 했지만, 요즘은 **인공지능 (AI)**이 이 일을 훨씬 더 잘하고 예쁘게 해냅니다. 마치 흐릿한 사진을 AI 가 보정해서 선명하게 만들어주는 것과 비슷하죠.

🎨 2. 문제: AI 의 '환각' (Hallucination)

하지만 AI 는 때로 상상력이 너무 풍부해집니다.

• 비유: AI 가 흐릿한 사진을 보정할 때, "아, 여기에 주름살이 있겠지?"라고 실제로는 없는 주름을 그려 넣거나, "여기에 상처가 있겠지?"라고 실제로는 없는 상처를 만들어내는 경우가 있습니다.
• 위험성: 의학에서는 이것이 치명적입니다. 실제로는 건강한 뇌에 가상의 종양을 그려 넣거나, 실제로는 찢어진 연골을 AI 가 지워버리는 일이 생길 수 있습니다. 이는 잘못된 진단과 불필요한 수술로 이어질 수 있습니다.

🕵️‍♂️ 3. 연구의 핵심: "AI 가 환각을 보게 만드는 해킹"

이 연구팀은 **"AI 가 얼마나 쉽게 속아넘어갈 수 있는지"**를 증명하기 위해 실험을 했습니다.

• 실험 방법: 연구팀은 MRI 데이터에 **사람 눈으로는 절대 구별할 수 없는 아주 미세한 '소음' (해킹 코드)**을 섞었습니다.
• 결과: 이 미세한 소음만 섞여도, AI 는 완전히 다른 그림을 그려냈습니다.
  • 비유: 마치 완벽하게 똑같은 커피 한 잔에 보이지 않는 마약을 한 방울 떨어뜨렸더니, AI 가 그 커피를 보고 "이건 독약이야!"라고 소리치는 것과 같습니다.
  • 연구팀은 AI 가 실제 존재하지 않는 뇌 주름이나 가상의 연골 손상을 만들어내도록 유도했습니다.

📉 4. 놀라운 사실: "잘못된 그림도 점수는 100 점?"

가장 무서운 부분은 이것입니다. 우리가 보통 "이미지가 잘 만들어졌나?"를 판단할 때 쓰는 **점수 (품질 지표)**들이 이 해킹을 전혀 못 알아챘습니다.

• 비유: AI 가 가짜 종양을 그려 넣은 사진을 보고, 컴퓨터가 "이 사진은 원래 사진과 거의 똑같아요! 점수 100 점!"이라고 점수를 매겼습니다.
• 의미: 기존의 기술로는 AI 가 환각을 일으켰는지, 아니면 진짜 선명한 이미지인지 구별할 수 없다는 뜻입니다.

💡 5. 결론 및 제언: 어떻게 해결할까요?

이 연구는 **"현재의 AI 의료 영상 기술은 아주 약하다"**는 것을 보여줍니다. 작은 잡음 하나에도 AI 는 쉽게 속아 환자를 오진할 수 있습니다.

• 해결책 제안:
  1. 적대적 훈련 (Adversarial Training): AI 를 훈련시킬 때, 연구팀처럼 "이런 가짜 소음을 섞어줘"라고 가르쳐서 AI 가 속지 않도록 단련시켜야 합니다.
  2. 새로운 탐지기 개발: 단순히 점수 (PSNR, SSIM 등) 로만 판단하는 게 아니라, **"이건 AI 가 상상한 가짜일지도 모른다"**라고 경고할 수 있는 새로운 수학적 방어막이 필요합니다.

📝 한 줄 요약

"AI 가 MRI 사진을 예쁘게 만들어주지만, 아주 작은 소음 하나로 '없는 병'을 만들어내거나 '있는 병'을 지워버릴 수 있으며, 우리는 그걸 눈치채기 어렵다. 따라서 AI 를 더 단단하게 훈련시켜야 한다."

이 연구는 의료 현장에서 AI 를 맹신하기 전에, 그 취약점을 먼저 파악하고 방어책을 마련해야 함을 강력하게 경고하고 있습니다.

기술 요약

1. 문제 정의 (Problem)

의료 영상 (MRI, CT 등) 재구성 분야에서 생성 모델 (Generative Models) 과 딥러닝 기반 알고리즘의 사용이 증가하고 있습니다. 이러한 모델들은 기존 고전적 알고리즘보다 시각적으로 더 매력적인 결과를 제공하지만, **'환각 (Hallucination)'**이라는 치명적인 취약점을 가지고 있습니다.

• 환각의 정의: 모델이 원본 데이터에 존재하지 않는 특징을 재구성된 이미지에 추가하거나, 존재해야 할 특징을 제거하는 현상.
• 위험성: 의료 진단에서 이러한 환각은 잘못된 진단으로 이어져 환자 건강을 위협할 수 있습니다.
• 현재의 한계: 환각이 발생했는지 여부를 감지하거나 예방하는 효과적인 방법이 부재하며, 기존 연구들은 주로 분류 (Classification) 작업의 적대적 공격에 집중하여 재구성 (Generative) 작업의 취약성을 충분히 규명하지 못했습니다.

2. 방법론 (Methodology)

저자들은 최신 모델 기반 MRI 재구성 모델이 얼마나 작은 교란 (Perturbation) 에 의해 환각을 일으키기 쉬운지 정량화하기 위해 적대적 공격 (Adversarial Attack) 알고리즘을 개발했습니다.

• 공격 목표: 원본 k-공간 (k-space) 데이터에 인간의 눈으로 식별 불가능한 미세한 교란 ($\delta$) 을 추가하여, 이를 통해 생성된 재구성 이미지에 특정 인위적 특징 (예: 뇌 이미지의 인위적인 고랑, 건강한 무릎의 인위적인 연골 파열 등) 을 삽입하는 것.
• 수학적 최적화:
  • 주어진 k-공간 데이터 $z$와 재구성 함수 $F$에 대해, 목표 이미지 $y_t$ (원본 이미지에 특정 선을 추가한 것) 와 재구성 결과 간의 오차를 최소화하는 $\delta$를 찾습니다.
  • 목적 함수는 두 가지 항으로 구성됩니다:
    1. 목표 영역 (Mask $m$): 재구성 결과가 목표 이미지 $y_t$와 일치하도록 유도 (환각 삽입).
    2. 비목표 영역: 재구성 결과가 원본 재구성 $F(z)$와 일치하도록 유도 (기존 이미지 왜곡 최소화).
  • 제약 조건: 교란의 크기 ($\|\delta\|_\infty$) 는 인간의 눈으로 식별할 수 없을 정도로 작아야 함 ($\epsilon$).
• 사용된 모델 및 데이터셋:
  • 데이터셋: fastMRI 데이터셋 (뇌 및 무릎 이미지, 단일/다중 코일).
  • 모델: UNet 및 End-to-End VarNet (E2E-VarNet) 아키텍처.
  • 알고리즘: 기본 반복법 (BIM) 을 기반으로 한 최적화 기법 사용.

3. 주요 기여 (Key Contributions)

1. 적대적 환각 유발 알고리즘 제안: 참조 데이터 (Ground Truth) 없이도 특정 인위적 특징을 MRI 재구성 이미지에 삽입할 수 있는 표적형 적대적 공격 방법론을 제시했습니다.
2. 모델 불안정성 정량화: UNet 과 VarNet 같은 최첨단 모델이 미세한 노이즈에 대해 극도로 불안정하며, 쉽게 환각을 생성할 수 있음을 실험적으로 증명했습니다.
3. 기존 품질 지표의 무력화 증명: PSNR, NRMSE, SSIM 과 같은 전통적인 이미지 품질 지표로는 생성된 환각을 신뢰성 있게 탐지할 수 없음을 보였습니다. (원본과 교란된 입력의 재구성 결과 간 지표 분포가 거의 겹침).
4. 대응 방안 제안: 단순한 탐지 모델 훈련의 한계를 지적하고, 수학적으로 엄밀한 방어 기법 (Adversarial Training, Denoised Smoothing 등) 이 필요함을 강조했습니다.

4. 실험 결과 (Results)

• 공격 성공률:
  • 교란된 입력 데이터는 원본과 시각적으로 구별이 불가능했으나, 이를 재구성한 결과물에는 명확한 인위적 특징 (환각) 이 나타났습니다.
  • UNet 과 VarNet 모델 모두에서 공격이 성공적으로 수행되었습니다.
• 품질 지표 분석:
  • 입력 수준: 원본과 교란된 k-공간 데이터 간의 PSNR, SSIM 은 매우 높고 NRMSE 는 매우 낮아 (거의 1.0), 교란이 눈에 띄지 않음을 확인.
  • 재구성 수준: 재구성된 이미지 간 비교 시 PSNR 은 급격히 감소하고 (약 40dB 이하), NRMSE 는 증가하며 SSIM 은 하락했습니다.
  • 분포 중첩: 그러나 환각이 포함된 재구성 이미지와 정상 재구성 이미지를 비교할 때, PSNR, NRMSE, SSIM 의 분포는 거의 완전히 겹치는 (Overlapping) 것으로 나타났습니다. 이는 기존 품질 지표로는 환각을 탐지할 수 없음을 의미합니다.
• 확장성: 공격은 단순히 선 (line) 만 삽입하는 것이 아니라, 다른 이미지의 병변 (예: 연골 파열) 을 건강한 이미지에 합성하는 등 다양한 형태의 환각을 유발할 수 있음을 보였습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 의료 안전성 경고: 현재 사용되는 딥러닝 기반 MRI 재구성 모델은 작은 노이즈에도 매우 취약하며, 이로 인해 임상 현장에서 우연히 발생할 수 있는 노이즈조차 잘못된 진단 (환각) 을 유발할 수 있음을 시사합니다.
• 탐지의 어려움: 전통적인 이미지 품질 평가 지표로는 이러한 환각을 탐지하는 것이 불가능하므로, 새로운 탐지 접근법이 개발되어야 합니다.
• 미래 방향:
  • 단순한 데이터 기반 탐지 모델보다는 수학적으로 엄밀한 (Mathematically Principled) 방어 기법 (예: 압축 센싱 이론 기반의 검증 가능한 방어) 이 필요합니다.
  • 제안된 공격 알고리즘은 **적대적 학습 (Adversarial Training)**을 통해 모델의 견고성을 높이는 데 활용되거나, 환각 탐지 모델 개발을 위한 벤치마크로 사용될 수 있습니다.

이 논문은 의료 AI 의 신뢰성 문제를 적대적 공격 관점에서 조명하며, 모델의 불안정성이 환각의 주된 원인 중 하나일 수 있음을 지적하고, 이에 대한 근본적인 해결책을 모색할 것을 촉구합니다.