Adversarial Robustness of Capsule Networks for Medical Image Classification

이 논문은 캡슐 네트워크가 의료 영상 분류 작업에서 CNN 및 비전 트랜스포머보다 적대적 공격에 대한 내성이 더 뛰어나며, 이는 더 안정적인 특징 인코딩과 베이즈-피어슨 라우팅을 통해 입증됨을 보여줍니다.

핵심

1. 배경: AI 의 '눈가림' 문제 (적대적 공격)

우리가 AI 에게 폐렴 X-ray 나 종양 사진을 보여주면, AI 는 "이건 폐렴이야"라고 정확히 진단합니다. 하지만 연구자들은 AI 를 속이기 위해 **사람 눈에는 보이지 않는 아주 미세한 노이즈 (잡음)**를 사진에 섞었습니다. 이를 **'적대적 공격'**이라고 합니다.

• 비유: 마치 거울에 아주 미세한 먼지 한 알을 붙여놓는 것과 같습니다.
  • 사람의 눈: 먼지가 있는지 모르고 거울 속의 내 얼굴을 똑바로 봅니다.
  • 기존 AI (CNN, ViT): 그 먼지 때문에 "아, 이건 내 얼굴이 아니라 다른 사람 얼굴이야!"라고 완전히 잘못 판단합니다.
  • 문제점: 의료 현장에서 AI 가 이런 사소한 오차에 흔들리면, 환자를 잘못 진단할 수 있어 매우 위험합니다.

2. 실험: 세 명의 선수와 네 가지 경기장

연구팀은 세 가지 다른 스타일의 AI 선수를 데리고 5 개의 경기 (데이터셋) 에서 경기를 시켰습니다.

• 선수 1 & 2 (기존 AI):
  • ResNet-18, ResNet-50: 현재 의료 AI 의 주류인 '전통적인 컨볼루션 신경망'입니다. (비유: 숙련된 전통적인 요리사)
  • MedViT: 최신 트렌드인 '비전 트랜스포머'입니다. (비유: 최신 기술을 쓴 요리사)
• 선수 3 & 4 (새로운 AI):
  • CapsNet (캡슐 네트워크): 공간적 관계와 방향성을 잘 파악하도록 설계된 새로운 방식입니다. (비유: 3D 입체감을 완벽하게 이해하는 천재 요리사)
  • 데이터 (경기장): 폐렴, 유방암, 폐 결절, 혈액 세포 등 4 가지 의료 이미지와 숫자 인식 (MNIST) 1 가지.

3. 결과: 누가 이겼을까?

연구팀은 선수들에게 "미세한 먼지 (노이즈)"를 점점 더 많이 뿌리며 경기를 시켰습니다.

• 전통적인 요리사 (ResNet) 와 최신 요리사 (MedViT):

  • 아주 조금만 먼지가 묻어도 (노이즈가 조금만 생겨도) 당황해서 요리를 망쳤습니다.
  • "이건 폐렴이 아니라 정상이다!"라고 완전히 반대로 말해버렸습니다.
  • 비유: 거울에 먼지가 조금만 생겨도 "아, 내가 아니야!"라고 도망치는 아이 같습니다.

• 천재 요리사 (CapsNet):

  • 먼지가 많이 붙어도 요리법을 잊지 않았습니다.
  • "아, 이건 먼지일 뿐이지, 여전히 폐렴이야!"라고 정확한 진단을 내렸습니다.
  • 특히 'BP-CapsNet'이라는 선수는 가장 뛰어난 성적을 냈습니다. (이건 기존 캡슐 네트워크의 '라우팅' 방식을 더 똑똑하게 개량한 버전입니다.)

4. 왜 CapsNet 이 강할까? (핵심 원리)

왜 CapsNet 은 속임수에 강한 걸까요? 두 가지 이유를 발견했습니다.

1. 입체적인 이해 (공간 관계):

   • 기존 AI 는 "이 부분이 검은색이니까 병이야"라고 단순한 패턴만 봅니다.
   • CapsNet 은 "이 부분이 저 부분과 어떤 관계로 있고, 어떤 방향을 보고 있느냐"를 **벡터 (화살표)**로 이해합니다.
   • 비유: 기존 AI 는 사진 속의 '점' 하나만 보고 판단하지만, CapsNet 은 **점들이 모여 만든 '모양'과 '구조'**를 봅니다. 그래서 점 하나를 치워도 전체 모양이 변하지 않으면 판단을 바꾸지 않습니다.

2. 집중력 유지 (Grad-CAM 분석):

   • AI 가 어디를 보고 판단하는지 '주의도 지도'를 그려봤습니다.
   • 기존 AI 는 노이즈가 생기면 **주의를 엉뚱한 곳 (예: 배경이나 잡음)**으로 돌렸습니다.
   • CapsNet 은 노이즈가 있어도 병이 있는 정확한 부위를 계속 집중해서 보았습니다.

5. 결론: 의료 현장에 어떤 의미가 있나?

이 연구는 **"의료용 AI 를 만들 때는 기존 방식 (CNN, ViT) 만 고집하지 말고, CapsNet 같은 새로운 방식을 시도해봐야 한다"**는 것을 보여줍니다.

• 의미: 병원에서 AI 가 환자를 진단할 때, 사진이 조금 흐릿하거나 잡음이 섞여도 실수를 하지 않고 튼튼하게 작동할 수 있는 AI가 필요합니다.
• 미래: CapsNet 은 적은 데이터로도 잘 학습하고, 이런 '속임수'에 강하기 때문에 환자의 생명을 다루는 의료 분야에서 더 신뢰할 수 있는 도구가 될 가능성이 큽니다.

한 줄 요약:

"기존 AI 는 작은 오차에 흔들려 병을 잘못 진단하지만, 새로운 CapsNet AI 는 구조를 완벽히 이해해서 속임수에도 꿋꿋하게 정확한 진단을 내린다!"

기술 요약

1. 연구 배경 및 문제 제기 (Problem)

• 의료 AI 의 취약성: 딥러닝 (DL) 모델이 의료 진단에 널리 사용되고 있지만, 인간 눈에는 보이지 않는 미세한 교란 (적대적 perturbation) 에 의해 모델이 오분류하는 '적대적 공격 (Adversarial Attacks)'에 매우 취약하다는 문제가 제기되었습니다.
• 기존 모델의 한계: 현재 의료 영상 분석의 주류인 합성곱 신경망 (CNN) 과 비전 트랜스포머 (ViT) 는 높은 정확도를 보이지만, 적대적 예제에 대한 견고성 (Robustness) 이 낮아 임상 적용 시 신뢰성에 의문이 제기됩니다.
• 연구의 필요성: 기존에는 '적대적 학습 (Adversarial Training)'을 통해 견고성을 높이려는 시도가 주를 이루었으나, 이는 성능 저하를 초래하거나 개선 효과가 제한적입니다. 따라서 아키텍처 자체의 대안을 모색하는 것이 중요합니다. 캡슐 네트워크 (CapsNet) 는 공간적 관계를 모델링하고 적은 데이터로도 학습이 가능하다는 장점이 있으나, 의료 영상 환경에서의 적대적 견고성에 대한 체계적인 평가는 부족했습니다.

2. 연구 방법론 (Methodology)

이 연구는 다양한 의료 및 자연 이미지 데이터셋에서 CapsNet, CNN, ViT 모델의 적대적 견고성을 비교 평가했습니다.

• 사용된 모델:
  • Capsule Networks (CapsNets): 기존 동적 라우팅 (Dynamic Routing) 을 사용하는 DR-CapsNet과, 피어슨 상관계수를 기반으로 노이즈를 억제하는 베이지안-피어슨 라우팅 (Bayes-Pearson Routing) 을 적용한 BP-CapsNet.
  • CNN: ResNet-18, ResNet-50.
  • ViT: 의료 영상에 특화된 MedViT (MedViT-S).
• 데이터셋:
  • 의료 이미지 (4 개): PneumoniaMNIST (폐렴 X-ray), BreastMNIST (유방 초음파), NoduleMNIST3D (3D 폐 결절 CT), BloodMNIST (혈액 세포 현미경).
  • 자연 이미지 (1 개): MNIST (손글씨 숫자, 제어군).
• 적대적 공격 방법:
  • PGD (Projected Gradient Descent): 반복적인 경사 하강을 수행하는 강력한 1 차 적대적 공격.
  • FGSM (Fast Gradient Sign Method): 단일 단계의 경사 기반 공격.
  • 다양한 교란 강도 ($\epsilon$) 를 적용하여 모델 성능 저하를 측정했습니다.
• 해석 가능성 (Interpretability) 분석:
  • 잠재 공간 (Latent Space) 분석: t-SNE 를 사용하여 원본과 적대적 예제의 특징 벡터 분포 변화를 시각화하고, '교란 드리프트 (Perturbation Drift)' 지표를 계산했습니다.
  • Grad-CAM 분석: 모델이 이미지의 어느 부분에 주의를 기울였는지 (Attention Map) 를 비교하여, 적대적 공격 후에도 의미 있는 영역에 집중하는지 확인했습니다.

3. 주요 기여 및 결과 (Key Contributions & Results)

• CapsNet 의 우수한 적대적 견고성:

  • 모든 의료 및 자연 이미지 데이터셋에서 CapsNet (특히 BP-CapsNet) 이 CNN 과 ViT 보다 압도적으로 높은 적대적 견고성을 보였습니다.
  • 성능 유지: 중간 강도의 PGD 공격 ($\epsilon = 0.032$) 에서 BP-CapsNet 은 의료 데이터셋 전반에 걸쳐 AUC 0.8560.987 을 유지한 반면, ResNet-18, ResNet-50, MedViT 는 AUC 0.2890.712 로 급격히 하락했습니다.
  • 시각적 증거: CNN 과 ViT 는 미세한 교란만으로도 성능이 0.50 AUC 이하로 떨어졌으나, CapsNet 은 성능 저하를 막기 위해 훨씬 더 왜곡된 (눈에 띄는) 교란이 필요했습니다.

• 아키텍처 개선의 효과 (Bayes-Pearson Routing):

  • 기존 동적 라우팅 (DR-CapsNet) 보다 **베이지안 - 피어슨 라우팅 (BP-CapsNet)**이 더 높은 견고성을 보여주었습니다. 이는 노이즈가 있거나 상관관계가 약한 캡슐의 영향을 제한하여 특징 공간의 의미론적 무결성을 유지하기 때문으로 분석됩니다.

• 해석 가능성 분석을 통한 기제 규명:

  • 잠재 공간 안정성: CapsNet 은 적대적 공격 후에도 클래스 간 클러스터링이 잘 유지되었으며, 원본과 적대적 예제 간의 특징 공간 이동 (Perturbation Drift) 이 CNN/ViT 에 비해 현저히 작았습니다.
  • 주의 맵 (Attention) 일관성: Grad-CAM 분석 결과, CapsNet 은 공격 후에도 이미지 내 의미 있는 병변 영역에 집중하는 경향이 유지되었으나, CNN 과 ViT 는 공격에 의해 주의가 무의미한 영역으로 급격히 이동했습니다.

4. 연구의 의의 및 결론 (Significance & Conclusion)

• 임상 적용의 신뢰성 확보: 의료 AI 모델의 안전성은 단순한 정확도뿐만 아니라, 다양한 입력 변화 (노이즈, 아티팩트, 적대적 공격) 에 대한 견고성을 포함해야 합니다. 본 연구는 CapsNet 이 의료 영상 분류 작업에서 CNN 과 ViT 보다 내재적으로 더 견고한 아키텍처임을 입증했습니다.
• 새로운 방향 제시: 적대적 학습 (Adversarial Training) 에 의존하기보다, 모델 아키텍처 자체를 개선하여 견고성을 확보하는 접근법의 유효성을 보여줍니다.
• 향후 전망: CapsNet, 특히 BP-CapsNet 과 같은 라우팅 메커니즘이 적용된 모델은 의료 진단 시스템과 같이 오분류 시 치명적인 결과를 초래할 수 있는 분야에서 신뢰할 수 있는 대안으로 고려되어야 합니다.

요약하자면, 이 논문은 의료 영상 분야에서 CapsNet 이 기존 주류 모델 (CNN, ViT) 보다 적대적 공격에 훨씬 더 강인하며, 그 이유는 공간적 관계를 잘 보존하는 특징 표현 (Feature Encoding) 과 라우팅 메커니즘의 안정성 때문임을 체계적인 실험과 해석 가능성 분석을 통해 증명했습니다.