When Background Matters: Breaking Medical Vision Language Models by Transferable Attack

Resumo Técnico: MedFocusLeak

1. O Problema

Os Modelos de Visão e Linguagem (VLMs) estão sendo cada vez mais adotados para diagnóstico clínico e geração de relatórios médicos. No entanto, sua robustez contra ataques adversariais é uma preocupação crítica e pouco explorada.

• Limitações dos Ataques Existentes: Ataques anteriores focam em objetivos secundários (como roubo de modelo) ou introduzem distorções visíveis em imagens médicas (que geralmente são em escala de cinza ou com paleta estreita), tornando-os facilmente detectáveis por clínicos.
• A Lacuna: Não existem ataques de "caixa preta" (black-box), transferíveis e furtivos que consigam induzir diagnósticos incorretos, mas clinicamente plausíveis, sem alterar a aparência visual da imagem ou o modo médico principal (ex: manter a imagem como uma Ressonância Magnética, mas mudar o diagnóstico).
• Vulnerabilidade Central: Os autores identificam que a vulnerabilidade fundamental reside no mecanismo de atenção visual do modelo, que pode ser desviado de áreas patológicas críticas para regiões de fundo irrelevantes.

2. Metodologia: MedFocusLeak

O MedFocusLeak é um ataque multimodal de caixa preta altamente transferível projetado para enganar VLMs médicos. A metodologia baseia-se em quatro princípios técnicos:

• Restrição de Perturbação ao Fundo (Background Constrained Perturbation):
  • O ataque utiliza o MedSAM para segmentar e mascarar a região de interesse clínico (o diagnóstico).
  • As perturbações adversariais são aplicadas exclusivamente nas regiões de fundo não diagnósticas. Isso garante que a integridade visual da imagem médica seja preservada, tornando o ataque imperceptível a olho nu.
• Representação Adversarial Multimodal:
  • Diferente de ataques unimodais, o MedFocusLeak otimiza simultaneamente perturbações na imagem e edições no texto (prompt/resposta).
  • O processo inicia gerando um texto adversário alvo (um diagnóstico incorreto, mas plausível) usando um modelo de linguagem (ex: GPT-4).
  • Em seguida, realiza uma busca cruzada iterativa: atualiza a imagem para alinhar com o texto adversário e vice-versa, maximizando a desestabilização da fusão multimodal do modelo alvo.
• Perdas de Otimização:
  • Perda de Alinhamento Local: As perturbações são otimizadas em "patches" (pedaços) do fundo para alinhar os embeddings semânticos com uma representação adversária alvo, usando um conjunto de modelos substitutos (surrogates) como o CLIP.
  • Perda de Desvio de Atenção (Attention Shift Loss): Este é o componente inovador. O ataque força o modelo a redirecionar sua atenção das áreas patológicas (foreground) para as áreas de fundo perturbadas. A perda é calculada como a razão logarítmica entre a atenção no fundo e a atenção no foreground, incentivando o modelo a ignorar a evidência médica real.
• Transferibilidade: O ataque é gerado em modelos substitutos (surrogates) e transferido para modelos alvo (caixa preta), explorando a sobreposição de representações semânticas entre diferentes arquiteturas.

3. Contribuições Principais

1. Primeiro Estudo Sistemático: É o primeiro trabalho a investigar sistematicamente a viabilidade de ataques adversariais transferíveis no cenário de visão-linguagem médica sob ameaças realistas de caixa preta.
2. Novo Framework de Ataque (MedFocusLeak): Introduz um método que gera perturbações semanticamente conscientes, mantendo a qualidade diagnóstica da imagem (furtividade) enquanto induz erros de raciocínio clínico.
3. Novas Métricas de Avaliação: Propõe um framework unificado com métricas inovadoras:
   • MTR (Medical Text Adversarial Score): Avalia a qualidade do diagnóstico incorreto gerado (plausibilidade clínica).
   • AvgSim: Mede a similaridade visual entre a imagem original e a adversária (fidelidade).
   • MAS (Medical Attack Score): Uma métrica unificada que combina sucesso do ataque e imperceptibilidade.
4. Descoberta de Vulnerabilidade Crítica: Revela que os VLMs clínicos modernos são suscetíveis a serem "enganados" focando em ruídos no fundo, comprometendo a integridade do diagnóstico mesmo com imagens visualmente intactas.

4. Resultados Experimentais

Os autores avaliaram o MedFocusLeak em 6 modalidades médicas (Raio-X, CT, MRI, Dermoscopia, Mamografia, Ultrassom) e contra 6 VLMs (incluindo modelos de código aberto como QwenVL e InternVL, modelos especializados como MedVLM-R1, e modelos fechados como GPT-5 e Gemini 2.5 Pro).

• Desempenho Superior: O MedFocusLeak superou consistentemente os baselines mais recentes (como AttackVLM, M-Attack, FOA-Attack) em todas as métricas.
  • Em modelos como o InternVL, o Medical Attack Score (MAS) subiu de ~0.52 (melhor baseline) para 0.67.
  • Em modelos fechados como o GPT-5, o MAS dobrou em comparação à melhor baseline (de ~0.22 para 0.40).
• Furtividade: O método manteve alta similaridade de imagem (AvgSim > 0.85), indicando que as perturbações são imperceptíveis, mesmo para especialistas.
• Resiliência a Defesas: O ataque demonstrou robustez contra transformações defensivas comuns, como ruído gaussiano e compressão JPEG, mantendo sua eficácia onde outros falharam.
• Avaliação Humana: Em uma avaliação com três internos de medicina, o MedFocusLeak obteve as pontuações mais altas em impacto adversário no texto e preservação da qualidade da imagem, sendo capaz de enganar especialistas humanos em casos de estudo (ex: transformar um relatório de tumor cerebral em um relatório de "sem patologias").

5. Significado e Implicações

• Alerta de Segurança: O trabalho expõe uma falha crítica de segurança em sistemas de IA médica. A capacidade de induzir diagnósticos errôneos e potencialmente fatais sem alterar a imagem visualmente sugere que os atuais sistemas de validação são insuficientes.
• Mudança de Paradigma: Demonstra que a segurança de VLMs médicos não pode depender apenas da integridade da imagem, mas deve considerar a robustez do mecanismo de atenção e a interação texto-imagem.
• Necessidade de Defesa: Sublinha a urgência de desenvolver defesas que protejam não apenas contra ruídos visíveis, mas contra manipulações sutis de atenção e raciocínio multimodal.
• Ética: Os autores adotam uma postura defensiva, divulgando o código e os resultados para catalisar o desenvolvimento de sistemas médicos mais seguros e confiáveis antes que essas vulnerabilidades sejam exploradas maliciosamente.

Em suma, o MedFocusLeak prova que o "fundo" de uma imagem médica, quando manipulado estrategicamente, pode ser a chave para quebrar a confiança e a precisão dos modelos de IA mais avançados na medicina.