🤖 machine learning

Exploring Adversarial Watermarking in Transformer-Based Models: Transferability and Robustness Against Defense Mechanism for Medical Images

本文研究了基于Transformer的视觉模型（ViT）在医学图像任务中对对抗性水印的脆弱性，通过实验验证了此类攻击在CNN模型间的迁移性，并发现对抗训练能有效提升ViT在面对此类攻击时的鲁棒性。

原作者： Rifat Sadik, Tanvir Rahman, Arpan Bhattacharjee, Bikash Chandra Halder, Ismail Hossain, Mridul Banik, Jia Uddin

发布于 2026-02-10

📖 1 分钟阅读☕ 轻松阅读

原作者： Rifat Sadik, Tanvir Rahman, Arpan Bhattacharjee, Bikash Chandra Halder, Ismail Hossain, Mridul Banik, Jia Uddin

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这是一篇关于医疗人工智能（AI）安全性的研究论文。为了让你轻松理解，我们可以把这个复杂的科研课题想象成一场**“超级侦探与隐形伪装者”**的游戏。

核心故事：当“神医AI”遇到“隐形特工”

想象一下，现在医院里有一群非常厉害的“AI医生”。其中最聪明的一位叫 ViT（视觉Transformer）。

ViT（超级侦探）： 它看病非常厉害，因为它不仅看皮肤病变的一个小点，还会把整张照片像拼图一样拆开，观察全局。它能通过皮肤纹理、颜色分布的“全局联系”来判断这到底是普通的湿疹还是危险的黑色素瘤。它的准确率极高，就像一个眼力过人的超级侦探。
CNN（经验丰富的老师傅）： 像 ResNet 和 VGG 这种传统的模型，就像经验丰富的老中医。他们习惯于“局部观察”，盯着病灶的形状和颜色看。虽然不如超级侦探那么全面，但胜在稳重。

1. 危机出现：隐形的“视觉干扰弹”

研究人员发现，虽然 ViT 侦探很聪明，但它有一个致命的弱点：它太依赖“全局联系”了。

于是，研究人员制造了一种**“隐形干扰弹”**（学术上叫“对抗性水印”或“对抗扰动”）。这种干扰弹非常神奇：

对人类来说： 它是完全隐形的。你看着照片，觉得皮肤还是原来的样子，没有任何变化。
对 AI 来说： 它就像是在照片里撒了一层极其微小的“视觉迷魂阵”。

当这个迷魂阵落在 ViT 侦探面前时，由于 ViT 会把整张图的联系都算进去，这些微小的干扰会像多米诺骨牌一样，瞬间扰乱它的整个逻辑链条。结果就是：原本一眼就能看出是癌症的病灶，在 ViT 眼里竟然变成了无害的湿疹。 论文显示，ViT 的准确率从 94% 直接跌到了 27%！这简直是“降智打击”。

相比之下，那些“老中医”（CNN）因为只盯着局部看，不容易被这种全局性的迷魂阵带偏，所以表现得稍微稳一点。

2. 解决方案：特种兵训练营（对抗训练）

既然发现了弱点，科学家们不能坐以待毙。他们想出了一个办法：“以毒攻毒”。

这就是论文里提到的**“对抗训练”（Adversarial Training）**。
科学家们不再只让 AI 看干净的照片，而是专门把这些带有“隐形干扰弹”的“假照片”大量地喂给 AI 吃。

这就像是给超级侦探 ViT 办了一个**“特种兵训练营”**：

第一阶段： 侦探被干扰弹搞得晕头转向，甚至开始怀疑人生（准确率暴跌）。
第二阶段： 侦探在不断的“实战演习”中，学会了识别这些干扰信号。他开始明白：“哦，原来这些细微的像素抖动是假的，真正的病灶在这里！”
最终结果： 经过魔鬼训练，ViT 侦探不仅找回了原来的水平，甚至变得更加强大。它在面对干扰弹时，准确率从 27% 奇迹般地回升到了 90%！

总结一下

这篇论文其实是在告诉我们：

新技术有新风险： 虽然像 ViT 这样先进的 AI 模型在看病时非常精准，但它们也更容易被“隐形攻击”给骗了。
安全至关重要： 在医疗领域，如果 AI 被骗了，可能会导致误诊，这关乎生命安全。
训练方法是关键： 通过“以毒攻毒”的对抗训练，我们可以把这些先进的模型训练得既聪明又强壮，让它们在面对黑客或恶意干扰时，依然能当好守护健康的“神医”。

这是一篇关于在医学图像领域探索基于 Transformer 模型（特别是 Vision Transformer, ViT）的对抗性水印（Adversarial Watermarking）及其鲁棒性的技术论文。以下是该论文的详细技术总结：

1. 研究问题 (Problem Statement)

随着深度学习在皮肤病诊断（如黑色素瘤识别）中的广泛应用，模型架构正从传统的卷积神经网络 (CNN) 向 Vision Transformer (ViT) 转型。虽然 ViT 通过全局自注意力机制 (Global Self-Attention) 在捕捉图像长距离依赖关系方面表现卓越，但也带来了新的安全隐患：

脆弱性问题：ViT 的全局注意力机制使其对微小的、分布式的对抗性扰动（Adversarial Perturbations）极其敏感。
对抗性水印威胁：攻击者可以通过添加肉眼不可见的扰动（即对抗性水印）来误导模型，导致严重的医疗误诊（如将恶性肿瘤误诊为良性）。
研究空白：现有研究较少关注对抗性水印在 Transformer 架构与 CNN 架构之间的迁移性 (Transferability)，以及在医学影像这一高敏感领域的防御有效性。

2. 研究方法 (Methodology)

研究团队设计了一套完整的实验流程，旨在评估 ViT 的易受攻击程度并测试防御手段：

对抗样本生成 (Attack Mechanism)：采用 投影梯度下降法 (Projected Gradient Descent, PGD) 生成对抗性水印。PGD 通过迭代计算损失函数的梯度，在保持扰动在 $\epsilon$ 范围内（确保肉眼不可见）的同时，最大化模型的预测损失。
模型架构对比：对比了三种主流架构：
- Vision Transformer (ViT)：基于 Patch 嵌入和全局自注意力。
- ResNet-50：经典的残差卷积神经网络。
- VGG16：传统的深度卷积神经网络。
防御机制 (Defense Mechanism)：采用 对抗训练 (Adversarial Training)。在训练过程中将生成的对抗样本加入训练集，使模型学习如何识别并抵御这些扰动。
实验设置：使用包含五类皮肤病（皮炎、湿疹、疱疹、痣、黑色素瘤）的医学图像数据集，图像统一缩放至 $224 \times 224$ 。

3. 核心贡献 (Key Contributions)

揭示了 ViT 的结构性弱点：通过实验证明了 ViT 的全局注意力机制虽然提升了性能，但也使其在面对对抗攻击时比 CNN 更加脆弱。
验证了攻击的有效性与迁移性：展示了通过 PGD 生成的扰动可以显著降低模型的分类准确率。
提出了有效的防御方案：证明了对抗训练是提升 Transformer 模型在医学影像任务中鲁棒性的关键手段。

4. 研究结果 (Results)

实验结果呈现了显著的对比：

基准性能 (Clean Images)：在处理正常图像时，ViT 表现最优，准确率达到 94.4%，略高于 ResNet-50 (94.2%) 和 VGG16 (84.0%)。
受攻击后的表现 (Adversarial Images)：
- ViT 遭遇毁灭性打击：准确率从 94.4% 骤降至 27.6%，表现出极高的脆弱性。
- CNN 相对稳健：ResNet-50 降至 70.0%，VGG16 降至 54.4%。这说明 CNN 的局部特征提取机制在一定程度上能抵御全局扰动。
对抗训练后的恢复 (Post-Adversarial Training)：
- ViT 的显著提升：经过对抗训练后，ViT 在对抗样本上的准确率从 27.6% 大幅回升至 90.0%（提升了 62.4%）。
- 其他模型：ResNet-50 提升至 81.6%，VGG16 提升至 82.6%。

5. 研究意义 (Significance)

临床安全性警示：该研究提醒医疗 AI 开发者，在将 Transformer 模型应用于临床决策支持系统时，必须考虑对抗性攻击带来的误诊风险。
技术指导：研究结果为构建“安全可靠”的医学影像 AI 提供了路径，即通过对抗训练可以使原本脆弱的 Transformer 模型达到足以应用于现实医疗场景的鲁棒性水平。
领域推动：填补了医学影像领域关于 Transformer 模型对抗性水印研究的空白，为未来开发更复杂的防御策略（如动态对抗训练）奠定了基础。