编辑推荐：
在医疗影像中，深度学习模型（如 VGG16）用于脑肿瘤分类时易受对抗攻击（如 FGSM、PGD）影响。研究人员采用集成对抗训练与特征压缩（位深度缩减、高斯模糊）的多层防御策略，使模型在对抗样本上的准确率提升至 54%（FGSM）和 47%（PGD），增强了 AI 在医疗中的可靠性。
在医疗人工智能领域，脑肿瘤的精准诊断对临床治疗至关重要。磁共振成像（MRI）凭借高分辨率和无电离辐射的优势，成为脑肿瘤诊断的重要手段，但人工分析 MRI 图像不仅耗时，还易受主观因素影响，存在误诊风险。深度学习技术，尤其是卷积神经网络（CNNs），在脑肿瘤分类中展现出强大潜力，然而其在对抗攻击面前的脆弱性却成为临床应用的重大隐患。对抗攻击通过对输入图像进行微小扰动，可能导致模型做出错误且危险的预测，例如将高级别肿瘤误判为低级别，进而引发不恰当的治疗方案。因此，如何提升模型在对抗环境下的鲁棒性，成为保障 AI 在医疗影像中可靠应用的关键问题。
为解决这一难题，美国中田纳西州立大学（Middle Tennessee State University）的研究人员开展了一项针对脑肿瘤分类模型对抗攻击防御的研究。他们提出一种多层防御策略，通过集成对抗训练与特征压缩技术，显著提升了模型在对抗攻击下的稳定性。该研究成果发表在《Scientific Reports》上，为医疗 AI 的安全性提供了重要的解决思路。
研究人员主要采用了以下关键技术方法：以 VGG16 卷积神经网络为基础模型，利用迁移学习对脑肿瘤 MRI 图像进行分类。采用 Fast Gradient Sign Method（FGSM）和 Projected Gradient Descent（PGD）两种对抗攻击方法评估模型的脆弱性。通过集成对抗训练，使用 FGSM 和 PGD 生成的对抗样本对模型进行再训练，并结合特征压缩技术，包括位深度缩减和高斯模糊，以降低模型对微小扰动的敏感性。研究使用的数据集为复合 MRI 数据集，包含 7023 张图像，来源于 Figshare、SARTAJ 和 Br35H 等公开数据集。
基线性能与对抗攻击评估
研究首先在干净的 MRI 数据集上训练模型，结果显示，初始模型在脑肿瘤分类中表现出较高性能，整体准确率达到 96%，各肿瘤类别的精确率、召回率和 F1 分数均保持在较高水平，为后续对抗攻击的评估奠定了坚实基础。
在对抗攻击评估阶段（预防御），FGSM 攻击（参数 ε=0.01）使模型在 FGSM 生成的对抗数据上的准确率骤降至 32%；PGD 攻击（参数 ε=0.01，α=0.002，10 次迭代）则使准确率进一步降至 13%。肿瘤类别的性能退化尤为显著，表明模型在对抗攻击面前存在严重的脆弱性，亟需有效的防御措施。
对抗训练与防御机制
研究采用多层防御策略，将 FGSM 和 PGD 对抗样本与特征压缩技术相结合，对模型进行对抗训练。通过两种模拟策略（调整 FGSM 和 PGD 的参数 ε、α 及迭代次数）评估防御效果。特征压缩技术通过 4 位深度缩减和 3×3 高斯模糊，有效降低了输入图像对微小扰动的敏感性，增强了模型的鲁棒性。
防御效果评估
对抗训练后，模型在对抗数据上的性能显著提升。在 FGSM 攻击下，准确率提升至 54%；在 PGD 攻击下，准确率提升至 47%。各肿瘤类别的精确率、召回率和 F1 分数均有明显改善，尤其是垂体瘤和无肿瘤类别。置信度分析表明，防御后的模型在对抗样本分类中表现出更平衡的置信度分布，减少了高置信度误判的情况，进一步验证了多层防御策略的有效性。
研究结论与意义
本研究成功开发了一种集成对抗训练与特征压缩的多层防御框架，显著提升了 VGG16 模型在脑肿瘤分类中对抗 FGSM 和 PGD 攻击的鲁棒性。通过系统分析模型的对抗脆弱性，验证了多层防御策略在提升模型稳定性方面的优势，为医疗影像中 AI 模型的安全性提供了新的解决方案。研究结果表明，合理校准对抗训练参数可在不影响干净数据分类精度的前提下，有效增强模型对对抗扰动的抵抗能力。
该研究填补了脑肿瘤分类领域对抗防御的研究空白，为医疗 AI 在高风险临床环境中的可靠应用提供了重要支撑。其提出的多层防御框架具有可扩展性和适应性，不仅适用于脑肿瘤分类，还可为其他医疗影像领域的对抗防御研究提供参考。未来研究可进一步探索优化计算效率、扩展至其他神经网络架构及更多对抗攻击类型，以推动医疗 AI 向更安全、可靠的方向发展。
