医学AI中发现隐私风险：攻击者可提取个人敏感信息 - AI与医疗健康

医学AI中发现隐私风险：攻击者可提取个人敏感信息Datenschutz-Risiken in Medizin-KI entdeckt - TUM

环球医讯 / AI与医疗健康来源：www.tum.de德国 - 德语2026-07-22 05:04:31 - 阅读时长5分钟 - 2036字

慕尼黑工业大学、伦敦帝国理工学院和哈索·普拉特纳研究所的研究人员在《自然》杂志上发表研究指出，医疗AI模型存在严重的隐私风险，攻击者可以通过成员推断攻击(MIAs)从模型中提取个人敏感信息，即使这些信息本不应被直接获取。研究表明，高性能的医疗AI模型尤其容易受到此类攻击，对于某些患者，攻击成功率接近100%，远超以往认知。这一发现颠覆了医学AI安全性的传统评估方法，研究人员强调必须在个体层面评估风险，而非仅考虑平均风险，并建议实施严格的模型访问控制和"差分隐私"等保护措施，以防止健康数据泄露可能带来的严重后果，如保险歧视等问题。

用于癌症检测等的AI模型是通过患者健康数据进行训练的。即使仅仅是个人数据已被纳入模型这一信息落入错误之手，也可能对相关人员产生负面影响。现在，一个研究团队在《自然》杂志上发表研究指出，通过适当方法，可以从这些模型中更有效地提取出这些敏感信息，其效果远超以往认知。

慕尼黑工业大学(TUM)、伦敦帝国理工学院和哈索·普拉特纳研究所(HPI)的研究人员发现，关于AI模型安全性的现有评估存在误导性。在专业术语中，能够确定某个人的数据是否已被纳入模型的攻击被称为"成员推断攻击"(Membership Inference Attacks, MIAs)。迄今为止，常规的医疗AI模型被认为在很大程度上能够抵御MIAs。

"遗憾的是，相关测试一直只评估了对所有患者的平均风险。我们首次关注了针对个别患者的风险——这展现出了截然不同的图景，"该研究的第一作者、TUM科学家莫里茨·克诺勒(Moritz Knolle)表示。虽然对于数据集的大部分内容，这些攻击都未能成功，但某些患者的数据却能以接近100%的概率被关联到模型中。"这绝非可以忽视的风险。健康数据高度敏感，"TUM医学人工智能与计算机科学教授、该研究的共同通讯作者丹尼尔·吕克特(Daniel Rückert)教授表示。他与哈索·普拉特纳研究所的乔治·凯西斯(Georg Kaissis)教授共同担任该研究的最后作者。

考虑不同数据类型

研究人员对基于七个成熟医学数据集的模型进行了攻击测试。这些模型的基础分别是不同的数据类型，如影像数据、心电图或电子病历。"攻击者执行MIA需要三样东西，"哈索·普拉特纳研究所数字健康：以人为本的变革性AI教授乔治·凯西斯解释道："首先，需要访问要攻击的AI模型，例如通过医院网络；其次，需要访问一个想确认是否已纳入模型的数据点，这可能来自黑客攻击获取的数据；第三，需要自己的AI基础设施——运行基于相同数据类型模型的计算机。"

例如，可以利用这种设置攻击一个从血液检测结果推断癌症免疫治疗成功概率的AI模型。血液检测结果本身并不表明患病情况。但如果攻击者能够证明某数据点已被纳入模型，则可以更确定地判断该患者曾经或现在患有癌症。

对受影响者的可能后果

此类数字攻击可能带来严重的现实后果，克诺勒用一个虚构案例说明："假设您曾因癌症接受治疗，并为研究提供了您的数据，"这位医学信息学家表示。"几年后——癌症未再复发——您想购买私人补充保险。然而，攻击者已发现您的数据曾用于肿瘤分析模型的训练。这一信息通过第三方数据分析或相应风险概况传递给保险公司。您随后被归类为高风险患者，需支付相应高额保费——且可能永远不知道原因。"

当被攻击的个体属于数据集中代表性不足的群体时，MIAs尤其容易成功。这可能涉及影像中特定的器官特征，也可能是少数群体的数据。"这尤为严重，因为AI在医学中的歧视问题同样存在，例如某些模型在面对属于少数群体的患者时，预测准确性较低，"丹尼尔·吕克特表示。