Quantifying privacy risks in foundation model representations of brain MRI

📄 arXiv: 2610.20494v1 📥 PDF

作者: Imen Bajar, Héber Hwang Arcolezi, Antoine Boutet, Carole Frindel, Mohamed Maouche

分类: cs.CV, cs.AI

发布日期: 2026-10-14

💡 一句话要点

量化基础模型在脑MRI表示中的隐私风险

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 隐私保护 脑MRI 预训练模型 患者链接 敏感属性推断 医学图像 信息安全

📋 核心要点

  1. 现有方法在保护患者隐私方面存在不足，尤其是在医学图像的共享和重用中，患者特定信息可能被泄露。
  2. 本文通过评估不同架构的预训练编码器，探讨脑MRI表示中隐私风险的量化，旨在揭示其对患者链接和属性推断的影响。
  3. 实验结果表明，替换原始脑MRI为学习嵌入并不能消除患者链接或属性推断的风险，显示出隐私保护的不足。

📝 摘要（中文）

预训练表示越来越多地用于共享和重用医学图像信息，而不暴露原始扫描，但这些表示保留了多少患者特定信息尚不清楚。本文通过评估五种不同架构、预训练目标和训练领域的冻结预训练编码器，研究了脑磁共振成像（MRI）的隐私风险。在攻击者模型下，评估了患者链接和敏感属性推断。结果显示，尽管编码器训练期间没有识别目标，最高风险表示的患者链接率在MIRIAD数据集上达到99%，在OASIS-2上超过90%。此外，释放的嵌入保留了关于人口统计属性的信息，OASIS-2和MIRIAD的性别预测准确率分别达到90.9%和95.5%。

🔬 方法详解

问题定义：本文旨在量化基础模型在脑MRI表示中的隐私风险，特别是评估这些表示保留的患者特定信息量。现有方法在保护患者隐私方面存在挑战，尤其是在医学图像共享中，患者信息可能被泄露。

核心思路：通过评估五种冻结预训练编码器，研究其在不同架构和预训练目标下对患者链接和敏感属性推断的影响，揭示隐私风险的具体量化。

技术框架：研究使用OASIS-2和MIRIAD两个纵向T1加权数据集，构建攻击者模型，评估患者链接和敏感属性推断的准确性，整体流程包括数据集准备、模型评估和结果分析。

关键创新：本研究的创新在于系统性地量化了不同预训练编码器在脑MRI表示中的隐私风险，揭示了即使在没有识别目标的情况下，仍然存在高风险的患者链接和属性推断。

关键设计：在实验中，使用了多种预训练编码器，评估其在不同数据集上的表现，关键参数设置包括模型架构、训练目标和损失函数等，确保了结果的可靠性和可比性。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果显示，最高风险的表示在MIRIAD数据集上实现了99%的患者链接率，而在OASIS-2上超过90%。此外，性别预测的平衡准确率在OASIS-2和MIRIAD上分别达到90.9%和95.5%，表明嵌入保留了显著的敏感信息。

🎯 应用场景

该研究的潜在应用领域包括医学影像共享、患者隐私保护和医疗数据分析。通过量化隐私风险，研究为医疗机构在使用预训练模型时提供了重要的参考，帮助制定更有效的隐私保护策略，确保患者信息安全。

📄 摘要（原文）

Pretrained representations are increasingly used to share and reuse information from medical images without exposing the original scans, but it is unclear how much patient-specific information these representations retain. We investigate this question for brain magnetic resonance imaging (MRI) by evaluating five frozen pretrained encoders spanning different architectures, pretraining objectives, and training domains on two longitudinal T1-weighted datasets, OASIS-2 and MIRIAD. Under an attacker model with access to released embeddings, the corresponding public encoder, and auxiliary MRI scans, we evaluate patient linkage and sensitive-attribute inference. Across the evaluated representations, we observe substantial subject-specific information: rank-1 patient linkage reaches up to 99\% on MIRIAD and exceeds 90\% on OASIS-2 for the highest-risk representation, despite the absence of an identification objective during encoder training. We further show that the released embeddings retain information about a demographic attribute, with recorded-sex prediction reaching balanced accuracy of 90.9\% on OASIS-2 and 95.5\% on MIRIAD. Overall, our results demonstrate that replacing raw brain MRI with learned embeddings does not, by itself, eliminate patient-linkage or attribute-inference risk, and is therefore insufficient on its own to establish anonymity.