当背景才是关键：通过可迁移攻击击破医学视觉语言模型 When Background Matters: Breaking Medical Vision Language Models by Transferable Attack
提出 MedFocusLeak：把对抗扰动只注入医学图像的“非病灶背景区”，并通过注意力转移让 6 个医学 VLM 输出临床合理但致命的错误诊断。
前置知识
Vision-Language Model (VLM / 医学 VLM)
视觉语言模型将图像编码器（如 ViT/CLIP）与大语言模型对齐，通过自回归方式根据图像 $I$ 和文本提示 $x$ 生成自然语言报告，公式化为 $\pi(y\mid I,x)=\prod_{t}\pi(y_t\mid I,x,y_{<t})$。医学 VLM（如 LLaVA-Med、MedVLM-R1、BioMedLLaMA）在此基础上针对 X 光、CT、MRI 等放射学影像微调，可输出结构化诊断报告与印象段落，是临床决策辅助的重要工具。
本文的攻击目标正是医学 VLM 的诊断生成过程，要理解攻击为何能把“左肺结节”翻转成“右肺肿块”，必须知道模型如何在图文 token 之间融合信息并产生最终诊断文字。
可迁移对抗攻击 (Transferable Adversarial Attack)
攻击者在白盒代理模型 $f_\phi$ 上生成扰动样本 $x_{adv}=x+\delta$，利用不同模型共享的特征空间，使该扰动在攻击者无法访问的黑盒目标模型 $f$ 上依然有效，形式化为 $x_{adv}=\arg\max_{x'\in B(x)}\mathcal{L}(f_\phi(x'),y_{target})$。代表性方法包括 FGSM、PGD、CW、AttackVLM、FOA-Attack 等。
本文的核心问题是“自然图像上好用的可迁移攻击在灰阶/窄调医学图像上太显眼”，理解代理到目标的迁移机制是评估 MedFocusLeak 是否真正实现 SOTA 的前提。
MedSAM (Medical Segment Anything)
Ma 等人 2024 年提出的医学图像基础分割模型，源自 SAM 但在多模态医学影像上微调，可对病灶、器官、解剖结构等“临床感兴趣区域”产生像素级 mask $M_k$，被广泛用作医学图像的预处理与 ROI 隔离工具。
MedFocusLeak 使用 MedSAM 把图像划分为“前景（诊断相关）”和“背景（诊断无关）”，并仅在背景区域注入扰动，这是论文能够实现“扰动不可见但攻击有效”的关键开关。
Cross-Modal Attention（跨模态注意力）
VLM 在最后的多模态融合模块中通过 attention 让文本 token 与图像 patch token 互相查询；视觉 token 对文本 token 的注意力权重可以反映模型“看了哪里”。形式化上，对最后融合层的注意力图 $h(I,x)$，定义前景注意质量 $A_{fg}=\|h\odot(1-M_k)\|_1$、背景注意质量 $A_{bg}=\|h\odot M_k\\|_1$。
本文的 attention-distraction loss $\mathcal{L}_{attn}=\log A_{fg}-\log A_{bg}$ 通过最小化该损失把模型视觉焦点“强行拽到”背景区域，没有这个机制，仅在背景打补丁的攻击强度会大幅下降（Qwen 上 MAS 从 0.48 降到 0.62 不加 vs 加）。
LLM-as-a-Judge / 临床评测协议 (MTR, AvgSim, MAS)
作者用 GPT-4.0 作为评判，根据“主模态一致性、临床细节扰动、无关信息引入、语义惰性”四项标准给对抗文本打分得到 MTR；用 Med-CLIP 计算 $AvgSim=\frac{1}{N}\sum_i\cos(f(x_i),f(x'_i))$ 衡量图像保真度；再用 $\alpha=\beta=0.5$ 的加权几何平均得到统一指标 $MAS=\exp\left(\tfrac{\alpha}{\alpha+\beta}\log(MTR+\epsilon)+\tfrac{\beta}{\alpha+\beta}\log(AvgSim+\epsilon)\right)$。
医学攻击的特殊性在于“把 X 光报告改成 MRI”应该算彻底失败，所以需要这套专门防止模态漂移并兼顾隐蔽性的评测协议，否则传统 NLP 相似度会被攻击者刷高。
研究动机
视觉语言模型在临床诊断、报告生成、影像问答等高风险场景中扮演越来越重要的角色，但其对抗鲁棒性几乎没有被系统研究。现有的医疗 AI 安全研究主要聚焦模型窃取（例如 ADA-STEAL 在自然图像上复制模型行为但输出多样性低）、提示注入与越狱（Liu et al., 2023; Qi et al., 2024，依赖白盒或受控环境，关注有害内容生成而非诊断推理）以及数据投毒（Tolpegin et al., 2020，无法在推理时迁移）。从自然图像迁移过来的可迁移攻击（如 FOA-Attack）在灰阶 X 光、窄调 MRI、皮肤镜等医学影像上引入的扰动会显得非常显眼——例如 FOA-Attack 在 Gemini 2.5 Pro 上的 AvgSim 仅 0.59，意味着人眼能直接察觉图像被改过，临床医生一眼就能识破，这严重限制了攻击的现实威胁面。
本文的目标是本文目标是在真实黑盒威胁设定下（即攻击者只能通过 API 查询目标 VLM，不知道其参数、梯度或训练数据），构造一个既能跨模型可迁移，又能保持视觉隐蔽、且诱导出“临床合理但实质错误”的诊断输出的对抗攻击。具体来说，作者希望首次系统地研究医学 VLM 在可迁移对抗扰动下的脆弱性，并提出 MedFocusLeak 作为概念验证：在 6 个涵盖开源、闭源、医学专用与推理增强型 VLM（InternVL-8B、QwenVL-7B、BioMedLlama-Vision、MedVLM-R1、Gemini 2.5 Pro Thinking、GPT-5）以及 6 种成像模态（X 光、CT、MRI、皮肤镜、乳腺造影、超声）上达到新的 SOTA。
与已有工作不同的是，现有方法的工作机理是“修改模型输出”，本文的独特切入角度是“腐蚀模型内部视觉焦点”：作者观察到 attention 是一种跨架构共享的语义属性，攻击真正可迁移的关键不在输出端而在“模型在看哪里”。他们把对抗扰动从“整张图像均匀打散”改为“只放在被 MedSAM 标出的非诊断背景区域内”，并显式设计一个 attention-distraction 损失把模型的视觉注意力强行从病灶前景拽到带扰动的背景上，从而既保证了扰动肉眼不可见（图像前景不动、只动背景），又保证了输出诊断的“临床合理性”——因为模型并没有给出荒唐答案，而是基于（被污染的）视觉证据得出了一个看似专业但错误的专业诊断。
核心方法
MedFocusLeak 的整体思路可以用一句话概括：“把对抗信号埋在医学图像的非诊断背景中，再用注意力转移把模型的视觉焦点强行拽过去”。技术上分四步走：(1) 用 MedSAM 把医学图像分割成前景（病灶区域，保留不动）和背景（攻击区），再用动态规划从背景里挑出 top-k 个最大的方形 patch 作为扰动容器，这样扰动只可能出现在不破坏诊断信息的区域里；(2) 调用 GPT-4.0 生成一份“临床合理但错误”的对抗文本 $x_{adv}$，例如把“左侧轻度狭窄”改成“右侧重度狭窄”，用作攻击目标；(3) 在 4 个 CLIP 变体组成的代理集成上交替进行图像和文本扰动的投影梯度下降，把扰动 $\delta$ 同时限制在 $\ell_\infty\leq 16/255$ 预算和背景 mask $M_k$ 内，最大化对抗表征与目标表征的余弦相似度；(4) 在最终多模态融合层引入 attention-distraction 损失 $\mathcal{L}_{attn}=\log A_{fg}-\log A_{bg}$，迫使模型把视觉注意力分配到带扰动的背景上，从而让最终诊断报告偏向对抗文本所暗示的错误结论。整个攻击在白盒代理上完成、生成一份对抗样本，再迁移到 6 个完全黑盒的医学 VLM 上。
与已有可迁移攻击的本质区别在于三点：(a) **扰动空间约束**：传统方法把扰动撒在整张图像上，在灰阶医学图像上极易被发现；本文利用 MedSAM 把扰动严格限制在非诊断背景 patch 内，并通过 top-k + 动态规划挑选嵌入位置，AvgSim 在所有方法中最高且恒定在 0.85。(b) **多模态协同扰动**：不像 VLAttack、AttackVLM 等只做图像扰动，本文同时优化图像块级特征 $F^\alpha_{i,j}$ 和融合层 token 特征 $F^\beta_{k,t}$ 的余弦相似度，并以贪婪 token 替换进行文本侧优化，消融证明图文联合后 MAS 从图像单独的 0.371 / 文本单独的 0.502 提升到 0.629。(c) **注意力作为攻击目标**：不同于 Chen et al. (2020) 只在单模态层面操纵注意力幅度，本文显式最小化 $\mathcal{L}_{attn}=\log A_{fg}-\log A_{bg}$，把跨模态注意力从前景“再分配”到背景，Qwen 上 MAS 从无该损失的 0.48 提升到 0.62，验证了“腐蚀注意力机制”比单纯扰动图像更能实现可迁移误导。
方法步骤详情
具体步骤可以拆成 4 个阶段，每个阶段都有明确的输入输出和具体操作。第一阶段是**对抗文本生成**：给定医学图像 $I$ 和诊断提示 $x$，作者用 GPT-4.0 + 精心设计的 prompt 模板（Appendix A.9）让大模型做出 $k$ 处“最小且医学显著”的单词级替换（如 left→right、mild→moderate），得到对抗文本 $x_{adv}=g_\phi(I,x)$，这条文本决定了模型最终的错误诊断方向。第二阶段是**背景约束的 patch 选择**：调用 MedSAM 对图像 $I$ 产生前景 mask，取反得到背景 mask $M_k$，再用动态规划从背景中挑出 $k=10$ 个最大互不重叠的方形 patch，作为扰动的承载位置。第三阶段是**多模态对抗扰动**：构建“空白白底图 + 叠加 $x_{adv}$ 文字”的种子 $I_{seed}$ 作为目标表征，然后进行跨模态交替优化——固定文本更新图像时按 $\delta^{(n+1)}_I=\text{Clip}_{\epsilon}\left(\delta^{(n)}_I-\alpha\cdot\text{sign}(\nabla_{\delta}\mathcal{L}_{img})\right)$ 投影梯度下降，图像损失 $\mathcal{L}_{img}=-\sum_{i,j}\cos(F^\alpha_{i,j}(I),F^\alpha_{i,j}(I'))$ 在 4 个 CLIP 代理集成上对齐；固定图像更新文本时用贪婪 token 替换最大化 $\mathcal{L}_{text}=-\sum_{k,t}\cos(F^\beta_{k,t}(I,x),F^\beta_{k,t}(I',x'))+\lambda_\ell \mathcal{L}_{LLM}(I',x';y^\star)$，迭代 300 次直到双侧收敛。第四阶段是**注意力转移损失**：从最后多模态融合层提取视觉-文本平均注意力图 $h(I_{adv}(\delta),x_{seed})$，分别对前景和背景求 $\ell_1$ 范数得到 $A_{fg}$ 与 $A_{bg}$，定义 $\mathcal{L}_{attn}=\log A_{fg}-\log A_{bg}$ 并通过 $\mathcal{L}_{final}=\mathcal{L}_{loc}+\lambda_{attn}\mathcal{L}_{attn}$ 联合优化，让模型把注意力从诊断前景“拽”到带扰动的背景。最终输出满足 $I_{adv}(\delta)=\text{clip}(I+M_k\odot\delta)$，即扰动只在背景 mask 内生效，前景像素保持完全不变。
技术新颖性
从技术新颖性来看，本文提出了三个相互耦合的新机制。**第一**是把 MedSAM 这类医学专用基础模型引入对抗攻击的预处理流水线，把“扰动不可见性”从像素级约束升级为“语义级 + 空间级”双重约束（前景区不动、只动背景），这在以往通用图像攻击中是缺失的。**第二**是引入 CLIP patch 集成作为多模态代理（4 个变体：CLIP-ViT-Large-patch14-336、CLIP-ViT-base-patch16、CLIP-ViT-base-patch32、CLIP-ViT-G-14-laion2B），消融显示移除 CLIP-ViT-G-laion 后 Qwen/Gemini/MedVLM-R1 上的 MAS 立刻从 0.66/0.51/0.55 跌落到 0.51/0.18/0.02，说明大规模预训练的 CLIP 变体承担了主要的迁移性贡献。**第三**是 attention-distraction loss 把“对抗目标”从传统的“让输出变”升级为“让注意力分布变”，这一思路在医学 VLM 上是首次提出，它利用了“attention 是跨架构共享语义属性”这一关键观察，使得攻击在闭源/推理增强模型（GPT-5、Gemini 2.5 Pro Thinking）上仍能拿到 0.40 的 MAS，远超 SOTA 基线 FOA-Attack 的 0.04。
实验结果
在跨 6 个模型 × 6 个模态的统一评测下，MedFocusLeak 全面超越了 5 个基线（AttackBard、AnyAttack、AttackVLM、MAttack、FOA-Attack）。**主表 Table 1** 显示：在 GPT-5 上 MAS 达到 0.408，几乎是最强基线 0.225 的两倍；在 InternVL-8B 上 MAS=0.672，远超下一名 AttackVLM 的 0.520；在 QwenVL-7B 上 MAS=0.629，超过 MAttack 的 0.518；在 BioMedLlama-Vision 上 MAS=0.569，也领先 AttackVLM 的 0.510；在 Gemini 2.5 Pro Thinking 和 MedVLM-R1 上 MAS 分别提升到 0.408 和 0.340，而这两个模型原本就是“最难打”的推理增强型。值得注意的是所有 MAS 提升都伴随着 AvgSim 稳定在 0.85 的最高水平，这意味着攻击既更强又更隐蔽。**消融 Table 2** 系统拆解了三个贡献：图像单独 MAS=0.371、文本单独 MAS=0.502、联合后 MAS=0.629，说明图文协同贡献最大；去掉注意力转移后 Qwen 上 MAS 从 0.629 跌到 0.484，证明注意力目标并非可忽略；扰动预算从 $\epsilon=4$ 到 $\epsilon=8$ 到 $\epsilon=16$ 的扩大让 MAS 从 0.39/0.50/0.63 单调上升，且 MedFocusLeak 在更大预算下优势更明显（基线增长更平缓）。**图 2(a)** 显示 patch 数量 $k=10$ 是所有模型 MAS 的拐点，超过这个数量 AvgSim 会下降。**跨任务泛化（图 2c）**：在 100 张胸片分类任务上，MedFocusLeak 在 BioMedLLaMA-Vision 上达到 >0.9 的攻击成功率，远超 MAttack 和 FOAAttack。**抗防御（图 3）**：在 Gaussian 噪声和 ComDefend 防御下，MedFocusLeak 在 Qwen-VL 上 MTR≈0.51 vs 基线 ≈0.42，在 BioMedLLaMA 上 MTR≈0.32 vs 基线 ≈0.21，闭源模型上基线几乎失效但本文仍稳定有效。**图 2(d)** 显示虽然 MedFocusLeak 计算成本高于基线，但 attention-shift 组件带来的 MAS 提升是“有效开销”而非冗余。**子模型消融 Table 9** 揭示 CLIP-ViT-G-laion 是性能基石，去掉它 Gemini 上 MAS 直接从 0.51 崩塌到 0.18。**人工评估**（30 例/模态 × 3 位医学实习生监督）：ATI（对抗文本影响）=3.94 vs 基线 3.3/3.0，IQP（图像质量保持）=3.5 vs 3.1/1.5，OHAS（综合）=3.75 vs 3.2/2.8，Cohen κ=0.82 表明评分者一致。**图 4 案例**触目惊心：一张脑 MRI 中被怀疑的肿瘤被改写为“完全正常的 T1 加权脑部扫描，未见异常肿块或信号改变”，一张皮肤镜中可能的 melanocytic 病变被升级为“恶性黑色素瘤”——扰动前后图像几乎一致但报告截然相反。
查看结构化数据
| 任务 | 指标 | 本文 | 基线 | 提升 |
|---|---|---|---|---|
| 跨模型可迁移对抗攻击（聚合 6 种成像模态） | MAS（Medical Attack Score，越高越好） | InternVL-8B: 0.672；QwenVL-7B: 0.629；BioMedLlama-Vision: 0.569；Gemini 2.5 Pro Thinking: 0.408；MedVLM-R1: 0.340；GPT-5: 0.408 | 次优基线（AttackVLM/MAttack）在对应模型上分别为 0.520 / 0.518 / 0.510 / 0.274 / 0.277 / 0.225 | InternVL 提升 0.152（+29.2%），QwenVL 提升 0.111（+21.4%），BioMedLlama 提升 0.059（+11.6%），Gemini 提升 0.134（+48.9%），MedVLM-R1 提升 0.063（+22.7%），GPT-5 提升 0.183（+81.3%） |
| MRI 模态上的跨模型攻击（Table 6） | MAS | InternVL: 0.720；QwenVL: 0.703；BioMedLLaMA-Vision: 0.796；Gemini: 0.420；MedVLM-R1: 0.370；GPT-5: 0.418 | 次优基线（AttackVLM/MAttack）依次为 0.591 / 0.583 / 0.730 / 0.287 / 0.267 / 0.336 | 在 MRI 上提升区间 0.066–0.133，BioMedLLaMA 上 MAS 突破 0.79 是全文最高单格分数 |
| Mammography 模态上的攻击（Table 5） | MAS | InternVL: 0.738；QwenVL: 0.653；Gemini: 0.396；GPT-5: 0.423 | 次优基线（MAttack/AttackVLM）依次为 0.571 / 0.543 / 0.300 / 0.358 | InternVL +0.167（+29.2%），QwenVL +0.110（+20.3%） |
| Dermoscopy 模态上的攻击（Table 4） | MAS | InternVL: 0.687；QwenVL: 0.620；GPT-5: 0.430 | 次优基线（MAttack/AttackVLM）依次为 0.527 / 0.520 / 0.330 | InternVL +0.160（+30.4%） |
| CT Scan 模态上的攻击（Table 8） | MAS | InternVL: 0.623；QwenVL: 0.609；Gemini: 0.394；GPT-5: 0.405 | 次优基线（MAttack/AttackVLM）依次为 0.520 / 0.516 / 0.275 / 0.323 | InternVL +0.103（+19.8%），Gemini +0.119（+43.3%） |
| Ultrasound 模态上的攻击（Table 7） | MAS | InternVL: 0.650；QwenVL: 0.629；Gemini: 0.440；GPT-5: 0.380 | 次优基线（AttackVLM/MAttack）依次为 0.510 / 0.523 / 0.323 / 0.317 | InternVL +0.140（+27.5%），Gemini +0.117（+36.2%） |
| X-Ray 模态上的攻击（Table 3） | MAS | InternVL: 0.624；QwenVL: 0.604；BioMedLLaMA: 0.681；GPT-5: 0.391 | 次优基线依次为 0.520 / 0.476 / 0.583 / 0.300 | BioMedLLaMA +0.098（+16.8%），GPT-5 +0.091（+30.3%） |
| 图像保真度（所有攻击共同指标） | AvgSim（Med-CLIP 余弦相似度，越高越隐蔽） | 0.85（所有 6 个模型、所有 6 个模态稳定一致） | 次优基线 AttackVLM: 0.83，FOA-Attack 最低: 0.59 | AvgSim 高于所有基线 0.02–0.26，意味着本文攻击最难被人眼察觉 |
| Cross-Task 分类任务攻击（图 2c） | Attack Success Rate（ASR） | BioMedLLaMA 上 ASR > 0.9 | MAttack 和 FOAAttack 在 BioMedLLaMA 上 ASR 接近 0.5 | ASR 相对提升 >80% |
| 抗防御下攻击保持（Figure 3） | MTR（高斯/ComDefend 防御下） | Qwen-VL: MTR ≈ 0.51（高斯）和 ≈ 0.42（ComDefend） | MAttack 在 Qwen-VL: MTR ≈ 0.42 / ≈ 0.35 | 在防御场景下维持 0.07–0.20 的稳定领先 |
| 人工临床评估（OHAS 综合分） | OHAS（1-5 分） | 3.75 | MAttack: 3.2，FOA-Attack: 2.8 | OHAS 提升 0.55–0.95 分（17%–34%），Cohen κ=0.82 验证一致性 |
局限与改进
**作者承认的局限**：(1) 计算成本高于基线（Figure 2d），每张图攻击时间更长，可能限制在资源受限临床环境的部署；(2) 评估以基准驱动为主，真实临床数据噪声、伪影更多，需要更广的临床专家验证；(3) 对病理切片等“背景区域天然稀缺”的模态效果下降，因为可注入扰动的空间被压缩；(4) 仅探索有限几种对抗威胁模型，更复杂的物理世界/跨患者/跨设备的攻击面尚未涉及；(5) 攻击成功严重依赖 MedSAM 这类分割模型的质量，如果前景分割失败，扰动可能污染到病灶区从而失去隐蔽性。**我自己的观察**：(a) 数据集是 1000 张来自 MIMIC-CXR、SkinCAP、MedTrinity 的图片，规模虽覆盖 6 个模态但每个模态样本量有限，且未包含眼底 OCT、内窥镜、病理 WSI 等临床常见模态，泛化声明需谨慎；(b) 评测使用的 LLM-as-a-judge（GPT-4.0）本身可能有偏差，且 MTR 评分标准依赖 prompt 模板，不同模板可能产生 ±0.05 的浮动；(c) CLIP 代理集成中的 LAION CLIP-ViT-G 占据主导贡献（去掉它性能直接归零），这意味着攻击对代理选择高度敏感，若目标 VLM 的视觉编码器与 CLIP 差异极大（例如 BiomedCLIP），迁移性可能受限；(d) attention-distraction loss 是在最后融合层提取的，对于解码器架构（如 LLaVA 式）与 cross-attention early-fusion 架构（如 BLIP）的适配性可能不一致。
独立分析的弱点
独立审视论文，我能识别出几个可改进的弱点。**弱点 1：扰动预算与隐蔽性的硬约束**——固定 $\epsilon=16/255$ 在灰阶图像上仍可能产生可见纹理，未来可考虑 (a) 引入感知损失（LPIPS、SSIM）作为约束项而非单纯 $\ell_\infty$；(b) 使用颜色空间自适应（如把扰动限制在 H&E 通道的灰度范围内）。**弱点 2：对 MedSAM 分割失败的脆弱性**——当 MedSAM 把正常组织误判为背景时，扰动会污染诊断信息；改进方向是引入不确定性感知机制（如多模型集成分割 + 投票）或对扰动位置进行临床显著性校验。**弱点 3：代理模型依赖单一家族**——4 个 CLIP 变体同源，迁移到 BiomedCLIP、PubMedBERT 风格的医学专用视觉编码器可能失效；改进是引入跨家族代理（DINOv2、BiomedCLIP、Swin），并通过架构差异度对代理加权。**弱点 4：attention-distraction 局限于最后一层**——只取最后融合层的注意力图，可能错过早期融合层的细粒度定位信息；改进方向是引入多层注意力蒸馏 $L_{attn}=\sum_{l=1}^L\alpha_l(\log A_{fg}^{(l)}-\log A_{bg}^{(l)})$，让扰动在不同语义层级都生效。**弱点 5：闭环自适应能力缺失**——攻击完全离线生成，不能根据目标模型的反馈调整；改进可参考黑盒优化（NES、Bandit）做 query-efficient 的在线微调。**弱点 6：评测的偏差风险**——MTR 评分 prompt 是为“保持模态、改诊断细节”量身设计的，可能对“模态漂移型攻击”不公平；改进需要多个独立 prompt 模板 + 多 LLM 评委投票。
未来方向
**作者提及的未来方向**：(1) 设计更强的防御机制（如基于 MedSAM 的输入清洗、注意力一致性正则化）以抵御本文揭示的可迁移攻击；(2) 把评估扩展到更广的数据集与临床专家评审，建立标准化的医学 VLM 鲁棒性基准（类似 ImageNet-C 之于对抗鲁棒性）；(3) 探索病理切片、内窥镜等背景稀缺模态下的攻击与防御。**基于成果的可延伸方向**：(a) 把注意力转移机制从“攻击工具”转化为“可解释性工具”，用类似思路反向定位模型应该看的区域；(b) 把多模态协同扰动扩展到视频 VLM（如手术视频），评估时序一致性下的攻击稳定性；(c) 探索与 prompt-injection 的结合——文本侧不只改诊断细节，而是在 prompt 模板中插入隐藏指令，构造“多通道复合攻击”；(d) 物理世界攻击——把背景扰动打印成 patch 贴附在成像设备表面或患者身上，验证真实采集流程下的迁移性；(e) 联邦/分布式医学 VLM 场景下的攻击传播研究；(f) 把 MedFocusLeak 作为“红队工具”反向训练鲁棒 VLM，构建 adversarial fine-tuning 的医疗专用防御 pipeline。
复现评估
**开源情况**：作者明确声明代码公开（项目页 MedFocusLeak，论文标注 arXiv:2604.17318v1），但截至写作时未给出具体 GitHub 链接，需要进一步追踪；附录给出 prompt 模板、baseline 配置和完整评估协议。**数据**：使用 MIMIC-CXR、SkinCAP、MedTrinity 三个公开数据集，共 1000 张图，覆盖 6 个模态、10 个解剖部位；这些数据集本身有使用许可，但 MIMIC-CXR 需要 PhysioNet 认证（credentialed access）。**算力**：作者声明使用 NVIDIA A100 + Colab Pro GPU；考虑到 4 个 CLIP 变体集成 + 300 次迭代优化，单张图攻击时间显著高于基线，整体实验大致需要数十到数百 GPU 小时。**复现难度**：中等偏难——(1) 代理模型集成需要加载 4 个 CLIP 变体，显存占用较大；(2) MedSAM 分割和动态规划 patch 选择需要正确实现；(3) 跨模态交替优化对超参（$\alpha$、$\lambda_{attn}$、学习率）敏感，复现者需要仔细调参；(4) 评测依赖 GPT-4.0 作为 LLM-as-judge，需要稳定的 API 访问；(5) 闭源模型评估需要 GPT-5、Gemini 2.5 Pro Thinking 的 API 权限且调用成本不低。整体上，框架可复现性强，但要把 SOTA 数值复刻出来需要细心对齐 prompt、超参与代理选择。
论文图表
