Nature：一眼認出“她”是誰，AI泄露乳腺癌患者個人隱私，模型越大，泄露越猛！

人工智能正在深刻改變腫瘤診療的面貌。從醫學影像的輔助判讀到療效預測模型的構建，AI有望讓優質診斷技術觸達更多患者，尤其在醫療資源相對匱乏的地區。然而，一個常常被忽視的問題正浮出水面：訓練這些AI模型的海量醫療數據，本身是否安全？

2026年6月24日，國際頂級學術期刊Nature在線發表了一項來自德國慕尼黑理工大學、英國倫敦帝國學院等機構的研究，首次對用于乳腺癌篩查等診斷任務的AI模型進行了“個人隱私審核”。

研究揭示了一個令人警醒的事實：總體隱私指標可能嚴重低估個人的隱私風險。

什么是“成員推理攻擊”？

要理解這項研究，首先需要認識一個概念——成員推理攻擊（Membership Inference Attack, MIA）。簡單來說，攻擊者可以通過分析AI模型的輸出，推斷某一個人的數據是否被用于訓練該模型。

這為什么值得警惕？試想，如果一個AI模型是根據某家醫院乳腺癌患者的影像數據訓練出來的，攻擊者成功實施成員推理攻擊后，就能反推出某個人是否在這家醫院就診過、是否患有乳腺癌，甚至可能推斷出癌癥類型、臨床特征、治療方案等敏感信息。

既往的研究主要關注這類攻擊對數據集的“總體成功率”——即攻擊能正確識別多少比例的訓練數據記錄。

但這項新研究提出了一個更深層的問題：對于同一個患者——她可能多次就診、多次檢查、多次治療，向訓練數據集貢獻了多條記錄——個人層面的隱私風險究竟有多大？

乳腺X光檢查數據集的“壓力測試”

研究團隊選取了多個真實臨床數據集進行測試，其中最具代表性的是來自美國埃默里大學旗下4家醫院的EMBED乳腺X光檢查數據集。

該數據集包含超過2.3萬名接受乳腺癌篩查或診斷患者的48萬余張乳腺X光片，并附有從電子病歷中提取的人口統計數據，包括年齡、種族、民族和醫療保險狀況。

研究最終納入了近2萬名女性患者的36萬余張乳腺X光片，訓練了一個用于預測乳腺密度（乳腺癌的重要臨床風險因素之一）的AI模型。

隨后，研究人員利用隨機選取的一半患者數據訓練了一個成員推理攻擊模型，去“試探”這個乳腺密度預測模型——能否判斷某張影像是否來自訓練數據？

結果令人震驚：雖然成員推理攻擊的總體成功率與隨機猜測相差不大，但對于特定的患者個人，攻擊成功率能夠接近100%。攻擊模型在所有類別上的表現均達到極高水平。

更值得關注的是，研究還發現了兩組關鍵趨勢：

第一，攻擊成功率較高的患者數量會隨著AI模型樣本量的擴大而顯著增加。這意味著，隨著醫療AI模型越做越大、數據越喂越多，隱私泄露的風險不是線性增長，而是加速放大。

第二，少數群體面臨不成比例的更高風險。按照疾病狀態、種族、醫療保險狀況、性別或影像檢查方法分層后，研究發現在這些群體中攻擊成功率顯著更高。

例如，在EMBED數據集中，雖然模型訓練的目標是預測乳腺密度而非直接診斷腫瘤，但良性腫瘤患者和疑似惡性腫瘤患者在“最易受影響”的記錄中所占比例，分別比整體數據集高出60%和1179%。

這意味著什么？

這項研究的核心啟示在于：傳統的“總體隱私評估”框架已經不夠用了。就像用平均氣溫來描述一個地區的氣候會掩蓋極端天氣一樣，用“總體攻擊成功率”來評估AI模型的隱私風險，會掩蓋那些真正處于高風險中的個體。

醫療數據歷來是網絡犯罪分子的主要目標。而更令人擔憂的是，僅僅依靠數據匿名化，已經不足以防止從大型數據集中重新識別出個人身份。當AI模型的推理能力越來越強，“匿名”的邊界變得越來越模糊。

當然，研究者也保持審慎：這項研究觀察到的不同風險特征是否也適用于成員推理攻擊之外的其他攻擊方式，仍然是懸而未決的問題。但無論如何，這項研究已經敲響了警鐘——我們需要開發適用于每一位數據貢獻者的風險評估方法和保護技術。

對于每一位曾將自己的醫療數據用于科學研究的患者，對于每一位致力于用AI改善腫瘤診療的臨床醫生和研究者，這都是一個需要認真面對的問題。技術的進步不應以犧牲個人隱私為代價，而真正的醫療AI普惠，必須建立在可靠的數據安全之上。

參考資料：

[1]Knolle, M.A., Menten, M.J., Jungmann, F. et al. Disparate privacy risks from medical AI. Nature (2026). https://doi.org/10.1038/s41586-026-10688-0

來源 | 梅斯腫瘤新前沿

編輯 | 木白