AI 诊断受审视：患者数据泄露，大模型八成病例误判

2026 年发表的两项研究揭示了 AI 医疗诊断的隐患。一项指出，诊断模型会泄露用于训练的患者身份；另一项显示，人们常用来咨询症状的大型语言模型，在临床推理早期阶段的失败率超过 80%。The Register 对这两篇论文进行了报道。

据 The Register 报道，隐私问题源于 2026 年 6 月 24 日（周三）发表在 Nature 上的一篇论文。德国研究人员测试了七个医疗 AI 数据集，涵盖影像、心电图记录和一般电子健康档案。他们发现，负责数据分类和预测的判别式模型极易受到成员推断攻击（MIA）。这种攻击通过查询模型，判断特定数据点是否属于其训练集。团队报告称，单个患者可被识别，攻击成功率“接近完美”。他们认为，标准评估方案仅在汇总层面衡量攻击成功率，无法反映这一风险。研究人员结论是，AI 隐私审计的报告标准需要改变。

代表性不足的患者更易被识别

同一篇论文指出，在医疗 AI 训练数据中代表性不足的患者，比数据不突出的患者更容易被识别。The Register 列举了种族、保险状态、性别、成像方案及某些疾病状态等类别，这些特征可能成为离群点，使个人更易被指认。

“总体而言，模型训练人群越特定，MIA 带来的隐私风险越严重，”慕尼黑工业大学医疗与医学人工智能讲席教授、论文第一作者 Moritz Knolle 在给 The Register 的邮件中写道。他描述了若干场景：训练数据集的成员身份可能暴露某人携带亨廷顿病等休眠遗传病、患有抑郁症，或曾就诊于特定专科诊所。

攻击利用的是机器学习模型的一个简单特性：当输入数据属于训练集时，模型往往更自信。攻击者只需持有患者的部分数据，将其输入模型并查看置信度，即可推断该患者是否在训练集中。Knolle 表示，论文证明攻击者无需完整掌握患者数据点，这与以往认知不同。“我们在论文中表明，即使只有部分访问权限，攻击者仍能成功实施 MIA，”他告诉 The Register。

“我希望医疗 AI 界开始认真对待隐私风险，并在必要时使用风险缓解技术。”慕尼黑工业大学 Moritz Knolle

研究人员建议采用差分隐私框架，这类框架在数学上保证训练数据保持匿名。他们还希望隐私审计标准纳入个体层面风险，而非仅关注汇总数字。Knolle 提到，另一种方法是整理训练数据，让代表性不足的群体得到更好覆盖。“在许多情况下，成功的 MIA 仅代表轻微甚至可忽略的隐私侵犯，”他指出，这适用于在包含健康人和病人的大规模普通人群上训练的模型。

语言模型早期失败，却显得自信

另一项研究于 2026 年 4 月发表在 JAMA Network Open 上，发现 21 个主流现成 AI 模型在早期鉴别诊断中，超过八成病例失败。The Register 于 2026 年 4 月 15 日报道了这项研究，该研究使用 29 个标准化临床病例对模型进行测试。当提供完整医疗信息并要求给出最终诊断时，模型表现良好，领先模型正确率达 91%。但在早期鉴别诊断阶段，即临床医生权衡可能性并逐一排除疾病的环节，失败率超过 80%。

“我们测试的每个模型都在绝大多数病例上失败了，”领导该研究的哈佛医学生 Arya Rao 在给 The Register 的邮件中说。“那是不确定性最关键的时刻，也是这些系统最薄弱的地方。”

Rao 指出，失败并不总意味着答案完全错误。按答对比例计算的原始准确率，模型在 63% 到 78% 之间。但团队认为，更严格的失败指标依然重要，尤其是因为 AI 工具被宣传为用于缩小诊断范围的一线助手。“将大模型宣传为诊断助手，恰恰可能在它们最不可靠的地方制造虚假信心，”研究人员写道。

论文合著者、马萨诸塞总医院放射科医生 Marc Succi 博士告诉 The Register，最终诊断成功率较高不应令人安心。“真正的临床推理开始得更早，那时歧义最大，而这正是它们最薄弱的地方，”他说。他警告，错误的鉴别诊断可能导致治疗延误、不必要的检查、高额费用等问题。

这两篇论文所处的监管环境仍在追赶。根据 IntuitionLabs 发布的行业分析，截至 2024 年年中，美国食品药品监督管理局（FDA）已批准约 950 款 AI 医疗设备。同一分析指出，获批 AI 设备中仅有极少数有随机试验或患者结局数据支持，FDA 也在 2024 年 12 月发布了预定变更控制计划指南。

MD+DI 发表的一篇访谈中，FDA 医疗器械律师 Suzanne Levy Friedman 指出，尽管 FDA 批准的 AI 设备超过一千款，但没有一款内置持续学习模型。Friedman 表示，该机构正在探索实现这一目标的路径，但作为公共卫生机构，其首要使命意味着必须权衡创新与临床医生依赖未经验证工具的风险。

这两篇研究论文表明，验证不仅关乎模型最终答案是否正确，还关乎模型是否保护了患者身份，以及它能否在诊断明确前处理不确定性。