Adversarially Robust Few-Shot Anomaly Detection with Vision Foundation Models

تخيل عالماً تمتلك فيه الحواسيب عيوناً خارقة، مدربة على ملايين الصور لفهم ما يبدو عليه الشكل "الطبيعي". تُستخدم هذه المحققين الرقميين في كل مكان، من رصد الشقوق الصغيرة في أجزاء السيارات على خطوط المصانع إلى اكتشاف الأورام الخفية في الفحوصات الطبية. وهي تعمل عبر مقارنة صورة جديدة بمكتبة من الأمثلة المثالية والطبيعية؛ فإذا بدت الصورة الجديدة مختلفة تماماً، يطلق الكمبيوتر إنذاراً. لكن هنا تكمن المشكلة: يمكن خداع هذه العيون الرقمية. تماماً كما يمكن لساحر أن يخدع مراقباً بشرياً بحركة خفة يد، يمكن لمخترق ذكي أن يضيف "ضجيجاً" غير مرئي — تغييرات طفيفة لا تكاد تُلحظ تُربك الكمبيوتر. بالنسبة للعين البشرية، تبدو الصورة كما هي، أما بالنسبة للكمبيوتر، فتبدو طبيعية تماماً بينما هي في الواقع معيبة، أو تبدو معيبة بينما هي مثالية. هذا هو الواقع المخيف لـ "الهجمات العدائية" (adversarial attacks)، وهي مشكلة رئيسية للأنظمة الحرجة التي تتعلق بالسلامة.

الآن، تخيل نوعاً جديداً من المحققين لا يحتاج للتدريب على آلاف الأمثلة. بدلاً من ذلك، يتعلم من عدد قليل جداً من الصور — ربما صورة واحدة أو أربع فقط. يُسمى هذا "الكشف بلقطات قليلة" (few-shot detection)، وهو يمثل تحولاً جذرياً لأنه سريع، رخيص، ومرن. الورقة البحثية التي أوشكت على قراءتها تتناول سؤالاً كبيراً لم تتم الإجابة عليه بعد: إذا استخدمنا هؤلاء المحققين السريعين جداً، فهل سيكونون في أمان من المخترقين؟ وجد المؤلفون أنه بدون حماية، فإن هؤلاء المحققين الفعالين هشّون بشكل مفاجئ؛ إذ يمكن لنغزة رقمية بسيطة وغير مرئية أن تجعلهم يفشلون تماماً. لكن لا تقلقوا، فهم لم يكتفوا بإيجاد المشكلة فحسب، بل بنوا درعاً. لقد ابتكروا نظام دفاع مكون من جزأين يعمل مثل "نظارات" و"فلتر ذهني"، مما يسمح لهؤلاء المحققين برؤية ما وراء الخدع والبقاء موثوقين، وكل ذلك دون الحاجة لإعادة تدريب عقولهم.

المشكلة: المحقق "بلقطة واحدة" والمخادع الخفي

في عالم السلامة الصناعية، تحتاج الشركات غالباً لرصد العيوب فوراً. والانتظار لجمع آلاف الصور لكل عيب محتمل ليس أمراً عملياً. لذا، اتجه الباحثون إلى "نماذج التأسيس الرؤية" (Vision Foundation Models) — وهي عقول ذكاء اصطناعي ضخمة ومدربة مسبقاً (مثل DINOv2) تعرف الكثير عن الأشكال والقوام. يمكن دمج هذه النماذج مع نظام بسيط من نوع "أقرب جار ك" (k-nearest-neighbor أو k-NN). فكر في هذا النظام كمكتبة لديها رف يحتوي على عينات "مثالية" من القطع. عندما تصل صورة جديدة، يقوم "المكتباتي" بتقسيمها إلى مربعات صغيرة (patches) ويسأل: "أي من عيناتي المثالية تشبه هذا المربع أكثر؟". إذا بدا المربع الجديد مختلفاً جداً عن كل العينات المثالية، يتم تصنيفه كخلل.

هذا الإعداد عبقري لأنه "خالٍ من التدريب"؛ فأنت لا تحتاج لتعليم المكتبي أي شيء جديد، بل تكتفي بإعطائه بضع صور مرجعية. ومع ذلك، اكتشف المؤلفون ثغرة هائلة. نظرًا لأن قرار المكتبي يعتمد على معادلة رياضية بسيطة (المسافة)، يمكن للمخترق حساب كيفية تعديل بكسلات صورة "مثالية" بدقة لجعلها تبدو "معيبة" للمكتبي، أو العكس. الأمر يشبه المزور الذي يعرف بالضبط مقدار الحبر الذي يجب إضافته لتوقيع ما ليجعله يبدو أصلياً لقاضٍ معين، حتى لو كان القاضي صارماً للغاية.

تؤكد الورقة البحثية أن هذه الأنظمة الفعالة ذات اللقطات القليلة هشة للغاية. فعند تعرضها لهجوم بنوع محدد من الضجيج الرقمي (يسمى PGD-20 بقوة $\epsilon = 8/255$)، تنهار قدرة النظام على التمييز بين الصور الطبيعية والمعيبة. في مجموعة اختبار قياسية تسمى MVTec-AD، انخفضت دقة النظام من 97.5% صلبة إلى 25.8% كارثية. فجأة، تم تصنيف الصور "الجيدة" على أنها "سيئة"، والصور "السيئة" على أنها "جيدة". لقد تم خداع الكمبيوتر تماماً.

الحل: درع ذو طبقتين

أدرك المؤلفون أنهم لا يستطيعون مجرد إعادة تدريب المكتبي (نموذج التأسيس) لأن الهدف الأساسي من هذا النظام هو أن يكون "مجمداً" وجاهزاً للاستخدام. كانوا بحاجة إلى دفاع يعمل حول المكتبي. لذا بنوا درعاً من خطوتين: إزاحة الرقعة (PatchShift) ومنقي الميزات (FeaturePurifier).

الخطوة 1: خدعة "هز السجادة" (PatchShift)
تخيل أن لديك سجادة ذات نمط معين، وقام شخص ما برسم خط مثالي وغير مرئي عليها لخداعك. إذا حركت السجادة قليلاً في اتجاهات مختلفة، فلن يتوافق الخط مع النمط بالطريقة التي أرادها المخادع. استخدم المؤلفون هذه الفكرة؛ حيث يأخذون الصورة ويحركونها قليًلاً في اتجاهات مختلفة (أعلى، أسفل، يسار، يمين) قبل تغذيتها للمكتشف. يقومون بذلك ثماني مرات، مما ينتج ثماني "رؤى" مختلفة قليلاً لنفس الصورة.

بما أن خدعة المخترق صُممت لتناسب محاذاة محددة، فإن إزاحة الصورة تكسر تلك الخدعة. قد تبدو بعض الرؤى غريبة قليلاً، لكن معظمها سيبدو طبيعياً. ثم يأخذ النظام "الوسيط" (القيمة الوسطى) لجميع النتوات الثمانية. هذا يشبه سؤال ثمانية أشخاص لتخمين الإجابة؛ فحتى لو ارتبك البعض بسبب الخدعة، فإن الأغلبية سترى الحقيقة. خطوة "الهز" البسيطة هذه تساعد وحدها، لكنها ليست كافية للإمساك بكل الخدع.

الخطوة 2: "الفلتر الذهني" (FeaturePurifier)
حتى بعد إزاحة الصورة، قد يتسلل بعض ضجيج المخترق إلى "عقل" الكمبيوتر (مساحة الميزات). ولإصلاح ذلك، أضاف المؤلفون "منقي الميزات". فكر في هذا كـ "مترجم متخصص" يجلس بين الصورة والمكتبي. مهمته هي أخذ الوصف "المربك" أو "الملوث" للصورة وترجمته إلى وصف "نظيف".

هذا المترجم هو ذكاء اصطناعي صغير وخفيف الوزن يتعلم كيفية تنظيف الضجيج. يتم تدريبه باستخدام الصور المرجعية القليلة التي يمتلكها النظام بالفعل. إنه يتعلم كيف يبدو الجزء "النظيف" وكيف يبدو الجزء "الملوث"، ثم يتعلم كيف يدفع الأجزاء الملوثة للعودة نحو الحالة النظيفة. الأمر يشبه محرر الصور الذي يقوم تلقائياً بإزالة تأثيرات "الخلل" التي أضافها المخترق، معيداً الصورة إلى حالتها الحقيقية قبل أن يراها المكتبي حتى.

النتائج: أقوى من ذي قبل

اختبر المؤلفون درعهم الجديد على ثلاث مجموعات بيانات صناعية مختلفة (MVeC-AD، VisA، و MPDD) باستخدام 4 صور مرجعية فقط (إعداد "4-shot"). كانت النتائج مبهرة.

بدون أي دفاع، كان النظام المخترق عديم الفائدة. ولكن مع درعهم المكون من طبقتين (PatchShift + FeaturePurifier)، استعاد النظام عافيته:

• كشف الصور: في مجموعة بيانات MVec-AD، استعاد النظام نجاحه من نسبة 25.8% تحت الهجوم ليعود إلى 76.1% (على مستوى الصورة - AUROC).
• دقة مستوى البكسل: حقق النظام قفزة هائلة بنحو 51 نقطة مئوية في دقة مستوى البكسل (PRO) مقارنة بالخط المرجعي المهاجم غير المحمي.
• الأداء في الحالة الطبيعية: والأهم من ذلك، أن الدرع لم يفسد أداء النظام عندما لا يوجد مخترقون. ظل الدقة في الحالة "النظيفة" كما هي تقريباً، حيث انخفضت بأقل من 3%. وهذا يعني أن النظام لا يزال بارعاً في رصد العيوب الحقيقية كما كان، ولكنه الآن قادر أيضاً على تجاهل العيوب المزيفة.
• المقارنة: تفوق أداؤهم على الأنظمة الأكثر تعقيداً التي تتطلب كميات هائلة من بيانات التدريب وتدريباً عدائياً معقداً، أو على الأقل كان بمستوى مماثل لها.

لماذا هذا مهم؟

لا تدعي الورقة البحثية أنها حلت كل مشاكل الكون، لكنها سدت فجوة خطيرة. فقد أظهرت أن الطريقة الفعالة والشائعة لاستخدام نماذج الذكاء الاصطناعي "المجمدة" مع لقطات قليلة هي عرضة للخطر. والأهم من ذلك، أنها أثبتت أنك لست بحاجة للتخلي عن هذه الكفاءة للحصول على الأمان. من خلال الجمع الذكي بين "هز" الصورة و"تنظيف" الرؤية الداخلية للكمبيوتر، يمكنك جعل هذه الكواشف السريعة والمرنة حصينة ضد المخترقين.

استخدم المؤلفون نوعاً معيناً من الهجمات (White-box، حيث يعرف المخترق النظام) لاختبار دفاعهم، وصمدت طريقتهم حتى عندما حاول المخترق تكييف خدعه مع الدرع الجديد. هذا يشير إلى أن مزيج "PatchShift + FeaturePurifier" هو حل عملي وقوي للحفاظ على نزاهة أنظمة الذكاء الاصطناية الصناعية والطبية، حتى عندما يحاول شخص ما خداعها. إنه تذكير بأنه في بعض الأحيان، أفضل طريقة لحماية نظام ذكي ليست بجعله أكثر ذكاءً، بل بإعطائه نظارات أفضل وعقلاً أكثر صفاءً.