A Systematic Failure Analysis of Vision Foundation Models for Open Set Iris Presentation Attack Detection

ملخص تقني: تحليل نظامي للفشل في نماذج الرؤية التأسيسية لعمليات كشف هجمات العرض مفتوحة المجموعة في التعرف على قزحية العين

بيان المشكلة
يعد التعرف على قزحية العين نمطًا بيومتريًا عالي الأمان، ومع ذلك فإنه يظل عرضة لهجمات العرض (Presentation Attacks - PAs) باستخدام أدوات مثل الصور المطبوعة، والعدسات اللاصقة المزخرفة، والشاشات الإلكترونية، والقزحيات الاصطناعية. وبينما حقق الكشف عن هجمات العرض (PAD) القائم على التعلم العميق دقة عالية في سيناريوهات المجموعة المغلقة (حيث يتم تمثيل الهجمات في مرحلة الاختبار ضمن بيانات التدريب)، فإن عمليات النشر في العالم الحقيقي تواجه ظروف "المجموعة المفتوحة" (open-set) التي تتضمن أدوات هجوم غير مرئية، ومستشعرات مختلفة، وظروف طيفية متباينة. لقد قدمت الأعمال الحديثة "نماذج الرؤية التأسيسية" (Vision Foundation Models - VFMs) — وهي نماذج واسعة النطاق تم تدريبها مسبقًا على مجموعات بيانات ضخمة عبر أهداف التعلم الذاتي أو التعلم ضعيف الإشراف — في مجال البيومتريات. ومع ذلك، فإن مدى ملاءمتها لكشف هجمات العرض لقزحية العين في المجموعة المفتوحة، لا سيما فيما يتعلق بقدرتها على التعميم تحت تأثير انزياحات التوزيع غير المرئية، لم يتم فحصها بشكل كافٍ. تعالج هذه الورقة الفجوة بين الأداء القوي للنماذج في المجموعة المغلقة وبين موثوقيتها في ظروف التشغيل الواقعية مفتوحة المجموعة.

المنهجية
تستخدم الدراسة إطار تجريبي موحد لتقييم خمسة نماذج تمثيلية من نماذج الرؤية التأسيسية: CLIP، وDINOv2، وDINOv3، وEVA02، وOpenVision. يستخدم التقييم مجموعة متنوعة تضم 81,024 صورة لمنطقة ما حول العين (periocular) بالأشعة تحت الحمراء القريبة (NIR) و31,200 صورة لمنطقة ما حول العين بالطيف المرئي (VIS).

• تمثيل المدخلات: لضمان الاتساق عبر مجموعات البيانات غير المتجانسة وتجنب العوامل المربكة المتعلقة بجودة التجزئة، تستخدم التجارب الأساسية صور منطقة ما حول العين (المقتصة إلى 224×224 بكسل) بدلاً من مناطق القزحية المجزأة.
• استراتيجيات التكيف: يتم تقييم نظامين للتكيف:
  1. الميزات المجمدة (Frozen Features): يتم تجميد الهيكل الأساسي (backbone)، ويتم تدريب طبقة "Perceptron" متعددة الطبقات (MLP) خفيفة الوزن لتصنيف العينات الحقيقية مقابل عينات الهجوم.
  2. التكيف كفء المعلمات (LoRA): يتم تطبيق التكيف منخفض الرتبة (Low-Rank Adaptation) على طبقات الانتباه في كتل المحولات (transformer blocks) النهائية، مما يسمح بالضبط الدقيق المخصص للمهمة باستخدام عدد ضئيل من المعلمات القابلة للتدريب.
• بروتوكولات المجموعة المفتوحة: تعزل ثلاثة بروتوكولات متميزة مصادر انزياح التوزيع المحددة:
  • البروتوكول 1 (Cross-PAI): يقيم القدرة على التعميم تجاه أدوات عرض الهجوم (PAIs) غير المرئية من خلال استبعاد فئات كاملة من أدوات الهجوم (مثل القزحيات الاصطناعية، والعدسات المزخرفة، والمطبوعات الورقية، والعيون المصابة بالأمراض) أثناء التدريب.
  • البروتوكول 2 (Cross-Dataset): يقيم القدرة على التعميم عبر مجموعات البيانات/المستشعرات غير المرئية باستخدام نهج "ترك مجموعة بيانات واحدة خارج الاختبار" عبر مجموعات بيانات الأشعة تحت الحمراء القريبة (NIR).
  • البروتوكول 3 (Cross-Spectral): يقيم الانتقال من صور الأشعة تحت الحمراء القريبة (NIR) (التدريب) إلى صور الطيف المرئي (VIS) (الاختبار).
• المقاييس: يتم قياس الأداء باستخدام معدل خطأ تصنيف عرض الهجوم (APCER)، ومعدل خطأ تصنيف العينات الحقيقية (BPCER)، ومعدل الخطأ المتساوي للكشف (D-EER)، مع تقدير فترات الثقة بنسبة 95% عبر طريقة "bootstrapping" غير المعلمية.
• تحليل الميزات: يتم إجراء تحليل الفصل الهندسي باستخدام نسبة انخفاض القابلية للفصل (SRD) ونسبة انخفاض التشتت (DDP) لفهم كيفية تأثير الانزياحات على بنية فضاء التضمين (embedding space).

المساهمات الرئيسية

1. تقييم واسع النطاق: أول تقييم منهجي لخمسة نماذج رؤية تأسيسية متنوعة لكشف هجمات عرض القزحية باستخدام إطار عمل موحد ومجموعة بيانات ضخمة متعددة المصادر من صور NIR وVIS لمنطقة ما حول العين.
2. التحليل القائم على البروتوكولات: تصميم وتطبيق ثلاثة بروتوكولات متكاملة للمجموعة المفتوحة تعزل انزياحات مستوى الهجوم، ومستوى مجموعة البيانات، والانزياحات الطيفية، مما يسمح بنسب دقيق لأسباب الفشل.
3. تقييم أثر التكيف: مقارنة مضبوطة بين التمثيلات المجمدة وتمثيلات LoRA، مما يكشف أن التكيف كفء المعلمات لا يحسن بالضرورة المتانة في المجموعة المفتوحة.
4. الرؤية الهندسية: تحليل تجريبي يربط تدهور أداء كشف هجمات العرض بالتغيرات في هندسة متشعب الميزات (feature manifold geometry) (المسافة بين الفئات والتشتت داخل الفئة).
5. التحققات الموسعة: تجارب إضافية باستخدام مدخلات قزحية مجزأة، والضبط الدقيق للهيكل الأساسي بالكامل، والانزياحات المشتركة بين مجموعة البيانات وPAI، والانتقال الطيفي العكسي (VIS←NIR) لاستبعاد التفسيرات البديلة للفشل الملحوظ.

النتائج
تكشف الدراسة عن تباين حرج بين أداء المجموعة المغلقة/المجموعة المتقاطعة وبين أمن المجموعة المفتوحة:

• أدوات عرض الهجوم غير المرئية (البروتوكول 1): تفشل نماذج التأسيس في التعميم على أدوات عرض الهجوم غير المرئية. تقترب قيم D-EER كثيرًا من مستويات الصدفة (50%)، خاصة بالنسبة للقزحيات الاصطناعية والعدسات المزخرفة. غالبًا ما يؤدي تكيف LoRA إلى تفاقم هذا الفشل، مما يزيد من قيم D-EER وBPCER، مما يشير إلى التخصص الزائد في أدوات الهجوم المستخدمة في التدريب.
• مجموعات البيانات غير المرئية (البروتوكول 2): تظهر النماذج قدرة أفضل على الانتقال عبر مجموعات البيانات عندما يظل نمط الاستشعار (NIR) ثابتًا. تحقق النماذج المجمدة مثل DINOv2 وOpenVision قيم D-EER منخفضة في بعض مجموعات البيانات المستبعدة. غالبًا ما يحسن LoRA الأداء في هذا النظام، حيث يقلل D-EER إلى خانة الآحاد لمجموعات بيانات محددة. ومع ذلك، فإن هذا النجاح غير متساوٍ ولا يمتد إلى البيانات الاصطناعية أو جميع أنواع المستشعرات.
• الانتقال عبر الأطياف (البروتوكول 3): ينهار الأداء بشكل كبير عند الانتقال من NIR إلى VIS. تظهر معظم النماذج قيم D-EER عالية وقيم BPCER مشبعة. يعمل تكيف LoRA على إزالة فوائد الانتقال الجزئي التي توفرها النماذج المجمدة، مما يدفع الأداء إلى مستويات الصدفة.
• تحليل فضاء الميزات: يؤكد تحليل الفصل أنه تحت تأثير انزياحات PAI غير المرئية والانزياحات الطفيفة، يتدهور الفصل الهندسي بين الفئات الحقيقية وفئات الهجوم (ارتفاع SRD). غالبًا ما يؤدي تكيف LoRA إلى زيادة التشتت داخل الفئة (DDP سالب)، مما يؤدي لمزيد من التداخل بين الفئات.
• التحققات الموسعة:
  • لم يؤدِ استخدام مدخلات القزحية المجزأة إلى حل مشكلات المجموعة المفتوحة.
  • فشل الضبط الدقيق للهيكل الأساسي بالكامل في توفير متانة ثابتة، وغالبًا ما كان أداؤه أسوأ من نسخ LoRA أو النسخ المجمدة تحت انزياحات PAI وانزياحات مجموعة البيانات.
  • أدت الانزياحات المشتركة بين مجموعة البيانات وPAI إلى فشل مستمر، مما يؤكد أن النجاح المنفصل لا يعني المتانة تجاه الانزياحات المركبة.
  • فشل الانتقال الطيفي العكسي (VIS→NIR) أيضًا، مما يشير إلى أن المشكلة هي عدم تطابق في المجال الطيفي وليست مرتبطة باتجاه معين.

الأهمية والادعاءات
تجادل الورقة بأن الأداء القوي في المجموعات المغلقة أو في تقييمات مجموعات البيانات المتقاطة المحدودة لا ينبغي تفسيره كدليل على أمن قوي مفتوح المجموعة لكشف هجمات عرض القزحية. تسلط النتائج الضوء على أن نماذج الرؤية التأسيسية العامة، المصممة لتحقيق الثبات الدلالي، تميل إلى قمع السمات الدقيقة ومنخفضة المستوى (مثل أنماط الطباعة، وأنسجة العدسات اللاصقة) التي تعد حاسمة لكشف هجمات العرض (PAD).

تخلص الدراسة إلى أن نماذج التأسيس الحالية تفتقر إلى التمثيلات "المدركة لعمليات كشف الهجوم" (PAD-aware) اللازمة للتعامل مع تغيرات النشر الواقعية. وتحديدًا:

• الثبات مقابل الحساسية: خصائص الثبات (invariance) التي صُممت من أجلها نماذج VFMs (للتعامل مع الإضاءة وضوضاء المستشعر) تكون ضارة بعمليات كشف الهجوم، والتي تعتمد في الواقع على اكتشاف تلك التغيرات ذاتها.
• مخاطر التكيف: التكيف كفء المعلمات (LoRA) ليس حلاً عامًا؛ إذ يمكن أن يضخم حالات الفشل تحت تأثير انزياحات مستوى الهجوم والانزياحات الطيفية من خلال الإفراط في التخصيص (overfitting) لتوزيعات التدريب.
• الآثار التصميمية: تتطلب أنظمة PAD المستقبلية القائمة على النماذج التأسيسية استراتيجيات صريحة للحفاظ على السمات الحساسة للهجمات، مثل التدريب المسبق المدرك لـ PAD، والتكيف المقيد، ومعايرة طبقة القرار المدركة للطيف.

يعمل هذا العمل كتحذير منهجي ودعوة لبروتوكولات تقييم تعكس صراحةً ظروف المجموعة المفتوحة، مما يضمن أن ادعاءات المتانة محددة بنوع انزياحات التوزيع التي تعالجها.