Adversarially Robust Few-Shot Anomaly Detection with Vision Foundation Models

Stellen Sie sich eine Welt vor, in der Computer über supermächtige Augen verfügen, die auf Millionen von Fotos trainiert wurden, um zu verstehen, was „normal“ aussieht. Diese digitalen Detektive werden überall eingesetzt, von der Erkennung winziger Risse in Autoteilen in einer Fabrikstraße bis hin zum Auffinden verborgener Tumore in medizinischen Scans. Sie arbeiten, indem sie ein neues Bild mit einer Bibliothek aus perfekten, normalen Beispielen vergleichen. Wenn das neue Bild zu sehr von diesen abweicht, schlägt der Computer Alarm. Aber hier ist der Haken: Diese digitalen Augen können getäuscht werden. Genau wie ein Magier einen menschlichen Beobachter mit einem Handtrick täuschen kann, kann ein geschickter Hacker unsichtbares „Rauschen“ in ein Bild einfügen – winzige, fast unmerkliche Veränderungen, die den Computer verwirren. Für das menschliche Auge sieht das Bild gleich aus; für den Computer sieht es völlig normal aus, obwohl es eigentlich defekt ist, oder kaputt, obwohl es perfekt ist. Dies ist die beängstigende Realität von „adversarial attacks“ (gegnerischen Angriffen), und dies ist ein großes Problem für sicherheitskritische Systeme.

Stellen Sie sich nun einen neuen Typ von Detektiv vor, der nicht auf Tausenden von Beispielen trainiert werden muss. Stattdessen lernt er aus nur einer Handvoll Fotos – vielleicht sogar nur einem oder vier. Dies wird „Few-Shot-Detektion“ genannt, und es ist ein Gamechanger, weil es schnell, günstig und flexibel ist. Das Paper, das Sie gleich lesen werden, befasst sich mit einer großen, unbeantworteten Frage: Wenn wir diese superschnellen Few-Shot-Detektive verwenden, sind sie dann sicher vor Hackern? Die Autoren fanden heraus, dass diese effizienten Detektive ohne Schutz überraschend zerbrechlich sind. Ein winziger, unsichtbarer Stoß kann sie völlig scheitern lassen. Aber keine Sorge – sie haben nicht nur das Problem gefunden, sie haben auch einen Schild gebaut. Sie haben ein zweiteiliges Verteidigungssystem entwickelt, das wie eine Brille und ein mentaler Filter wirkt, wodurch diese Few-Shot-Detektive die Tricks durchschauen und zuverlässig bleiben können, ohne ihr Gehirn neu trainieren zu müssen.

Das Problem: Der „One-Shot“-Detektiv und der unsichtbare Trickser

In der Welt der industriellen Sicherheit müssen Unternehmen Defekte oft sofort erkennen. Zu warten, bis man Tausende von Fotos für jeden möglichen Defekt gesammelt hat, ist nicht praktikabel. Deshalb wandten sich Forscher an „Vision Foundation Models“ – massive, vortrainierte KI-Gehirne (wie DINOv2), die bereits viel über Formen und Texturen wissen. Diese Modelle können mit einem einfachen „k-Nearest-Neighbor“ (k-NN)-System kombischiniert werden. Stellen Sie sich dieses System wie einen Bibliothekar vor, der ein Regal mit perfekten Patch-Proben hat. Wenn ein neues Bild eintrifft, zerlegt der Bibliothekar es in winzige Quadrate (Patches) und fragt: „Welchem meiner perfekten Muster ähnelt dieses Quadrat am meisten?“ Wenn das neue Quadrat sehr anders aussieht als alle perfekten Exemplare, wird es als Anomalie markiert.

Dieser Aufbau ist brillant, weil er „trainingsfrei“ ist. Sie müssen dem Bibliothekar nichts Neues beibringen; Sie geben ihm einfach ein paar Referenzfotos. Die Autoren entdeckten jedoch eine massive Schwachstelle. Da die Entscheidung des Bibliothekars auf einer einfachen mathematischen Formel (Distanz) basiert, kann ein Hacker genau berechnen, wie er die Pixel eines „perfekten“ Bildes manipulieren muss, damit es für den Bibliothekar „defekt“ aussieht, oder umgekehrt. Es ist wie ein Fälscher, der genau weiß, wie viel Tinte er zu einer Unterschrift hinzufügen muss, um sie für einen bestimmten Richter authentisch erscheinen zu lassen, selbst wenn der Richter sehr streng ist.

Das Paper bestätigt, dass diese effizienten Few-Shot-Systeme unglaublich fragil sind. Wenn sie mit einer spezifischen Art von digitalem Rauschen (genannt PGD-20 mit einer Stärke von $\epsilon = 8/255$) angegriffen werden, bricht die Fähigkeit des Systems, zwischen normalen und defekten Bildern zu unterscheiden, zusammen. Auf einem Standard-Testdatensatz namens MVTec-AD sank die Genauigkeit des Systems von soliden 97,5 % auf katastrophale 25,8 %. Die „guten“ Bilder wurden plötzlich als „schlecht“ deklariert, und die „schlechten“ als „gut“. Der Computer war komplett getäuscht worden.

Die Lösung: Ein Schutzschild in zwei Schichten

Die Autoren erkannten, dass sie den Bibliothekar (das Foundation Model) nicht einfach neu trainieren konnten, da der gesamte Zweck dieses Systems darin besteht, dass es eingefroren und einsatzbereit ist. Sie brauchten eine Verteidigung, die um den Bibliothekar herum funktioniert. Sie bauten einen zweistufigen Schutzschild: PatchShift und FeaturePurifier.

Schritt 1: Der „Teppichschüttel“-Trick (PatchShift)
Stellen Sie sich vor, Sie haben einen Teppich mit einem bestimmten Muster, und jemand hat eine perfekte, unsichtbare Linie darauf gezeichnet, um Sie zu täuschen. Wenn Sie den Teppich nur ein kleines Stück verschieben, passt diese Linie nicht mehr so auf das Muster, wie der Trickser es beabsichtigt hat. Die Autoren nutzten diese Idee. Sie nehmen das Bild und verschieben es leicht in verschiedene Richtungen (oben, unten, links, rechts), bevor sie es dem Detektor zuführen. Sie machen dies acht Mal und erstellen so acht leicht unterschiedliche „Ansichten“ desselben Bildes.

Da der Trick des Hackers für eine ganz bestimmte Ausrichtung konzipiert wurde, bricht das Verschieben des Bildes den Trick. Einige Ansichten mögen immer noch etwas seltsam aussehen, aber andere werden normal aussehen. Das System nimmt dann den „Median“ (den mittleren Wert) aller acht Ergebnisse. Das ist so, als würde man acht Leute fragen, was sie glauben; selbst wenn einige durch den Trick verwirrt sind, wird die Mehrheit die Wahrheit sehen. Dieser einfache „Schüttel“-Schritt allein hilft schon, reicht aber nicht aus, um jeden Trick abzufangen.

Schritt 2: Der „Mentale Filter“ (FeaturePurifier)
Selbst nachdem das Bild verschoben wurde, könnte etwas von dem Rauschen des Hackers immer noch in das „Gehirn“ des Computers (den Feature-Raum) gelangen. Um dies zu beheben, fügten die Autoren einen „FeaturePurifier“ hinzu. Betrachten Sie dies als einen spezialisierten Übersetzer, der zwischen dem Bild und dem Bibliothekar sitzt. Seine Aufgabe ist es, die „verwirrende“ oder „verunreinigte“ Beschreibung des Bildes zu nehmen und sie zurück in eine „saubere“ Beschreibung zu übersetzen.

Dieser Übersetzer ist eine kleine, leichte KI, die lernt, das Rauschen zu bereinigen. Er wird mit genau den wenigen Referenzfotos trainiert, die das System bereits besitzt. Er lernt, wie ein „sauberer“ Patch aussieht und wie ein „verunreinigter“ Patch aussieht, und lernt dann, die verunreinigten wieder in Richtung der sauberen zu drücken. Es ist wie ein Fotobearbeitungsprogramm, das automatisch die „Glitch“-Effekte entfernt, die ein Hacker hinzugefügt hat, und das Bild in seinen wahren Zustand zurückversetzt, noch bevor der Bibliothekar es sieht.

Die Ergebnisse: Stärker als zuvor

Die Autoren testeten ihren neuen Schutzschild auf drei verschiedenen industriellen Datensätzen (MVTec-AD, VisA und MPDD) unter Verwendung von nur 4 Referenzfotos (ein „4-Shot“-Szenario). Die Ergebnisse waren beeindruckend.

Ohne jegliche Verteidigung war das gehackte System unbrauchbar. Aber mit ihrem zweischichtigen Schutzschild (PatchShift + FeaturePurifier) erholte sich das System.

• Bilderkennung: Auf dem MVTec-AD-Datensatz konnte das System die Erfolgsrate unter Angriff von 25,8 % auf 76,1 % (Bild-Ebene AUROC) steigern.
• Genauigkeit auf Pixelebene: Das System verzeichnete einen massiven Sprung von etwa 51 Prozentpunkten in der Genauigkeit auf Pixelebene (PRO) im Vergleich zum ungeschützten, angegriffenen Baseline-Modell.
• Saubere Leistung: Entscheidend ist, dass der Schild das System nicht beeinträchtigte, wenn keine Hacker im Spiel waren. Die „saubere“ Genauigkeit blieb fast exakt gleich und sank um weniger als 3 %. Das bedeutet, das System ist immer noch genauso gut darin, echte Defekte zu finden, wie zuvor, aber es kann nun auch die falschen ignorieren.
• Vergleich: Ihre Methode schnitt so gut oder sogar besser ab als viel schwerere Systeme, die enorme Mengen an Trainingsdaten und komplexes adversarielles Training benötigen, um robust zu sein.

Warum das wichtig ist

Das Paper behauptet nicht, alle Probleme des Universums gelöst zu haben, aber es hat eine gefährliche Lücke geschlossen. Es hat gezeigt, dass die beliebte, effiziente Methode, eingefrorene KI-Modelle mit nur wenigen Fotos zu verwenden, anfällig für unsichtbare Tricks ist. Wichtiger noch: Es hat bewiesen, dass man nicht die Effizienz opfern muss, um Sicherheit zu gewinnen. Indem man eine kluge Kombination aus dem „Schütteln“ des Bildes und dem „Reinigen“ der internen Sicht des Computers verwendet, kann man diese schnellen, flexiblen Detektoren robust gegen Hacker machen.

Die Autoren verwendeten eine spezifische Art von Angriff (White-Box, bei dem der Hacker das System kennt), um ihre Verteidigung zu testen, und ihre Methode hielt stand, selbst als der Hacker versuchte, seine Tricks an den neuen Schutzschild anzupassen. Dies deutet darauf hin, dass die „PatchShift + FeaturePurifier“-Kombination eine starke, praktische Lösung ist, um unsere industriellen und medizinischen KI-Systeme ehrlich zu halten, selbst wenn jemand versucht, sie zu täuschen. Es ist eine Erinnerung daran, dass der beste Weg, ein intelligentes System zu schützen, manchmal nicht darin besteht, es noch intelligenter zu machen, sondern ihm eine bessere Brille und einen klareren Geist zu geben.