A Systematic Failure Analysis of Vision Foundation Models for Open Set Iris Presentation Attack Detection

Resumen Técnico: Un Análisis Sistemático de Fallos en Modelos Fundacionales de Visión para la Detección de Ataques de Presentación en Iris de Conjunto Abierto

Enunciado del Problema
El reconocimiento del iris es una modalidad biométrica de alta seguridad, pero sigue siendo vulnerable a Ataques de Presentación (AP) mediante instrumentos como imágenes impresas, lentes de contacto texturizadas, pantallas electrónicas e iris sintéticos. Aunque la Detección de Ataques de Presentación (DAP) basada en aprendizaje profundo ha logrado alta precisión en escenarios de conjunto cerrado (donde los ataques de prueba están representados en el entrenamiento), las implementaciones del mundo real enfrentan condiciones de "conjunto abierto" que involucran instrumentos de ataque no vistos, diferentes sensores y condiciones espectrales variables. Trabajos recientes han introducido Modelos Fundacionales de Visión (MFV)—modelos a gran escala preentrenados en conjuntos de datos masivos mediante objetivos auto-supervisados o débilmente supervisados—en el ámbito biométrico. Sin embargo, su idoneidad para la DAP de iris en conjunto abierto, particularmente en lo referente a su capacidad para generalizar ante desplazamientos de distribución no vistos, sigue siendo insuficientemente examinada. Este artículo aborda la brecha entre el fuerte rendimiento en conjunto cerrado de los MFV y su fiabilidad bajo condiciones operativas realistas de conjunto abierto.

Metodología
El estudio emplea un marco experimental unificado para evaluar cinco modelos fundacionales de visión representativos: CLIP, DINOv2, DINOv3, EVA02 y OpenVision. La evaluación utiliza un corpus diverso de 81.024 imágenes periorbitales en Infrarrojo Cercano (NIR) y 31.200 imágenes periorbitales en Espectro Visible (VIS).

• Representación de Entrada: Para garantizar la consistencia entre conjuntos de datos heterogéneos y evitar factores de confusión relacionados con la calidad de la segmentación, los experimentos principales utilizan imágenes periorbitales (recortadas a 224×224 píxeles) en lugar de regiones de iris segmentadas.
• Estrategias de Adaptación: Se evalúan dos regímenes de adaptación:
  1. Características Congeladas: La arquitectura base se mantiene congelada y se entrena una Red Neuronal Perceptrón Multicapa (MLP) ligera para clasificar muestras genuinas frente a muestras de ataque.
  2. Adaptación Eficiente en Parámetros (LoRA): Se aplica Adaptación de Bajo Rango a las capas de atención en los bloques transformadores finales, permitiendo un ajuste fino específico de la tarea con un número mínimo de parámetros entrenables.
• Protocolos de Conjunto Abierto: Tres protocolos distintos aíslan fuentes específicas de desplazamiento de distribución:
  • Protocolo 1 (Cross-PAI): Evalúa la generalización ante Instrumentos de Ataque de Presentación (PAI) no vistos manteniendo fuera categorías completas de PAI (por ejemplo, iris sintéticos, lentes texturizadas, impresiones en papel, ojos enfermos) durante el entrenamiento.
  • Protocolo 2 (Cross-Dataset): Evalúa la generalización ante conjuntos de datos/sensores no vistos utilizando un enfoque de dejar un conjunto de datos fuera en los corpora NIR.
  • Protocolo 3 (Cross-Spectral): Evalúa la transferencia de imágenes NIR (entrenamiento) a VIS (prueba).
• Métricas: El rendimiento se mide utilizando la Tasa de Error de Clasificación de Presentación de Ataque (APCER), la Tasa de Error de Clasificación de Presentación Genuina (BPCER) y la Tasa de Error Igual de Detección (D-EER), con intervalos de confianza del 95% estimados mediante bootstrap no paramétrico.
• Análisis de Características: Se realiza un análisis de separabilidad geométrica utilizando la Caída de la Tasa de Separabilidad (SRD) y el Porcentaje de Caída de la Dispersión (DDP) para comprender cómo los desplazamientos afectan la estructura del espacio de incrustaciones.

Contribuciones Clave

1. Evaluación a Gran Escala: La primera evaluación sistemática de cinco modelos fundacionales de visión diversos para la DAP de iris utilizando un marco unificado y un corpus grande y multi-fuente de datos periorbitales NIR y VIS.
2. Análisis de Fallos Impulsado por Protocolos: El diseño y aplicación de tres protocolos complementarios de conjunto abierto que aíslan desplazamientos a nivel de ataque, a nivel de conjunto de datos y espectrales, permitiendo una atribución precisa de los modos de fallo.
3. Evaluación del Impacto de la Adaptación: Una comparación controlada de representaciones congeladas frente a adaptadas con LoRA, revelando que el ajuste fino eficiente en parámetros no mejora universalmente la robustez en conjunto abierto.
4. Perspectiva Geométrica: Un análisis empírico que vincula la degradación del rendimiento en DAP con cambios en la geometría del variedad de características (distancia interclase y dispersión intraclase).
5. Validaciones Extendidas: Experimentos adicionales utilizando entradas de iris segmentadas, ajuste fino completo de la arquitectura base, desplazamientos conjuntos de conjunto de datos/PAI y transferencia espectral inversa (VIS→NIR) para descartar explicaciones alternativas de los fallos observados.

Resultados
El estudio revela una discrepancia crítica entre el rendimiento en conjunto cerrado/cross-dataset y la seguridad en conjunto abierto:

• PAI No Vistos (Protocolo 1): Los modelos fundacionales no logran generalizar a instrumentos de ataque no vistos. Los valores de D-EER frecuentemente se acercan a niveles de azar (50%), particularmente para iris sintéticos y lentes texturizadas. La adaptación LoRA a menudo exacerba este fallo, aumentando la D-EER y la BPCER, lo que sugiere una especialización excesiva en los PAI de entrenamiento.
• Conjuntos de Datos No Vistos (Protocolo 2): Los modelos demuestran una mejor transferibilidad entre conjuntos de datos cuando la modalidad de sensado (NIR) permanece constante. Los modelos congelados como DINOv2 y OpenVision logran una D-EER baja en ciertos conjuntos de datos retenidos. LoRA mejora frecuentemente el rendimiento en este régimen, reduciendo la D-EER a dígitos simples para conjuntos de datos específicos. Sin embargo, este éxito es desigual y no se extiende a datos sintéticos ni a todos los tipos de sensores.
• Transferencia Cross-Spectral (Protocolo 3): El rendimiento colapsa significativamente al transferir de NIR a VIS. La mayoría de los modelos exhiben una D-EER alta y una BPCER saturada. La adaptación LoRA elimina los beneficios parciales de transferencia de los modelos congelados, llevando el rendimiento a niveles de azar.
• Análisis del Espacio de Características: El análisis de separabilidad confirma que bajo desplazamientos de PAI no vistos y espectrales, la separación geométrica entre las clases genuinas y de ataque se degrada (SRD alta). La adaptación LoRA a menudo aumenta la dispersión intraclase (DDP negativo), entrelazando aún más las clases.
• Validaciones Extendidas:
  • El uso de entradas de iris segmentadas no resolvió los fallos de conjunto abierto.
  • El ajuste fino completo de la arquitectura base no proporcionó robustez consistente, a menudo funcionando peor que las variantes congeladas o LoRA bajo desplazamientos de PAI no vistos y cross-dataset.
  • Los desplazamientos conjuntos de cross-dataset y cross-PAI resultaron en fallos persistentes, confirmando que el éxito aislado no implica robustez ante desplazamientos combinados.
  • La transferencia espectral inversa (VIS→NIR) también falló, indicando que el problema es un desajuste de dominio espectral y no una direccionalidad específica.

Significado y Afirmaciones
El artículo argumenta que un fuerte rendimiento en evaluaciones de conjunto cerrado o cross-dataset limitado no debe interpretarse como evidencia de seguridad robusta en conjunto abierto para la DAP de iris. Los hallazgos destacan que los modelos fundacionales de visión de propósito general, optimizados para la invariancia semántica, tienden a suprimir los artefactos sutiles y de bajo nivel (por ejemplo, patrones de impresión, texturas de lentes de contacto) que son críticos para la DAP.

El estudio concluye que los modelos fundacionales actuales carecen de las representaciones "conscientes de DAP" necesarias para manejar las variaciones de implementación realistas. Específicamente:

• Invariancia vs. Sensibilidad: Las propiedades de invariancia diseñadas en los MFV (para manejar el ruido de iluminación y sensores) son perjudiciales para la DAP, la cual depende de detectar esas mismas variaciones.
• Riesgos de Adaptación: La adaptación eficiente en parámetros (LoRA) no es una solución general; puede amplificar los fallos bajo desplazamientos a nivel de ataque y espectrales al sobreajustarse a las distribuciones de entrenamiento.
• Implicaciones de Diseño: Los futuros sistemas de DAP basados en modelos fundacionales requieren estrategias explícitas para preservar señales sensibles a artefactos, como preentrenamiento consciente de DAP, adaptación restringida y calibración de la capa de decisión sensible al espectro.

El trabajo sirve como una advertencia metodológica y un llamado a protocolos de evaluación que reflejen explícitamente las condiciones de conjunto abierto, asegurando que las afirmaciones de robustez estén calificadas por los tipos específicos de desplazamientos de distribución que abordan.