A Systematic Failure Analysis of Vision Foundation Models for Open Set Iris Presentation Attack Detection

Résumé technique : Une analyse systématique des défaillances des modèles de base pour la vision dans la détection d'attaques par présentation de l'iris en ensemble ouvert

Énoncé du problème
La reconnaissance de l'iris est une modalité biométrique de haute sécurité, mais elle reste vulnérable aux attaques par présentation (AP) utilisant des instruments tels que des images imprimées, des lentilles de contact texturées, des écrans électroniques et des iris synthétiques. Bien que la détection d'attaques par présentation (DAP) basée sur l'apprentissage profond ait atteint une haute précision dans des scénarios en ensemble fermé (où les attaques de test sont représentées lors de l'entraînement), les déploiements réels font face à des conditions « en ensemble ouvert » impliquant des instruments d'attaque inédits, des capteurs différents et des conditions spectrales variables. Des travaux récents ont introduit des modèles de base pour la vision (VFMs) — des modèles à grande échelle préentraînés sur des ensembles de données massifs via des objectifs auto-supervisés ou faiblement supervisés — dans le domaine de la biométrie. Cependant, leur adéquation pour la DAP de l'iris en ensemble ouvert, en particulier concernant leur capacité à généraliser face à des décalages de distribution inédits, reste insuffisamment examinée. Cet article comble le fossé entre la forte performance en ensemble fermé des VFMs et leur fiabilité dans des conditions opérationnelles réalistes en ensemble ouvert.

Méthodologie
L'étude emploie un cadre expérimental unifié pour évaluer cinq modèles de base pour la vision représentatifs : CLIP, DINOv2, DINOv3, EVA02 et OpenVision. L'évaluation utilise un corpus diversifié de 81 024 images périoculaires en proche infrarouge (NIR) et de 31 200 images périoculaires en spectre visible (VIS).

• Représentation d'entrée : Pour assurer la cohérence à travers des ensembles de données hétérogènes et éviter les facteurs de confusion liés à la qualité de la segmentation, les expériences principales utilisent des images périoculaires (recadrées à 224×224 pixels) plutôt que des régions d'iris segmentées.
• Stratégies d'adaptation : Deux régimes d'adaptation sont évalués :
  1. Caractéristiques figées : L'épine dorsale est figée, et un Perceptron Multicouche (MLP) léger est entraîné pour classer les échantillons authentiques versus les échantillons d'attaque.
  2. Adaptation efficace en paramètres (LoRA) : L'adaptation à faible rang est appliquée aux couches d'attention dans les derniers blocs de transformateurs, permettant un ajustement fin spécifique à la tâche avec un nombre minimal de paramètres entraînables.
• Protocoles en ensemble ouvert : Trois protocoles distincts isolent des sources spécifiques de décalage de distribution :
  • Protocole 1 (Transversal aux instruments d'AP) : Évalue la généralisation à des instruments d'attaque par présentation (IAP) inédits en excluant des catégories entières d'IAP (par exemple, iris synthétiques, lentilles texturées, impressions papier, yeux malades) lors de l'entraînement.
  • Protocole 2 (Transversal aux ensembles de données) : Évalue la généralisation à des ensembles de données/capteurs inédits en utilisant une approche de type « leave-one-dataset-out » sur les corpus NIR.
  • Protocole 3 (Transversal aux spectres) : Évalue le transfert du NIR (entraînement) vers l'imagerie VIS (test).
• Métriques : La performance est mesurée à l'aide du taux d'erreur de classification des présentations d'attaque (APCER), du taux d'erreur de classification des présentations authentiques (BPCER) et du taux d'erreur égalisé de détection (D-EER), avec des intervalles de confiance à 95 % estimés par bootstrap non paramétrique.
• Analyse des caractéristiques : Une analyse de la séparabilité géométrique est menée en utilisant le taux de chute de séparabilité (SRD) et le pourcentage de chute de dispersion (DDP) pour comprendre comment les décalages affectent la structure de l'espace d'incorporation.

Contributions clés

1. Évaluation à grande échelle : La première évaluation systématique de cinq modèles de base pour la vision diversifiés pour la DAP de l'iris, utilisant un cadre unifié et un grand corpus multi-sources de données périoculaires NIR et VIS.
2. Analyse des défaillances pilotée par les protocoles : La conception et l'application de trois protocoles en ensemble ouvert complémentaires qui isolent les décalages au niveau de l'attaque, au niveau de l'ensemble de données et au niveau spectral, permettant une attribution précise des modes de défaillance.
3. Évaluation de l'impact de l'adaptation : Une comparaison contrôlée des représentations figées versus celles adaptées par LoRA, révélant que l'ajustement fin efficace en paramètres n'améliore pas universellement la robustesse en ensemble ouvert.
4. Insight géométrique : Une analyse empirique reliant la dégradation de la performance de la DAP aux changements dans la géométrie de la variété des caractéristiques (distance inter-classe et dispersion intra-classe).
5. Validations étendues : Expériences supplémentaires utilisant des entrées d'iris segmentées, un ajustement fin complet de l'épine dorsale, des décalages transversaux conjoints aux ensembles de données et aux IAP, et un transfert spectral inverse (VIS→NIR) pour écarter les explications alternatives des défaillances observées.

Résultats
L'étude révèle une divergence critique entre la performance en ensemble fermé/transversale aux ensembles de données et la sécurité en ensemble ouvert :

• IAP inédits (Protocole 1) : Les modèles de base ne parviennent pas à généraliser à des instruments d'attaque inédits. Les valeurs de D-EER approchent fréquemment des niveaux de hasard (50 %), en particulier pour les iris synthétiques et les lentilles texturées. L'adaptation LoRA aggrave souvent cette défaillance, augmentant le D-EER et le BPCER, suggérant une sur-spécialisation aux IAP d'entraînement.
• Ensembles de données inédits (Protocole 2) : Les modèles démontrent une meilleure transférabilité entre les ensembles de données lorsque le mode de détection (NIR) reste constant. Les modèles figés comme DINOv2 et OpenVision atteignent un faible D-EER sur certains ensembles de données retenus. LoRA améliore fréquemment la performance dans ce régime, réduisant le D-EER à un chiffre unique pour des ensembles de données spécifiques. Cependant, ce succès est inégal et ne s'étend pas aux données synthétiques ni à tous les types de capteurs.
• Transfert transversal aux spectres (Protocole 3) : La performance s'effondre considérablement lors du transfert du NIR vers le VIS. La plupart des modèles présentent un D-EER élevé et un BPCER saturé. L'adaptation LoRA élimine les bénéfices partiels de transfert des modèles figés, poussant la performance vers des niveaux de hasard.
• Analyse de l'espace de caractéristiques : L'analyse de séparabilité confirme que sous des décalages d'IAP et spectraux inédits, la séparation géométrique entre les classes authentiques et d'attaque se dégrade (SRD élevé). L'adaptation LoRA augmente souvent la dispersion intra-classe (DDP négatif), emmêlant davantage les classes.
• Validations étendues :
  • L'utilisation d'entrées d'iris segmentées n'a pas résolu les défaillances en ensemble ouvert.
  • L'ajustement fin complet de l'épine dorsale n'a pas fourni de robustesse cohérente, se comportant souvent pire que les variantes figées ou LoRA sous des décalages d'IAP inédits et transversaux aux ensembles de données.
  • Les décalages conjoints transversaux aux ensembles de données et aux IAP ont entraîné des défaillances persistantes, confirmant qu'un succès isolé n'implique pas une robustesse face à des décalages combinés.
  • Le transfert spectral inverse (VIS→NIR) a également échoué, indiquant que le problème est un décalage de domaine spectral plutôt qu'une directionnalité spécifique.

Signification et affirmations
L'article soutient qu'une forte performance dans des évaluations en ensemble fermé ou transversales limitées aux ensembles de données ne doit pas être interprétée comme une preuve de sécurité robuste en ensemble ouvert pour la DAP de l'iris. Les résultats mettent en évidence que les modèles de base pour la vision à usage général, optimisés pour l'invariance sémantique, tendent à supprimer les artefacts subtils de bas niveau (par exemple, motifs d'impression, textures de lentilles de contact) qui sont critiques pour la DAP.

L'étude conclut que les modèles de base actuels manquent des représentations « conscientes de la DAP » nécessaires pour gérer les variations de déploiement réalistes. Plus précisément :

• Invariance vs Sensibilité : Les propriétés d'invariance intégrées aux VFMs (pour gérer le bruit d'éclairage et de capteur) sont préjudiciables à la DAP, qui repose sur la détection de ces mêmes variations.
• Risques d'adaptation : L'adaptation efficace en paramètres (LoRA) n'est pas une solution générale ; elle peut amplifier les défaillances sous des décalages au niveau de l'attaque et spectraux en surajustant aux distributions d'entraînement.
• Implications de conception : Les futurs systèmes de DAP basés sur des modèles de base nécessitent des stratégies explicites pour préserver les indices sensibles aux artefacts, tels qu'un préentraînement conscient de la DAP, une adaptation contrainte et un calibrage de la couche de décision conscient du spectre.

Ce travail sert d'avertissement méthodologique et d'appel à des protocoles d'évaluation qui reflètent explicitement les conditions en ensemble ouvert, garantissant que les affirmations de robustesse soient qualifiées par les types spécifiques de décalages de distribution qu'elles abordent.