Adversarially Robust Few-Shot Anomaly Detection with Vision Foundation Models

कल्पना कीजिए कि एक ऐसी दुनिया है जहाँ कंप्यूटरों के पास सुपर-पावर्ड आँखें हैं, जो लाखों तस्वीरों पर प्रशिक्षित हैं ताकि वे समझ सकें कि "सामान्य" क्या दिखता है। इन डिजिटल जासूसों का उपयोग हर जगह किया जाता है, कार के पुर्जों में सूक्ष्म दरारों को खोजने से लेकर मेडिकल स्कैन में छिपे हुए ट्यूमर को खोजने तक। वे एक नई छवि की तुलना 'परफेक्ट' और सामान्य उदाहरणों की एक लाइब्रेरी से करके काम करते हैं। यदि नई छवि बहुत अलग दिखती है, तो कंप्यूटर अलार्म बजा देता है। लेकिन यहाँ एक पेंच है: इन डिजिटल आँखों को धोखा दिया जा सकता है। ठीक वैसे ही जैसे एक जादूगर हाथ की सफाई से मानव पर्यवेक्षक को मूर्ख बना सकता है, एक चतुर हैकर एक छवि में अदृश्य "शोर" (noise) जोड़ सकता है—ऐसे सूक्ष्म, लगभग न दिखने वाले बदलाव जो कंप्यूटर को भ्रमित कर देते हैं। मानव आँख के लिए, छवि वही दिखती है; लेकिन कंप्यूटर के लिए, वह पूरी तरह से सामान्य दिखती है जब वास्तव में वह खराब होती है, या वह पूरी तरह से सही दिखती है जब वास्तव में वह खराब होती है। यह "एडवर्सरियल अटैक्स" (adversarial attacks) की डरावनी वास्तविकता है, और यह सुरक्षा-महत्वपूर्ण प्रणालियों के लिए एक बड़ी समस्या है।

अब, एक अलग तरह के जासूस की कल्पना करें जिसे हजारों उदाहरणों पर प्रशिक्षित होने की आवश्यकता नहीं है। इसके बजाय, वह केवल कुछ ही तस्वीरों से सीखता है—शायद केवल एक या चार। इसे "फ्यू-शॉट" (few-shot) डिटेक्शन कहा जाता है, और यह एक गेम-चेंजर है क्योंकि यह तेज़, सस्ता और लचीला है। आप जिस शोध पत्र को पढ़ने जा रहे हैं, वह एक बड़े, अनसुलझे प्रश्न को संबोधित करता है: यदि हम इन सुपर-फास्ट, फ्यू-शॉट जासूसों का उपयोग करते हैं, तो क्या वे हैकर्स से सुरक्षित हैं? लेखकों ने पाया कि बिना सुरक्षा के, ये कुशल जासूस आश्चर्यजनक रूप से नाजुक हैं। एक छोटा सा, अदृश्य धक्का उन्हें पूरी तरह से विफल कर सकता है। लेकिन चिंता न करें—उन्होंने केवल समस्या ही नहीं खोजी; उन्होंने एक ढाल भी बनाई। उन्होंने एक दो-स्तरीय रक्षा प्रणाली बनाई जो चश्मे और एक मानसिक फिल्टर की तरह काम करती है, जिससे ये फ्यू-शॉट जासूस धोखे को देख सकें और विश्वसनीय बने रहें, और वह भी बिना अपने मस्तिष्क को फिर से प्रशिक्षित किए।

समस्या: "वन-शॉट" जासूस और अदृश्य छली

औद्योगिक सुरक्षा की दुनिया में, कंपनियों को अक्सर दोषों को तुरंत पहचानने की आवश्यकता होती है। हर संभावित दोष की हजारों तस्वीरें एकत्र करने का इंतजार करना व्यावहारिक नहीं है। इसलिए, शोधकर्ताओं ने "विज़न फाउंडेशन मॉडल्स" (Vision Foundation Models) की ओर रुख किया—विशाल, पूर्व-प्रशिक्षित AI मस्तिष्क (जैसे DINOv2) जो पहले से ही आकृतियों और बनावट के बारे में बहुत कुछ जानते हैं। इन मॉडलों को एक सरल "के-नियरेस्ट-नेबर" (k-nearest-neighbor या k-NN) प्रणाली के साथ जोड़ा जा सकता है। इस प्रणाली को एक लाइब्रेरियन के रूप में समझें जिसके पास "परफेक्ट" पैच नमूनों की एक शेल्फ है। जब एक नई छवि आती है, तो लाइब्रेरियन उसे छोटे-छोटे वर्गों (patches) में तोड़ देता है और पूछता है, "यह वर्ग मेरे परफेक्ट नमूनों में से किसके जैसा दिखता है?" यदि नया वर्ग सभी परफेक्ट नमूनों से बहुत अलग दिखता है, तो इसे विसंगति (anomaly) के रूप में चिह्नित किया जाता है।

यह सेटअप शानदार है क्योंकि यह "ट्रेनिंग-फ्री" है। आपको लाइब्रेरियन को कुछ भी नया सिखाने की आवश्यकता नहीं है; आप बस उन्हें कुछ संदर्भ फोटो दे देते हैं। हालाँकि, लेखकों ने एक बड़ी भेद्यता (vulnerability) की खोज की। क्योंकि लाइब्रेरियन का निर्णय एक सरल गणितीय सूत्र (दूरी) पर आधारित है, एक हैकर ठीक से गणना कर सकता है कि एक "परफेक्ट" छवि के पिक्सेल को कैसे बदला जाए ताकि वह लाइब्रेरियन को "खराब" दिखे, या इसके विपरीत। यह एक जालसाज की तरह है जो जानता है कि किसी विशिष्ट न्यायाधीश को असली दिखाने के लिए हस्ताक्षर में कितनी स्याही जोड़नी है, भले ही वह न्यायाधीश बहुत सख्त हो।

शोध पत्र पुष्टि करता है कि ये कुशल, फ्यू-शॉट सिस्टम अविश्वसनीय रूप से नाजुक हैं। जब एक विशिष्ट प्रकार के डिजिटल शोर (जिसे PGD-20 कहा जाता है, जिसकी शक्ति $\epsilon = 8/255$ है) से हमला किया जाता है, तो सामान्य और खराब छवियों के बीच अंतर करने की सिस्टम की क्षमता पूरी तरह से ध्वस्त हो जाती है। MVTec-AD नामक एक मानक टेस्ट सेट पर, सिस्टम की सटीकता 97.5% से गिरकर विनाशकारी 25.8% रह गई। "अच्छी" छवियों को अचानक "खराब" लेबल कर दिया गया, और "खराब" छवियों को "अच्छी" लेबल कर दिया गया। कंप्यूटर को पूरी तरह से मूर्ख बना दिया गया था।

समाधान: एक दो-परतीय ढाल

लेखकों को एहसास हुआ कि वे लाइब्रेरियन (फाउंडेशन मॉडल) को फिर से प्रशिक्षित नहीं कर सकते क्योंकि इस सिस्टम का मुख्य उद्देश्य ही यह है कि यह फ्रीज (frozen) रहे और तुरंत उपयोग के लिए तैयार रहे। उन्हें एक ऐसी रक्षा की आवश्यकता थी जो लाइब्रेरियन के चारों ओर काम करे। उन्होंने एक दो-चरणीय ढाल बनाई: पैचशिफ्ट (PatchShift) और फीचरप्यूरीफायर (FeaturePurifier)।

चरण 1: "कालीन हिलाने" की तकनीक (PatchShift)
कल्पना कीजिए कि आपके पास एक कालीन है जिस पर एक विशिष्ट पैटर्न है, और किसी ने आपको धोखा देने के लिए उस पर एक सटीक, अदृश्य रेखा खींची है। यदि आप कालीन को थोड़ा सा खिसका देते हैं, तो वह रेखा अब उस पैटर्न के साथ उस तरह से संरेखित (align) नहीं होगी जैसा कि छली ने चाहा था। लेखकों ने इसी विचार का उपयोग किया। वे छवि को लेते हैं और उसे डिटेक्टर को खिलाने से पहले विभिन्न दिशाओं (ऊपर, नीचे, बाएँ, दाएँ) में थोड़ा सा खिसकाते हैं। वे ऐसा आठ बार करते हैं, जिससे उसी छवि के आठ थोड़े अलग "व्यू" (views) बनते हैं।

क्योंकि हैकर का धोखा एक विशिष्ट संरेखण (alignment) के लिए बनाया गया था, छवि को खिसकाने से वह ट्रिक टूट जाती है। कुछ व्यू अभी भी थोड़े अजीब लग सकते हैं, लेकिन अन्य सामान्य दिखेंगे। सिस्टम फिर आठों परिणामों के "मीडियन" (मध्य मान) को लेता है। यह आठ लोगों से उत्तर का अनुमान लगाने के लिए पूछने जैसा है; भले ही कुछ लोग ट्रिक से भ्रमित हों, बहुमत सच्चाई देख लेगा। यह सरल "हिलाने" वाला चरण अकेले मदद करता है, लेकिन यह हर ट्रिक को पकड़ने के लिए पर्याप्त नहीं है।

चरण 2: "मानसिक फ़िल्टर" (FeaturePurifier)
छवि को खिसकाने के बाद भी, हैकर का कुछ शोर अभी भी कंप्यूटर के "मस्तिष्क" (फीचर स्पेस) में प्रवेश कर सकता है। इसे ठीक करने के लिए, लेखों ने एक "फीचरप्यूरीफायर" जोड़ा। इसे एक विशेष अनुवादक के रूप में समझें जो छवि और लाइब्रेरियन के बीच बैठता है। इसका काम "भ्रमित" या "दूषित" छवि के विवरण को वापस एक "साफ" विवरण में अनुवादित करना है।

यह अनुवादक एक छोटा, हल्का AI है जो शोर को साफ करना सीखता है। इसे उन्हीं कुछ संदर्भ फोटो का उपयोग करके प्रशिक्षित किया जाता है जो सिस्टम के पास पहले से मौजूद हैं। यह सीखता है कि एक "साफ" पैच कैसा दिखता है और एक "दूषित" पैच कैसा दिखता है, और फिर यह दूषित पैच को साफ पैच की ओर धकेलना सीखता है। यह एक फोटो एडिटर की तरह है जो स्वचालित रूप से हैकर द्वारा जोड़े गए "ग्लिच" प्रभावों को हटा देता है, और लाइब्रेरियन के देखने से पहले ही छवि को उसकी वास्तविक स्थिति में बहाल कर देता है।

परिणाम: पहले से अधिक मजबूत

लेखकों ने केवल 4 संदर्भ फोटो (एक "4-शॉट" सेटिंग) का उपयोग करके तीन अलग-अलग औद्योगिक डेटासेट्स (MVTec-AD, VisA, और MPDD) पर अपने नए कवच का परीक्षण किया। परिणाम प्रभावशाली थे।

बिना किसी रक्षा के, हैक किया गया सिस्टम बेकार था। लेकिन उनकी दो-परतीय ढाल (PatchShift + FeaturePurifier) के साथ, सिस्टम फिर से खड़ा हो गया।

• इमेज डिटेक्शन: MVTec-AD डेटासेट पर, सिस्टम हमले के तहत 25.8% सफलता दर से वापस 76.1% (इमेज-लेवल AUROC) पर पहुँच गया।
• पिक्सेल-लेवल सटीकता: सिस्टम ने बिना रक्षा वाले अटैक्ड बेसलाइन की तुलना में पिक्सेल-लेवल सटीकता (PRO) में लगभग 51 प्रतिशत अंक की भारी वृद्धि देखी।
• क्लीन परफॉरमेंस: महत्वपूर्ण रूप से, जब कोई हैकर आसपास नहीं था, तब भी इस ढाल ने सिस्टम को बाधित नहीं किया। "क्लीन" सटीकता लगभग वैसी ही रही, जिसमें 3% से भी कम की गिरावट आई। इसका मतलब है कि सिस्टम अभी भी वास्तविक दोषों को पहचानने में उतना ही अच्छा है जितना कि पहले था, लेकिन अब यह नकली दोषों को भी अनदेखा कर सकता है।
• तुलना: उनका तरीका उन बहुत भारी सिस्टम के बराबर या उनसे बेहतर प्रदर्शन करता है जिन्हें बहुत अधिक प्रशिक्षण डेटा और जटिल एडवरसेरियल ट्रेनिंग की आवश्यकता होती है।

यह क्यों मायने रखता है

यह शोध पत्र यह दावा नहीं करता कि उसने ब्रह्मांड की हर समस्या को हल कर दिया है, लेकिन इसने एक खतरनाक अंतर को पाट दिया है। इसने दिखाया कि केवल कुछ फोटो के साथ फ्रीज्ड AI मॉडल का उपयोग करने वाला लोकप्रिय और कुशल तरीका अदृश्य ट्रिक्स के प्रति असुरक्षित है। अधिक महत्वपूर्ण बात यह है कि इसने साबित किया कि सुरक्षा पाने के लिए आपको अपनी दक्षता छोड़ने की आवश्यकता नहीं है। "छवि को हिलाने" और "कंप्यूटर के आंतरिक दृश्य को साफ करने" के चतुर संयोजन का उपयोग करके, आप इन तेज़, लचीले डिटेक्टरों को हैकर्स के खिलाफ मजबूत बना सकते हैं।

लेखकों ने अपने बचाव का परीक्षण करने के लिए एक विशिष्ट प्रकार के हमले (व्हाइट-बॉक्स, जहाँ हैकर को सिस्टम का पता होता है) का उपयोग किया, और उनका तरीका तब भी टिका रहा जब हैकर ने नए कवच के अनुकूल अपने ट्रिक्स को बदलने की कोशिश की। यह सुझाव देता है कि "PatchShift + FeaturePurifier" का संयोजन हमारे औद्योगिक और चिकित्सा AI सिस्टम को ईमानदार रखने के लिए एक मजबूत, व्यावहारिक समाधान है, भले ही कोई उन्हें मूर्ख बनाने की कोशिश करे। यह एक याद दिलाता है कि कभी-कभी, एक स्मार्ट सिस्टम को सुरक्षित करने का सबसे अच्छा तरीका उसे और स्मार्ट बनाना नहीं है, बल्कि उसे बेहतर चश्मा और एक स्पष्ट मन देना है।