Adversarially Robust Few-Shot Anomaly Detection with Vision Foundation Models

コンピュータが、何百万枚もの写真から「正常」とはどのようなものかを理解するように訓練された、超強力な「目」を持つ世界を想像してみてください。これらのデジタル探偵は、工場のラインで車の部品にある微細な亀裂を見つけたり、医療スキャンから隠れた腫瘍を見つけたりと、あらゆる場所で使用されています。これらは、新しい画像を「完璧で正常な例」のライブラリと比較することで機能します。もし新しい画像が理想的なものと大きく異なる場合、コンピュータは警報を鳴らします。しかし、ここには落とし穴があります。これらのデジタルな目は、騙される可能性があるのです。手品師が手品の技術で人間の観察者を欺くように、巧妙なハッカーは画像に「ノイズ」を加えることで、コンピュータを混乱させることができます。それは、人間の目にはほとんど認識できないほど微細な変化です。このノイズによって、コンピュータは実際には壊れているものを「正常」であると誤認したり、完璧なものを「壊れている」と誤認したりします。これは「敵対的攻撃（adversarial attacks）」と呼ばれる恐ろしい現実であり、安全性が極めて重要なシステムにおける大きな問題となっています。

では、何千もの例を学習させる必要のない、新しい種類の探偵を想像してみてください。代わりに、わずか数枚、あるいはたった1枚や4枚の写真から学習するのです。これは「フューショット（few-shot）」検出と呼ばれ、高速、安価、かつ柔軟であるため、ゲームチェンジャーとなります。あなたがこれから読む論文は、大きな未解決の問いに取り組んでいます。「もし、この超高速なフューショット探偵を使用した場合、それらはハッカーから安全と言えるのか？」という問いです。著者たちは、保護策がない状態では、これらの効率的な探偵は驚くほど脆弱であることを発見しました。目に見えない小さな揺さぶりだけで、それらは完全に失敗してしまうのです。しかし、ご安心ください。彼らは単に問題を見つけただけではありません。彼らは「盾」を作り上げました。彼らが作り出したのは、「パッチシフト（PatchShift）」と「フィーチャーピュリファイア（FeaturePurifier）」という、眼鏡と精神的なフィルターのように機能する二部構成の防御システムです。これにより、フューショット探偵は脳を再学習させることなく、トリックを見抜き、信頼性を維持することができるのです。

問題点： 「ワンショット」の探偵と見えない詐欺師

産業安全の世界では、企業は欠陥を即座に特定する必要があります。あらゆる可能な欠陥の写真を何千枚も集めるのを待つことは現実的ではありません。そこで研究者たちは、「ビジョン・ファンデーション・モデル（Vision Foundation Models）」、つまり形状や質感についてすでに多くを知っている巨大で事前学習済みのAIの脳（DINOv2など）を利用することにしました。これらのモデルは、単純な「k近傍法（k-NN）」システムと組み合わせることができます。このシステムを、「完璧な」パッチのサンプルが並んだ棚を持つ司書だと考えてください。新しい画像が届くと、司書はその画像を小さな正方形（パッチ）に分割し、「この正方形は、私の完璧なサンプルのうちどれに最も似ているか？」と問いかけます。もし新しい正方形が完璧なものすべてと大きく異なる場合、それは異常としてフラグが立てられます。

このセットアップは、学習が不要であるという点で非常に優れています。司書に新しいことを教える必要はなく、単にいくつかの参照写真を与えるだけでよいのです。しかし、著者たちは重大な脆弱性を発見しました。司書の判断は単純な数学的公式（距離）に基づいているため、ハッカーは「完璧な」画像のピクセルをどのように調整すれば、司書に対して「壊れている」ように見せかけられるか、あるいはその逆ができるかを正確に計算できるのです。これは、特定の判事に対して、署名を本物に見せるためにどれだけのインクを加えればよいかを正確に知っている偽造者のようなものです。

この論文は、これらの効率的なフューショット・システムがいかに脆いかを裏付けています。特定の種類のデジタルノイズ（PGD-20、強さ $\epsilon = 8/255$ と呼ばれるもの）による攻撃を受けると、正常な画像と壊れた画像を区別するシステムの能力は崩壊します。標準的なテストセットであるMVTec-ADにおいて、システムの精度は、堅実な97.5%から悲惨な25.8%へと急落しました。「良い」画像が突然「悪い」とラベル付けされ、「悪い」ものが「良い」とラベル付けされました。コンピュータは完全に騙されてしまったのです。

解決策： 二層の盾

著者たちは、司書（ファンデーション・モデル）を再学習させることはできないと気づきました。なぜなら、このシステムの肝は、モデルが固定（フリーズ）されており、すぐに使える状態にあることだからです。彼らは、司書の「周囲」で機能する防御策を必要としました。彼らは二段階の盾を構築しました。それが PatchShift と FeaturePurifier です。

ステップ1：「絨毯を揺らす」トリック (PatchShift)
ある絨毯に特定の模様があり、誰かがあなたを騙すためにそこに完璧で目に見えない線を引いたと想像してください。もしその絨毯をほんの少し動かせば、その線は意図された通りのパターンとは一致しなくなります。著者たちはこのアイデアを利用しました。彼らは画像を、検出器に投入する前に、異なる方向（上下左右）にわずかにシフトさせます。彼らはこれを8回行い、同じ画像のわずかに異なる「ビュー（視点）」を8つ作成します。

ハッカーのトリックは特定の配置に合わせて設計されているため、画像をシフトさせることでそのトリックを打破できます。いくつかのビューは依然として少し奇妙に見えるかもしれませんが、他のビューは正常に見えるはずです。システムはその後、これら8つの結果の「中央値（メディアン）」を取ります。これは、8人に答えを推測させるようなものです。たとえ数人がトリックに惑わされたとしても、大多数は真実を見抜くことができます。この単純な「揺らし」のステップだけでも効果はありますが、あらゆるトリックを防ぐには不十分です。

ステップ2：「精神的なフィルター」 (FeaturePurifier)
画像をシフトした後でも、ハッカーのノイズの一部がコンピュータの「脳」（特徴空間）の中に滑り込んでくる可能性があります。これを修正するために、著者らは「FeaturePurifier」を追加しました。これは、画像と司書の間に位置する、専門の翻訳者のようなものです。その役割は、混乱した、あるいは「汚染された」画像の記述を受け取り、それを「クリーンな」記述へと翻訳することです。

この翻訳者は、軽量でコンパクトなAIであり、ノイズを浄化する方法を学習します。これは、システムがすでに持っている非常に少ない参照写真を使用して学習されます。それは、何が「クリーンな」パッチであり、何が「汚染された」パッチであるかを認識することを学び、そして汚れたものをクリーンなものへと押し戻す方法を学びます。それは、ハッカーによって加えられた「グリッチ（不具合）」効果を自動的に除去し、司書がそれを見る前に画像を本来の状態へと復元するフォトエディターのようなものです。

結果： 以前よりも強く

著者らは、3つの異なる産業用データセット（M券-AD、VisA、MPDD）を用いて、わずか4枚の参照写真（「4-shot」設定）で新しい盾をテストしました。結果は目覚ましいものでした。

防御策がない状態では、ハッキングされたシステムは使い物になりませんでした。しかし、この二層の盾（PatchShift + FeaturePurifier）を用いることで、システムは復活しました。

• 画像検出: MVTec-ADデータセットにおいて、システムは攻撃下での成功率25.8%から、76.1%（画像レベルのAUROC）まで回復しました。
• ピクセルレベルの精度: システムは、防御のない攻撃ベースラインと比較して、ピクセルレベルの精度（PRO）において約51パーセントポイントという劇的な上昇を見せました。
• クリーンな性能: 決定的なことに、この盾はハッカーがいない状況においてシステムを壊すことはありませんでした。「クリーンな」精度はほぼ同じままであり、低下は3%未満でした。これは、システムが依然として、以前と同様に実際の欠陥を特定できる一方で、偽の欠陥を無視できるようになったことを意味します。
• 比較: 彼らの手法は、膨大な量の学習データと複雑な敵対的学習を必要とする、より重厚なシステムと同等、あるいはそれ以上の性能を発揮しました。

なぜこれが重要なのか

この論文は、宇宙のあらゆる問題を解決したと主張しているわけではありませんが、危険な空白を埋めました。彼らは、少数の写真を用いた固定されたAIモデルを使用するという、普及している効率的な手法が、目に見えないトリックに対して脆弱であることを示しました。さらに重要なことは、安全性を得るために、その効率性を放棄する必要はないことを証明したことです。「画像を揺らす」ことと「コンピュータの内部的な視界を浄化する」ことを組み合わせることで、これらの高速で柔軟な検出器を、ハッカーに対して堅牢にすることができるのです。

著者らは、ハッカーがシステムの仕組みを知っている状態（ホワイトボックス攻撃）を用いて、自らの防御策をテストしました。そして、彼らの手法は、ハッカーが新しい盾に適応しようとトリックを改良しても、持ちこれたのです。これは、「PatchShift + FeaturePurifier」の組み合わせが、私たちの産業や医療のAIシステムを誠実な状態に保つための、強力で実用的な解決策であることを示唆しています。これは、スマートなシステムを守るための最善の方法は、システムをより賢くすることではなく、より優れた「眼鏡」と、よりクリアな「精神」を与えることである、ということを思い出させてくれます。