Adversarially Robust Few-Shot Anomaly Detection with Vision Foundation Models

Imagine um mundo onde computadores têm olhos superpoderosos, treinados em milhões de fotos para entender o que é o "normal". Esses detetives digitais são usados em todos os lugares, desde a detecção de pequenas rachaduras em peças de carros em uma linha de produção até a descoberta de tumores ocultos em exames médicos. Eles trabalham comparando uma nova imagem contra uma biblioteca de exemplos perfeitos e normais. Se a nova imagem parecer muito diferente, o computador toca o alarme. Mas aqui está o problema: esses olhos digitais podem ser enganados. Assim como um mágico pode enganar um observador humano com um truque de mãos, um hacker astuto pode adicionar um "ruído" invisível a uma imagem — mudanças minúsculas, quase imperceptíveis, que confundem o computador. Para o olho humano, a imagem parece a mesma; para o computador, ela parece completamente normal quando na verdade está quebrada, ou quebrada quando está perfeita. Esta é a realidade assustadora dos "ataques adversários", e este é um grande problema para sistemas críticos de segurança.

Agora, imagine um novo tipo de detetive que não precisa ser treinado em milhares de exemplos. Em vez disso, ele aprende com apenas algumas fotos — talvez apenas uma ou quatro. Isso é chamado de "detecção few-shot" (de poucos disparos), e é um divisor de águas porque é rápido, barato e flexível. O artigo que você está prestes a ler aborda uma questão importante e ainda não respondida: se usarmos esses detetives superrápidos de poucos disparos, eles estarão seguros contra hackers? Os autores descobriram que, sem proteção, esses detetives eficientes são surpreendentemente frágeis. Um pequeno empurrão invisível pode fazê-los falhar completamente. Mas não se preocupe — eles não apenas encontraram o problema; eles construíram um escudo. Eles criaram um sistema de defesa de duas partes que atua como um par de óculos e um filtro mental, permitindo que esses detetres few-shot enxerguem através dos truques e permaneçam confiáveis, tudo isso sem precisar retreinar seus cérebros.

O Problema: O Detetive "One-Shot" e o Truqueiro Invisível

No mundo da segurança industrial, as empresas muitas vezes precisam detectar defeitos imediatamente. Esperar para reunir milhares de fotos de cada possível defeito não é prático. Por isso, pesquisadores recorreram aos "Modelos de Fundação de Visão" — cérebros de IA massivos e pré-treinados (como o DINOv2) que já conhecem muito sobre formas e texturas. Esses modelos podem ser combinados com um sistema simples de "k-vizinhos mais próximos" (k-NN). Pense neste sistema como um bibliotecário que tem uma prateleira de amostras de patches "perfeitos". Quando uma nova imagem chega, o bibliotecário a divide em pequenos quadrados (patches) e pergunta: "Com qual dos meus exemplos perfeitos este quadrado mais se parece?". Se o novo quadrado parecer muito diferente de todos os perfeitos, ele é sinalizado como uma anomalia.

Essa configuração é brilhante porque é "livre de treinamento". Você não precisa ensinar nada de novo ao bibliotecário; basta dar a ele algumas fotos de referência. No entanto, os autores descobriram uma vulnerabilidade massiva. Como a decisão do bibliotecário é baseada em uma fórmula matemática simples (distância), um hacker pode calcular exatamente como ajustar os pixels de uma imagem "perfeita" para fazer com que ela pareça "quebrada" para o bibliotecário, ou vice-versa. É como um falsificador que sabe exatamente quanto de tinta adicionar a uma assinatura para que ela pareça autêntica para um juiz específico, mesmo que o juiz seja muito rigoroso.

O artigo confirma que esses sistemas eficientes de poucos disparos são incrivelmente frágeis. Quando atacados com um tipo específico de ruído digital (chamado PGD-20 com uma força de $\epsilon = 8/255$), a capacidade do sistema de distinguir entre imagens normais e quebradas entra em colapso. Em um conjunto de testes padrão chamado MVTec-AD, a precisão do sistema caiu de um sólido 97,5% para um desastroso 25,8%. As imagens "boas" foram subitamente rotuladas como "ruins", e as "ruins" como "boas". O computador fora completamente enganado.

A Solução: Um Escudo de Duas Camadas

Os autores perceberam que não podiam simplesmente retreinar o bibliotecário (o modelo de fundação) porque o objetivo deste sistema é que ele seja congelado e esteja pronto para uso. Eles precisavam de uma defesa que funcionasse ao redor do bibliotecário. Eles construíram um escudo de duas etapas: PatchShift e FeaturePurifier.

Etapa 1: O Truque de "Sacudir o Tapete" (PatchShift)
Imagine que você tem um tapete com um padrão específico e alguém desenhou uma linha perfeita e invisível nele para te enganar. Se você sacudir o tapete apenas um pouquinho, essa linha não se alinhará mais com o padrão da maneira que o truque pretendia. Os autores usaram essa ideia. Eles pegam a imagem e a deslocam levemente em diferentes direções (cima, baixo, esquerda, direita) antes de alimentá-la ao detector. Eles fazem isso oito vezes, criando oito "visões" ligeiramente diferentes da mesma imagem.

Como o truque do hacker foi desenhado para um alinhamento específico, deslocar a imagem quebra o truque. Algumas visões ainda podem parecer um pouco estranhas, mas outras parecerão normais. O sistema então pega a "mediana" (o valor central) de todos os oito resultados. Isso é como pedir a oito pessoas para adivinhar a resposta; mesmo que algumas fiquem confusas com o truque, a maioria verá a verdade. Este simples passo de "sacudir" ajuda, mas não é suficiente para pegar todos os truques.

Etapa 2: O "Filtro Mental" (FeaturePurifier)
Mesmo após deslocar a imagem, parte do ruído do hacker ainda pode passar para o "cérebro" do computador (o espaço de características). Para corrigir isso, os autores adicionaram um "FeaturePurifier". Pense nisso como um tradutor especializado que se senta entre a imagem e o bibliotecário. Seu trabalho é pegar a descrição "confusa" ou "contaminada" da imagem e traduzi-la de volta para uma descrição "limpa".

Este tradutor é uma IA pequena e leve que aprende a limpar o ruído. Ela é treinada usando as poucas fotos de referência que o sistema já possui. Ela aprende a reconhecer o que um patch "limpo" parece e o que um patch "contaminado" parece, e então aprende a empurrar os contaminados de volta para os limpos. É como um editor de fotos que remove automaticamente os efeitos de "glitch" adicionados por um hacker, restaurando a imagem ao seu estado real antes mesmo que o bibliotecário a veja.

Os Resultados: Mais Fortes do que Antes

Os autores testaram seu novo escudo em três diferentes conjuntos de dados industriais (MVTec-AD, VisA e MPDD) usando apenas 4 fotos de referência (uma configuração de "4-shot"). Os resultados foram impressionantes.

Sem qualquer defesa, o sistema hackeado era inútil. Mas com seu escudo de duas camadas (PatchShift + FeaturePurifier), o sistema se recuperou.

• Detecção de Imagem: No conjunto de dados MVTec-AD, o sistema recuperou de uma taxa de sucesso de 25,8% sob ataque para 76,1% (AUROC de nível de imagem).
• Precisão ao Nível de Pixel: O sistema teve um salto massivo de cerca de 51 pontos percentuais na precisão ao nível de pixel (PRO) em comparação com a linha de base atacada sem defesa.
• Desempenho "Limpo": Crucialmente, o escudo não quebrou o sistema quando não havia hackers por perto. A precisão "limpa" permaneceu quase exatamente a mesma, caindo por menos de 3%. Isso significa que o sistema ainda é tão bom em detectar defeitos reais quanto era antes, mas agora também pode ignorar os falsos.
• Comparação: Seu método teve um desempenho tão bom quanto, ou até melhor que, sistemas muito mais pesados que exigem quantidades massivas de dados de treinamento e treinamento adversário complexo para serem robustos.

Por Que Isso Importa

O artigo não afirma ter resolvido todos os problemas do universo, mas fechou uma lacuna perigosa. Ele mostrou que o método popular e eficiente de usar modelos de IA congelados com apenas algumas fotos é vulnerável a truques invisíveis. Mais importante, provou que você não precisa jogar fora essa eficiência para obter segurança. Ao usar uma combinação inteligente de "sacudir" a imagem e "limpar" a visão interna do computador, você pode tornar esses detectores rápidos e flexíveis robustos contra hackers.

Os autores usaram um tipo específico de ataque (white-box, onde o hacker conhece o sistema) para testar sua defesa, e seu método resistiu mesmo quando o hacker tentou adaptar seus truques ao novo escudo. Isso sugere que a combinação "PatchShift + FeaturePurifier" é uma solução forte e prática para manter nossos sistemas de IA industriais e médicos honestos, mesmo quando alguém tenta enganá-los. É um lembrete de que, às vezes, a melhor maneira de proteger um sistema inteligente não é torná-lo mais inteligente, mas sim dar a ele óculos melhores e uma mente mais clara.