A Systematic Failure Analysis of Vision Foundation Models for Open Set Iris Presentation Attack Detection

Resumo Técnico: Uma Análise Sistemática de Falhas em Modelos Fundamentais de Visão para Detecção de Ataques de Apresentação de Íris em Cenário Aberto

Declaração do Problema
O reconhecimento de íris é uma modalidade biométrica de alta segurança, contudo, permanece vulnerável a Ataques de Apresentação (PAs) utilizando instrumentos como imagens impressas, lentes de contato texturizadas, displays eletrônicos e íris sintéticas. Embora a Detecção de Ataques de Apresentação (PAD) baseada em aprendizado profundo tenha alcançado alta precisão em cenários de conjunto fechado (onde os ataques de teste estão representados no treinamento), implementações no mundo real enfrentam condições de "conjunto aberto" envolvendo instrumentos de ataque não vistos, sensores diferentes e condições espectrais variadas. Trabalhos recentes introduziram Modelos Fundamentais de Visão (VFMs) — modelos em grande escala pré-treinados em conjuntos de dados massivos por meio de objetivos auto-supervisionados ou fracamente supervisionados — na área de biometria. No entanto, sua adequação para PAD de íris em conjunto aberto, particularmente no que tange à capacidade de generalizar para deslocamentos de distribuição não vistos, permanece insuficientemente examinada. Este artigo aborda a lacuna entre o forte desempenho em conjunto fechado dos VFMs e sua confiabilidade sob condições operacionais realistas de conjunto aberto.

Metodologia
O estudo emprega um quadro experimental unificado para avaliar cinco modelos fundamentais de visão representativos: CLIP, DINOv2, DINOv3, EVA02 e OpenVision. A avaliação utiliza um corpus diversificado de 81.024 imagens perioculares no Espectro de Infravermelho Próximo (NIR) e 31.200 imagens perioculares no Espectro Visível (VIS).

• Representação de Entrada: Para garantir consistência entre conjuntos de dados heterogêneos e evitar fatores de confusão relacionados à qualidade da segmentação, os experimentos principais utilizam imagens perioculares (recortadas para 224×224 pixels) em vez de regiões de íris segmentadas.
• Estratégias de Adaptação: Dois regimes de adaptação são avaliados:
  1. Recursos Congelados: A base é congelada e uma Rede Neural Perceptron Multicamada (MLP) leve é treinada para classificar amostras legítimas versus ataques.
  2. Adaptação Eficiente em Parâmetros (LoRA): A Adaptação de Baixo Rank é aplicada às camadas de atenção nos blocos transformadores finais, permitindo o ajuste fino específico da tarefa com um número mínimo de parâmetros treináveis.
• Protocolos de Conjunto Aberto: Três protocolos distintos isolam fontes específicas de deslocamento de distribuição:
  • Protocolo 1 (Cross-PAI): Avalia a generalização para Instrumentos de Ataque de Apresentação (PAIs) não vistos, excluindo categorias inteiras de PAIs (por exemplo, íris sintéticas, lentes texturizadas, impressões em papel, olhos doentes) durante o treinamento.
  • Protocolo 2 (Cross-Dataset): Avalia a generalização para conjuntos de dados/sensores não vistos utilizando uma abordagem de deixar um conjunto de dados de fora em corpora NIR.
  • Protocolo 3 (Cross-Spectral): Avalia a transferência de imagens NIR (treinamento) para VIS (teste).
• Métricas: O desempenho é medido usando a Taxa de Erro de Classificação de Apresentação de Ataque (APCER), a Taxa de Erro de Classificação de Apresentação Legítima (BPCER) e a Taxa de Erro Igual de Detecção (D-EER), com intervalos de confiança de 95% estimados por meio de bootstrapping não paramétrico.
• Análise de Recursos: Uma análise de separabilidade geométrica é conduzida usando a Queda na Razão de Separabilidade (SRD) e a Porcentagem de Queda de Dispersão (DDP) para compreender como os deslocamentos afetam a estrutura do espaço de incorporação.

Principais Contribuições

1. Avaliação em Grande Escala: A primeira avaliação sistemática de cinco modelos fundamentais de visão diversos para PAD de íris utilizando um quadro unificado e um grande corpus multi-fonte de dados perioculares NIR e VIS.
2. Análise de Falhas Orientada por Protocolo: O desenho e aplicação de três protocolos complementares de conjunto aberto que isolam deslocamentos ao nível do ataque, ao nível do conjunto de dados e espectrais, permitindo a atribuição precisa de modos de falha.
3. Avaliação do Impacto da Adaptação: Uma comparação controlada entre representações congeladas e adaptadas via LoRA, revelando que o ajuste fino eficiente em parâmetros não melhora universalmente a robustez em conjunto aberto.
4. Insight Geométrico: Uma análise empírica ligando a degradação do desempenho do PAD a mudanças na geometria do manifold de recursos (distância interclasse e dispersão intraclasse).
5. Validações Estendidas: Experimentos adicionais usando entradas de íris segmentadas, ajuste fino completo da base, deslocamentos conjuntos de conjunto de dados/PAI e transferência espectral reversa (VIS→NIR) para descartar explicações alternativas para as falhas observadas.

Resultados
O estudo revela uma discrepância crítica entre o desempenho em conjunto fechado/cross-dataset e a segurança em conjunto aberto:

• PAIs Não Vistos (Protocolo 1): Os modelos fundamentais falham em generalizar para instrumentos de ataque não vistos. Os valores de D-EER frequentemente se aproximam de níveis de acaso (50%), particularmente para íris sintéticas e lentes texturizadas. A adaptação LoRA frequentemente exacerba essa falha, aumentando o D-EER e o BPCER, sugerindo especialização excessiva nos PAIs de treinamento.
• Conjuntos de Dados Não Vistos (Protocolo 2): Os modelos demonstram melhor transferibilidade entre conjuntos de dados quando a modalidade de sensoriamento (NIR) permanece constante. Modelos congelados como DINOv2 e OpenVision alcançam baixo D-EER em certos conjuntos de dados excluídos. O LoRA frequentemente melhora o desempenho neste regime, reduzindo o D-EER para dígitos únicos para conjuntos de dados específicos. No entanto, esse sucesso é desigual e não se estende a dados sintéticos ou a todos os tipos de sensores.
• Transferência Cross-Spectral (Protocolo 3): O desempenho colapsa significativamente ao transferir de NIR para VIS. A maioria dos modelos exibe alto D-EER e BPCER saturado. A adaptação LoRA remove os benefícios parciais de transferência dos modelos congelados, levando o desempenho a níveis de acaso.
• Análise do Espaço de Recursos: A análise de separabilidade confirma que, sob deslocamentos de PAI não visto e espectrais, a separação geométrica entre as classes legítimas e de ataque se degrada (alto SRD). A adaptação LoRA frequentemente aumenta a dispersão intraclasse (DDP negativo), emaranhando ainda mais as classes.
• Validações Estendidas:
  • O uso de entradas de íris segmentadas não resolveu as falhas em conjunto aberto.
  • O ajuste fino completo da base não forneceu robustez consistente, frequentemente performando pior do que as variantes congeladas ou LoRA sob deslocamentos de PAI não visto e cross-dataset.
  • Deslocamentos conjuntos de cross-dataset e cross-PAI resultaram em falhas persistentes, confirmando que o sucesso isolado não implica robustez a deslocamentos combinados.
  • A transferência espectral reversa (VIS→NIR) também falhou, indicando que a questão é o descompasso de domínio espectral e não uma direcionalidade específica.

Significado e Alegações
O artigo argumenta que um desempenho forte em avaliações de conjunto fechado ou cross-dataset limitado não deve ser interpretado como evidência de segurança robusta em conjunto aberto para PAD de íris. As descobertas destacam que modelos fundamentais de visão de propósito geral, otimizados para invariância semântica, tendem a suprimir os artefatos sutis e de baixo nível (por exemplo, padrões de impressão, texturas de lentes de contato) que são críticos para o PAD.

O estudo conclui que os modelos fundamentais atuais carecem das representações "conscientes de PAD" necessárias para lidar com variações de implementação realistas. Especificamente:

• Invariância vs. Sensibilidade: As propriedades de invariância projetadas nos VFMs (para lidar com ruído de iluminação e sensor) são prejudiciais ao PAD, que depende da detecção dessas mesmas variações.
• Riscos de Adaptação: A adaptação eficiente em parâmetros (LoRA) não é uma solução geral; pode amplificar falhas sob deslocamentos ao nível do ataque e espectrais ao ajustar excessivamente às distribuições de treinamento.
• Implicações de Design: Futuros sistemas PAD baseados em modelos fundamentais requerem estratégias explícitas para preservar pistas sensíveis a artefatos, como pré-treinamento consciente de PAD, adaptação restrita e calibração de camada de decisão consciente do espectro.

O trabalho serve como um aviso metodológico e um chamado para protocolos de avaliação que reflitam explicitamente condições de conjunto aberto, garantindo que alegações de robustez sejam qualificadas pelos tipos específicos de deslocamentos de distribuição que abordam.