Beat the Counter First: A Baseline for Temporal-Graph Anomaly Detectors

في العالم الرقمي، تترك كل نقرة، ورسالة، ومعاملة أثراً، مما يشكل شبكة واسعة ومتغيرة من الروابط التي تتطور ثانية بثانية. تُعرف هذه الخريطة الحية باسم الرسم البياني الزمني (temporal graph)، حيث يكون توقيت التفاعل لا يقل أهمية عن الاتصال نفسه. لسنوات، حاول العلماء بناء برامج حاسوبية متطورة لمراقبة هذه الشبكات ورصد التفاعلات النادرة والمشبوهة التي تشير إلى الاحتيال أو الهجمات السيبرانية أو أعطال النظام. كان الاعتقاد السائد هو أنه لضبط هذه الشذوذات الدقيقة وسريعة الحركة، يجب أن تصبح البرامج أكثر تعقيداً، محاكيةً الدماغ البشษย์ بطبقات من الذاكرة والانتباه لفهم تدفق الوقت. والمنطق يقول إن النظام الأكثر تعقيداً سيكون أفضل في العثور على الإبرة في كومة القش.

ومع ذلك، يتحدى دراسة جديدة هذا الافتراض، وتطرح سؤالاً بسيطاً ولكنه عميق: هل يساعد كل ذلك التعقيد حقاً، أم أنه مجرد معطف ثقيل يبطئ حركة العداء؟ وضع الباحثون هدفهم لاختبار ما إذا كان نظام مبني على ملاحظة واحدة مباشرة يمكنه أن يؤدي بنفس كفاءة النماذج الأكثر تقدماً وتعدداً في الطبقات المستخدمة حالياً. لقد ركزوا على فكرة أن الملاحظة الأكثر وضوحاً في بعض الأحيان - مثل عد بسيط لكيفية حدوث شيء ما أو متى حدث مؤخراً - قد تكون كافية لرصد المشكلات. ومن خلال وضع كاشف يعتمد على الشبكات العصبية عالية التقنية في مواجهة عداد متواضع يعتمد على ميزة واحدة، اكتشفوا أنه في كثير من الحالات، لم يكتفِ الأداة البسيطة بمجاراة العملاق فحسب، بل فعلت ذلك بجزء ضئيل من الطاقة والوقت المطلوبين.

بدأ الباحثون ببناء أداة مرجعية أطلقوا عليها اسم "SimpleCount". هذا النظام لا يتعلم، ولا يعدل، ولا يحفظ الأنماط بالطريقة التي يفعلها الذكاء الاصطناعي الحديث. بدلاً من ذلك، يقوم بمسح مستمر ومباشر لتدفق البيانات الواردة. ومع وصول كل اتصال جديد، تتحقق الأداة من قائمة ثابتة وصغيرة من الاحتمالات: كم مرة تفاعل هذا الزوج المحدد من المستخدمين من قبل؟ كم مرة ظهر المرسل؟ كم مرة ظهر المستقبل؟ كم مضى من الوقت منذ التفاعل الأخير؟ ومن هذه القائمة التي تضم أربعة عشر دليلاً ممكناً، تختار الأداة الدليل الأكثر فعالية للبيانات المحددة التي تحللها. ثم تستخدم هذا الرقم الواحد لتقرر ما إذا كان التفاعل الحالي مشبوهاً. إنها طريقة بلا إعدادات قابلة للضبط، ولا فترة تدريب، ولا طبقات حسابية خفية. إنها ببسامة تعد وتُقارن.

ولمعرفة ما إذا كان هذا النهج التبسيطي يمكنه الصمود، اختبر الفريق الأداة ضد اثنين من أكثر كواشف الشذوذ تقدماً المتاحة. أحدهما نموذج ذاتي الإشراف يستخدم شبكات ذاكرة معقدة لتتبع كيفية تغير العقد في الرسم البياني بمرور الوقت، والآخر نظام يستخدم "مخططاً إحصائياً" (statistical sketch) لتقدير التكرارات. أجروا هذه المقارنات عبر خمس مجموعات بيانات من العالم الحقيقي، بما في ذلك سجلات التعديلات على ويكيبيديا، والتفاعلات على منصة تعليمية مفتوحة واسعة النطاق (MOOC)، والمعاملات في شبكات بيتكوين، بالإضافة إلى مجموعة بيانات اصطناعية تم إنشاؤها خصيصاً لاختبار النماذج. كانت النتائج مذهلة؛ ففي ثلاث من مجموعات البيانات الست، طابقت الأداة العداد البسيط أكثر النماذج تقدماً أو حتى تفوقت عليها. وفي جميع مجموعات البيانات الست، تفوقت على خط أساس قياسي غير خطي. وفي الحالات التي فاز فيها النموذج المعقد، كان التحسن غالباً طفيفاً، بينما كانت التكلفة في الوقت وقدرة الحوسبة هائلة.

كان الفرق في السرعة هو الاكتشاف الأكثر دراماتيكية. فقد تطلب النموذج المتقدم ما بين ثلاثة وعشرين إلى مئة وثلاثة وثلاثين ضعفاً من وقت المعالجة (wall-clock time) لمعالجة نفس البيانات مقارنة بالعداد البسيط. وفي المتوسط، استغرق النظام المعقد اثنتين وسبعين مرة أطول للقيام بنفس المهمة. يسلط هذا الفارق الضوء على مقايضة حاسمة: مقابل كل نقطة مئوية من الدقة التي يكتسبها النموذج المعقد، يتم إنفاق قدر هائل من قدرة الحوسبة. وجد الباحثون أن هذه التكلفة الإضافية لم تكن مبررة إلا في مجموعات بيانات محددة، خاصة تلك التي تتميز بنشاط مركز حيث يهيمن عدد قليل من المستخدمين على التفاعلات. أما في مجموعات البيانات الأخرى، فلم يقدم التعقيد المضاف أي فائدة على الإطلاق، مما يشير إلى أن الآلات المتطورة كانت غالباً تبحث عن أنماط غير موجودة أصلاً أو كانت مرئية بالفعل من خلال عدسة أبسط بكثير.

ولضمان أن النماذج لم تكن مجرد تخمين، أنشأ الفريق بيئة محكومة حيث زرعوا أنماطاً محددة ومعروفة من الشذوذ في رسم بياني اصطناعي. خلقوا سيناريو يتم فيه تكوين تفاعل مشبوه عن طريق إغلاق مسار مكون من خطوتين بين مستخدمين، وهو نمط ينبغي أن يكون من السهل رصده إذا كان النظام ينتبه للهيكل. وعندما شغّلوا النماذج المتقدمة مقابل هذه الإشارة المزروعة، لم يكن أداؤها أفضل من الصدفة العشوائية. فشلت النماذج المعقدة في اكتشاف النمط الذي صُممت لإيجاده. في المقابل، نجح مقياس هيكلي بسيط يعتمد على عد الجيران المشتركين، والذي لا يتطلب أي تدريب، في تحديد الشذوذات المزروعة بدقة عالية. أثبت هذا أن النماذج المتقدمة لم تفشل لأن الإشارة كانت ضعيفة، بل لأنها لم تكن تستخلص النوع الصحيح من المعلومات من البيانات.

تخلص الدراسة إلى أن قيمة إضافة التعقيد إلى أنظمة الكشف هذه ليست قاعدة عالمية، بل تعتمد كلياً على طبيعة البيانات. فبالنسبة لبعض مجموعات البيانات، تشتري الطبقات الإضافية من الحساب تحسناً طفيفاً في الدقة، ولكن بالنسبة لأخرى، فهي مجرد هدر للموارد. ويجادل الباحثون بأنه في كل مرة يتم فيها اقتراح نموذج معقد جديد، يجب قياس أدائه مقابل خط أساس بسيط وقوي يستخدم ميزة واحدة فقط. يجب أن تشمل هذه المقارنة تكلفة الحوسبة، وليس الدقة فحمة فقط. ومن خلال القيام بذلك، يمكن للمجال تجنب فخ "التعلم المختصر" (shortcut learning)، حيث تظهر النماذج وكأنها تتعلم استدلالاً معقداً، بينما هي في الواقع تعتمد فقط على إشارات بسية وواضحة كان بإمكان نظام أرخص بكثير العثور عليها. الرسالة واضحة: قبل بناء آلة أكثر تعقيداً، يجب أولاً التحقق مما إذا كان العداد البسيط يمكنه القيام بالمهمة، لأنه في عالم الرسوم البيانية المتدفقة، غالباً ما تكون الأداة الأبسط هي الأكثر قوة.