Zero-Degradation Post-Hoc Explanations with Identity Pass-Through for Recurrent Graph Anomaly Detection

في العالم الرقمي، ليست الشبكات مجرد خرائط ثابتة، بل هي أنظمة حية تتنفس وتتغير في كل ثانية. تتدفق المعاملات المالية بين الحسابات، وتنتقل حزم البيانات عبر الخوادم، وتنتشر الرسائل عبر الدوائر الاجتماعية، مما يخلق نسيجاً من الاتصالات يتغير باستمرار. وعندما يحدث خطأ ما في هذه الأنظمة — مثل تحويل احتيالي، أو هجوم سيبراني، أو حملة منظمة للأخبار الزائفة — فغالباً ما يظهر ذلك على شكل نمط غريب ينبثق من وسط الفوضى. لسنوات طويلة، بنى علماء الكمبيوتر أنظمة ذكاء اصطناعي قوية قادرة على رصد هذه الحالات الشاذة بدقة مذهلة. تعمل هذه الأنظمة كحراس عالي التقنية، حيث تمسح تدفق البيانات لتنبيه النشاط المشبوه قبل أن يتسبب في ضرر. ومع ذلك، فإن مشكلة كبيرة لاحقت هذه الأدوات المتقدمة: بينما هي بارعة في إطلاق جرس الإنذار، إلا أنها سيئة للغاية في شرح "لماذا". فعندما يصنف النظام معاملة ما على أنها احتيالية، فإنه عادة ما يقدم فقط درجة أو ضوء تحذير، تاركاً المحللين البشريين في حيرة من أمرهم بشأن الأدلة المحددة التي أدت إلى التنبيه. وفي المجالات عالية المخاطر مثل الخدمات المصاغية أو الأمن السيبراني، يكون التحذير بدون سبب عديم الفائدة غالباً؛ إذ يحتاج المنظمون والمحققون ليس فقط لمعرفة أن شيئاً ما خاطئ، بل لمعرفة أي التفاعلات وأي اللحظات الزمنية تحديداً أدت إلى هذا الاستنتاج.

هذه الفجوة بين الكشف والفهم هي محور دراسة جديدة تقدم طريقة لجعل هذه الأنظمة "الصندوق الأسود" شفافة دون التضحية بدقتها. ركز الباحثون على نوع محدد من الذكاء الاصطناعي المصمم لمراقبة هذه الشبكات المتطورة، وهو نظام يُعرف باسم StrGNN. هذا الكاشف فعال للغاية في إيجاد الحالات الشاذة من خلال النظر في مجموعات صغيرة من العقد المتصلة عبر سلسلة من الخطوات الزمنية، لكنه لم يكن قادراً أبداً على شرح قراراته. طور الفريق طبقة جديدة تسمى X-StrGNN تلتف حول الكاشف الحالي "المجمد". فكر في هذه الطبقة الجديدة كمترجم يجلس بين المنطق الداخلي للذكاء الاصطناست وبين المحلل البشري. فهي تأخذ قرار الذكاء الاصطناعي وتفككه إلى نوعين متميزين من الإجابات: أحدهما يشرح "أين" و"من" عبر تسليط الضوء على اتصالات محددة في الشبكة كانت ذات أهمية، والآخر يشرح "متى" عبر تحديد اللحظة بدقة في الماضي القريب التي حملت الوزن الأكبر في القرار.

الجانب الأكثر إثارة في هذا العمل هو أن طبقة التفسير الجديدة لا تضيف أي تكلفة على أداء النظام. في العديد من محاولات جعل الذكاء الاصطناعي أكثر قابلية للفهم، تؤدي عملية توليد التفسير إلى إبطاء النظام أو تقليل قدرته على اكتشاف التهديدات قليلاً. هنا، أثبت الباحثون أن طريقتهم هي "مرور مباشر" (pass-through) دقيق. فعندما يتم إيقاف تشغيل طبقة التفسير، يتصرف النظام بشكل متطابق مع الأصلي؛ وعند تشغيلها، تظل درجات الكشف كما هي تماماً، حتى لأصغر وحدة رقمية. لا يحتاج النظام إلى إعادة تدريب أو تعديل بأي شكل من الأشكال. بدلاً من ذلك، تقوم الطبقة الجديدة ببساء مراقبة الإشارات الداخلية للكاشف وتوليد خريطة للأدلة. فلكل اتصال مشبوه يتم رصده، تنتج الطبقة خريطة هيكلية توضح التفاعلات المحيطة التي دفعت القرار، وخريطة زمنية توضح اللقطة التاريخية التي كانت نقطة التحول.

لضمان عملية هذه القدرة الجديدة للاستخدام في العالم الحقيقي، اختبر الفريق طرقاً مختلفة لتوليد هذه التفسيرات. وقارنوا بين أساليب تتطلب حسابات فردية ثقيلة لكل تنبيه على حدة، مقابل نهج أكثر كفاءة حيث تتعلم شبكة مشتركة واحدة توليد التفسيرات لجميع التنبيهات في وقت واحد. وأظهرت النتائج أن النهج المشترك والأكثر كفاءة كان متفوقاً بمراحل للاستخدام التشغيلي. فقد استطاع توليد تفسير كامل لحافة (edge) تم رصدها في غضون 0.66 مللي ثانية فقط. تعني هذه السرعة أن قائمة كاملة من الإنذارات، وليس فقط حالات مختارة، يمكن تفسيرها في الوقت الذي يستغرقه طرف العين ليومض، مما يجعل من الممكن للمحللين مراجعة كل تنبيه مع سياقه الكامل. في المقابل، استغرقت الطريقة الأكثر استهلاكاً للحوسبة ما يقرب من 178 مللي ثانية لكل حافة، وهو تأخير من شأنه أن يجعل مراجعة قوائم كبيرة من الإنذارات مستحيلاً في بيئة مباشرة.

كشفت الدراسة أيضاً أن مجرد النظر في اتصالات الشبكة لم يكن كافياً؛ إذ كان على النظام أن يُدرب خصيصاً لفهم الوقت. فعندما حاول الباحثون شرح قرارات النظام باستخدام الاتصالات الهيكلية فقط، فشلت الطريقة في تحديد اللحظة الزمنية الصحيحة، ولم تكن أفضل من التخمين العشوائي. ولم تكن الطريقة دقيقة إلا عندما أضافوا هدفاً تدريبياً محدداً أجبر النظام على تحديد الخطوة الزمنية الحرجة. يسلط هذا الاكتشاف الضوء على أن "متى" لا تقل أهمية عن "ماذا" بالنسبة للأنظمة التي تراقب جدولاً زمنياً، وأن يجب التعامل معهما كمسألتين منفصلتين. كما اكتشف الباحثون وأصلحوا عدة أخطاء خفية في الكود الأصلي للكاشف الذي درسوه، مما ضمن أن قياساتهم استندت إلى أساس مصحح وموثوق. أحد هذه الأخطاء تضمن خلطاً في كيفية معالجة الخطوات الزمنية، وهو ما كان سيجعل أي تفسير لـ "متى" خاطئاً تماماً لو تُرك دون تصحيح.

في النهاية، يوفر هذا العمل مخططاً لجعل أنظمة الذكاء الاصطناء القوية والمعقدة خاضعة للمساءلة. ومن خلال فصل التفسير عن الكشف، أظهر الباحثون أنه من الممكن الحصول على كل من الأداء العالي والمنطق الواضح. لا تقدم الطة الجديدة مجرد شعور غامض بـ "لماذا" تم رفع التنبيه، بل تقدم تبريراً ملموساً وثنائي الطبقات يحدد التفاعلات المحددة واللحظة المحددة التي أطلقت الإنذار. ومع وجود درجة استقرار تشير إلى أن التفسيرات تظل متسقة حتى عندما تتغير بيانات المدخلات قليلاً، ومع تكلفة منخفضة جداً تجعل من الممكن تطبيقها على كل تنبيه في الوقت الفعلي، فإن هذا النهج يحول التفسير من رفاهية جنائية نادرة إلى جزء روتيني من سير عمل الأمن. إنه يسمح للمشغلين البشريين بالثقة في حكم الآلة لأنهم يستطيعون أخيراً رؤية الأدلة وراء القرار، مما يسد الفجوة بين الكشف الآلي والفهم البشري.