Dual Spatial-Temporal Shapley Attribution for Explainable Anomaly Detection in Dynamic Social Graphs

في المشهد الشاسع والمتغير للعالم الرقمي، لا تسكن الشبكات الاجتماعية أبدًا؛ فهي هياكل حية تتشكل فيها الروابط وتتلاشى في كل ثانية، من لحظة إرسال رسالة إلى اللحظة التي يتم فيها نشر تقييم. وفي هذه الشبكات المتطورة من التفاعلات، يختبئ المتربصون غالبًا، صانعين أنماطًا تبدو كأنها سلوك طبيعي ولكنها في الواقع محاولات منسقة للخداع أو الاحتيال أو التعطيل. إن اكتشاف هذه الحالات الشاذة يمثل تحديًا عالي المخاطر للمنصات عبر الإنترنت، والأنظمة المالية، وشبكات الثقة. لسنوات طويلة، تمكنت البرامج الحاسوبية القوية من رصد هذه الأنشطة المشبوهة بدقة عالية، حيث عملت مثل إنذارات شديدة الحساسية تدق عندما يحدث خطأ ما. ومع ذلك، ظلت هناك مشكلة حرجة قائمة: عندما تطلق هذه البرامج جرس الإنذار، فإنها لا تقدم أي تفسير. يمكنها إخبار المشغل البشري أن اتصالًا معينًا مريب، لكنها لا تستطيع توضيح السبب. إنها لا تكشف عن الشخص في الشبكة الذي تسبب في إطلاق التحذير، ولا تشرح ما إذا كان الخلل قد بدأ الآن أم أنه كان يتراكم بمرور الوقت. وبدون هذا السياق، يُترك المسؤولون عن الحفاظ على سلامة هذه المنصات مع درجة تقييم وعلامة استفهام، غير قادرين على اتخاذ قرارات مدروسة بشأن حظر مستخدم أو إجراء المزيد من التحقيقات.

تعالج دراسة جديدة هذه الفجوة من خلال منح هذه الكواشف الصامتة صوتًا. فقد طور الباحثون طريقة تحيط بأنظمة اكتشاف الشذوذ عالية الأداء الموجودة حاليًا لتوليد أسباب واضحة ومفهومة للبشر. يركز العمل على نوع محدد من الكواشف المتقدمة التي تحلل الشبكات الاجتماعية من خلال النظر في كل من الجيران المباشرين للاتصال وتاريخه عبر الزمن. وبينما كان هذا الكاشف ممتازًا بالفعل في العثور على الاتصالات السيئة، إلا أنه لم يكن ينتج سابقًا أي تفسير لخياراته. يغير هذا الإطار الجديد الأمر من خلال تقسيم القرار إلى جزأين متميزين. أولاً، يحدد السبب المكاني: من هم الأشخاص أو العقد (nodes) المحددون في الشبكة الذين كانوا المحركات الأساسية للريبة. ثانيًا، يحدد السبب الزمني: أي لحظات في الماضي حملت أقوى إشارة على وجود خطأ ما. هذا النهج المزدوج يجيب على السؤالين اللذين يحتاج المحللون لمعرفتهما فعليًا: هل كان هذا الشذوذ ناتجًا عن شريك مريب، أم عن نمط مريب في كيفية تفاعله في الماضي؟

ولتحقيق ذلك، قام الباحثون بتكييف مفهوم رياضي معروف باسم "قيم شابلي" (Shapley values)، والذي يُستخدم لتوزيع الفضل أو اللوم بشكل عادل بين مجموعة من المساهمين. في هذا السياق، "المساهمون" هم مختلف قطع المعلومات التي استخدمها الحاسوب لاتخاذ قراره. كان على الفريق توخي الحذر بشأن كيفية اختبار النظام؛ فإذا قاموا ببساطة بإزالة قطعة من المعلومات، فقد يرتبك الحاسوب لأن البيانات المتبقية ستبدو غير طبيعية. بدلاً من ذلك، قاموا باستبدال المعلومات المزالة بمتوسط محايد للبيانات المتبقية، مما ضمن بقاء المنطق الداخلي للحاسوب مستقرًا ونتائجه دقيقة. سمح هذا لهم بقياس مدى مساهمة كل جار محدد أو كل لحظة زمنية محددة في التحذير النهائي. والنتيجة هي خريطة تفصيلية للتأثير لكل اتصال تم رصده، توضح بالضبط العناصر التي دفعت الدرجة لتجاوز الخط.

اختبر الباحثون هذه الطريقة على ثلاث مجموعات بيانات مختلفة لشبكات اجتماعية حقيقية، بما في ذلك منصات المراسلة عبر الإنترنت وشبكات تداول العملات المشفرة حيث تعتبر الثقة أمرًا جوهريًا. قبل هذا العمل، كان من المستحيل قياس مدى قدرة هذه الكواشف على تفسير قراراتها لأنها لم تكن تملك آلية تفسير على الإطلاق. وبعد تطبيق الإطار الجديد، أثبت النظام فعالية عالية؛ فقد نجح في تحديد العوامل الرئيسية وراء الكشف في معظم الحالات، حيث وصلت دقة القياس إلى 0.9562. كما أكد أيضًا أن العوامل القليلة الأولى التي تم تحديدها كانت كافية لإطلاق الإنذار بمفردها، حيث وصلت إلى درجة 0.9658. والأهم من ذلك، أن إضافة طبقة التفسير هذه لم تؤدِ إلى إبطاء الكاشف أو تقليل دقته في العثور على المشكلات الفعلية؛ إذ ظل أداء الكشف كما هو تمامًا. كما تم اختبار النظام على آلاف الاتصالات المحددة، بما في ذلك تلك التي تم تحديدها بشكل صحيح، وتلك التي كانت إنذارات كاذبة، وتلك التي كان من الصعب تصنيفها. وفي كل فئة، قدم الإطار أسبابًا واضحة وقابلة للتنفيذ للقرار.

يتعلق أحد أهم النتائج بكيفية تعامل النظام مع الإنذارات الكاذبة. في عالم الإشراف على وسائل التواصل الاجتماعي، تعد الإنذارات الكاذبة شائعة ومكلفة لأنها تهدر وقت البشر. وقد تفوق الإطار الجديد هنا أيضًا، حيث شرح سبب قيام الكاشف بالتبليغ خطأً عن تفاعل طبيعي كونه مريبًا. ومن خلال تحديد النمط الهيكلي الدقيق الذي تسبب في الارتباك، يسمح النظام للمشغلين البشريين بتوضيح هذه الإنذارات الكاذبة بسرعة دون الحاجة إلى مراجة تاريخ التفاعل يدويًا بالكامل. وتعد هذه القدرة خطوة كبيرة نحو النشر العملي، حيث تحول التنبيه الخام إلى تحقيق موجه. كما كشفت الدراسة عن فارق دقيق ولكنه مهم في كيفية سلوك الحالات الشاذة؛ فبالنسبة لبعض الحالات الصعبة، لم تكن إشارة التحذير مركزة في شخص واحد أو لحظة واحدة، بل كانت منتشرة عبر تاريخ الشبكة بأكملها. وقد تمكن الإطار من اكتشاف هذا النمط الموزع، موضحًا أن الشذوذ كان نتيجة لسياق عام وليس لحدث محدد.

تمتد أهمية هذا العمل إلى ما وراء هذا النوع الوحيد من البرامج الحاسوبية؛ فالنهج مصمم ليكون حلاً "بعدي الاستخدام" (post-hoc)، مما يعني أنه يمكن تطبيقه على الكواشف التي تم تدريبها بالفعل والمستخدمة حاليًا دون الحاجة إلى إعادة تدريبها من الصفر. وهذا يجعله مفيدًا بشكل فوري للمؤسسات التي تعتمد على هذه الأنظمة للأمن والسلامة. ومن خلال توفير طريقة منهجية لفهم "لماذا" وراء "ماذا"، يجسّر هذا البحث الفجوة بين الذكاء الاصطناعي القوي والمساءلة البشرية. إنه يضمن أنه عندما يقوم نظام مؤتمت بوضع علامة على مستخدم أو معاملة، يمكن للمسؤولين فهم المنطق، والتحقق من صحته، واتخاذ الإجراء المناسب. وتؤكد الدراسة أنه من الممكن الجمع بين الكشف عالي الأداء والتفسيرات العميقة القابلة للتفسير، وهو مزيج كان مفقودًا في السابق من أكثر الأدوات تقدمًا المستخدمة لمراقبة الويب الاجتماعي الديناميكي.