Resumen Técnico: SAGE – Un Marco de LLM Multi-Agente para el Diagnóstico Estructurado de Anomalías en Series Temporales

1. Declaración del Problema

La detección de anomalías en series temporales (TSAD) es crítica para aplicaciones en monitoreo industrial, finanzas y seguridad de redes. Si bien los métodos existentes abarcan desde estadística clásica hasta aprendizaje profundo, se centran predominantemente en generar puntuaciones de anomalía en lugar de proporcionar explicaciones estructuradas sobre los tipos de anomalías o la evidencia de decisión. Los expertos humanos suelen diagnosticar anomalías considerando conjuntamente estadísticas, tendencias, estacionalidad y cambios de patrón, sin embargo, los métodos automatizados actuales a menudo fallan al descomponer estas perspectivas.

Los intentos recientes de aprovechar los Modelos de Lenguaje Grandes (LLM) para la TSAD enfrentan limitaciones significativas. Los LLM de propósito general individuales luchan con entradas numéricas largas, operaciones estadísticas precisas (por ejemplo, análisis de puntos de cambio) y el razonamiento simultáneo a través de múltiples perspectivas temporales. Además, los enfoques multi-agente existentes a menudo carecen de una organización explícita en torno a familias de anomalías distintas (punto, estructural, estacional, patrón), y muchos dependen de ejemplos anómalos reales para el aprendizaje en contexto (ICL), lo cual a menudo no está disponible en configuraciones de cero disparos o no supervisadas.

2. Metodología: El Marco SAGE

Los autores proponen SAGE (Grupo de Analizadores Especializados para Detección Similar a la de Expertos), un marco de LLM multi-agente diseñado para el diagnóstico estructurado de anomalías en series temporales univariadas. En lugar de tratar la TSAD como un problema único de puntuación, SAGE descompone el análisis en perspectivas especializadas y agrega la evidencia en una decisión de diagnóstico unificada.

2.1 Arquitectura General

SAGE opera como una tubería jerárquica con cinco etapas:

1. Etapa de Entrada: Recibe una serie temporal univariada.
2. Etapa de Representación: Implementa una Estrategia de Doble Representación. La serie temporal original se preserva para el cálculo numérico preciso mediante herramientas dedicadas, mientras que un resumen comprimido (que contiene estadísticas clave y muestras representativas redondeadas) se utiliza para la generación de prompts de LLM eficiente en tokens. Esto reduce el uso de tokens en aproximadamente un 75% para entradas de 400 puntos sin sacrificar la fidelidad numérica.
3. Etapa de Multi-Analizadores: Cuatro Analizadores especializados operan en paralelo, cada uno dirigido a una familia de anomalías específica:
   • Analizador de Puntos: Detecta anomalías de punto globales y contextuales utilizando detección de valores atípicos (puntuación Z, RCI) y estadísticas rodantes.
   • Analizador Estructural: Identifica cambios de tendencia, media y varianza utilizando descomposición (STL), pruebas de puntos de cambio (CUSUM) y comparaciones de segmentos.
   • Analizador Estacional: Detecta anomalías de amplitud y estacionalidad mediante autocorrelación, análisis espectral (FFT) y representaciones tiempo-frecuencia (Wavelet, STFT).
   • Analizador de Patrones: Identifica cambios de patrón y distorsiones de forma de onda utilizando representaciones simbólicas (SAX) y métodos basados en recurrencia (Gráficos de Recurrencia, GAF, MTF).
     Cada analizador genera salidas cuantitativas específicas de la familia y visualizaciones de diagnóstico.
4. Etapa de Detección: Un Detector Fundado en Evidencia agrega las salidas heterogéneas de los cuatro Analizadores. Produce intervalos de anomalía, tipos candidatos y puntuaciones de confianza. El Detector utiliza un protocolo de puntuación guiado por una rúbrica (escala de 0–100) que prioriza candidatos respaldados por salidas de herramientas sólidas y acuerdo entre analizadores.
5. Etapa de Diagnóstico: Un agente Supervisor convierte los registros de detección estructurados en un informe dirigido al analista, que incluye niveles de alerta, fundamentos de alarma, características de la serie temporal y acciones recomendadas.

2.2 Aprendizaje en Contexto Sintético (ICL)

Una innovación clave es la construcción de referencias de ICL Sintético. En lugar de utilizar segmentos anómalos reales o etiquetas de tipo de anomalía como ejemplos en contexto (que a menudo no están disponibles), SAGE construye una base de datos a partir de segmentos de entrenamiento de referencia normal.

• Se extraen subsecuencias normales representativas mediante agrupamiento k-medoides.
• Se aplican perturbaciones basadas en reglas a estos prototipos normales para generar pares contrastivos sintéticos para nueve tipos específicos de anomalías.
• En la inferencia, el sistema recupera los k prototipos normales más similares utilizando la Distorsión Temporal Dinámica (DTW) y selecciona referencias contrastivas sintéticas basadas en los candidatos de tipo de anomalía propuestos por los Analizadores.
• Este enfoque permite al Detector realizar la puntuación de confianza y la clasificación de tipos sin depender de demostraciones anómalas reales ni de etiquetas del conjunto de prueba.

3. Contribuciones Clave

1. Reformulación de la TSAD: El artículo reformula la detección de anomalías en series temporales como una tarea de diagnóstico estructurado, descomponiendo el análisis por patrones de evidencia para producir intervalos, puntuaciones de confianza, tipos de anomalías y salidas de diagnóstico.
2. Arquitectura Multi-Agente Especializada: SAGE introduce cuatro Analizadores especializados para anomalías de punto, estructural, estacional y de patrón, acoplados con un Detector fundamentado en evidencia que agrega evidencia de herramientas heterogéneas.
3. Estrategia de ICL Sintético: El marco construye ejemplos en contexto sintéticos a partir de segmentos de entrenamiento de referencia normal, evitando la necesidad de segmentos anómalos reales o etiquetas de tipo de anomalía como ejemplos en contexto.
4. Evaluación Exhaustiva: Los autores demuestran un rendimiento de detección mejorado y utilidad de diagnóstico en tres benchmarks, estudios de ablación, evaluaciones de tipos sintéticos y evaluaciones humanas.

4. Resultados Experimentales

Los autores evaluaron SAGE en tres conjuntos de datos de referencia representativos de TSAD: Yahoo S5 (tráfico web), KPI (infraestructura de TI) y WSD (métricas de servicios web).

• Rendimiento: SAGE logró el mejor rendimiento promedio en todas las métricas (F1-Punto, F1-PA, F1-Afiliación, F1-Delayed) en comparación con bases de referencia sólidas de ML/DL (por ejemplo, Bosque de Aislamiento, LSTM-AE, Anomaly Transformer) y métodos recientes basados en LLM/VLM (por ejemplo, LLMAD, TAMA, TSAD-Agents).
  • En promedio, SAGE mejoró el F1-Punto en un 43.8% sobre la mejor base de referencia de aprendizaje profundo (LSTM-VAE) y en un 44.1% sobre la mejor base de referencia de LLM (LLMAD).
  • SAGE mostró ganancias particularmente fuertes en conjuntos de datos operativos (KPI y WSD), lo que indica la efectividad de descomponer el análisis en generación de evidencia especializada.
• Análisis a Nivel de Tipo: Utilizando un conjunto de evaluación sintético con inyecciones controladas de anomalías, SAGE demostró un alto acuerdo de tipo para cambios estructurales (93%) y un alto recuerdo de detección para anomalías de patrón (97%). Aunque el recuerdo de detección estacional fue menor (54%), el marco proporcionó pistas de diagnóstico útiles.
• Estudios de Ablación: Eliminar la augmentación de herramientas o la especialización de multi-analizadores degradó significativamente el rendimiento en el diverso conjunto de datos Yahoo, confirmando que las ganancias se impulsan por herramientas cuantitativas y análisis especializado, y no solo por la generación de prompts de LLM. En conjuntos de datos operativos, la evidencia visual y el ICL sintético jugaron roles más importantes.
• Evaluación Humana: En una evaluación ciega por 10 expertos técnicamente experimentados, SAGE ocupó el primer lugar en los cuatro criterios: Precisión, Validez, Claridad y Utilidad. Fue elogiado particularmente por proporcionar diagnósticos coherentes e interpretables con recomendaciones accionables, superando a bases de referencia como LLMAD y TSAD-Agents.

5. Significado y Afirmaciones

El artículo afirma que la generación de evidencia estructurada es una dirección prometedora para hacer que la detección de anomalías en series temporales basada en LLM sea más controlable e interpretable. Al separar las perspectivas de diagnóstico en análisis especializados e integrar su evidencia, SAGE aborda las limitaciones de la inferencia de modelo único y la descomposición multi-agente gruesa.

Los autores enfatizan que SAGE cambia el paradigma de la inferencia directa de anomalías hacia el diagnóstico estructurado, proporcionando no solo "dónde" está una anomalía, sino "qué" es y "por qué" fue detectada. El uso de ICL sintético derivado de datos normales reduce la dependencia de ejemplos anómalos reales escasos o no disponibles, haciendo que el marco sea más aplicable a escenarios de cero disparos.

Limitaciones y Trabajo Futuro:
Los autores reconocen que el marco actual se limita a series temporales univariadas e incurre en altos costos computacionales debido a múltiples llamadas a LLM por ventana. Además, las perturbaciones sintéticas basadas en reglas pueden no cubrir todos los modos de fallo del mundo real, particularmente anomalías sutiles específicas del sistema. Se propone trabajo futuro para explorar el filtrado adaptativo, extender el marco a series temporales multivariadas y mejorar la localización fina. Los autores enmarcan a SAGE como una herramienta de apoyo a la decisión para analistas humanos en lugar de un sistema de control autónomo, señalando la necesidad de validación de dominio y supervisión humana en aplicaciones críticas para la seguridad.