🤖 machine learning

Unsupervised Anomaly Detection of Information Operations Users via Behavioral and Language Patterns

Este artículo presenta TENSOR, un nuevo marco de trabajo no supervisado que detecta usuarios de operaciones de información mediante el modelado de sus comportamientos temporales coordinados a través de Procesos de Puntos Temporales y el refinamiento de estas señales con puntuaciones cuantitativas derivadas del análisis de su contenido textual mediante Modelos de Lenguaje de Gran Escala, superando así a los métodos existentes en conjuntos de datos del mundo real.

Autores originales: Sishun Liu, Sajal Halder, Ke Deng, Yan Wang, Xiuzhen Zhang

Publicado 2026-07-08

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Sishun Liu, Sajal Halder, Ke Deng, Yan Wang, Xiuzhen Zhang

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el internet como una plaza de pueblo enorme y bulliciosa donde millones de personas charlan, comparten noticias y discuten sobre política. Normalmente, la mayoría de la gente son personas comunes (llamémoslas "Usuarios de Control") que viven sus vidas. Pero a veces, un pequeño y secreto grupo de actores (llamados usuarios de "Operación de Información" o "IO") entra en la plaza. No están allí para charlar; están allí para manipular la conversación, difundir mentiras y sembrar problemas, a menudo trabajando juntos como un coro bien ensayado.

El problema es que estos manipuladores son muy buenos ocultándose. Intentan parecer personas normales, pero tienen un ritmo secreto y una forma específica de hablar que los delata.

Las viejas formas de encontrarlos (Y por qué fallaron)

Previamente, los detectives intentaban atrapar a estos manipuladores de dos maneras:

El método de "Buscar la Lista" (Aprendizaje Supervisado): Entrenaban computadoras usando una lista de conocidos actores malvados. Pero tan pronto como los malos actores cambiaban sus tácticas (lo cual hacen muy rápido), la computadora se confundía y no podía detectar los nuevos trucos.
El método de "Se mueven Juntos" (Agrupamiento No Supervisado): Asumían que los malos actores siempre actuaban en perfecta unión, como una banda de marcha. Si dos personas publicaban exactamente lo mismo en el mismo instante, eran señaladas. Pero en la realidad, los malos actores son más inteligentes que eso; no siempre marchan al unísono, por lo que este método perdía a muchos de ellos.

La Nueva Solución: TENSOR

Los autores de este artículo construyeron una nueva herramienta de detección llamada TENSOR. Piensa en TENSOR como un sistema de seguridad de dos partes que observa dos cosas simultáneamente: cuándo la gente publica y qué es lo que dice.

Parte 1: El Observador del Ritmo (Proceso de Punto Temporal)

Imagina a un guardia de seguridad vigilando la plaza del pueblo que está obsesionado con el tiempo de los movimientos de la gente.

Las personas normales publican en momentos aleatorios: tal vez en la mañana, tal vez en el almuerzo, tal vez tarde en la noche. Su ritmo es desordenado y natural.
Los malos actores suelen tener un ritmo extraño y coordinado. Pueden publicar demasiado rápido, o todos pueden publicar exactamente en el mismo segundo porque están siguiendo un guion.

TENSOR utiliza una herramienta matemática (llamada Proceso de Punto Temporal) para aprender el "latido" de la plaza. Aprende cómo se ve un ritmo normal. Cuando ve un ritmo que es demasiado perfecto o demasiado extraño, lanza una alarma.

El problema: El guardia de seguridad tiene un problema. Los datos de entrenamiento (la lista de personas que el guardia estudió) están "contaminados". Es como intentar enseñarle a un guardia qué es lo "normal", pero la clase incluye a algunos malos actores que están fingiendo ser normales. El guardia podría accidentalmente aprender el ritmo extraño de los malos actores como si fuera "normal".

Parte 2: El Detective del Lenguaje (El LLM)

Para solucionar el error del guardia, TENSOR trae a un segundo experto: un Modelo de Lenguaje Extenso (LLM). Piensa en esto como un crítico literario superinteligente que ha leído millones de libros y sabe la diferencia entre una voz humana genuina y un guion robótico.

El LLM lee las palabras reales que la gente publica. No solo mira el tiempo; mira el estilo.

¿Esta persona habla de su gato, de su trabajo y de política? (Probablemente un Usuario de Control).
¿Esta persona solo habla de un tema político específico, usando frases extrañas y repetitivas, e ignora todo lo demás? (Probablemente un Usuario de IO).

Uniendo las piezas: La "Función de Evidencia"

Esta es la salsa mágica. TENSOR no solo deja que los dos expertos voten; utiliza una fórmula especial (llamada Función de Evidencia) para combinar sus opiniones.

El Observador del Ritmo dice: "El tiempo de esta persona es sospechoso".
El Detective del Lenguaje dice: "Las palabras de esta persona suenan a un guion".
La Función de Evidencia toma la opinión del Detective del Lenguaje y la usa para corregir al Observador del Ritmo.

Si el Observador del Ritmo estaba confundido porque aprendió de actores malvados en los datos de entrenamiento, el Detective del Lenguaje interviene y dice: "Espera, mira las palabras. Este es definitivamente un mal actor, incluso si el tiempo parecía un poco normal". Esto permite que TENSOR detecte a los malos actores incluso cuando los datos de entrenamiento estaban "sucios".

Lo que encontraron

Los investigadores probaron TENSOR con datos del mundo real de cinco países diferentes (Egipto, China, Irán, Rusia y los Emiratos Árabes Unidos). Compararon TENSOR contra otros métodos y encontraron:

TENSOR fue el mejor: Detectó más malos actores y cometió menos errores que los métodos antiguos.
Ambas partes son necesarias: Si eliminaban al "Detective del Lenguaje" (el LLM) o al "Observador del Ritmo" (el análisis de tiempo), el sistema empeoraba mucho. Necesita tanto el cuándo como el qué para funcionar.
Funciona con diferentes cerebros: Probaron TENSOR con diferentes modelos de IA (como diferentes tipos de "Detectives del Lenguaje") y funcionó bien con casi todos ellos.

La Conclusión

TENSOR es una nueva forma de encontrar manipuladores en internet sin necesidad de una lista preestablecida de quiénes son. Funciona al notar que los malos actores tienen un "baile" extraño (tiempo) y una "voz" falsa (lenguaje). Al usar una IA para revisar la voz y corregir el análisis del baile, puede detectar a los manipuladores incluso cuando intentan mezclarse con la multitud.

Resumen Técnico: TENSOR para la Detección No Supervisada de Usuarios de IO

Definición del Problema

El artículo aborda el desafío de detectar usuarios de Operaciones de Información (IO) en Redes Sociales (SN). Las IO son intentos organizados de manipular la opinión pública mediante la desinformación y el discurso de odio, a menudo iniciados por grupos pequeños de usuarios coordinados. La dificultad principal reside en la capacidad de generalización de los métodos de detección existentes:

Los enfoques supervisados y semi-supervisados dependen de conjuntos de datos etiquetados que se quedan atrás ante la naturaleza rápidamente evolutiva de las campañas de IO, lo que los hace ineficaces contra las IO no vistas.
Los enfoques no supervisados existentes a menudo dependen de suposiciones simplistas de coordinación (por ejemplo, agrupamiento basado en similitud) que pueden no cumplirse en la práctica o fallar al capturar dinámicas temporales complejas.
Contaminación de Datos: Un problema crítico es que los datos de entrenamiento para la detección de anomalías suelen estar "contaminados", lo que significa que el conjunto de datos destinado a representar a los usuarios "normales" (control) contiene inevitablemente una pequeña fracción de usuarios de IO. Entrenar modelos con tales datos puede llevar a que el modelo trate las anomalías como normales, degradando el rendimiento.

Los autores formulan la detección de usuarios de IO como un problema de detección de anomalías no supervisado, con el objetivo de identificar usuarios de IO (etiquetados como 0) frente a usuarios de control (etiquetados como 1) utilizando únicamente sus líneas de tiempo de publicaciones, que consisten en marcas de tiempo ( $t$ ) y contenido ( $c$ ).

Metodología: TENSOR

La solución propuesta es Temporal-bEhavior-laNguage Signals for information Operation Recognition (TENSOR). Es un marco multimodal y no supervisado que combina patrones de comportamiento (temporales) y patrones de lenguaje (textuales) para detectar anomalías. La arquitectura consta de dos componentes principales integrados mediante un marco de ajuste:

1. Proceso de Punto Temporal (TPP) para Patrones de Comportamiento

Función: El TPP modela la línea de tiempo de publicación del usuario como un proceso estocástico. Captura la función de intensidad condicional $\lambda^*(t)$ , que representa la probabilidad de que ocurra un evento en el tiempo $t$ dada la historia.
Entrenamiento: Un modelo TPP (específicamente el Proceso de Hawkes Autoatento, SAHP) se entrena en el conjunto de datos contaminado $T$ (que contiene tanto usuarios de control como de IO).
Mecanismo: Los usuarios de IO suelen exhibir comportas coordinadas (por ejemplo, publicar en intervalos específicos o inundar contenido) que difieren de los usuarios orgánicos. El TPP calcula una puntuación basada en el log-verosimilitud negativa de las marcas de tiempo observadas: $f(x_i) = \exp(-\frac{1}{M_i} \log p(t_i))$ .
Limitación: Debido a que los datos de entrenamiento están contaminados, el modelo TPP puede aprender los patrones de IO como parte de la distribución "normal", reduciendo su capacidad para distinguir anomalías.

2. Modelo de Lenguaje de Gran Escala (LLM) para Patrones de Lenguaje

Función: Se utiliza un LLM para analizar el contenido textual de las publicaciones del usuario ( $c_i$ ) junto con la línea de tiempo para generar una puntuación de "evidencia".
Prompting: El LLM es instruido mediante un zero-shot system instruction para actuar como un analista de redes sociales, distinguiendo entre "cuentas de IO" (coordinadas, patrocinadas por estados) y "cuentas de Control" (orgánicas).
Función de Evidencia: La salida de texto bruto del LLM se convierte en una puntuación cuantitativa $T(t_i, c_i)$ utilizando una estrategia de mapeo de similitud semántica. La salida se compara contra textos de referencia ("Cuenta de IO" frente a "Cuenta de Control") para generar una distribución de probabilidad. Para asegurar la robustez contra la no determinación del LLM, se extraen $N$ muestras y se promedian para producir $\bar{T}_N(t_i, c_i)$ .

3. Ajuste Post-Hoc Basado en Evidencia (EPHAD)

Para abordar el problema de la contaminación del conjunto de entrenamiento, TENSOR integra los componentes TPP y LLM utilizando el Marco de Ajuste Post-Hoc Basado en Evidencia para la Detección de Anomalías (EPHAD).

En lugar de reentrenar el TPP, el marco ajusta la salida del TPP en el momento de la prueba utilizando la evidencia derivada del LLM.
La puntuación de decisión final se calcula inclinando exponencialmente la puntuación del TPP con la evidencia del LLM:
$\hat{f}(x) = f(x) \exp(\bar{T}_N(t_i, c_i) / \beta)$
donde $\beta$ es un parámetro de temperatura.
Esto permite que el sistema aproveche la comprensión del LLM sobre los patrones de lenguaje para corregir los sesgos introducidos por los datos de entrenamiento contaminados en el TPP.

Principales Contribuciones

Formulación Novedosa: El artículo enmarca la detección de usuarios de IO como un problema de detección de anomalías no supervisado, alejándose de las limitaciones de los métodos supervisados que requieren datos etiquetados rezagados.
Integración Multimodal: TENSOR es el primer enfoque que aprovecha conjuntamente los patrones de comportamiento temporal (vía TPP) y los patrones de lenguaje (vía LLM) para la detección de IO no supervisada.
Mitigación de la Contaminación de Datos: El artículo introduce una aplicación novedosa del marco EPHAD al dominio específico de la detección de IO. Mitiga eficazmente la degradación del rendimiento causada por el entrenamiento en conjuntos de datos contaminados (donde los usuarios de IO están presentes en el conjunto de entrenamiento) mediante el uso de una función de evidencia basada en LLM para ajustar la inferencia del TPP.
Capacidad Zero-Shot: El método no requiere datos de IO etiquetados para el entrenamiento del componente LLM, basándose en su lugar en el zero-shot prompting y la similitud semántica.

Resultados Experimentales

Los autores evaluaron TENSOR en cinco conjuntos de datos de IO del mundo real (Egypt, China_1, Iran_1, Russia_1, UAE) que cubren 26 IOs etiquetadas en 15 países. Los conjuntos de datos están altamente desbalanceados (pocos usuarios de IO, muchos usuarios de control).

Rendimiento: TENSOR superó a tres líneas base —User Embedding Clustering, Behavioral Languages for Online Characterization (BLOC), y un detector puro basado en LLM zero-shot— en la mayoría de las métricas (Precisión, Recall, F1, AUC y AUPRC).
Estudios de Ablación:
- Eliminar la función de evidencia del LLM redujo significativamente el rendimiento, confirmando la necesidad de los patrones de lenguaje.
- Eliminar el TPP (usando solo LLM) resultó en un rendimiento pobre, confirmando que las dinámicas temporales son cruciales.
- Usar una función de evidencia aleatoria funcionó peor que el TPP estándar, demostrando que el LLM proporciona una señal genuina.
Análisis de Sensibilidad:
- Elección del LLM: TENSOR se mantuvo estable y efectivo a través de diferentes LLMs (incluyendo modelos de razonamiento como gpt-oss-120B y modelos no de razonamiento como llama3.3-70B), aunque los modelos de razonamiento más grandes generalmente arrojaron resultados ligeramente mejores.
- Temperatura ( $\beta$ ): El rendimiento fue sensible al parámetro de temperatura $\beta$ . Aunque el $\beta=0.5$ por defecto fue efectivo, los autores notaron que los valores óptimos varían según el conjunto de datos (a menudo alrededor de 0.3), lo que sugiere potencial para la optimización no supervisada futura de este hiperparámetro.

Significancia y Reivindicaciones

El artículo afirma que TENSOR ofrece una alternativa resiliente a los modelos supervisados tradicionales al desplazar el enfoque hacia la fricción inherente entre las campañas de IO coordinadas y los comportamientos de los usuarios orgánicos. Su principal significancia radica en:

Superar la Brecha de Generalización: Al ser no supervisado, puede detectar nuevas IO no vistas sin requerir el reentrenamiento con nuevos conjuntos de datos etiquetados.
Resolver el Problema de la Contaminación: Proporciona un mecanismo práctico para entrenar detectores de anomalías en datos del mundo real (que están inevitablemente contaminados) sin que el modelo aprenda las anomalías como normales.
Practicidad: El enfoque es "libre de entrenamiento" respecto al LLM (usando pesos congelados) y depende de un único paso de entrenamiento del TPP, lo que lo hace adaptable a diversas arquitecturas existentes de TPP y LLM.

Los autores concluyen que, si bien la optimización no supervisada del parámetro de temperatura $\beta$ sigue siendo una dirección futura, TENSOR establece actualmente un nuevo estado del arte para la detección de usuarios de IO no supervisada en escenarios del mundo real e imbalanced.