Résumé Technique : Apprentissage d'un Détecteur d'Anomalies Discriminant et Généralisable pour les Graphes Dynamiques avec une Supervision Limitée (SDGAD)

1. Définition du Problème

La détection d'anomalies dans les graphes dynamiques (DGAD) est cruciale pour des applications telles que la détection de fraudes financières, les interactions sociales anormales et l'identification de cyberattaques. Cependant, les méthodes existantes sont confrontées à deux défis majeurs dans des scénarios réels :

1. Rareté des anomalies étiquetées : Les anomalies sont extrêmement rares par rapport aux instances normales, ce qui rend l'apprentissage supervisé difficile.
2. Limitations des paradigmes actuels :
   • Méthodes non supervisées : Bien qu'elles évitent le besoin d'étiquettes, elles produisent souvent des frontières de décision ambiguës où les scores d'anomalie s'effondrent dans une plage étroite de faibles valeurs avec un chevauchement significatif entre les échantillons normaux et anormaux. Cela rend la sélection du seuil instable et peu fiable.
   • Méthodes semi-supervisées : Elles exploitent des anomalies étiquetées limitées mais souffrent souvent d'un surapprentissage (overfitting) sur les motifs spécifiques de ces quelques étiquettes disponibles. Par conséquent, elles généralisent mal aux types d'anomalies inédits dans des scénarios en milieu ouvert (open-set).

Le document traite de la lacune consistant à apprendre une frontière de décision discriminante et généralisable à partir de données normales/non étiquetées tout en utilisant efficacement les anomalies étiquetées limitées sans sacrifier la généralisation aux anomalies non vues.

2. Méthodologie : Cadre de travail SDGAD

Les auteurs proposent SDGAD, un cadre agnostique au modèle conçu pour s'intégrer aux encodeurs de graphes dynamiques en temps continu (CTDG) existants. Le cadre se compose de trois composantes centrales :

A. Encodage de Représentation Résiduelle

Les encodeurs CTDG standards agrègent les interactions historiques avec l'événement actuel, ce qui entraîne souvent des plongements (embeddings) dominés par le contexte à long terme. Cela affaiblit la distinction entre l'interaction actuelle et son histoire récente, ce qui est crucial pour détecter les anomalies rares.

• Mécanisme : SDGAD calcule la représentation résiduelle ($\Delta E$) en soustrayant l'embedding du nœud sans l'événement actuel de l'embedding avec l'événement actuel.
• Objectif : Cela préserve explicitement le changement incrémental introduit par l'interaction actuelle. Les comportements normaux présentent une continuité locale (petits résidus), tandis que les anomalies rompent cette continuité (grands résidus), fournissant un signal plus discriminant.

B. Perte de Restriction de Représentation

Différents motifs d'anomalies induisent des résidus à des échelles très différentes, entravant l'apprentissage d'une frontière unifiée. Les auteurs introduisent une perte de restriction pour contraindre les représentations normales dans une région géométrique spécifique.

• Géométrie : Au lieu d'une hypersphère unique centrée sur l'origine (qui peut souffrir du "phénomène de la bulle de savon" où la masse se concentre sur la frontière), la méthode contraint les résidus normaux dans un intervalle délimité par deux hypersphères co-centrées (rayon intérieur $r_{min}$ et rayon extérieur $r_{max}$).
• Fonction de Perte :
  • Échantillons Normaux : Pénalisés s'ils tombent en dehors de l'intervalle $[r_{min}, r_{max}]$, les attirant vers une région compacte avec des échelles cohérentes.
  • Échantillons Anormaux : Pénalisés s'ils tombent à l'intérieur de l'hypersphère extérieure (spécifiquement, à l'intérieur d'une marge $\Delta r$ au-delà de $r_{max}$), les poussant en dehors de la région normale.
• Adaptation : Contra\à les méthodes précédentes à bi-hypersphères qui supposent des données i.i.d., cette approche est conçue pour la nature non-i.i.d. des graphes dynamiques et est optimisée de manière de bout en bout.

C. Optimisation de Bi-Frontière

Pour construire une frontière de décision explicite et robuste, le cadre utilise un Normalizing Flow comme estimateur de densité pour modéliser la distribution de log-vraisemblance des échantillons normaux.

• Défi : Dans les espaces de haute dimension, les flux de normalisation peuvent assigner des vraisemblances élevées à des entrées hors distribution, menant à des frontières ambiguës.
• Stratégie : Les auteurs proposent une stratégie d'optimisation de bi-frontière. Au lieu d'un seuil unique, ils définissent une frontière normale ($B_n$) et une frontière anomale ($B_a = B_n - \tau$), créant une zone tampon (marge $\tau$).
• Objectif : La fonction de perte ($L_{BO}$) utilise une fonction softplus pour imposer que les échantillons normaux se situent au-dessus de $B_n$ et les échantillons anormaux en dessous de $B_a$. Cela crée une marge claire, réduisant l'ambiguïté de la frontière et améliorant la robustesse face à la sélection du seuil.

Objectif d'entraînement global : La perte totale combine la perte de vraisemblance maximale du flux de normalisation ($L_{ML}$), la perte de restriction de représentation ($L_{RR}$) et la perte d'optimisation de bi-frontière ($L_{BO}$).

3. Contributions Clés

1. Cadre SDGAD : Un cadre généralisable et agnostique au modèle qui fonctionne efficacement sous des configurations non supervisées et de supervision limitée.
2. Composantes Nouvelles :
   • Un mécanisme d'encodage de représentation résiduelle pour capturer les écarts pertinents pour les anomalies.
   • Une perte de restriction de représentation utilisant des hypersphères co-centrées pour normaliser les échelles et améliorer la séparabilité.
   • Une stratégie d'optimisation de bi-frontière utilisant des flux de normalisation pour apprendre des frontières de décision explicites et robustes.
3. Évaluation Complète : Expérimentations approfondies sur six jeux de données (incluant des anomalies réelles et synthétiques) à travers trois configurations : non supervisée, supervision limitée et few-shot.

4. Résultats Expérimentaux
Le cadre a été évalué face à 15 modèles de référence (baselines), incluant des méthodes à temps discret (DTDG) et à temps continu (CTDG).

• Performance : SDGAD a systématiquement surpassé toutes les baselines sur divers jeux de données (Wikipedia, Reddit, MOOC, Enron, UCI, LastFM) et métriques d'évaluation (AUROC, AP, F1).
• Robustesse :
  • Dans la configuration entièrement non supervisée (S3), SDGAD a obtenu des performances comparables à la configuration de supervision limitée (S1), démontrant sa capacité à apprendre des frontières discriminantes sans étiquettes.
  • Dans les configurations few-shot (S2), le cadre est resté efficace même avec seulement 1 à 3 anomalies étiquetées, là où les baselines semi-supervisées montraient un entraînement instable et une variance élevée.
• Études d'Ablation : Le retrait de l'une des trois composantes centrales (encodage résiduel, restriction de représentation ou optimisation de bi-frontière) entraînait une dégradation des performances, particulièrement pour les scores F1 et la séparabilité des scores.
• Visualisation : Les distributions de scores de SDGAD montraient une séparation claire entre les échantillons normaux et anormaux, tandis que les baselines produisaient souvent des scores effondrés proches de zéro, rendant la sélection du seuil difficile.

5. Signification et Revendications
L'article affirme que SDGAD répond à une limitation fondamentale de la DGAD : le compromis entre l'utilisation d'une supervision limitée et le maintien de la généralisation aux anomalies non vues. En apprenant explicitement une frontière discriminante via l'encodage résiduel et l'optimisation de bi-frontière, la méthode offre :

• Règles de Décision Stables : Contrairement aux méthodes non supervisées aux frontières ambiguës, SDGAD propose des scores bien calibrés adaptés aux applications à enjeux élevés nécessitant des coupures fixes ou échelonnées.
• Généralisation : Elle évite le surapprentissage des motifs spécifiques des anomalies rares, performant ainsi de manière robuste dans des scénarios en milieu ouvert.
• Agnosticisme du Modèle : Le cadre peut être intégré de manière transparente à divers encodeurs CTDG existants (ex: TCL, CAWN, DyGFormer), améliorant leurs capacités de détection d'anomalies sans nécessiter une refonte complète de l'architecture sous-jacente.

Les auteurs notent que si les anomalies synthétiques dans certains jeux de données (comme LastFM) peuvent être facilement détectables grâce à des indices structurels simples, la robustesse du cadre à travers diverses configurations et sa capacité à gérer des anomalies réelles soulignent son utilité pratique. Des travaux futurs sont suggérés pour affiner les protocoles d'anomalies synthétiques et étendre le problème à la typologie des anomalies.