Résumé Technique : Détecter par Soi-même (SignGAD)

Énoncé du Problème

La Détection d'Anomalies sur Graphes (GAD) vise à identifier les nœuds anormaux dans des graphes attribués, une tâche critique dans des domaines tels que les réseaux sociaux, le commerce électronique et les systèmes financiers. Cependant, les méthodes existantes font face à deux limitations fondamentales, en particulier dans des scénarios à supervision limitée (scénarios few-shot) :

1. Pipelines Fixes : Les approches actuelles reposent sur des pipelines de détection prédéfinis et rigides, où les stratégies de traitement des graphes et les architectures de détecteurs sont figées avant la prise en compte des conditions spécifiques de la tâche. Ce manque d'adaptabilité entraîne une dégradation des performances lorsque seuls quelques nœuds étiquetés sont disponibles pour corriger un flux de travail inadapté.
2. Faibles Preuves : Les méthodes existantes absorbent souvent des indices graphiques informatifs (signaux contextuels et structurels) dans des représentations latentes plutôt que de les organiser comme des preuves de détection explicites. Par conséquent, les détecteurs peinent à accéder à des preuves fiables et spécifiques à la tâche lorsque les anomalies étiquetées sont rares.

Méthodologie : SignGAD

Les auteurs proposent SignGAD (Self-designing Agentic Workflows for few-shot Graph Anomaly Detection), un cadre novateur qui déplace le paradigme de l'entraînement d'un détecteur d'anomalies fixe vers la conception de flux de travail de détection conditionnés par la tâche. Le cadre fonctionne à travers cinq modules clés :

1. Construction de Flux de Travail Conditionnés par la Tâche :

   • Utilise des agents de Modèles de Langage (LLM) pour transformer les descriptions textuelles de tâches et les statistiques du graphe en un Descripteur de Tâche ($C$) structuré.
   • Ce descripteur guide la planification d'un Espace de Flux de Travail ($\Omega(C)$), déterminant la topologie de graphe appropriée (par exemple, base vs adjacence fusionnée par relation), les fonctions de preuve et les familles de détecteurs. Cela permet au système d'adapter le processus de détection aux structures de graphes spécifiques et aux contextes de domaine.

2. Encodage du Graphe de Preuves :

   • Au lieu de se fier uniquement aux embeddings latents, ce module construit des preuves d'anomalie explicites.
   • Il agrège les informations du contexte du graphe (attributs de nœuds, statistiques des voisinages à 1 et 2 sauts) et les combine avec un vecteur de scores de preuve ($\eta_i$) dérivés de fonctions spécifiques indicatives d'anomalies (par exemple, anomalie de degré, déviation des caractéristiques des voisins, résidu de reconstruction de caractéristiques).
   • L'encodage final ($z^\omega_i$) expose explicitement les déviations au niveau des nœuds et les signaux pertinents pour la tâche au détecteur.

3. Banque de Détecteurs de Flux de Travail :

   • Une collection de détecteurs candidats (Linéaires, Basés sur des Arbres et Méta-détecteurs) est instanciée sur la base de la conception du flux de travail.
   • Pour les graphes multi-relationnels, le système prend en charge des encodages sensibles aux relations, projetant les caractéristiques spécifiques aux relations dans une représentation compacte pour gérer l'hétérogénéité sans dimensionnalité excessive.
   • Cela permet à différentes tâches de bénéficier de biais inductifs différents (par exemple, stabilité linéaire vs capture d'interactions non linéaires) dans des conditions de supervision limitée.

4. Recherche de Flux de Travail de Validation :

   • Les flux de travail candidats sont évalués sur un ensemble de validation pour sélectionner l'optimal.
   • Le critère de sélection ($Q_{val}$) équilibre la qualité du classement (AUC) et la qualité de la classification binaire (F1-Macro) tout en pénalisant la complexité inutile, garantissant que le flux de travail sélectionné est robuste sous une supervision limitée.

5. Raffinement Final Gardé :

   • Après avoir sélectionné le meilleur flux de travail, le composant détecteur est optionnellement affiné en utilisant un sous-ensemble d'étiquettes de validation.
   • Un mécanisme gardé assure que ce raffinement n'est accepté que si le détecteur réentraîné performe strictement mieux (ou égal) que l'original sur un sous-ensemble de calibration retenu, empêchant le surajustement ou la dégradation des performances.

Contributions Clés

• Innovation de Paradigme : SignGAD est la première œuvre à reformuler la GAD de l'entraînement d'un détecteur fixe vers la conception de flux de travail de détection conditionnés par la tâche. Cela permet au processus de détection d'être personnalisé dynamiquement en fonction des descriptions de tâches et des statistiques de graphe.
• Cadre Novateur : Le cadre proposé intègre des agents basés sur des LLM pour la planification de flux de travail, un encodage de preuves explicites, une banque de détecteurs diversifiée et une stratégie de raffinement gardé. Il organise explicitement les signaux d'anomalie contextuels et structurels plutôt que de les dissimuler dans des espaces latents.
• Validation des Performances : Des expériences extensives sur quatre jeux de données réels (Amazon, YelpChi, T-Finance, T-Social) démontrent que SignGAD atteint des performances de pointe dans des scénarios few-shot, surpassant à la fois les GNN génériques et les bases de référence GAD spécialisées.

Résultats Expérimentaux

• Performance Principale : Sur quatre jeux de données avec un ratio d'entraînement de 1 %, SignGAD a obtenu les meilleurs résultats dans 7 cas d'évaluation sur 8 (AUC et F1-Macro). Par exemple, sur le jeu de données Amazon, il a atteint un AUC de 97,41 % et un F1-Macro de 91,17 %, surpassant des bases de référence solides comme TAQ-GAD et SpaceGNN.
• Efficacité : SignGAD réduit considérablement le temps d'entraînement par rapport aux bases de référence lourdes basées sur des GNN. Sur le jeu de données T-Social, il a terminé l'entraînement en ~10 minutes, tandis que les principales bases de référence nécessitaient plus de 250 minutes.
• Études d'Ablation : La suppression de tout composant (planification LLM, preuves explicites, banque de détecteurs, recherche ou raffinement) a dégradé les performances de manière constante. Les modules « Raffinement Final Gardé » et « Encodage de Preuves » ont été identifiés comme particulièrement critiques pour la robustesse.
• Analyse de Sensibilité : Le cadre est robuste aux hyperparamètres, avec des performances optimales observées lors de l'utilisation de 4 fonctions de preuve, 20 flux de travail candidats et un coefficient d'équilibre de validation ($\alpha$) de 0,50.

Signification et Revendications

L'article revendique que SignGAD répond à la rigidité et à la faible utilisation des preuves des méthodes GAD actuelles en introduisant une approche de conception de flux de travail agentique. En traitant la détection d'anomalies comme un problème de construction de flux de travail guidé par des LLM, la méthode peut :

1. Personnaliser les processus de détection pour des tâches de graphe spécifiques, s'adaptant aux structures de graphes variables et aux exigences de domaine.
2. Exploiter explicitement les preuves d'anomalie, rendant la logique de détection plus interprétable et efficace sous une supervision limitée.
3. Atteindre une haute efficacité et robustesse, la rendant pratique pour des applications à grande échelle et réelles où les données étiquetées sont rares et les ressources de calcul contraintes.

Les auteurs soulignent que cette approche vérifie la nécessité d'une personnalisation au niveau du flux de travail par rapport à l'entraînement de détecteurs fixes pour une détection d'anomalies sur graphes few-shot robuste.