Dual Spatial-Temporal Shapley Attribution for Explainable Anomaly Detection in Dynamic Social Graphs

Nel vasto e mutevole panorama del mondo digitale, le reti sociali non sono mai veramente immobili. Sono strutture viventi dove le connessioni si formano e si dissolvono ogni secondo, dal momento in cui viene inviato un messaggio all'istante in cui viene pubblicata una valutazione. In queste reti di interazione in continua evoluzione, i malintenzionati spesso si nascondono, creando schemi che sembrano comportamenti normali ma che sono in realtà tentativi coordinati di ingannare, frodare o interrompere. Rilevare queste anomalie è una sfida ad alta posta in gioco per le piattaforme online, i sistemi finanziari e le reti di fiducia. Per anni, potenti programmi informatici sono stati in grado di individuare queste attività sospette con grande precisione, agendo come allarmi altamente sensibili che suonano quando qualcosa non va. Tuttavia, un problema critico è rimasto irrisolto: quando questi programmi suonano l'allarme, non offrono alcuna spiegazione. Possono dire a un operatore umano che una specifica connessione è sospetta, ma non possono dire il perché. Non rivelano quale persona nella rete ha innescato l'avviso, né spiegano se il problema sia iniziato proprio ora o se si sia sviluppato nel tempo. Senza questo contesto, le persone responsabili della protezione di queste piattaforme si ritrovano con un punteggio e un punto interrogativo, incapaci di prendere decisioni informate sul fatto di bloccare un utente o indagare ulteriormente.

Un nuovo studio affronta questa lacuna dando voce a questi rilevatori silenziosi. I ricercatori hanno sviluppato un metodo che si avvolge attorno agli esistenti, ad alte prestazioni, sistemi di rilevamento delle anomalie per generare ragioni chiare e leggibili dall'uomo per le loro decisioni. Il lavoro si concentra su un tipo specifico di rilevatore avanzato che analizza le reti sociali osservando sia i vicini immediati di una connessione sia la sua storia nel tempo. Sebbene questo rilevatore fosse già eccellente nel trovare connessioni sospette, in precedenza non produceva alcuna spiegazione per le sue scelte. Il nuovo framework cambia questo approccio scomponendo la decisione in due parti distinte. Primo, identifica la causa spaziale: quali persone o nodi specifici nella rete sono stati i principali motori del sospetto. Secondo, identifica la causa temporale: quali momenti nel passato hanno trasportato il segnale più forte che qualcosa non andasse bene. Questo approccio duale risponde alle due domande che gli analisti hanno realmente bisogno di conoscere: l'anomalia è stata causata da un partner sospetto, o da un modello sospetto nel modo in cui hanno interagito in passato?

Per raggiungere questo obiettivo, i ricercatori hanno adattato un concetto matematico noto come valori di Shapley, utilizzato per distribuire equamente il merito o la colpa tra un gruppo di contributori. In questo contesto, i "contributori" sono i vari pezzi di informazione che il computer ha usato per prendere la sua decisione. Il team ha dovuto prestare molta attenzione a come testare il sistema. Se avessero semplicemente rimosso un pezzo di informazione, il computer avrebbe potuto confondersi perché i dati rimanenti sarebbero sembrati innaturali. Inveve, hanno sostituito l'informazione rimossa con una media neutra dei dati rimanenti, assicurando che la logica interna del computer rimanesse stabile e i risultati accurati. Ciò ha permesso loro di misurare esattamente quanto ogni specifico vicino o ogni specifico momento nel tempo abbia contribuito all'avviso finale. Il risultato è una mappa dettagliata dell'influenza per ogni connessione segnalata, mostrando esattamente quali elementi hanno spinto il punteggio oltre la soglia.

I ricercatori hanno testato questo metodo su tre diversi dataset di reti sociali reali, inclusi i sistemi di messaggistica online e le reti di trading di criptovalute dove la fiducia è essenziale. Prima di questo lavoro, era impossibile misurare quanto bene questi rilevatori potessero spiegarsi perché non avevano affatto un meccanismo di spiegazione. Dopo aver applicato il nuovo framework, il sistema si è dimostrato altamente efficace. È riuscito a identificare i fattori chiave dietro il rilevamento in quasi tutti i casi, con una misura di accuratezza che ha raggiunto lo 0,9562. Ha inoltre confermato che i primi pochi fattori identificati erano sufficienti a far scattare l'allarme da soli, raggiungendo un punteggio di 0,9658. Fondamentalmente, l'aggiunta di questo livello di spiegazione non ha rallentato il rilevatore né lo ha reso meno accurato nel trovare i problemi reali; le prestazioni di rilevamento sono rimaste esattamente le stesse. Il sistema è stato anche testato su migliaia di connessioni specifiche, incluse quelle correttamente identificate, quelle che erano falsi allarmi e quelle difficili da classificare. In ogni categoria, il framework ha fornito ragioni chiare e azionabili per la decisione.

Uno dei risultati più significativi riguarda il modo in cui il sistema gestisce i falsi allarmi. Nel mondo reale della moderazione dei social media, i falsi allarmi sono comuni e costosi perché sprecano il tempo umano. Il nuovo framework ha eccelso anche in questo, spiegando perché il rilevatore ha erroneamente segnalato un'interazione normale come sospetta. Individuando il pattern strutturale esatto che ha causato la confusione, il sistema permette agli operatori umani di chiarire rapidamente questi falsi allarmi senza dover revisionare manualmente l'intera storia dell'interazione. Questa capacità è un grande passo avanti per l'implementazione pratica, poiché trasforma un avviso grezzo in un'indagine guidata. Lo studio ha anche rivelato una sfumatura sottile ma importante nel comportamento delle anomalie. Per alcuni casi difficili, il segnale di avviso non era concentrato in una singola persona o in un singolo momento, ma era distribuito attraverso l'intera cronologia della rete. Il framework è stato in grado di rilevare questo pattern distribuito, mostrando che l'anomalia era il risultato di un contesto generale piuttosto che di un evento specifico.

La portata di questo lavoro si estende oltre un solo tipo di programma informatico. L'approccio è progettato come una soluzione post-hoc, il che significa che può essere applicato a rilevatori che sono già addestrati e in uso senza la necessità di essere riaddestrati da zero. Ciò lo rende immediatamente utile per le organizzazioni che si affidano a questi sistemi per la sicurezza e la protezione. Fornendo un modo rigoroso per comprendere il "perché" dietro il "cosa", la ricerca colma il divario tra l'intelligenza artificiale potente e la responsabilità umana. Assicura che quando un sistema automatizzato segnala un utente o una transazione, le persone al comando possano comprenderne il ragionamento, verificare la logica e intraprendere l'azione appropriata. Lo studio conferma che è possibile avere sia un rilevamento ad alte prestazioni che spiegazioni profonde e interpretabili, una combinazione che era precedentemente mancante negli strumenti più avanzati utilizzati per monitorare la dinamica rete sociale.