기술 요약: 제한된 감독 하의 동적 그래프를 위한 판별적 및 일반화 가능한 이상 탐지 학습 (SDGAD)

1. 문제 정의

동적 그래프 이상 탐지(DGAD)는 금융 사기 탐지, 비정상적 사회적 상호작용, 사이버 공격 식별과 같은 응용 분야에서 매우 중요합니다. 그러나 기존 방법론들은 실제 시나리오에서 두 가지 주요 과제에 직면해 있습니다:

1. 레이블링된 이상치의 희소성: 이상치는 정상 사례에 비해 극도로 드물기 때문에 지도 학습(supervised learning)을 수행하기 어렵습니다.
2. 현재 패러다임의 한계:
   • 비지도 학습 방법(Unsupervised Methods): 레이블이 필요하지 않다는 장점이 있지만, 종종 모호한 결정 경계를 생성하여 이상 점수가 좁고 낮은 값의 범위로 붕괴되거나 정상 샘플과 이상 샘플 간의 중첩이 심하게 발생합니다. 이는 임계값(threshold) 선택을 불안정하고 신뢰할 수 없게 만듭니다.
   • 준지도 학습 방법(Semi-supervised Methods): 제한된 레이블링된 이상치를 활용하지만, 대개 소수의 가용 레이블에 존재하는 특정 패턴에 과적합(overfit)되는 경향이 있습니다. 결과적으로 오픈 세트(open-set) 시나리오에서 보지 못한 새로운 유형의 이상치에 대한 일반화 성능이 떨어집니다.

본 논문은 정상/미레이블 데이터로부터 판별적이고 일반화 가능한 결정 경계를 학습하는 동시에, 새로운 유형의 이상치에 대한 일반화 능력을 저해하지 않으면서 제한된 레이블링된 이상치를 효과적으로 활용하는 격차를 해결하고자 합니다.

2. 방법론: SDGAD 프레임워크

저자들은 기존의 연속 시간 동적 그래프(CTDG) 인코더와 통합할 수 있도록 설계된 모델 불가지론적(model-agnostic) 프레임워크인 SDGAD를 제안합니다. 이 프레임워크는 세 가지 핵심 구성 요소로 이루어져 있습니다.

A. 잔차 표현 인코딩 (Residual Representation Encoding)

표준 CTDG 인코더는 현재 이벤트와 과거의 상호작용을 함께 집계하는데, 이는 종종 임베딩이 장기적인 문맥에 의해 지배되는 결과를 초래합니다. 이는 희귀한 이상치를 탐지하는 데 필수적인 '현재의 상호작용'과 '최근의 이력' 사이의 구분을 약화시킵니다.

• 메커니즘: SDGAD는 현재 이벤트가 포함되지 않은 노드 임베딩에서 현재 이벤트가 포함된 임베딩을 빼줌으로써 잔차 표현($\Delta E$)을 계산합니다.
• 목표: 이를 통해 현재 상호작용에 의해 도입된 증분적 변화를 명시적으로 보존합니다. 정상적인 행동은 국소적 연속성(작은 잔차)을 보이는 반면, 이상치는 이러한 연속성을 깨뜨리므로(큰 잔차), 더 판별적인 신호를 제공합니다.

B. 표현 제한 손실 (Representation Restriction Loss)

서로 다른 이상 패턴은 매우 다양한 스케일의 잔차를 유도하며, 이는 통일된 경계를 학습하는 것을 방해합니다. 저자들은 정상 표현을 특정 기하학적 영역 내로 제한하기 위해 제한 손실(restriction loss)을 도입합니다.

• 기하학적 구조: 질량이 경계에 집중되는 "비누방울 현상(soap-bubble phenomenon)"을 겪을 수 있는 단일 원점 중심 초구체(hypersphere) 대신, 이 방법은 정상 잔차를 두 개의 동심 초구체(내부 반지름 $r_{min}$ 및 외부 반지름 $r_{max}$) 사이에 의해 경계가 지어지는 구간 내로 제한합니다.
• 손실 함수:
  • 정상 샘플: 이들이 $[r_{min}, r_{max}]$ 구간 밖에 위치할 경우 페널티를 부여하여, 일관된 스케일을 가진 조밀한 영역으로 끌어들입니다.
  • 이상 샘플: 이들이 외부 초구체 내부(구체적으로 $r_{max}$를 넘어선 마진 $\Delta r$ 이내)에 위치할 경우 페널티를 부여하여, 정상 영역 밖으로 밀어냅니다.
• 적응성: i.i.d. 데이터를 가정하는 기존의 이중 초구체 방식과 달리, 이 접근 방식은 비 i.i.d. 특성을 가진 동적 그래프를 위해 설계되었으며 엔드 투 엔드(end-to-end) 방식으로 최적화됩니다.

C. 이중 경계 최적화 (Bi-Boundary Optimization)

명시적이고 견고한 결정 경계를 구축하기 위해, 프레임워크는 정상 샘플의 로그 가능도(log-likelihood) 분포를 모델링하는 밀도 추정기로서 **정규화 흐름(Normalizing Flow)**을 사용합니다.

• 과제: 고차원 공간에서 정규화 흐름은 분포 외(out-of-distribution) 입력에 대해서도 높은 가능도를 할당할 수 있어 경계가 모호해질 수 있습니다.
• 전략: 저자들은 이중 경계 최적화 전략을 제안합니다. 단일 임계값 대신, 정상 경계($B_n$)와 이상 경계($B_a = B_n - \tau$)를 정의하여 완충 구역(마진 $\tau$)을 생성합니다.
• 목표: 손실 함수($L_{BO}$)는 softplus 함수를 사용하여 정상 샘플은 $B_n$ 위에 있고 이상 샘플은 $B_a$ 아래에 있도록 강제합니다. 이는 명확한 마진을 생성하여 경계의 모호성을 줄이고 임계값 선택에 대한 견고성을 높입니다.

전체 학습 목표: 전체 손실은 정규화 흐름의 최대 가능도 손실($L_{ML}$), 표현 제한 손실($L_{RR}$), 그리고 이중 경계 최적화 손실($L_{BO}$)을 결합합니다.

3. 주요 기여

1. SDGAD 프레임워크: 비지도 학습 및 제한된 감독 설정 모두에서 효과적으로 작동하는 일반화 가능하고 모델 불가지론적인 프레임워크를 제공합니다.
2. 새로운 구성 요소:
   • 이상 관련 편차를 포착하기 위한 잔차 표현 인코딩 메커니즘.
   • 스케일을 정규화하고 분리성을 개선하기 위해 동심 초구체를 사용하는 표현 제한 손실.
   • 명시적이고 견고한 결정 경계를 학습하기 위해 정규화 흐름을 사용하는 이중 경계 최적화 전략.
3. 포괄적인 평가: 세 가지 설정(비지도, 제한된 감독, 퓨샷)에 걸쳐 6개의 데이터셋(실제 데이터 및 합성 이상치 포함)에 대해 광범위한 실험을 수행했습니다.

4. 실험 결과

프레임워크는 이산 시간(DTDG) 및 연속 시간(CTDG) 방법을 포함한 15개의 베이스라인과 비교 평가되었습니다.

• 성능: SDGAD는 다양한 데이터셋(Wikipedia, Reddit, MOOC, Enron, UCI, LastFM)과 평가 지표(AUROC, AP, F1) 전반에서 일관되게 모든 베이스라인을 능가했습니다.
• 견고성:
  • **완전 비지도 설정(S3)**에서 SDGAD는 제한된 감독 설정(S1)과 대등한 성능을 달성하여, 레이블 없이도 판별적인 경계를 학습할 수 있음을 입증했습니다.
  • **퓨샷(few-shot) 설정(S2)**에서, 준지도 학습 베이스라인들이 불안정한 학습과 높은 분산을 보이는 반면, 본 프레임워크는 단 1~3개의 레이블링된 이상치만으로도 효과적으로 작동했습니다.
• 절제 연구(Ablation Studies): 세 가지 핵심 구성 요소(잔차 인코딩, 제한 손실, 이중 경계 최적화) 중 하나라도 제거하면 성능 저하가 발생했으며, 특히 F1 점수와 점수 분리성에서 두드러졌습니다.
• 시각화: SDGAD의 점수 분포는 정상 샘플과 이상 샘플 간의 명확한 분리를 보여준 반면, 베이스라인들은 종종 0 근처로 점수가 붕괴되어 임계값 선택을 어렵게 만들었습니다.

5. 의의 및 주장

본 논문은 SDGAD가 DGAD의 근본적인 한계인 '제한된 감독 활용'과 '보지 못한 이상치에 대한 일반화 유지' 사이의 트레이드오프를 해결한다고 주장합니다. 잔차 인코딩과 이중 경계 최적화를 통해 명시적으로 판별적 경계를 학습함으로써, 이 방법은 다음을 제공합니다:

• 안정적인 결정 규칙: 모호한 경계를 가진 비지도 학습 방법과 달리, SDGAD는 고정된 또는 계층적 컷오프가 필요한 고위험 애플리케이션에 적합한 잘 보정된 점수를 제공합니다.
• 일반화: 희소한 레이블링된 이상치의 특정 패턴에 과적합되는 것을 방지하여, 오픈 세트 시나리오에서도 견고하게 작동합니다.
• 모델 불가지론: 이 프레임워크는 다양한 기존 CTDG 인코더(예: TCL, CAWN, DyGFormer)와 원활하게 통합될 수 있으며, 하부 아키텍처의 완전한 재설계 없이도 이들의 이상 탐지 능력을 향상시킬 수 있습니다.

저자들은 일부 데이터셋(LastFM 등)의 합성 이상치가 단순한 구조적 단서 덕분에 탐지하기 쉬울 수 있으나, 다양한 설정에서의 프레임워크의 견고함과 다양한 실제 이상치를 처리하는 능력이 실질적인 유용성을 강조한다고 언급했습니다. 향후 연구로는 합성 이상치 프로토콜의 정교화와 이상 유형화(anomaly typing)로의 확장이 제안되었습니다.