💻 computer science

Dual Spatial-Temporal Shapley Attribution for Explainable Anomaly Detection in Dynamic Social Graphs

이 논문은 동적 사회 그래프를 위한 고성능 TADDY 이상 탐지기의 성능을 저하시키지 않으면서도 높은 충실도(fidelity)와 충분성(sufficiency) 지표를 달로성하기 위해, 영향력 있는 이웃과 과거 스냅샷을 식별하는 이중 공간 및 시간 샤플리 기여도(Shapley attributions)를 생성함으로써 이를 강화하는 사후 설명 가능성 프레임워크를 소개한다.

원저자: Iyad Assaad NEKKA, Hamida seba, Walid Khaled Hidouci, Karima Amrouche

게시일 2026-08-25

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Iyad Assaad NEKKA, Hamida seba, Walid Khaled Hidouci, Karima Amrouche

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

디지털 세계의 광대하고 변화무쌍한 풍경 속에서, 소셜 네트워크는 결코 정지해 있지 않습니다. 메시지가 전송되는 순간부터 평점이 게시되는 순간까지, 연결은 매 초마다 형성되고 해체되는 살아있는 구조물입니다. 이러한 진화하는 상호작용의 망 속에서, 악의적인 행위자들은 종종 정상적인 행동처럼 보이는 패턴을 만들어내며 숨어들며, 이는 사실 기만, 사기 또는 교란을 위한 조직적인 시도입니다. 이러한 이상 징후를 탐지하는 것은 온라인 플랫폼, 금융 시스템 및 신뢰 네트워크에 있어 매우 중요한 도전 과제입니다. 수년 동안 강력한 컴퓨터 프로그램들은 이러한 의심스러운 활동을 매우 높은 정확도로 포착하며, 무언가 잘못되었을 때 울리는 매우 민-감한 경보 장치처럼 역할을 해왔습니다. 그러나 한 가지 결정적인 문제가 남아 있었습니다. 바로 이 프로그램들이 경보를 울릴 때 아무런 설명도 제공하지 못한다는 점입니다. 이 프로그램들은 특정 연결이 의심스럽다는 것은 알려줄 수 있지만, 그 이유를 말해주지는 못합니다. 네트워크 내의 어떤 사람이 경보를 유발했는지, 혹은 이 문제가 지금 발생한 것인지 아니면 시간이 흐르며 축적되어 온 것인지 설명하지 못합니다. 이러한 맥락 없이는, 플랫폼의 안전을 책임지는 사람들은 점수와 물음표만을 가진 채, 사용자를 차단할지 아니면 더 조사할지에 대한 정보에 기반한 결정을 내리지 못하게 됩니다.

새로운 연구는 이러한 침묵하는 탐지기에 목소리를 부여함으로써 이 간극을 해결합니다. 연구진은 기존의 고성능 이상 탐지 시스템을 감싸서 그 결정에 대한 명확하고 인간이 읽을 수 있는 이유를 생성하는 방법을 개발했습니다. 이 작업은 연결의 즉각적인 이웃과 시간 경과에 따른 이력을 모두 분석하여 소셜 네트워크를 분석하는 특정 유형의 고급 탐지기에 초점을 맞춥니다. 이 탐지기는 이미 나쁜 연결을 찾아내는 데 탁-월했지만, 이전에는 선택에 대한 설명을 전혀 생성하지 못했습니다. 새로운 프레임워크는 결정을 두 가지 뚜렷한 부분으로 나눔으로써 이를 변화시킵니다. 첫째, 공간적 원인을 식별합니다. 즉, 네트워크 내의 어떤 구체적인 사람이나 노드가 의심의 주요 동인이었는지를 밝혀냅니다. 둘째, 시간적 원인을 식별합니다. 즉, 과거의 어느 순간이 무언가 잘못되었다는 가장 강력한 신호를 가졌는지를 밝혀냅니다. 이 이중 접근 방식은 분석가들이 실제로 알고 싶어 하는 두 가지 질문, 즉 이 이상 징후가 의심스러운 파트너 때문인지, 아니면 그들이 과거에 상호작용해 온 방식에서의 의심스러운 패턴 때문인지를 답변해 줍니다.

이를 달성하기 위해 연구진은 그룹 내 기여자들 사이에서 공정하게 공로나 책임을 배분하는 데 사용되는 수학적 개념인 샤플리 값(Shapley values)을 응용했습니다. 이 문맥에서 "기여자"는 컴퓨터가 결정을 내리는 데 사용한 다양한 정보 조각들입니다. 연구팀은 시스템을 테스트하는 데 매우 주의를 기울여야 했습니다. 단순히 정보의 한 조각을 제거하기만 하면, 남은 데이터가 부자연스럽게 보여 컴퓨터가 혼란을 겪을 수 있기 때문입니다. 대신, 그들은 제거된 정보를 남은 데이터의 중립적인 평균값으로 대체하여 컴퓨터의 내부 논리가 안정적으로 유지되고 결과가 정확하도록 보장했습니다. 이를 통해 각 특정 이웃이나 각 특정 순간이 최종 경보에 정확히 얼마나 기여했는지 측정할 수 있었습니다. 그 결과는 모든 플래그가 지정된 연결에 대한 상세한 영향력 지도이며, 어떤 요소들이 점수를 경계선 너머로 밀어 올렸는지를 정확히 보여줍니다.

연구진은 이 방법을 온라인 메시징 플랫폼과 신뢰가 필수적인 암호화폐 거래 네트워크를 포함한 세 가지 실제 소셜 네트워크 데이터셋에서 테스트했습니다. 이 연구 이전에는 이 탐지기들이 스스로를 설명할 수 있는 메커즘 자체가 없었기 때문에 그 성능을 측정하는 것이 불가능했습니다. 새로운 프레임워크를 적용한 후, 시스템은 매우 효과적임이 입증되었습니다. 시스템은 거의 모든 경우에서 탐지 뒤에 숨겨진 핵심 요인을 성공적으로 식별해 냈으며, 정확도는 0.9562에 도달했습니다. 또한 상위 몇 개의 요인만으로도 충분히 경보를 유발할 수 있음을 확인했으며, 이 점수는 0.9658에 달했습니다. 결정적으로, 이 설명 레이어를 추가하는 것이 탐지기의 속도를 늦추거나 실제 문제를 찾는 정확도를 떨어뜨리지 않았으며, 탐지 성능은 동일하게 유지되었습니다. 시스템은 또한 올바르게 식별된 연결, 오탐(false alarms), 그리고 분류하기 어려운 사례를 포함한 수천 개의 특정 연결에 대해 테스트되었습니다. 모든 범주에서 프레임워크는 결정에 대한 명확하고 실행 가능한 이유를 제공했습니다.

가장 중요한 발견 중 하나는 시스템이 오탐을 처리하는 방식과 관련이 있습니다. 소셜 미디어 중재의 현실 세계에서 오탐은 흔하며, 인간의 시간을 낭비하기 때문에 비용이 많이 듭니다. 새로운 프레임워크는 여기서도 탁월한 성능을 발휘하여, 왜 탐지기가 정상적인 상호작용을 의심스러운 것으로 잘못 표시했는지 설명했습니다. 혼란을 야기한 정확한 구조적 패턴을 지목함으로써, 이 시스템은 운영자가 상호작용의 전체 이력을 수동으로 검토할 필요 없이 오탐을 빠르게 해소할 수 있도록 합니다. 이러한 능력은 단순한 경고를 가이드된 조사로 전환한다는 점에서 실질적인 배포를 위한 큰 진전입니다. 또한 연구는 이상 징후가 어떻게 행동하는지에 대한 미묘하지만 중요한 뉘앙스를 밝혀냈습니다. 까다로운 사례들의 경우, 경고 신호가 단일 인물이나 단일 순간에 집중된 것이 아니라 전체 네트워크 이력에 걸쳐 분산되어 있었습니다. 프레임키는 이러한 분산된 패턴을 감지하여, 해당 이상 징후가 특정 사건이 아닌 일반적인 맥락의 결과임을 보여주었습니다.

이 작업의 중요성은 단 하나의 컴퓨터 프로그램에 국한되지 않습니다. 이 접근 방식은 사후(post-hoc) 솔루션으로 설계되었는데, 이는 처음부터 다시 학습시킬 필요 없이 이미 훈련되어 사용 중인 탐지기에 적용될 수 있음을 의미합니다. 이는 안전과 보안에 의존하는 조직들에게 즉각적인 유용성을 제공합니다. "무엇"에 대한 "왜"를 이해하는 원칙적인 방법을 제공함으로써, 이 연구는 강력한 인공지능과 인간의 책임 사이의 간극을 메웁니다. 이는 자동화된 시스템이 사용자나 거래를 플래그 지정할 때, 관리자들이 그 논리를 이해하고, 검증하며, 적절한 조치를 취할 수 있도록 보장합니다. 이 연구는 고성능 탐지와 깊이 있는 해석 가능성, 즉 역동적인 소셜 웹을 모니터링하는 데 사용되는 가장 진보된 도구들에서 이전에 결여되었던 조합을 갖추는 것이 가능하다는 것을 확인시켜 줍니다.

기술 요약: 동적 소셜 그래프의 설명 가능한 이상 탐지를 위한 이중 공간-시간 샤플리 기여도 산출 (Dual Spatial-Temporal Shapley Attribution for Explainable Anomaly Detection in Dynamic Social Graphs)

문제 정의
동적 소셜 그래프에서의 이상 탐지는 온라인 신뢰 커뮤니티, 사기 분석, 조직적 비정상 행위 탐지와 같은 고위험 도메인에서 매우 중요합니다. TADDY(Transformer-based Anomaly Detection for Dynamic Graphs)와 같은 최첨단 탐지기들은 공간적 및 시간적 의존성을 모델링하여 강력한 성능을 달-성하지만, 블랙박스로 작동합니다. 에지가 이상치로 분류될 때, 이러한 모델들은 결정에 대한 근거 없이 점수만을 제공합니다. 운영 환경(예: 트러스트 앤 세이프티 팀 또는 규제 준수 팀)에서, 왜 특정 에지가 플래그를 받았는지—구체적으로 어떤 이웃 노드나 과거 타임스텝이 결정을 유도했는지—설명할 수 없는 능력은 배포의 장벽을 만듭니다. 본 연구 이전에는 TADDY가 기여도 벡터를 생성하지 못했으므로, 표준적인 설명 가능성 지표(충실도(Fidelity), 충분성(Sufficiency), 포괄성(Comprehensiveness))를 정의할 수 없었습니다.

방법론
저자들은 학습된 고정(frozen) TDDY 모델의 가중치나 추론 파이프라인을 수정하지 않고 이를 감싸는 사후(post-hoc) 설명 가능성 프레임워크를 제안합니다. 이 프레임워크는 플래그가 지정된 모든 에지에 대해 두 가지 상호 보완적인 기여도 벡터를 생성합니다:

공간적 기여도(Spatial Attribution): 어떤 이웃 노드가 이상치에 기여했는지 식별합니다.
시간적 기여도(Temporal Attribution): 어떤 과거 스냅샷이 가장 강한 신호를 전달했는지 식별합니다.

핵-심 기술적 접근 방식은 윈도우 기반 토큰 시퀀스를 사용하는 TADDY의 특정 아키텍처에 맞춰 GraphSVX(그래프 신경망을 위한 Shapley 값 기반 설명기)를 변형하는 것입니다. 주요 방법론적 혁신은 다음과 같습니다:

그래프 인지 임베딩 공간 섭동(Graph-Aware Embedding-Space Perturbation): TADDY의 경우 인덱스 0이 중립적인 토큰이 아닌 가장 순위가 높은 이웃을 나타내기 때문에, 인덱스 공간에서의 표준적인 토큰 마스킹은 유효하지 않습니다. 대신, 본 프레임워크는 제외된 토큰을 활성 코알리션(active coalition)의 평균 임베딩으로 대체합니다. 이는 섭동된 시퀀스가 활성 토큰 임베딩의 볼록 껍질(convex hull) 내에 머물게 하여, Transformer 모델 내에서 분포 내(in-distribution) 상태를 유지하도록 보장합니다.
이중 분해(Dual Decomposition): 프레임워크는 두 개의 직교하는 축을 따라 Shapley 값을 집계합니다. 토큰 행렬 $H \in \mathbb{R}^{D \times d}$ 에 대해, 샤플리 계수 $\hat{\beta}$ 를 노드 정체성에 따라 합산하여 $\phi_{spatial}$ 을 생성하고, 타임스텝에 따라 합산하여 $\phi_{temporal}$ 을 생성합니다.
대리 모델 피팅(Surrogate Fitting): Shapley 효율성을 강제하기 위해 전체 코알리션과 빈 코알리션에 고정(anchoring)된 "더 스마트한" 코알리션 샘플러가 사용됩니다. Shapley 값을 근사하기 위해 가중 최소 제곱(Weighted Least Squares, WLS) Ridge 회귀 대리 모델이 피팅됩니다.

주요 기여

TADDY를 위한 최초의 사후 프레임워크: 이는 TADDY 스타일의 동적 그래프 이상 탐지기에 설명 가능성을 도입한 최초의 방법으로, 정의되지 않았던 지표들을 측정 가능한 양으로 변환했습니다.
이중 공간-시간 기여도: 단일 스칼라 방식이 토큰당 하나의 중요도 점수를 제공하는 것과 달리, 이 프레임워크는 이상치가 의심스러운 상대방(공간)에 의한 것인지, 아니면 의심스러운 상호작용 이력(시간)에 의한 것인지 동시에 답합니다.
강건한 섭동 전략: 토큰 기반 아키텍처에서 표준적인 인덱스 공간 마스킹과 관련된 병리적 아티팩트를 방지하는 임베딩 공간 섭동 전략을 도입했습니다.
포괄적 평가: 참 양성(true positives), 거짓 양성(false positives), 저신뢰 탐지(low-confidence detections)에 걸친 2,471개의 에지를 대상으로 확장된 평가를 수행하여 다양한 에지 범주에 대한 강건성을 입증했습니다.

실험 결과
본 프레임워크는 세 가지 동적 소셜 그래프 벤치마크(UCI-Message, Bitcoin-Alpha, Bitcoin-OTC)에서 평가되었습니다.

제로 성능 비용: 설명 가능성 레이어는 모든 데이터셋에서 $\Delta AUC = 0.0000$ 을 기록하며 탐지 성능을 정확히 보존합니다.
지표 도입: 본 연구 이전에는 TADDY에 대해 충실도, 충분성, 포괄성이 정의되지 않았습니다. 프레임워크 적용 후:
- **충실도(Fidelity)**는 (모든 참 양성에 대해 평균하여) 0.9562에 도달했습니다.
- **충분성(Sufficiency)**은 0.9658에 도달했습니다.
- **포괄성(Comprehensiveness)**은 모든 데이터셋에서 양수임이 확인되었습니다.
거짓 양성 설명 가능성: 프레임에서도 높은 충실도(0.836–0.996)를 달성하여, 분석가가 어떤 구조적 패턴이 오경보를 트리거했는지 식별할 수 있게 했습니다.
경계선 탐지: 저신뢰 참 양성(예: Bitcoin-Alpha의 -0.3995)에서 음의 포괄성을 관찰하였으며, 이는 신호가 소수의 토큰에 집중되지 않고 많은 토큰에 분산되어 있는 독특한 "맥락적 이상(contextual anomaly)" 패턴을 드러냈습니다.

의의 및 주장
본 논문은 주요 기여가 단순히 충실도 점수의 점진적인 향상이 아니라, 기존에 설명 가능성이 존재하지 않았던 모델 클래스에 설명 가능성을 도입한 것이라고 주장합니다. 저자들은 스칼라 기여도 방식(그래디언트, 어텐션 가중치)이 Shapley 관점에서의 인과적 기여를 측정하는 데 실패하며, 실무자들이 필요로 하는 구체적인 운영 질문—"이 이상치는 의심스러운 상대방에 의한 것인가, 아니면 의심스러운 이력에 의한 것인가?"—에 답할 수 없다고 주장합니다.

이 프레임워크는 토큰 기반 표현을 사용하는 모든 동적 그래프 탐지기에 적용 가능한 원칙적이고 사후적인 템플릿으로 제시됩니다. 이는 현재 딥러닝 이상 탐지기의 규제 및 고위험 사회 네트워크 환경 배포를 저해하는 "설명 가능성 격차"를 해결합니다. 저자들은 이중 기여도 벡터를 제공함으로써, 전수 수동 검토 없이도 오경보를 필터링할 수 있는 실행 가능한 통찰력을 제공하여 알람 분류(triaging)를 지원한다고 강조합니다.

유사한 논문