Dual Spatial-Temporal Shapley Attribution for Explainable Anomaly Detection in Dynamic Social Graphs

In het uitgestrekte, verschuivende landschap van de digitale wereld zijn sociale netwerken nooit werkelijk stil. Het zijn levende structuren waar verbindingen elke seconde worden gevormd en opgelost, van het moment dat een bericht wordt verzonden tot het moment dat een beoordeling wordt geplaatst. In deze evoluerende webben van interactie verbergen kwaadwillenden zich vaak, door patronen te creëren die lijken op normaal gedrag, maar die in werkelijkheid gecoördineerde pogingen zijn om te misleiden, te bedriegen of te verstoren. Het detecteren van deze anomalieën is een uitdaging met hoge inzet voor online platforms, financiële systemen en vertrouwensnetwerken. Jarenlang hebben krachtige computerprogramma's deze verdachte activiteiten met grote nauwkeurigheid kunnen opsporen, als hooggevoelige alarmen die afgaan wanneer er iets mis is. Echter, een cruciaal probleem is blijven bestaan: wanneer deze programma's het alarm doen afgaan, bieden ze geen enkele uitleg. Ze kunnen een menselijke operator vertellen dat een specifieke verbinding verdacht is, maar ze kunnen niet zeggen waarom. Ze onthullen niet welke persoon in het netwerk de waarschuwing heeft getriggerd, noch leggen ze uit of de problemen nu zijn ontstaan of dat ze zich in de loop van de tijd hebben opgebouwd. Zonder deze context blijven de mensen die verantwoordelijk zijn voor het veilig houden van deze platforms achter met een score en een vraagteken, onmachtig om geïnformeerde beslissingen te nemen over het blokkeren van een gebruiker of het verder onderzoeken van een zaak.

Een nieuwe studie pakt dit gat aan door deze stille detectoren een stem te geven. Onderzoekers hebben een methode ontwikkeld die rond bestaande, hoogpresterende anomaliedetectiesystemen werkt om duidelijke, voor mensen leesbare redenen voor hun beslissingen te genereren. Het werk richt zich op een specifiek type geavanceerde detector die sociale netwerken analyseert door zowel naar de directe buren van een verbinding als naar de geschiedenis ervan over de tijd te kijken. Hoewel deze detector al uitstekend was in het vinden van slechte verbindingen, produceerde hij voorheen geen enkele uitleg voor zijn keuzes. Het nieuwe framework verandert dit door de beslissing op te splitsen in twee duidelijke delen. Ten eerste identificeert het de ruimtelijke oorzaak: welke specifieke personen of knooppunten (nodes) in het netwerk de primaire drijfveren van de verdenking waren. Ten tweede identificeert het de temporele oorzaak: welke momenten in het verleden de sterkste signalen bevatten dat er iets mis was. Deze tweeledige aanpak beantwoordt de twee vragen die analisten daadwerkelijk moeten weten: werd deze anomalie veroorzaakt door een verdachte partner, of door een verdacht patroon in hoe zij in het verleden met elkaar hebben geïnteracteerd?

Om dit te bereiken, hebben de onderzoekers een wiskundig concept aangepast dat bekend staat als Shapley-waarden, die worden gebruikt om eerlijk krediet of schuld te verdelen onder een groep bijdragers. In deze context zijn de "bijdragers" de diverse stukjes informatie die de computer gebruikte om zijn beslissing te nemen. Het team moest voorzichtig zijn bij het testen van het systeem. Als ze simpelweg een stukje informatie zouden verwijderen, zou de computer in de war kunnen raken omdat de resterende gegevens onnatuurlijk zouden ogen. In plaats daarvan vervingen ze de verwijderde informatie door een neutraal gemiddelde van de resterende gegevens, waardoor de interne logica van de computer stabiel bleef en de resultaten accuraat waren. Dit stelde hen in staat om exact te meten hoeveel elke specifieke buur of elk specifiek moment in de tijd bijdroeg aan de uiteindelijke waarschuwing. Het resultaat is een gedetailleerde kaart van invloed voor elke gemarkeerde verbinding, die precies laat zien welke elementen de score over de streep hebben geduwd.

De onderzoekers testten deze methode op drie verschillende real-world sociale netwerkdatasets, waaronder online berichtplatforms en cryptovaluta-handelnetwerken waar vertrouwen essentieel is. Voor dit werk was het onmogelijk om te meten hoe goed deze detectoren zichzelf konden uitleggen, omdat ze helemaal geen uitlegmechanisme hadden. Na het toepassen van het nieuwe framework bleek het systeem zeer effectief. Het identificeerde succesvol de belangrijkste factoren achter de detectie in bijna alle gevallen, met een nauwkeurigheidsmeting die 0,9562 bereikte. Het bevestigde ook dat de belangrijkste factoren die werden geïdentificeerd voldoende waren om het alarm op zichzelf te triggeren, waarbij een score van 0,9658 werd bereikt. Cruciaal was dat het toevoegen van deze laag van uitleg de detector niet vertraagde of minder accuraat maakte in het vinden van de werkelijke problemen; de detectieprestaties bleven exact hetzelfde. Het systeem werd ook getest op duizenden specifieke verbindingen, inclusing van die die correct werden geïdentificeerd, die foutieve meldingen waren en die moeilijk te classificeren waren. In elke categorie bood het framework duidelijke, actiegerichte redenen voor de beslissing.

Een van de meest significante bevindingen betreft de manier waarop het systeem omgaat met valse alarmen. In de echte wereld van sociale media-moderatie komen valse alarmen vaak voor en zijn ze kostbaar omdat ze menselijke tijd verspillen. Het nieuwe framework blonk hier ook in uit, door uit te leggen waarom de detector een normale interactie onterecht als verdacht had gemarkeerd. Door het exacte structurele patroon aan te wijzen dat de verwarring veroorzaakte, stelt het systeem menselijke operators in staat om deze valse alarmen snel te klaren zonder dat zij de volledige geschiedenis van de interactie handmatig hoeven te beoordelen. Deze capaciteit is een grote stap voorwaarts voor praktische implementatie, aangezien het een ruw alarm omzet in een geleide investigatie. De studie onthulde ook een subtiele maar belangrijke nuance in hoe anomalieën zich gedragen. Voor sommige moeilijke gevallen was het waarschuwingssignaal niet geconcentreerd in één persoon of één moment, maar was het verspreid over de gehele netwerkhistorie. Het framework was in staat deze gedistribueerde patronen te detecteren, waarbij het liet zien dat de anomalie het resultaat was van een algemene context in plaats van een specifiek evenement.

De betekenis van dit werk reikt verder dan alleen één type computerprogramma. De aanpak is ontworpen als een post-hoc oplossing, wat betekent dat het kan worden toegepast op detectoren die al getraind zijn en in gebruik zijn, zonder dat ze vanaf nul opnieuw getraind hoeven te worden. Dit maakt het onmiddellijk bruikbaar voor organisaties die op deze systemen vertrouwen voor veiligheid en beveiliging. Door een principiële manier te bieden om het "waarom" achter het "wat" te begrijpen, overbrugt het onderzoek de kloof tussen krachtige kunstmatige intelligentie en menselijke verantwoording. Het zorgt ervoor dat wanneer een geautomatiseerd systeem een gebruiker of een transactie markeert, de mensen in charge de redenering kunnen begrijpen, de logica kunnen verifiëren en passende actie kunnen ondernemen. De studie bevestigt dat het mogelijk is om zowel hoogwaardige detectie als diepe, interpreteerbare uitleg te hebben, een combinatie die voorheen ontbrak bij de meest geavanceerde instrumenten die worden gebruikt om het dynamische sociale web te monitoren.