Exact Deviation Attribution and Amortised Event Explanation for Semi-Supervised Anomaly Detection on Dynamic Graphs

In de digitale wereld zijn netwerken geen statische kaarten, maar levende, ademende stromen van activiteit. Elk verzonden bericht, elke transactie en elke gevormde verbinding vindt plaats in realtime, wat een dynamische graaf creëert die voortdurend verschuift en evolueert. Decennialang hebben informaticus systemen gebouwd om deze netwerken te bewaken, op zoek naar de zeldzame, gevaarlijke momenten waarop er iets misgaat—een fraudeur die een verdachte overboeking maakt, een hacker die een server probeert binnen te dringen, of een bot die desinformatie verspreidt. Deze systemen, bekend als anomaliedetectoren, zijn uitstekend in het opsporen van het ongewone. Ze kunnen een score berekenen die zegt: "Dit ziet er fout uit," met een hoge nauwkeurigheid. Maar voor een lange tijd konden ze niet zeggen waarom. Ze boden een waarschuwing zonder reden, waardoor menselijke operatoren moesten gissen naar wat de alarmslag had getriggerd. In sectoren met hoge inzet, zoals de financiële wereld of cybersecurity, is een waarschuwing zonder uitleg vaak nutteloos; je moet weten welke eerdere actie de melding veroorzaakte om te beslissen of je een gebruiker blokkeert of een vals alarm negeert.

De uitdaging is bijzonder moeilijk wanneer het netwerk continu is. In tegen tegenstelling tot een foto die een enkel moment vastlegt, is een dynamische graaf een videostroom van gebeurtenissen. Traditionele methoden hakken deze stroom vaak in snapshots, waardoor de nuance van hoe interacties zich in de loop van de tijd ontvouwen, verloren gaat. Een nieuw type detector, genaamd SAD, werd ontworpen om deze continue stroom aan te kunnen. Het werkt door een geheugen bij te houden van hoe "normaal" eruitziet, en dit geheugen aan te passen naarmate de tijd verstrijkt om rekening te houden met seizoensgebonden veranderingen of feestdagen. Wanneer er een nieuwe gebeurtenis plaatsvindt, vergelijkt het systeem deze met dit levende geheugen. Als de gebeurtenis te ver afwijkt van de norm, slaat het systeem een alarm. Echter, zelfs dit geavanceerde systeem had een blinde vlek: het kon je vertellen dat een knooppunt een uitschieter was, maar het kon de score niet uitsplitsen om je te laten zien welke specifieke eerdere interacties de afwijking hadden veroorzaakt, noch kon het je vertellen of de melding kwam doordat het gedrag van het knooppunt zelf vreemd was, of dat het gedrag van de gehele populatie simpelweg was verschoven.

Een team van onderzoekers heeft deze kloof nu opgevuld met een nieuw framework genaamd X-SAD. Ze hebben geen nieuwe detector gebouwd; in plaats daarvan hebben ze een manier gebouwd om in de bestaande detector te kijken en de redenering ervan te begrijpen. Hun werk onthult dat het besluitvormingsproces van het systeem kan worden opgesplitst in twee afzonderlijke delen. Het eerste deel identificeert de specifieke gebeurtenissen in het verleden die tot de melding leidden. Stel je een beveiligingsbeambte voor die niet alleen een alarm doet afgaan, maar ook precies naar de drie mensen in de menigte wijst wiens bewegingen het alarm triggerden. De onderzoekers creëerden een methode die leert om deze kritieke eerdere interacties te markeren, waardoor effectief een masker wordt gemaakt dat laat zien welke verbindingen het belangrijkst waren. Cruciaal is dat zij dit bereikten zonder het systeem te vertragen of het vermogen om dreigingen te detecteren te veranderen. De detector blijft even nauwkeurig als voorheen, maar komt nu met een duidelijke, directe uitleg van de logica.

De tweede ontdekking van hen is nog diepgaander, omdat deze niet vertrouwt op leren of gissen. Omdat de SAD-detector werkt door een knooppunt te vergelijken met een specifiek berekend gemiddelde van het gedrag uit het verleden, ontdekten de onderzoekers dat ze de melding wiskundig konden splitsen in twee componenten: het eigen gedrag van het knooppunt en het gedrag van de groep waartoe het behoort. Dit is als weten of een student faalt omdat hij niet studeert, of omdat de hele klas plotseling veel moeilijker is geworden. In hun tests op een real-world dataset van interacties in online cursussen, ontdekten ze dat de meldingen bijna perfect in het midden waren gesplitst. Ongeveer de helft van de tijd werd de melding gedreven door het feit dat het individuele knooppunt vreemd gedrag vertoonde. De andere helft van de tijd werd de melding getriggerd omdat het basisgedrag van de gehele populatie was verschoven. Dit onderscheid is iets wat geen enkel ander systeem kon bieden, en het verandert hoe een menselijke analist op een melding moet reageren. Als het probleem de populatie is, kan de oplossing zijn om de verwachtingen van het systeem bij te werken; als het de individuele gebruiker is, kan de oplossing zijn om deze te blokkeren.

Om te garanderen dat hun nieuwe uitlegtool betrouwbaar was, voerden de onderzoekers rigoureuze tests uit waarbij hun aanpak werd vergeleken met andere methoden. Ze ontdekten dat hun benadering, die een gedeeld patroon leert om vele meldingen tegelijkertijd te verklaren, superieur was aan methoden die proberen elke melding vanaf nul op te lossen. De gedeelde methode was niet alleen nauwkeuriger, maar ook honderden keren sneller, waarbij minder dan een tiende van een milliseconde nodig was om een uitleg te genereren. Deze snelheid betekent dat uitleg direct kan worden gegeven, op het moment dat een melding wordt gegenereerd, in plaats van te worden gereserveerd voor latere forensische analyse. Ze ontdekten ook dat sommige gangbare manieren om te meten hoe goed een uitleg is, eigenlijk misleidend waren. Standaardmethoden bestraften vaak uitleg die correct bewijs identificeerde dat een verdachte vrijpleitte, door dit te behandelen als slechte uitleg simpelweg omdat het de verdenkingsscore verlaagde. De onderzoekers corrigeerden dit door een nieuwe manier te ontwikkelen om getrouwheid (fidelity) te meten die respect heeft voor de unieke aard van anomaliedetectie, waarbij het bewijzen van onschuld net zo belangrijk is als het bewijzen van schuld.

De studie onthulde ook enkele verborgen gebreken in de oorspronkelijke softwarecode die voor de detector werd gebruikt, die het team heeft gerepareerd voordat ze hun definitieve experimenten uitvoerden. Een van deze gebreken betekende dat een cruciaal kenmerk van de detector effectief uitgeschakeld was tijdens het testen, wat de resultaten zou hebben vertekend. Door deze problemen te patchen, verzekerden ze zich ervan dat de cijfers die ze rapporteerden de werkelijke capaciteiten van het systeem weerspiegelden. Hun uiteindelijke conclusie is dat wanneer een detector is gebouwd met een duidelijk referentiepunt, zoals een geheugenbank van normaal gedrag, het mogelijk is om exacte, wiskundige redenen voor de beslissingen te extraheren zonder enige giswerk. Deze aanpak biedt een nieuwe standaard voor transparantie in kunstmatige intelligentie, en bewijst dat complexe, realtime systemen zowel zeer nauwkeurig als volledig begrijpelijk kunnen zijn. Het resultaat is een systeem dat niet alleen "gevaar" schreeuwt, maar ook rustig en precies het verhaal achter het gevaar uitlegt, waardoor mensen betere en snellere beslissingen kunnen nemen in een wereld die nooit stopt met bewegen.