Resumo Técnico: Aprendizado de Detector de Anomalias Discriminativo e Generalizável para Grafos Dinâmicos com Supervisão Limitada (SDGAD)

1. Definição do Problema

A Detecção de Anomalias em Grafos Dinâmicos (DGAD) é crítica para aplicações como detecção de fraudes financeiras, interações sociais anormais e identificação de ataques cibernéticos. No entanto, os métodos existentes enfrentam dois desafios primários em cenários do mundo real:

1. Escassez de Anomalias Rotuladas: Anomalias são extremamente raras em comparação com instâncias normais, o que torna o aprendizado supervisionado difícil.
2. Limitações dos Paradigmas Atuais:
   • Métodos Não Supervisionados: Embora evitem a necessidade de rótulos, eles frequentemente produzem fronteiras de decisão ambíguas, onde os escores de anomalia colapsam em uma faixa estreita e de baixo valor, com sobreposição significativa entre amostras normais e anômalas. Isso torna a seleção de limiares (threshold) instável e não confiável.
   • Métodos Semi-supervisionados: Estes aproveitam anomalias rotuladas limitadas, mas frequentemente sofrem de overfitting aos padrões específicos de poucos rótulos disponíveis. Consequentemente, generalizam mal para tipos de anomalias não vistos em cenários de conjunto aberto (open-set).

O artigo aborda a lacuna de aprender uma fronteira de decisão discriminativa e generalizável a partir de dados normais/não rotulados, utilizando efetivamente anomalias rotuladas limitadas sem sacrificar a generalização para anomalias não vistas.

2. Metodologia: Estrutura SDGAD

Os autores propõem o SDGAD, uma estrutura agnóstica ao modelo projetada para integrar-se com codificadores de Grafos Dinâmicos de Tempo Contínuo (CTDG) existentes. A estrutura consiste em três componentes principais:

A. Codificação de Representação Residual

Codificadores padrão de CTDG agregam interações históricas com o evento atual, o que frequentemente resulta em embeddings dominados pelo contexto de longo prazo. Isso enfraquece a distinção entre a interação atual e seu histórico recente, o que é crucial para detectar anomalias raras.

• Mecanismo: O SDGAD calcula a representação residual ($\Delta E$) subtraindo o embedding do nó sem o evento atual do embedding com o evento atual.
• Objetivo: Isso preserva explicitamente a mudança incremental introduzida pela interação atual. Comportamentos normais exibem continuidade local (residuais pequenos), enquanto anomalias quebram essa continuidade (residuais grandes), fornecendo um sinal mais discriminativo.

B. Perda de Restrição de Representação (Representation Restriction Loss)

Diferentes padrões de anomalia induzem residuais em escalas vastamente distintas, dificultando o aprendizado de uma fronteira unificada. Os autores introduzem uma perda de restrição para restringir as representações normais dentro de uma região geométrica específica.

• Geometria: Em vez de uma única hiperesfera centrada na origem (que pode sofrer do "fenômeno da bolha de sabão", onde a massa se concentra na fronteira), o método restringe os residuais normais dentro de um intervalo delimitado por duas hiperesferas cocêntricas (raio interno $r_{min}$ e raio externo $r_{max}$).
• Função de Perda:
  • Amostras Normais: São penalizadas se caírem fora do intervalo $[r_{min}, r_{max}]$, sendo puxadas para uma região compacta com escalas consistentes.
  • Amostras Anômalas: São penalizadas se caírem dentro da hiperesfera externa (especificamente, dentro de uma margem $\Delta r$ além de $r_{max}$), sendo empurradas para fora da região normal.
• Adaptação: Diferente de métodos anteriores de bi-hiperesfera que assumem dados i.i.d., esta abordagem é projetada para a natureza não i.i.d. de grafos dinâmicos e é otimizada de forma end-to-end.

C. Otimização de Bi-Fronteira (Bi-Boundary Optimization)

Para construir uma fronteira de decisão explícita e robusta, a estrutura emprega um Normalizing Flow como um estimador de densidade para modelar a distribuição de log-verossimilhança das amostras normais.

• Desafio: Em espaços de alta dimensão, os fluxos de normalização podem atribuir verossimilhanças altas a entradas fora da distribuição (out-of-distribution), levando a fronteiras ambíguas.
• Estratégia: Os autores propõem uma estratégia de otimização de bi-fronteira. Em vez de um único limiar, eles definem uma fronteira normal ($B_n$) e uma fronteira anômala ($B_a = B_n - \tau$), criando uma região de amortecimento (margem $\tau$).
• Objetivo: A função de perda ($L_{BO}$) utiliza uma função softplus para garantir que as amostras normais fiquem acima de $B_n$ e as amostras anômalas fiquem abaixo de $B_a$. Isso cria uma margem clara, reduzindo a ambiguidade da fronteira e melhorando a robustez contra a seleção de limiares.

Objetivo de Treinamento Global: A perda total combina a perda de máxima verossimilhança do fluxo de normalização ($L_{ML}$), a perda de restrição de representação ($L_{RR}$) e a perda de otimização de bi-fronteira ($L_{BO}$).

3. Principais Contribuições

1. Estrutura SDGAD: Uma estrutura generalizável e agnóstica ao modelo que performa efetivamente tanto em configurações não supervisionadas quanto de supervisão limitada.
2. Componentes Inovadores:
   • Um mecanismo de codificação de representação residual para capturar desvios relevantes para anomalias.
   • Uma perda de restrição de representação usando hiperesferas cocêntricas para normalizar escalas e melhorar a separabilidade.
   • Uma estratégia de otimização de bi-fronteira usando fluxos de normalização para aprender fronteiras de decisão explícitas e robustas.
3. Avaliação Abrangente: Experimentos extensivos em seis conjuntos de dados (incluindo anomalias reais e sintéticas) através de três configurações: não supervisionada, supervisão limitada e few-shot.

4. Resultados Experimentais

A estrutura foi avaliada contra 15 baselines, incluindo métodos de tempo discreto (DTDG) e tempo contínuo (CTDG).

• Desempenho: O SDGAD superou consistentemente todos os baselines em diversos conjuntos de dados (Wikipedia, Reddit, MOOC, Enron, UCI, LastFM) e métricas de avaliação (AUROC, AP, F1).
• Robustez:
  • Na configuração totalmente não supervisionada (S3), o SDGAD alcançou um desempenho comparável à configuração de supervisão limitada (S1), demonstrando sua capacidade de aprender fronteiras discriminativas sem rótulos.
  • Nas configurações few-shot (S2), a estrutura permaneceu eficaz mesmo com apenas 1–3 anomalias rotuladas, enquanto os baselines semi-supervisionados mostraram treinamento instável e alta variância.
• Estudos de Ablação: A remoção de qualquer um dos três componentes principais (codificação residual, perda de restrição ou otimização de bi-fronteira) levou à degradação do desempenho, particularmente nos escores F1 e na separabilidade dos escores.
• Visualização: As distribuições de escore do SDGAD mostraram uma separação clara entre amostras normais e anômalas, enquanto os baselines frequentemente produziam escores colapsados próximos a zero, dificultando a seleção de limiares.

5. Significância e Alegações

O artigo afirma que o SDGAD aborda uma limitação fundamental no DGAD: o equilíbrio entre utilizar supervisão limitada e manter a generalização para anomalias não vistas. Ao aprender explicitamente uma fronteira discriminativa através de codificação residual e otimização de bi-fronteira, o método oferece:

• Regras de Decisão Estáveis: Diferente dos métodos não supervisionados com fronteiras ambíguas, o SDGAD oferece escores bem calibrados adequados para aplicações de alto risco que exigem cortes fixos ou em níveis.
• Generalização: Evita o overfitting aos padrões específicos de escassas anomalias rotuladas, atuando de forma robusta em cenários de conjunto aberto.
• Agnosticismo de Modelo: A estrutura pode ser integrada perfeitamente a vários codificadores CTDG existentes (ex: TCL, CAWN, DyGFormer), aumentando suas capacidades de detecção de anomalias sem exigir um redesenho completo da arquitetura subjacente.

Os autores observam que, embora as anomalias sintéticas em alguns conjuntos de dados (como LastFM) possam ser facilmente detectáveis devido a pistas estruturais simples, a robustez da estrutura em diversas configurações e sua capacidade de lidar com anomalias do mundo real destacam sua utilidade prática. Sugere-se que trabalhos futuros refinem os protocolos de anomalias sintéticas e estendam o problema para tipagem de anomalias.