Resumo Técnico: SAGE – Um Framework LLM Multi-Agente para Diagnóstico Estruturado de Anomalias em Séries Temporais

1. Declaração do Problema

A detecção de anomalias em séries temporais (TSAD) é crítica para aplicações em monitoramento industrial, finanças e segurança de rede. Embora os métodos existentes variem de estatística clássica a aprendizado profundo, eles focam predominantemente na geração de pontuações de anomalia, em vez de fornecer explicações estruturadas sobre tipos de anomalia ou evidências de decisão. Especialistas humanos tipicamente diagnosticam anomalias considerando conjuntamente estatísticas, tendências, sazonalidade e mudanças de padrão, no entanto, os métodos automatizados atuais frequentemente falham em decompor essas perspectivas.

Tentativas recentes de alavancar Modelos de Linguagem de Grande Escala (LLMs) para TSAD enfrentam limitações significativas. LLMs gerais únicos lutam com entradas numéricas longas, operações estatísticas precisas (por exemplo, análise de pontos de mudança) e raciocínio simultâneo através de múltiplas perspectivas temporais. Além disso, abordagens multi-agente existentes frequentemente carecem de organização explícita em torno de famílias distintas de anomalias (pontual, estrutural, sazonal, padrão), e muitas dependem de exemplos reais de anomalias para aprendizado em contexto (ICL), o que frequentemente não está disponível em configurações zero-shot ou não supervisionadas.

2. Metodologia: O Framework SAGE

Os autores propõem o SAGE (Specialized Analyzer Group for Expert-like Detection), um framework LLM multi-agente projetado para diagnóstico estruturado de anomalias em séries temporais univariadas. Em vez de tratar a TSAD como um problema único de pontuação, o SAGE decompõe a análise em perspectivas especializadas e agrega evidências em uma decisão diagnóstica unificada.

2.1 Arquitetura Geral

O SAGE opera como um pipeline hierárquico com cinco estágios:

1. Estágio de Entrada: Recebe uma série temporal univariada.
2. Estágio de Representação: Implementa uma Estratégia de Dupla Representação. A série temporal original é preservada para cálculo numérico preciso por ferramentas dedicadas, enquanto um resumo comprimido (contendo estatísticas-chave e amostras representativas arredondadas) é usado para prompt de LLM eficiente em tokens. Isso reduz o uso de tokens em aproximadamente 75% para entradas de 400 pontos sem sacrificar a fidelidade numérica.
3. Estágio de Multi-Analisadores: Quatro Analisadores especializados operam em paralelo, cada um mirando uma família específica de anomalias:
   • Analisador de Pontos: Detecta anomalias pontuais globais e contextuais usando detecção de outliers (Z-score, IQR) e estatísticas rolantes.
   • Analisador Estrutural: Identifica mudanças de tendência, média e variância usando decomposição (STL), testes de pontos de mudança (CUSUM) e comparações de segmentos.
   • Analisador Sazonal: Detecta anomalias de amplitude e sazonalidade via autocorrelação, análise espectral (FFT) e representações tempo-frequência (Wavelet, STFT).
   • Analisador de Padrões: Identifica mudanças de padrão e distorções de forma de onda usando representações simbólicas (SAX) e métodos baseados em recorrência (Gráficos de Recorrência, GAF, MTF).
     Cada analisador gera saídas quantitativas específicas da família e visualizações diagnósticas.
4. Estágio de Detecção: Um Detector Fundamentado em Evidências agrega as saídas heterogêneas dos quatro Analisadores. Ele produz intervalos de anomalia, tipos candidatos e pontuações de confiança. O Detector usa um protocolo de pontuação guiado por rubrica (escala 0–100) que prioriza candidatos apoiados por saídas robustas de ferramentas e concordância entre analisadores.
5. Estágio de Diagnóstico: Um agente Supervisor converte os registros estruturados de detecção em um relatório voltado para analistas, incluindo níveis de alerta, fundamentos de alarme, características de séries temporais e ações recomendadas.

2.2 Aprendizado em Contexto Sintético (ICL)

Uma inovação chave é a construção de referências de ICL Sintético. Em vez de usar segmentos reais de anomalias ou rótulos de tipo de anomalia como exemplos em contexto (que frequentemente não estão disponíveis), o SAGE constrói um banco de dados a partir de segmentos de treinamento de referência normal.

• Subsequências normais representativas são extraídas via agrupamento k-medoids.
• Perturbações baseadas em regras são aplicadas a esses protótipos normais para gerar pares contrastivos sintéticos para nove tipos específicos de anomalia.
• Na inferência, o sistema recupera os top-k protótipos normais mais similares usando Warping Dinâmico de Tempo (DTW) e seleciona referências contrastivas sintéticas com base nos tipos candidatos de anomalia propostos pelos Analisadores.
• Esta abordagem permite que o Detector realize pontuação de confiança e classificação de tipos sem depender de demonstrações reais de anomalias ou rótulos do conjunto de teste.

3. Contribuições Principais

1. Reformulação da TSAD: O artigo reformula a detecção de anomalias em séries temporais como uma tarefa de diagnóstico estruturado, decompondo a análise por padrões de evidência para produzir intervalos, pontuações de confiança, tipos de anomalia e saídas diagnósticas.
2. Arquitetura Multi-Agente Especializada: O SAGE introduz quatro Analisadores especializados para anomalias pontuais, estruturais, sazonais e de padrão, acoplados a um Detector fundamentado em evidências que agrega evidências heterogêneas de ferramentas.
3. Estratégia de ICL Sintético: O framework constrói exemplos em contexto sintéticos a partir de segmentos de treinamento de referência normal, evitando a necessidade de segmentos reais de anomalias ou rótulos de tipo de anomalia como exemplos em contexto.
4. Avaliação Abrangente: Os autores demonstram desempenho de detecção aprimorado e utilidade diagnóstica em três benchmarks, estudos de ablação, avaliações de tipos sintéticos e avaliações humanas.

4. Resultados Experimentais

Os autores avaliaram o SAGE em três conjuntos de dados de benchmark TSAD representativos: Yahoo S5 (tráfego web), KPI (infraestrutura de TI) e WSD (métricas de serviço web).

• Desempenho: O SAGE alcançou o melhor desempenho médio em todas as métricas (Point-F1, PA-F1, Affiliation-F1, Delayed-F1) em comparação com fortes baselines de ML/DL (por exemplo, Isolation Forest, LSTM-AE, Anomaly Transformer) e métodos recentes baseados em LLM/VLM (por exemplo, LLMAD, TAMA, TSAD-Agents).
  • Em média, o SAGE melhorou o Point-F1 em 43,8% sobre a melhor baseline de aprendizado profundo (LSTM-VAE) e em 44,1% sobre a melhor baseline de LLM (LLMAD).
  • O SAGE mostrou ganhos particularmente fortes em conjuntos de dados operacionais (KPI e WSD), indicando a eficácia de decompor a análise em geração de evidências especializada.
• Análise em Nível de Tipo: Usando um conjunto de avaliação sintético com injeções controladas de anomalias, o SAGE demonstrou alta concordância de tipo para mudanças estruturais (93%) e alto recall de detecção para anomalias de padrão (97%). Embora o recall de detecção sazonal fosse menor (54%), o framework forneceu pistas diagnósticas úteis.
• Estudos de Ablação: Remover a ampliação por ferramentas ou a especialização multi-analisador degradou significativamente o desempenho no diversificado conjunto de dados Yahoo, confirmando que os ganhos são impulsionados por ferramentas quantitativas e análise especializada, e não apenas por prompt de LLM. Em conjuntos de dados operacionais, evidências visuais e ICL sintético desempenharam papéis maiores.
• Avaliação Humana: Em uma avaliação cega por 10 especialistas tecnicamente experientes, o SAGE ficou em primeiro lugar em todos os quatro critérios: Precisão, Validade, Clareza e Utilidade. Foi particularmente elogiado por fornecer diagnósticos coerentes e interpretáveis com recomendações acionáveis, superando baselines como LLMAD e TSAD-Agents.

5. Significado e Alegações

O artigo alega que a geração de evidências estruturadas é uma direção promissora para tornar a detecção de anomalias em séries temporais baseada em LLM mais controlável e interpretável. Ao separar perspectivas diagnósticas em análises especializadas e integrar suas evidências, o SAGE aborda as limitações da inferência de modelo único e da decomposição multi-agente grosseira.

Os autores enfatizam que o SAGE muda o paradigma da inferência direta de anomalias para diagnóstico estruturado, fornecendo não apenas "onde" uma anomalia está, mas "o que" ela é e "por que" foi detectada. O uso de ICL sintético derivado de dados normais reduz a dependência de exemplos reais de anomalias escassos ou indisponíveis, tornando o framework mais aplicável a cenários zero-shot.

Limitações e Trabalho Futuro:
Os autores reconhecem que o framework atual é limitado a séries temporais univariadas e incorre em altos custos computacionais devido a múltiplas chamadas de LLM por janela. Além disso, perturbações sintéticas baseadas em regras podem não cobrir todos os modos de falha do mundo real, particularmente anomalias sutis específicas do sistema. Propõe-se trabalho futuro para explorar filtragem adaptativa, estender o framework para séries temporais multivariadas e melhorar a localização fina. Os autores enquadram o SAGE como uma ferramenta de suporte à decisão para analistas humanos, em vez de um sistema de controle autônomo, notando a necessidade de validação de domínio e supervisão humana em aplicações críticas de segurança.