💻 computer science

Dual Spatial-Temporal Shapley Attribution for Explainable Anomaly Detection in Dynamic Social Graphs

Este artigo apresenta um framework de explicabilidade post-hoc que aprimora o detector de anomalias TADDY de alto desempenho para grafos sociais dinâmicos ao gerar atribuições de Shapley espaciais e temporais duplas para identificar vizinhos influentes e instantâneos históricos, alcançando métricas de fidelidade e suficiência elevadas sem comprometer a precisão da detecção.

Autores originais: Iyad Assaad NEKKA, Hamida seba, Walid Khaled Hidouci, Karima Amrouche

Publicado 2026-08-25

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Iyad Assaad NEKKA, Hamida seba, Walid Khaled Hidouci, Karima Amrouche

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No vasto e mutável cenário do mundo digital, as redes sociais nunca estão verdadeiramente estáticas. São estruturas vivas onde conexões se formam e se dissolvem a cada segundo, desde o momento em que uma mensagem é enviada até o instante em que uma avaliação é publicada. Nessas teias evolutivas de interação, atores mal-intencionados costumam se esconder, criando padrões que parecem comportamentos normais, mas que são, na verdade, tentativas coordenadas de enganar, fraudar ou interromper. Detectar essas anomalias é um desafio de alto risco para plataformas online, sistemas financeiros e redes de confiança. Durante anos, programas de computador poderosos foram capazes de detectar essas atividades suspeitas com grande precisão, agindo como alarmes altamente sensíveis que tocam quando algo está errado. No entanto, um problema crítico permaneceu: quando esses programas soam o alarme, eles não oferecem explicação. Eles podem dizer a um operador humano que uma conexão específica é suspeita, mas não podem dizer o porquê. Eles não revelam qual pessoa na rede disparou o alerta, nem explicam se o problema começou agora ou se estava se acumulando ao longo do tempo. Sem esse contexto, as pessoas responsáveis por manter essas plataformas seguras ficam com uma pontuação e um ponto de interrogação, incapazes de tomar decisões informadas sobre bloquear um usuário ou investigar mais a fundo.

Um novo estudo aborda essa lacuna dando voz a esses detectores silenciosos. Pesquisadores desenvolveram um método que envolve sistemas de detecção de anomalias existentes e de alto desempenho para gerar razões claras e legíveis por humanos para suas decisões. O trabalho foca em um tipo específico de detector avançado que analisa redes sociais observando tanto os vizinhos imediatos de uma conexão quanto seu histórico ao longo do tempo. Embora este detector já fosse excelente em encontrar conexões ruins, ele anteriormente não produzia nenhuma explicação para suas escolhas. O novo framework altera isso ao decompor a decisão em duas partes distintas. Primeiro, identifica a causa espacial: quais pessoas ou nós específicos na rede foram os principais impulsionadores da suspeita. Segundo, identifica a causa temporal: quais momentos no passado carregaram o sinal mais forte de que algo estava errado. Essa abordagem dual responde às duas perguntas que os analistas realmente precisam saber: foi esta anomalia causada por um parceiro suspeito ou por um padrão suspeito na forma como eles interagiram no passado?

Para alcançar isso, os pesquisadores adaptaram um conceito matemático conhecido como valores de Shapley, que é usado para distribuir de forma justa o crédito ou a culpa entre um grupo de contribuintes. Neste contexto, os "contribuintes" são as várias partes de informação que o computador usou para tomar sua decisão. A equipe teve que ser cuidadosa sobre como testava o sistema. Se eles simplesmente removessem uma parte da informação, o computador poderia ficar confuso porque os dados restantes pareceriam não naturais. Em vez disso, eles substituíram a informação removida por uma média neutra dos dados restantes, garantindo que a lógica interna do computador permanecesse estável e os resultados fossem precisos. Isso permitiu medir exatamente o quanto cada vizinho específico ou cada momento específico no tempo contribuiu para o alerta final. O resultado é um mapa detalhado de influência para cada conexão sinalizada, mostrando exatamente quais elementos empurraram a pontuação acima do limite.

Os pesquisadores testaram este método em três conjuntos de dados de redes sociais do mundo real, incluindo plataformas de mensagens online e redes de negociação de criptomoedas onde a confiança é essencial. Antes deste trabalho, era impossível medir quão bem esses detectores conseguiam explicar a si mesmos porque eles não possuíam nenhum mecanismo de explicação. Após aplicar o novo framework, o sistema provou ser altamente eficaz. Ele identificou com sucesso os fatores principais por trás da detecção em quase todos os casos, com uma medida de precisão atingindo 0,9562. Também confirmou que os principais fatores identificados eram suficientes para disparar o alarme por conta própria, atingindo uma pontuação de 0,9658. Crucialmente, adicionar esta camada de explicação não retardou o detector nem o tornou menos preciso na detecção dos problemas reais; o desempenho da detecção permaneceu exatamente o mesmo. O sistema também foi testado em milhares de conexões específicas, incluindo aquelas que foram corretamente identificadas, aquelas que foram falsos alarmes e aquelas que eram difíceis de classificar. Em cada categoria, o framework forneceu razões claras e acionáveis para a decisão.

Uma das descobertas mais significativas envolve como o sistema lida com falsos alarmes. No mundo real da moderação de redes sociais, falsos alarmes são comuns e custosos porque desperdiçam o tempo humano. O novo framework também se destacou aqui, explicando por que o detector erroneamente sinalizou uma interação normal como suspeita. Ao apontar o padrão estrutural exato que causou a confusão, o sistema permite que os operadores humanos esclareçam rapidamente esses falsos alarmes sem ter que revisar manualmente todo o histórico da interação. Essa capacidade é um grande passo à frente para a implementação prática, pois transforma um alerta bruto em uma investigação guiada. O estudo também revelou uma nuance sutil, mas importante, na forma como as anomalias se comportam. Para alguns casos difíceis, o sinal de alerta não estava concentrado em uma única pessoa ou em um único momento, mas estava espalhado por todo o histórico da rede. O framework foi capaz de detectar esse padrão distribuído, mostrando que a anomalia era o resultado de um contexto geral em vez de um evento específico.

A significância deste trabalho estende-se além de apenas um tipo de programa de computador. A abordagem é projetada para ser uma solução post-hoc, o que significa que pode ser aplicada a detectores que já estão treinados e em uso sem a necessidade de serem treinados do zero. Isso a torna imediatamente útil para organizações que dependem desses sistemas para segurança e proteção. Ao fornecer uma maneira fundamentada de entender o "porquê" por trás do "o quê", a pesquisa preenche a lacuna entre a inteligência artificial poderosa e a responsabilidade humana. Garante que, quando um sistema automatizado sinaliza um usuário ou uma transação, as pessoas encarregadas possam compreender o raciocínio, verificar a lógica e tomar a ação apropriada. O estudo confirma que é possível ter tanto alta performance de detecção quanto explicações profundas e interpretáveis, uma combinação que estava anteriormente ausente das ferramentas mais avançadas usadas para monitorar a dinâmica da rede social.

Resumo Técnico: Atribuição Espacial-Temporal Dupla de Shapley para Detecção de Anomalias Explicável em Grafos Sociais Dinâmicos

Declaração do Problema
A detecção de anomalias em grafos sociais dinâmicos é crítica para domínios de alto risco, como comunidades de confiança online, análise de fraude e detecção de comportamento inautêntico coordenado. Embora detectores de última geração como o TADDY (Transformer-based Anomaly Detection for Dynamic Graphs) alcancem um forte desempenho ao modelar dependências espaciais e temporais, eles operam como caixas-pretas. Quando uma aresta é sinalizada como anômala, esses modelos fornecem apenas uma pontuação sem justificativa. Em configurações operacionais (por exemplo, equipes de confiança e segurança ou conformidade regulatória), a incapacidade de explicar por que uma aresta foi sinalizada — especificamente, quais nós vizinhos ou passos temporais históricos impulsionaram a decisão — cria uma barreira de implantação. Antes deste trabalho, o TADDY não produzia vetores de atribuição, tornando métricas de explicabilidade padrão (Fidelidade, Suficiência, Abrangência) indefinidas para esta classe de modelos.

Metodologia
Os autores propõem um framework de explicabilidade post-hoc que envolve um modelo TADDY treinado e congelado sem modificar seus pesos ou pipeline de inferência. O framework gera dois vetores de atribuição complementares para cada aresta sinalizada:

Atribuição Espacial: Identifica quais nós vizinhos contribuíram para a anomalia.
Atribuição Temporal: Identifica quais instantâneos históricos carregaram o sinal mais forte.

A abordagem técnica central adapta o GraphSVX (um explicador baseado em valores de Shapley para Redes Neurais de Grafos) para a arquitetura específica do TADDY, que utiliza uma sequência de tokens em janela. As inovações metodológicas principais incluem:

Perturbação do Espaço de Embedding Consciente do Grafo: A máscara padrão de tokens no espaço de índice é inválida para o TADDY porque o índice 0 corresponde ao vizinho de maior ranking, não a um token neutro. Em vez disso, o framework substitui os tokens excluídos pelo embedding médio da coalizão ativa. Isso mantém as sequências perturbadas dentro do invólucro convexo dos embeddings de tokens ativos, garantindo que permaneçam dentro da distribuição para o Transformer.
Decomposição Dupla: O framework agrega valores de Shapley ao longo de dois eixos ortogonais. Para uma matriz de tokens $H \in \mathbb{R}^{D \times d}$ , os coeficientes de Shapley $\hat{\beta}$ são somados por identidade de nó para produzir $\phi_{spatial}$ e por passo de tempo para produzir $\phi_{temporal}$ .
Ajuste de Surrogato: Um amostrador de coalizão "mais inteligente" é usado, ancorando-se nas coalizões total e vazia para impor a eficiência de Shapley. Um ajuste de regressão de Mínimos Quadrados Ponderados (WLS) Ridge é utilizado para aproximar os valores de Shapley.

Principais Contribuições

Primeiro Framework Post-Hoc para TADDY: Este é o primeiro método que introduz explicabilidade ao TADDY e seus detectores de anomalias de grafos dinâmicos, transformando métricas indefinidas em quantidades mensuráveis.
Atribuição Espacial-Temporal Dupla: Ao contrário de métodos escalares que fornecem uma única pontuação de importância por token, este framework responde simultaneamente se uma anomalia foi impulsionada por uma contraparte suspeita (espacial) ou por um histórico de interação suspeito (temporal).
Estratégia de Perturbação Robusta: A introdução de uma estratégia de perturbação no espaço de embedding que evita artefatos patológicos associados à máscara padrão de espaço de índice em arquiteturas baseadas em tokens.
Avaliação Abrangente: Uma avaliação expandida cobrindo 2.471 arestas através de verdadeiros positivos, falsos positivos e detecções de baixa confiança, demonstrando robustez em diferentes categorias de arestas.

Resultos Experimentais
O framework foi avaliado em três benchmarks de grafos sociais dinâmicos: UCI-Message, Bitcoin-Alpha e Bitcoin-OTC.

Custo de Desempenho Zero: A camada de explicabilidade preserva o desempenho de detecção exatamente, com $\Delta AUC = 0,0000$ em todos os conjuntos de dados.
Introdução de Métricas: Antes deste trabalho, Fidelidade, Suficiência e Abrangência eram indefinidas para o TADDY. Após a aplicação do framework:
- A Fidelidade atingiu 0,9562 (média de todos os verdadeiros positivos).
- A Suficiência atingiu 0,9658.
- A Abrangência foi confirmada como positiva em todos os conjuntos de dados.
Explicabilidade de Falsos Positivos: O framework alcançou alta fidelidade (0,836–0,996) em arestas de falsos positivos, permitindo que analistas identifiquem os padrões estruturais específicos que dispararam alarmes falsos.
Detecções Limítrofes: O estudo observou Abrangência negativa em verdadeiros positivos de baixa confiança (ex: -0,3995 no Bitcoin-Alpha), revelando um padrão distinto de "anomalia contextual", onde o sinal é distribuído por muitos tokens em vez de concentrado em poucos.

Significância e Alegações
O artigo alega que sua principal contribuição não é meramente um aumento incremental nos scores de Fidelidade, mas a introdução da explicabilidade em uma classe de modelos onde ela anteriormente não existia. Os autores argumentam que métodos de atribuição escalar (gradientes, pesos de atenção) falham em medir a contribuição causal no sentido de Shapley e não podem responder às perguntas operacionais específicas que os profissionais precisam: "Esta anomalia foi impulsionada por uma contraparte suspeita ou por um histórico suspeito?"

O framework é apresentado como um template post-hoc principiado aplicável a qualquer detector de grafos dinâmicos que utilize representações baseadas em tokens. Ele aborda o "gap de explicabilidade" que atualmente dificulta a implantação de detectores de anomalias de aprendizado profundo em ambientes de redes sociais regulados ou de alto risco. Os autores enfatizam que, ao fornecer vetores de atribuição duplos, o framework oferece insights acionáveis para a triagem de alertas, particularmente para filtrar falsos positivos sem revisão manual exaustiva.

Mais como este