基于差异驱动的生成对抗网络在半监督异常检测中的应用

《Neurocomputing》：Divergence-driven generative adversarial networks for semi-supervised anomaly detection

　　曼努埃尔·加西亚-费尔南德斯 | 何塞·L·萨尔梅隆
马德里欧洲大学建筑、工程、科学、计算与技术学院，比利亚维西奥萨-德奥东，28670，西班牙

**摘要**
异常检测是一个关键挑战，因为异常数据实例与正常数据实例之间存在极端的类别不平衡。本研究提出了一种基于生成对抗网络（GANs）的半监督异常检测框架，在该框架中，判别器被重新用于直接进行异常检测。与依赖平衡数据集或合成过采样的传统技术不同，所提出的方法仅使用异常数据训练GAN生成器，从而无需标记的合法数据实例即可有效建模欺诈行为。该方法应用于信用卡欺诈检测场景，并评估了三种GAN架构：KL-GAN、WGAN和混合KL-WGAN。结果表明，在小样本量下，KL-GAN具有更好的性能，召回率可达95%，在精确度和召回率之间取得了最佳平衡。然而，对欺诈行为代表性样本的依赖限制了其在未见过的欺诈数据场景中的适用性。详细的敏感性分析确定了统计上稳健检测所需的最小数据量。与现有技术相比，该框架在保持高召回率的同时显著提高了精确度，为高度不平衡的数据集提供了可扩展且准确的欺诈检测解决方案。本研究通过引入基于散度驱动的训练范式，并通过使用信用卡欺诈数据和Twitter机器人账户的广泛实验验证了其有效性，推进了GAN在异常检测中的应用。

**引言**
异常检测领域在当今非常重要，涉及多个应用领域[1]，包括工业运营[2]、网络安全[3]、金融欺诈[4]和医疗保健[5]。
异常检测通常是指识别不符合预期行为的数据模式[1]、[6]。异常可以大致分为三类：（1）点异常——单个实例与其他数据相比被认为是异常的；（2）上下文异常——某个数据实例在某些上下文中是异常的，但在其他上下文中不是；（3）集体异常——当一组数据实例一起考虑时被认为是异常的，即使单个实例看起来是正常的[5]。
识别异常数据实例的问题已经通过各种机器学习技术来解决，包括分类、优化、集成方法、基于规则的系统和聚类以及回归[7]。这些技术面临的常见挑战包括：定义什么是正常行为、考虑正常和异常模式随时间的变化，以及标记数据的有限可用性[1]。
由于在某些场景中（如航空航天事故）标记数据可能很少甚至完全不存在，异常检测方法可以分为以下几类：监督学习（正常和异常实例都标记）、半监督学习（仅标记了一类实例）和无监督学习（根本没有标签）[1]、[5]。在半监督学习中，最常用的方法是依赖正常行为的标记实例[8]，尽管也有少数算法依赖于标记的异常实例[9]、[10]。
近年来，生成对抗网络（GANs）已被应用于监督学习和半监督学习环境中的异常检测问题，主要通过两种方式[11]：（1）使用生成器网络对异常数据实例进行过采样[12]、[13]、[14]；（2）使用GANs进行表示学习以建模正常数据实例的分布[15]、[16]。研究表明，基于GAN的数据增强在性能上优于传统机器学习方法。具体来说，基于GAN的异常数据增强方法优于SMOTE[17]、[18]、[19]、[20]、[21]等传统方法；在表示学习方面，GANs超越了一类SVM和隔离森林（Isolation Forest）等最先进方法[15]。
本文提出了一种使用生成对抗网络检测异常的技术。本文的贡献有五个方面：
1. **仅使用异常数据训练生成器**：与以往通常在正常数据上训练或尝试通过合成过采样来平衡类别分布的研究不同，本文中的生成器仅使用已知的异常数据进行训练。这种设计选择强调直接学习异常行为的本质特征，而不是依赖于正常数据的表示或人工平衡的数据集。
2. **将判别器用作异常检测器**：训练完成后，判别器被重新用于评估和分类传入的数据实例是否为异常或合法。这种直接利用判别器的做法避免了设计或训练单独分类器的需要，简化了异常检测过程，并确保了生成器-判别器学习动态与评估机制之间的一致性。
3. **实现多种GAN变体进行欺诈检测**：本研究考虑了三种不同的生成对抗网络架构，以评估它们在欺诈检测中的相对有效性：使用Kullback-Leibler散度的GAN、Wasserstein GAN以及一种新颖的混合KL-W-GAN。每种变体都经过实现并进行了严格评估，以提供关于不同散度度和优化策略如何影响异常交易检测的比较见解。
4. **样本敏感性分析**：为了研究在不同数据可用性下的方法鲁棒性，系统地改变了用于训练GAN的异常数据点数量。该分析确定了实现统计上显著分类性能所需的最小异常样本量，为在标记异常数据有限的场景中部署基于GAN的检测器提供了实际指导。
5. **在极端类别不平衡条件下的评估**：考虑到异常事件通常很少见，实验特别评估了GAN在严重类别不平衡条件下的性能。结果表明，特别是KL-GAN在检测召回率和精确度方面表现优于其他架构，证明了其在异常实例比例极低的实际异常检测任务中的适用性。
这些贡献共同推进了生成对抗网络在半监督异常检测中的应用，提供了一种新的训练范式，并详细评估了在不同异常样本稀缺情况下不同GAN架构的性能。

**论文结构**
第2节介绍了该提案的方法论背景。第3节详细说明了所提出的方法。第4节重点介绍了实验方法和讨论。最后，第5节总结了这项研究。

**章节摘要**
**异常检测**
异常检测是识别数据中显著偏离预期规范的观察结果或模式的过程，通常能揭示网络安全、金融和制造等不同应用领域中的关键问题。
随着数据集规模和复杂性的增加，自动化和可扩展的检测方法对于及时决策和风险缓解变得至关重要。过去几十年来，研究已经从……

**提出的方法**
在-Kullback-Leibler散度形式主义中选择函数的灵活性可以产生最终学习到的概率分布的显著差异[86]。实际上，即使使用相同的数据集进行训练，根据所选散度函数的不同，也可能获得不同的概率密度。
在最广泛使用的-Kullback-Leibler散度中，Kullback-Leibler散度已被证明在学习概率方面提供了有效的权衡。

**实验方法**
实验使用了异常检测被广泛应用的一个用例——欺诈预防[94]来进行测试。本研究使用的数据来自AWS欺诈数据集基准1[95]。从这个基准中选取了两个数据集：ULB机器学习组的信用卡数据集[96]、[97]、[98]以及Twitter机器人账户。

**结论**
本研究提出了一种使用生成对抗网络（GANs）进行异常检测的新方法。该方法的新颖之处在于使用GAN的判别器网络来区分异常行为和正常行为。这种方法的一个主要优势是它仅需要异常数据实例进行训练，从而避免了收集大型数据集的需求，并减轻了金融欺诈检测中常见的严重类别不平衡问题。

**作者贡献声明**
曼努埃尔·加西亚-费尔南德斯：撰写——原始草稿、可视化、验证、软件开发、方法论设计、调查、形式分析、数据整理、概念化。
何塞·L·萨尔梅隆：撰写——审稿与编辑、验证、监督、方法论指导。

**利益冲突声明**
作者声明以下可能被视为潜在利益冲突的财务利益/个人关系：
曼努埃尔·加西亚-费尔南德斯由马德里欧洲大学提供支持。如果有其他作者，他们声明没有已知的财务利益或个人关系可能影响本文所述的工作。
M. 加西亚-费尔南德斯拥有物理学学士学位和核物理学硕士学位，并具有项目管理方面的研究生资格。他于2017年获得物理学博士学位，在一个国家研究中心进行了博士研究，参与了专注于深度空间图像分析以研究暗能量的国际合作项目。博士研究结束后，他担任数据顾问，领导……