Detekce anomálií (Anomaly detection)

Příklady z praxe

1. 01

   Podezřelá karetní transakce

   Platební brána porovnává každou transakci s profilem držitele karty: obvyklé částky, země, kategorie obchodníka, denní doba. Platba za 40 000 Kč v jiném časovém pásmu tři minuty po nákupu v Praze dostane vysoké skóre a jde k dodatečnému ověření. Systém neblokuje automaticky, protože cena falešného poplachu je ztracený zákazník.

2. 02

   Isolation Forest nad metrikami serveru

   Tým sleduje latenci a chybovost API. Isolation Forest se natrénuje na dvou týdnech běžného provozu a v produkci skóruje minutové agregace. Model odhalí kombinaci, kterou pevný práh minul: latence zůstala v normě, ale zároveň klesl počet požadavků a stoupl podíl chyb 5xx.

   from sklearn.ensemble import IsolationForest
   
   # X_train: metriky z běžného provozu, X_new: poslední minuta
   model = IsolationForest(contamination=0.01, random_state=42)
   model.fit(X_train)
   
   skore = model.decision_function(X_new)   # nižší = podezřelejší
   nalez = model.predict(X_new)             # -1 = anomálie, 1 = normál

Časté omyly

MýtusNáš detektor má 99% přesnost, takže funguje skvěle.

Ve skutečnostiPři podílu anomálií pod jedno procento dosáhne stejné přesnosti i model, který nikdy nic nenajde. U silně nevyvážených dat vypovídají o kvalitě až precision, recall a PR křivka.

MýtusAnomálie znamená chyba nebo útok.

Ve skutečnostiAnomálie je jen statisticky neobvyklé pozorování. Může jít o vánoční špičku, marketingovou kampaň nebo nový velký zákazník. Interpretaci musí dodat člověk nebo doménová pravidla.

MýtusNa detekci anomálií je potřeba hluboká neuronová síť.

Ve skutečnostiV praxi často vyhrají robustní statistiky, sezónní dekompozice nebo Isolation Forest, protože se rychle přetrénují a jsou vysvětlitelné. Hluboké modely dávají smysl u obrazu, zvuku a vysokodimenzionálních dat.

Časté dotazy

Kolik dat je potřeba pro detekci anomálií?

Pro detekci anomálií je klíčové množství záznamů běžného provozu, ne počet anomálií. Většina metod se učí popsat normál, takže potřebují dostatek dat pokrývajících všechny pravidelné cykly: denní, týdenní a u sezónního byznysu i roční. Pravidlem palce jsou alespoň dva až tři úplné cykly, jinak model vyhodnotí pravidelný pokles jako poruchu. U označených dat naopak stačí i málo potvrzených nálezů, pokud slouží jen k ladění prahu a k ověření, kolik skutečných případů detektor zachytí.

Jak nastavit práh, aby alertů nebylo příliš mnoho?

Práh u detekce anomálií se v praxi neodvozuje ze statistického optima, ale z kapacity týmu. Nejprve se určí, kolik alertů denně dokáže služba reálně prošetřit, a práh se nastaví tak, aby se do tohoto rozpočtu vešel. Pomáhá skórování místo binárního výstupu, řazení podle závažnosti a slučování souvisejících alertů do jedné události. Práh se pak průběžně ladí podle poměru potvrzených nálezů k falešným poplachům, který zjistíte jen se zpětnou vazbou od operátorů.

Funguje detekce anomálií bez označených dat?

Detekce anomálií běžně funguje bez označených dat, protože většina algoritmů je neřízená nebo semi-řízená. Isolation Forest, Local Outlier Factor i autoenkodér se učí strukturu dat samy a označí odchylky. Označená data se přesto vyplatí sbírat průběžně: bez nich nelze změřit recall, tedy kolik skutečných incidentů systém přehlédl. Obvyklý postup je nasadit neřízený model, nechat analytiky výsledky potvrzovat a z posbíraných štítků později postavit přesnější řízený model nebo alespoň lépe kalibrovat práh.

Jak poznat, že model detekce anomálií přestal fungovat?

Zhoršující se model detekce anomálií se pozná podle několika signálů: náhle roste nebo klesá počet alertů bez odpovídající změny v provozu, klesá podíl potvrzených nálezů a analytici začnou alerty rutinně zavírat jako irelevantní. Doporučuje se sledovat rozdělení skóre v čase, ne jen počet překročení prahu. Posun celého rozdělení ukazuje drift dat. Standardní obranou je pravidelné přetrénování na klouzavém okně a takzvaný shadow běh nového modelu vedle stávajícího před přepnutím.

Zdroje

1. Anomaly detection(otevře se v novém okně)Wikipedia
2. NIST/SEMATECH e-Handbook of Statistical Methods(otevře se v novém okně)NIST

Související pojmy

• Confusion matrixConfusion matrix je tabulka, která porovnává předpovědi klasifikačního modelu se skutečnými třídami a rozděluje je na správné a chybné případy. U dvou tříd obsahuje čtyři čísla: true positive, true negative, false positive a false negative. Z těchto čtyř hodnot se počítá accuracy, precision, recall i F1 skóre.
• Datová kvalitaDatová kvalita je míra, do jaké data odpovídají potřebám konkrétního použití, například rozhodování, reportingu, automatizace nebo trénování modelů. Posuzuje se podle vlastností jako přesnost, úplnost, konzistence, aktuálnost, jedinečnost a dohledatelnost původu, nikoli jen podle toho, zda jsou data technicky validní.
• Datová sadaDatová sada je uspořádaný soubor datových záznamů, který má společný účel, strukturu a kontext použití. Může jít o tabulku objednávek, kolekci obrázků, logy aplikace nebo trénovací příklady pro model. Důležitá není jen data samotná, ale také popis sloupců, původ, kvalita a pravidla aktualizace.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• A/B testováníA/B testování je řízený experiment, který porovnává dvě varianty stránky, funkce, ceny nebo sdělení na podobných skupinách uživatelů. Měří předem zvolenou metriku, například konverzi nebo retenci, a pomáhá rozhodnout, zda změna skutečně zlepšuje výsledek, nebo zda pozorovaný rozdíl mohl vzniknout náhodou.
• AI agentAI agent je softwarový systém, který pomocí modelu umělé inteligence vnímá zadaný kontext, plánuje další kroky a samostatně volá nástroje nebo služby k dosažení cíle. Na rozdíl od jednorázového promptu udržuje stav úlohy, vyhodnocuje výsledky akcí a může opakovat postup, dokud nesplní zadání nebo nenarazí na limit.
• AI etikaAI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.
• ArbitrážArbitráž je obchodní strategie, která využívá rozdíl v ceně stejného nebo ekonomicky shodného aktiva na různých trzích, místech nebo v různých formách. Trader se snaží levně koupit a současně dráž prodat, aby zisk vznikl z cenové nesrovnalosti, ne z dlouhodobého odhadu směru trhu. V praxi rozhodují poplatky, rychlost, likvidita a riziko vypořádání.