Graph Anomaly Detection with Deep Learning——基于属性图的节点异常检测

Posted 2022-11-11 Anooyman

属性图异常节点检测

• ANOS ND on Attributed Graphs 属性图上的节点异常检测
• • 传统的非深度学习检测方法
  • 基于图注意力机制（GAT）的检测方法
  • 基于生成对抗网络（GAN）的检测方法
  • 基于网络表示的异常检测

论文：A Comprehensive Survey on Graph Anomaly Detection with Deep Learning

论文地址：https://arxiv.org/abs/2106.07178

上一节：节点异常

ANOS ND on Attributed Graphs 属性图上的节点异常检测

传统的非深度学习检测方法

核心思想：利用传统技术（如统计模型、矩阵分解、KNN）提取异常节点的结构/属性模式，然后进行检测。其中，基于矩阵分解的技术在捕获拓扑结构和节点属性方面显示出强大的能力，并取得了良好的检测性能。

Liu [1] 等人他们提出了一个名为 ALAD 模型用于检测检测社区异常，ALAD 结合了图结构A和节点属性X，通过非负矩阵分解得到社区结构W及其属性分布向量H，之后通过度量节点的相似性，选择 Top K （分数升序排列）的点作为异常社群。其示意图如下：

Li [2] 等人根据异常节点不同于普通节点，假定其重构误差远大于普通节点的重构误差。他们提出一个名为 Radar 的算法通过分解节点属性 X 来计算残差 R。为了结合获得这些误差的结构信息，Radar 对学习到的残差进行了明确的限制，使得直接连接的节点在 R 中具有相似的残差模式（称为同质效应）。其示意图如下：

尽管同源性假说（同质效应）为利用结构信息提供了有力的支持，但它可能并不总是成立的。事实上，真实对象对其连接的邻域会有不同的属性，因此在特征空间中，调整所有连接的对象在每个维度上共享相似的值是非常重要的。因此 Peng [3]等人为了解决这个问题，提出一个名为 ANOMALOUS 的模型，利用 CUR 分解来选择与网络结构密切相关的属性，然后通过 Radar 的残差分析发现异常。其示意图如下：

除了上述 3 种基于矩阵分解的模型之外，作者还提到了 Wu [4] 等人提出的监督模型 SGASD 在利用社交网络结构、社交媒体中的内容信息和用户标签识别社交垃圾邮件发送者方面有很好的效果。

基于图注意力机制（GAT）的检测方法

核心思想：利用注意力机制和图卷积网络聚合邻居信息到目标节点。

Fan [5]等人提出一个名为 AnomalyDAE 的模型，在编码阶段，利用 GAT 对网络结构信息进行结构编码，同时采用一个单独的 autoencoder 进行属性编码。在解码阶段，结构编码只使用 GAT 的输出来进行重构，而属性解码是通过结构 encoding 和属性 encoding 进行重构。最后通过 重构误差来检测异常点。其目标函数如下：

其中，A 是邻接矩阵，X 是属性矩阵。A_hat 和 X_hat 是重构矩阵。

与之类似的另一个工作是 Wang [6] 等人提出的一种基于半监督 GAT 检测模型 —— SemiGNN，用于在线支付平台中的欺诈用户检测。他们将真实网络表示为多视图，并对图中的每个视图进行建模，以反映用户之间的关系或用户属性之间的相关性。首先通过 node-level 注意力机制对于不同的视图 v 生成节点向量 h，然后通过 view-level 注意力机制聚合不同视图下的 embedding 得到节点的表示，最后通过 softmax 来检测。其目标函数如下：

其中，L_sup 是有监督分类损失，L_unsup 是无监督图重构损失，L_reg 是正则项。由于篇幅问题，这里将不再展开解释，感兴趣可以留言/私聊讨论


下图展示的是 AnomalyDAE 和 SemiGNN 的示意图：

基于生成对抗网络（GAN）的检测方法

核心思想：利用 GAN 来捕获异常点和正常点的数据分布

Ding [7]等人为提高对看不见数据的异常鉴别能力提出了一个名为 AEGIS 的模型，使用 GNN 生成节点 embedding，然后训练生成器和判别器来进行异常检测。算法示意图如下：

在第一阶段，Ding 等人构建了一个具有图微分层的自动编码网络，该网络可以捕获每个节点与其第 k 阶邻居之间的属性差异。通过将异常节点和规则节点映射到嵌入空间中的不同区域，以便GAN能够了解它们之间的边界。
在第二阶段，生成器尝试通过从先验分布中采样噪声数据来生成异常，而鉴别器则努力区分正常节点的嵌入和生成的异常。

基于网络表示的异常检测

核心思想：将图编码到向量空间，然后进行检测异常

Zhang 等人[8] 通过三层神经网络和残差分析来检测异常节点。将属性矩阵划分为残差属性矩阵以及结构相关属性矩阵，分别捕捉异常的特征和网络表示。

Liang 等人[9] 提出了一个名为 SEANO 的半监督表示模型，将图形结构、节点属性和标签信息结合起来检测异常节点。首先将节点的邻居节点信息聚合得到 embedding 向量，然后，用一个以表示为输入的有监督组件预测节点标签，并训练无监督组件重建节点上下文（节点序列）。对于每个节点，其上下文不仅通过图上的随机游动生成，而且还包含属于同一类的已标记节点（即有标签）。

上述两种通过聚合邻居节点属性的方法可以有效的捕捉图结构和节点属性，但是 Liu 等人[10] 证明这种方法将有助于聚集常规节点的特征，使其看起来正常，并导致次优检测性能。

他们提出在应用聚合操作进行异常检测时应考虑以下三个问题：

1. 异常是网络中罕见的对象，直接聚合邻域信息可以平滑异常和正常实例之间的差异，并模糊它们之间的边界
2. 直接连接的节点将具有独特的功能，并且连接的节点共享类似功能的假设（作为功能聚合的基础）在该场景中不再成立
3. 真实对象也与其他对象形成多种类型的关系，不同关系下的聚合结果不同
   在考虑上述这些问题的情况下，Liu 等人[10] 提出了一种名为 GraphConsis 的模型，在聚合节点特征时使用了一种采样方法有效的避免潜在的异常邻居。该方法还采用注意机制来聚合不同链路下的邻居信息。因此，学习的节点表示对异常更为鲁棒，GraphConsis 将其作为输入来训练分类器以预测标签。
   PS：作者文中没有对这个方法进行详细解释，后续可能会有所补充

Dou 等人[11] 提出一种名为 CARE-GNN 模型，进一步考虑了欺诈者的伪装行为，以提高检测性能。他们将伪装可分为特征伪装和关系伪装，这两种伪装分别调整其特征信息或与许多良性对象形成联系以掩盖可疑信息。直接使用属性聚合操作，将造成上述问题一。因此，CARE-GNN 采用邻域抽样策略以过滤隐藏的异常，并探索用户之间形成的不同类型的关系。在每个关系下，Dou 等人使用 MLP 使用节点的特征预测节点标签，并根据 MLP 的输出测量每个节点与其邻居之间的相似性（l1距离）。然后选择 Top-k 最相似的邻居进行特征聚合，CARE-GNN 通过在不同关系下学习的潜在表示的组合生成每个节点的表示。最后使用分类器对其进行分类。

可以发现，这些基于网络表示的方法是否可以很好的检测到异常取决于其训练目标/损失函数。如果丢失函数能够很好地分离正常/异常节点，则可以预见增强的检测性能。因此，zhao 等人 [12] 为了调整异常的边缘，提出了一种新的损失函数用于寻找异常节点边缘与正常节点边缘之间的相对尺度。

参考文献
[1] N.Liu, X.Huang, and X.Hu, “Acceleratedlocalanomalydetectionvia resolving attributed networks,” in IJCAI, 2017, pp. 2337–2343
[2] J. Li, H. Dani, X. Hu, and H. Liu, “Radar: Residual analysis for anomaly detection in attributed networks,” in IJCAI, 2017, pp. 2152–2158
[3] Z. Peng, M. Luo, J. Li, H. Liu, and Q. Zheng, “Anomalous: A joint modeling approach for anomaly detection on attributed networks,” in IJCAI, 2018, pp. 3513–3519
[4] L. Wu, X. Hu, F. Morstatter, and H. Liu, “Adaptive spammer detection with sparse group modeling,” in ICWSM, 2017, pp. 319–326
[5] H. Fan, F. Zhang, and Z. Li, “Anomalydae: Dual autoencoder for anomaly detection on attributed networks,” in ICASSP, 2020, pp. 5685– 5689
[6] D.Wang, Y.Qi, J.Lin, P.Cui, Q.Jia, Z.Wang, Y.Fang, Q.Yu, J.Zhou, and S. Yang, “A semi-supervised graph attentive network for financial fraud detection,” in ICDM, 2019, pp. 598–607
[7] K. Ding, J. Li, N. Agarwal, and H. Liu, “Inductive anomaly detection on attributed networks,” in IJCAI, 2020, pp. 1288–1294
[8] L. Zhang, J. Yuan, Z. Liu, Y. Pei, and L. Wang, “A robust embedding method for anomaly detection on attributed networks,” in IJCNN, 2019, pp. 1–8
[9] J. Liang, P. Jacobs, J. Sun, and S. Parthasarathy, “Semi-supervised embedding in attributed networks with outliers,” in SDM, 2018, pp. 153– 161
[10] Z. Liu, Y. Dou, P. S. Yu, Y. Deng, and H. Peng, “Alleviating the inconsistency problem of applying graph neural network to fraud detection,” in SIGIR, 2020, pp. 1569–1572
[11] Y. Dou, Z. Liu, L. Sun, Y. Deng, H. Peng, and P. S. Yu, “Enhancing graph neural network-based fraud detectors against camouflaged fraud- sters,” in CIKM, 2020, pp. 315–324.
[12] T. Zhao, C. Deng, K. Yu, T. Jiang, D. Wang, and M. Jiang, “Error- bounded graph anomaly loss for gnns,” in CIKM, 2020, pp. 1873–1882.

欢迎关注微信公众号：