detekce anomálií | AI slovník

Odborná definice

Anomaly detection je úloha identifikovat pozorování, události nebo vzory, které se významne odlišují od očekávaného chování. Model může pracovat bez označených anomálií, s malým počtem příkladů nebo jako klasifikátor s plným dohladom. Výstupem bývá skóre neobvyklosti a práh, po kterého překročení vznikne upozornení. Úspěšnost závisí na definice normálu, kontextu, časového okna a ceny falešných poplachů a přehlédnutých událostí. V časových a behaviorálních datech může být anomálny celý sled událostí, ačkoli jednotlivé hodnoty vyzerají běžně.

Srozumitelné vysvětlení

Banka hledá nezvyčajnou platbu, továreň neštandardné vibrace stroja a IT tím neobvyklou sieťovou prevádzku. Anomália nemusí být chyba nebo útok, může jít o nový legitimní jev. Systém proto často pouze zoradí případy podle podozrivosti a člověk rozhodne, co znamenají. Pokud se běžné chování časem změní, starý práh začne vytvářet množství poplachů. Detekce potřebuje zpětnou vezbu, segmentaci a pravidelnou aktualizaci predstavy o normále. Hodnota systému proto závisí i od toho, jako rychle a kvalitne lidé preveria upozornení a vrátia výsledek zpět do procesu.

Časté otázky

Jaký je rozdíl mezi outlierom a anomáliou?

Outlier je statisticky vzdálený bod, zatímco anomália je pozorování relevantní z hladiska konkrétního kontextu nebo rizika. Velká firemná platba může být odlahlá, ale legitímna. Malá série opakovaných transakcií může být podozrivá, ačkoli jednotlivé hodnoty nejsou extrémně. Detekce proto používá i čas, pořadí, uživatelský profil a vztahy mezi udalosťami.

Jak se nastavuje práh anomálie?

Práh se volí podle distribuce skóre, dostupných označení a nákladů chyb. Nízký práh zachytí více událostí, ale zvýší počet falešných poplachů. Vysoký práh sníží pracovnou záťaž, ale může přehlédnout rizikové případy. Při různých segmentech, například typoch zákazníků nebo strojoch, mohou být potřebné samostatné prahy a kapacitný limit na vyšetrování.

Které metriky se používají při vzácných anomáliách?

Accuracy bývá zavádějící, proto se sleduje precision, recall, F1, PR-AUC, počet poplachů na časovou jedničku a čas do odhalení. V provozu je důležitá i hodnota zachytených incidentů a náklady vyšetrování. Pokud nejsou úplné štítky, používají se zpětné potvrzení analytiků, syntetická scénáře a hodnocení na historicky overených událostech.

Jako concept drift ovlivňuje anomaly detection?

Pokud se normálně chování změní, model může označovat nové legitimní vzory za anomálie nebo přestane zachytávat nové typy rizika. Drift se sleduje na vstupech, skóre i potvrdených výsledkoch. Aktualizace musí být opatrná, protože automatické naučení z kompromitovaného období může prijat škodlivé chování jako nový normál.

Je anomaly detection vhodná na odhalení adversariálnych útoků?

Může zachytit nezvyčajné vstupy, dotazové vzory nebo chování modelu, ale sofistikovaný útočník se může držet blízko normálnej distribuce. Detekce anomálií je proto doplnková vrstva. Kombinuje se s autentifikací, rate limitingom, validací vstupů, threat intelligence a špecifickými testy adversariálnej robustnosti.

Související pojmy

Zdroje a redakční stopa

Google Machine Learning Glossary
NIST AI 100-2e2025, Adversarial Machine Learning
NIST AI Risk Management Framework

Definícia je autorská odborná syntéza. Pri právnych a regulačných rozhodnutiach má prednosť aktuálne oficiálne znenie predpisu a posúdenie konkrétneho prípadu.