이상은 드문 것과 같은 말이 아니야
이상 탐지는 정상적인 생성 과정과 다르며 업무상 살펴볼 가치가 있는 사례를 찾는 일이야. 드문 대형 고객은 정상일 수 있고 흔한 소액 패턴도 사기일 수 있어. ‘이상’의 행동 정의와 검토 목적을 먼저 정하지 않으면 알고리즘은 단지 자료에서 외딴 점을 보여줄 뿐이야.
정답이 있으면 불균형 분류로 풀어
과거 사기나 장애처럼 믿을 만한 정답이 있다면 지도학습 분류가 대개 더 직접적이야. 양성이 매우 드물 수 있으므로 PR-AUC, 상위 K개의 정밀도, 비용 기반 문턱으로 평가해. 정답이 시간이 지나야 생기거나 선택적으로 검토된 사례에만 있다면 그 편향도 기록해야 해.
정답 없는 탐지는 강한 가정을 써
비지도 이상 탐지는 이상이 드물고 정상과 구조적으로 다르다고 가정해. 그러나 자료의 새 고객, 계절 변화, 수집 오류도 똑같이 높은 이상 점수를 받을 수 있어. 점수는 유죄 판정이 아니라 사람이 확인할 우선순위야. 자동 차단처럼 되돌리기 어려운 행동에 바로 연결하면 안 돼.
Isolation Forest
Isolation Forest는 무작위 특성과 분할점으로 나무를 만들 때 적은 질문만으로 고립되는 사례에 높은 이상 점수를 줘. 큰 표 자료에서 빠르고 거리 척도를 직접 가정하지 않는 장점이 있어. contamination은 실제 이상 비율의 진실이 아니라 문턱 설정에 영향을 주는 예상치이므로 검토 능력과 함께 조정해.
지역 밀도와 경계 방법
Local Outlier Factor는 각 사례의 주변 밀도를 이웃과 비교해 전체로는 평범해 보여도 지역 안에서 이상한 점을 찾을 수 있어. 새 자료 예측 방식과 스케일에 주의해야 해. One-class SVM은 정상 자료를 감싸는 경계를 배우지만 자료가 크면 비싸고 커널·스케일 손잡이에 민감해. 두 방식 모두 거리 의미가 있는 표현이 필요해.
고차원 입력에는 재구성 오차를 쓸 수 있어
이미지나 센서 파형에서는 정상 자료를 압축했다 복원하는 오토인코더를 학습하고 복원이 잘 안 되는 사례를 이상 후보로 볼 수 있어. 복잡한 모델도 학습 자료 밖의 새로운 정상 패턴을 이상으로 부를 수 있고, 이상 자체를 잘 복원해 버릴 수도 있어. 단순 통계·Isolation Forest 기준선보다 실제 검토 정밀도가 나은지 확인해야 해.
정답이 없을 때는 사람 검토가 평가 자료가 돼
점수가 높은 상위 K개를 무작위 순서로 검토해 실제 이상, 정상, 애매함으로 판정하고 precision@K를 계산해. K는 하루나 주에 사람이 처리할 수 있는 건수여야 해. 점수 구간별로 표본을 뽑으면 문턱 아래에 놓친 이상이 얼마나 있는지도 추정할 수 있어. 검토자 일치도와 판정 안내서도 함께 관리하고.
검토 결과를 다음 모델의 정답으로 연결해
모든 경보의 점수, 특성, 검토 결과, 행동을 저장해. 시간이 지나면 지도학습 자료가 생기므로 양성·음성 분류기나 순위 모델로 옮길 수 있어. 단, 모델이 고른 사례만 계속 검토하면 보이지 않은 영역의 정답이 비므로 일부 무작위 사례도 검토해 선택 편향을 줄여야 해.