《Journal of King Saud University Computer and Information Sciences》：Rule-graph alignment via optimal transport for weakly supervised anomaly detection on transaction graphs
编辑推荐：
交易图（transaction graph）异常检测具有挑战性，因为高质量标签需要昂贵的专家调查。弱监督（weakly supervised）方法常使用有限标签、启发式规则或专家知识为未标注交易生成伪标签（pseudo-labels）。现有方法通常将规则视为扁
交易图（transaction graph）异常检测具有挑战性，因为高质量标签需要昂贵的专家调查。弱监督（weakly supervised）方法常使用有限标签、启发式规则或专家知识为未标注交易生成伪标签（pseudo-labels）。现有方法通常将规则视为扁平标注函数，忽视交易行为中的图结构依赖，也忽视规则路径的完整路径分组结构；同时忽视离散规则与连续交易嵌入之间的失配，导致噪声伪标签和误差传播。受这些局限启发，研究人员提出一个整合规则结构编码与跨分支对比学习（CCL）的弱监督框架。该模型由规则分支和数据分支组成。在规则分支中，研究人员在可用标注训练数据上训练自适应深度决策树（decision tree）。遵循相同完整决策路径的交易形成一个规则图（Rule-Graph）组，并使用图神经网络（GNN）进行编码。并行地，数据分支使用特征编码器编码交易特征。为对齐两个空间，研究人员采用最优传输（OT），将语义规则知识迁移到数据表示，并为未标注样本生成伪标签。CCL随后通过将语义一致的表示拉近并分离不一致表示，对OT诱导的正负对进行正则化。这改善少数类排序，并可提升伪标签精度，尽管直接伪标签收益依赖数据集。在四个数据集上的实验表明，所提框架在不同图异常检测设置中取得强且有竞争力的性能。然而，其在原始特征Libra Bank设置中的优势更有限，该设置具有极端类别不平衡和强特征—标签依赖。
研究背景与问题：交易图异常检测对复杂网络系统稳定性与可靠性具有重要意义，加密货币和反洗钱（AML）场景中高质量标签获取成本高。现有早期系统依赖预定义规则或机器学习分类器，规则系统可解释但假阳性高、适应性有限；树模型依赖人工特征且难以刻画交易流图结构和动态模式。图神经网络（GNN）、图卷积网络（GCN）、GraphSAGE和Transformer等可学习拓扑模式，但在标签稀缺下常依赖少量已知标签、启发式规则或专家规则生成噪声标签训练模型。现有弱监督方法仍存在三类问题：由标注交易提取的规则形成分层决策路径，但常被压缩为扁平伪标签，丢弃路径级依赖；规则表示编码符号条件，数据表示编码连续图模式，直接监督假设异构空间语义一致，规则到数据迁移不可靠；从不平衡标注样本导出的规则可能对未见模式产生不确定伪标签，直接当作可靠监督会放大错误。因此关键挑战在于结构化表示规则知识、可靠对齐数据驱动表示并减轻规则到数据迁移中的噪声传播。
研究人员开展的研究、结论与意义：研究人员提出统一的弱监督双分支框架，将可用标注训练交易中提取的结构化规则知识用于指导未标注交易的数据驱动表示学习。遵循同一完整根到叶决策路径的交易构成规则图中的规则诱导组，规则分支以GNN编码并聚合为类原型，数据分支从原始属性学习连续交易表示；由于规则原型与交易表示无预定义一一对应，采用OT软对齐规则原型与交易表示并为未标注交易生成伪标签，最后以CCL仅使用置信OT对应正则化表示。与将弱监督简化为节点级伪标签或置信分数的方法相比，该框架在构建规则知情类原型前保留完整路径分组信息，新颖性在于规则图编码、全局约束的规则到数据对应和置信过滤对比细化的框架级整合。实验表明该方法在异构基准上具有强且有竞争力的性能，但增益依赖数据集，在原始特征Libra Bank的极端不平衡和强特征—标签依赖下优势有限。
关键技术方法：在Elliptic（比特币交易图）、Libra Bank（银行账户交易网络）、Reddit（用户关系图）和Amazon（评论关系图）四个基准上，研究人员以可用标注训练自适应深度决策树，将同一完整根到叶路径的交易构建为规则图（Rule-Graph），以GCN编码路径组并聚合为类原型；数据分支以多层感知机（MLP）编码交易特征；采用OT对齐规则原型与数据表示并生成软伪标签；再以CCL对高置信OT对应进行表示正则化。训练仅用训练标签，验证标签用于模型选择，测试标签仅用于最终评估。
研究结果：
比较结果：在四个数据集上与特征模型、图模型、专用图异常检测器和近期方法比较，得出没有单一基线族普遍有效；在Elliptic上该方法取得0.894 AUC-ROC、0.687 AUC-PRC和0.561 F1@10%，较BWGNN分别提高0.003、0.136和0.042，P@10与R@10分别提高0.037和0.054；在Reddit上排名第一但提升较小，AUC-PRC由0.086升至0.090，F1@10由0.120升至0.123；在Amazon上取得0.905 AUC-PRC，较CPL提高0.004，并与LSTM、CPL并列最佳F1@10为0.865，但R@10低于MLP 0.009；在原始特征Libra Bank上，该方法P@10、R@10和F1@10并列最佳，但AUC-ROC较SVM低0.0081、AUC-PRC低0.9046。
消融研究：规则分支编码：通过比较Random、SVM、Linear Regression和Decision Tree规则生成策略及GIN、GCN、GAT、MLP编码器，得出语义规则生成与图结构建模结合最有利，Decision Tree配GCN取得最佳，AUC-ROC为0.894、AUC-PRC为0.687、top-10%精度为0.465。
对齐与目标：通过比较Average、Concatenation和OT对齐及损失权重λ、β，得出更强OT正则改善特征分布对齐，联合优化OT与对比目标在分布对齐和表示判别性之间最有效，λ=β=1.0时总体top-k检测最佳。
组件消融：通过受控五轮组件消融，得出Full模型三项指标最佳，为0.894±0.005 AUC-ROC、0.674±0.046 AUC-PRC、0.561±0.017 F1@10%；移除Rule Graph、显式OT目标、CCL或仅保留数据分支均导致异常排序或F1下降，说明规则分支、规则图、显式OT目标和CCL贡献互补。
伪标签质量：通过比较CCL前后伪标签质量，得出在Elliptic上加入CCL=0.005后覆盖率由43.34%降至40.20%，精度由0.0355升至0.1186，F1由0.0631升至0.1759，预测异常比例由61.12%降至18.52%，召回由0.3872变为0.3624；在泄漏控制Libra Bank上CCL=0.01使覆盖率、召回基本不变而精度和F1略降，说明CCL并非通用伪标签去噪器，应作为经验证调优的表示正则器。
泄漏控制评估：通过移除Libra Bank中与标签构造相关的警报/报告计数特征，得出原始特征下SVM因直接利用计数特征达到1.0000 AUC-ROC和AUC-PRC；移除四个特征后SVM AUC-PRC下降0.7753至0.2247，FraudGT下降0.0318至0.0644，而该方法AUC-PRC上升0.0689至0.1643、AUC-ROC仅由0.9919变为0.9881，在受控设置下超过FraudGT 0.0999但低于SVM 0.0604。
计算效率：通过在同一硬件上比较所有方法，得出该模型含61,810参数，约为BWGNN 27,330的2.26倍、比FraudGT 98,820少37.5%；每轮0.141秒与BWGNN 0.140秒几乎相同、比FraudGT 0.188秒低25.0%；推理8.14 ms比BWGNN快4.77倍、比FraudGT快5.54倍但比仅特征MLP慢3.99倍；主要额外开销在训练前决策树构建、路径分组和OT准备，峰值内存1.408 GiB高于MLP和BWGNN但比FraudGT低31.9%。
参数敏感性：通过单因素敏感性分析CCL温度τ、置信阈值乘数γ和决策树深度，得出Full设置τ=0.5、γ=1.0、深度10在Elliptic和原始特征Libra Bank均最佳，AUC-PRC分别为0.687和0.0954；非默认设置均降低AUC-PRC，说明伪标签平滑、置信过滤和规则粒度需平衡。
动态阈值稳定性：通过跟踪训练中的阈值和保留对比例，得出在Elliptic上均值阈值由0.5004±0.0003变为0.5042±0.0006、保留对比例保持0.4999—0.5000；在泄漏控制Libra Bank上阈值初始0.5489±0.0346，50%训练进度收缩至0.5072±0.0050，结束时0.5215±0.0170，保留对比例在三个检查点为0.4930—0.4974，说明中位数重算使γ=1.0过滤尺度自适应且优化中保留对数量稳定。
对齐机制与OT形式：通过比较Average、Concatenation、Cosine、MMD和OT及均匀平衡、类感知平衡、非平衡OT，得出在Elliptic上OT取得0.687 AUC-PRC和0.561 F1@10%，优于Average、Concatenation、Cosine和MMD；均匀平衡OT优于类感知平衡和非平衡OT；在Libra Bank上Average、Concatenation、Cosine、MMD取得0.9833—0.9957 AUC-PRC而Full OT为0.0954，F1@10%均集中在0.0304—0.0307，说明该反转与标签相关特征及均匀边际限制有关。
统计显著性分析：通过固定主划分的五种子配对评估AUC-PRC，得出在Elliptic上该方法为0.6741±0.0459，BWGNN为0.5598±0.0392，平均提高0.1143，配对结果4/0/1，秩双列效应rrb=0.867，精确检验p=0.1250；在原始特征Libra Bank上该方法0.0937±0.0056，SVM为1.0000±0.0000，平均差?0.9063、0/0/5；在Reddit和Amazon上AUC-PRC分别提高0.0177和0.0702，均五对五胜出，rrb=1.000、p=0.0625。
可视化：跨数据集决策路径示例：通过给出Elliptic、泄漏控制Libra Bank和Amazon各一条完整决策路径及其规则图组，得出同一完整路径构造可适用于匿名交易信号、可解释流统计和评论行为；Elliptic路径组9,452笔交易，已知标签2,453笔中2,450笔为非法（99.9%）；Libra Bank路径组44个节点含34个非法节点（77.3%）；Amazon路径29个已标注用户中27个欺诈（93.1%）。
t-SNE可视化：通过对Elliptic节点嵌入做t-SNE（t-distributed Stochastic Neighbor Embedding）投影，得出规则分支中非法节点分散、仅局部松散聚类，数据分支中非法节点形成更紧且更孤立的簇，两分支具有互补性而非单独实现清晰类别分离。
节点嵌入余弦相似度：通过计算Elliptic测试集分支内和跨分支中心化余弦相似度，得出跨分支矩阵呈四象限结构，非法规则分支节点与非法数据分支节点强正相似、与合法数据分支节点强负相似，合法节点跨分支对齐更异质，表明OT引导的跨分支对齐有效桥接两个表示空间。
讨论与结论：讨论部分指出，决策树规则可能继承标注训练子集偏差，初始路径错误可传播到规则图组、原型和伪标签；均匀OT边际在极端不平衡下可能受限；两原型传输计划规模为O(2N
v)，但Sinkhorn迭代和重复验证搜索会增加大图运行时间与内存，且测量依赖单一硬件平台；数据分支未在原始交易图上进行消息传递或建模时间演化；原始特征Libra Bank结论需谨慎解释。未来工作计划研究规则不确定性估计与集成、面向大图的mini-batch/低秩/随机OT近似，并将数据分支扩展到时间与原始拓扑消息传递及多模态信息。研究结论翻译：本文提出统一弱监督框架，用于在图异常检测中可靠地将结构化规则知识迁移到数据驱动表示。框架采用双分支设计：规则分支将完整决策树路径转化为规则图，并通过GNN编码路径诱导组；数据分支学习连续交易表示。OT对齐规则原型与数据驱动嵌入，并为未标注样本生成软伪标签。对比学习目标进一步精炼表示，并减轻伪标签噪声传播。在金融交易图和一般图异常检测基准上的大量实验表明，在具有多样图结构、特征语义和异常比例的数据集上性能强，同时表明增益依赖数据集。
