DOI: https://doi.org/10.62411/jcta.15494
تاريخ النشر: 2026-02-03
المؤلف: Amaka Patience Binitie وآخرون
الموضوع الرئيسي: تقنيات الكشف عن الشذوذ وتطبيقاتها
نظرة عامة
تقدم هذه الدراسة غابة العزل المعززة بالرسم البياني (GAIF)، وهي إطار مبتكر غير خاضع للإشراف مصمم لاكتشاف الشذوذ في سلوك المستخدمين على الهواتف المحمولة. من خلال نمذجة المستخدمين وخصائصهم السلوكية كرسم بياني ثنائي، تلتقط GAIF الاعتماديات العلائقية التي تتجاهلها الطرق التقليدية المعتمدة على المتجهات. يستخدم الإطار Node2Vec وGraph Sample and Aggregate (GraphSAGE) لتعلم تمثيلات المستخدمين ذات الأبعاد المنخفضة، والتي يتم تحليلها بعد ذلك باستخدام غابة العزل لتوليد درجات الشذوذ. تم تقييمه على مجموعة بيانات تتكون من 700 ملف تعريف مستخدم مستمدة من مؤشرات سلوكية على مستوى التطبيق، حققت GAIF درجة F1 تبلغ 0.94 ومنطقة تحت المنحنى (AUC) تبلغ 0.97، متفوقة على الطرق التقليدية غير الخاضعة للإشراف.
تؤكد النتائج فعالية دمج تعلم التمثيل القائم على الرسم البياني مع تسجيل الشذوذ القائم على العزل، مما يكشف أن هذا النهج يعزز اكتشاف الشذوذ السلوكي على مستوى المستخدم المدفوع بالانحرافات العلائقية والسياقية. بينما تظهر الدراسة تحسينات كبيرة في أداء الاكتشاف، فإنها تعترف بالقيود، مثل الطبيعة الثابتة لمجموعة البيانات وغياب التقاط التفاعلات في الوقت الحقيقي. يجب أن تهدف الأبحاث المستقبلية إلى التحقق من صحة GAIF على بيانات طولية واستكشاف استراتيجيات بديلة لاختيار الميزات وبناء الرسم البياني لتعزيز القوة والملاءمة في السيناريوهات الواقعية. بشكل عام، تمثل GAIF تقدمًا كبيرًا في اكتشاف الشذوذ في سلوك المستخدمين على الهواتف المحمولة غير الخاضع للإشراف، حيث توفر منهجية قابلة للتكرار وقابلة للتفسير تسد الفجوة بين الطرق التقليدية المعتمدة على المتجهات والنهج القائم على الرسم البياني.
مقدمة
تسلط مقدمة هذه الورقة البحثية الضوء على التأثير التحويلي للأجهزة المحمولة على تفاعلات المستخدمين مع الخدمات الرقمية، لا سيما فيما يتعلق بإدارة البيانات الحساسة. تحدد ظهور أنماط سلوك المستخدم غير الطبيعية كمؤشرات على تهديدات الأمن السيبراني، مثل الاحتيال وسرقة الهوية. تعتبر طرق الكشف التقليدية، التي تعتمد على التوقيعات الثابتة والقواعد الاستدلالية، غير كافية للتعرف على الشذوذ السلوكي المعقد، مما يدفع نحو التحول إلى التعلم الآلي والنهج المعتمدة على البيانات لاكتشاف الشذوذ في تحليلات سلوك المستخدمين على الهواتف المحمولة.
تقترح الورقة غابة العزل المعززة بالرسم البياني (GAIF) كإطار مبتكر غير خاضع للإشراف لاكتشاف الشذوذ يدمج تعلم تمثيل الرسم البياني مع تسجيل الشذوذ القائم على العزل. من خلال نمذجة سلوك المستخدمين على الهواتف المحمولة كرسم بياني ثنائي للميزات، تلتقط GAIF الاعتماديات العلائقية التي تتجاهلها الطرق التقليدية المعتمدة على المتجهات. يستخدم الإطار Node2Vec وGraph Sample and Aggregate (GraphSAGE) لتعلم تمثيلات ذات أبعاد منخفضة تعكس كل من الأنماط الهيكلية العالمية والمحلية، مما يعزز اكتشاف الشذوذ السياقي والهيكلي. تهدف الدراسة إلى تحسين تحديد الشذوذ مقارنة بالطرق الحالية وتؤكد على أهمية النمذجة العلائقية في تحليل سلوك المستخدمين على الهواتف المحمولة. يتم تقييم الإطار المقترح باستخدام مجموعة بيانات مستمدة من مجموعة برمجيات خبيثة أندرويد Drebin، مع التركيز على التجريدات السلوكية على مستوى المستخدم بدلاً من توقيعات البرمجيات الخبيثة.
طرق البحث
تقدم الدراسة إطار GAIF، الذي يعزز اكتشاف الشذوذ القائم على العزل من خلال تعلم التمثيل القائم على الرسم البياني في بيئة غير خاضعة للإشراف. تلتقط GAIF الهيكل العلائقي لبيانات سلوك المستخدمين على الهواتف المحمولة مع ضمان فصل صارم بين مراحل التدريب والتقييم لمنع تسرب المعلومات. يتكون الإطار من ست مراحل متسلسلة: تجريد البيانات، المعالجة المسبقة، تقييم أهمية الميزات غير المتصلة، تقسيم التدريب والاختبار، بناء الرسم البياني وتعلم التمثيل، وتسجيل الشذوذ القائم على العزل. يتم تفصيل كل مرحلة في الأقسام الفرعية المقابلة، مما يؤدي إلى نظرة شاملة على خط الأنابيب.
تم إجراء التجارب في بيئة قائمة على وحدة المعالجة المركزية للتحكم في قابلية التكرار، باستخدام Python (الإصدار 3.10) على معالج Intel Xeon مع 16 جيجابايت من ذاكرة الوصول العشوائي. استخدم التنفيذ PyTorch وPyTorch Geometric لتعلم تمثيل الرسم البياني، بينما تم استخدام scikit-learn لمقاييس اكتشاف الشذوذ. تم تقسيم مجموعة البيانات إلى 560 حالة تدريب و140 حالة اختبار باستخدام بروتوكول متدرج 80:20. شملت قياسات وقت التشغيل بناء الرسم البياني، وتوليد التضمينات، وتسجيل الشذوذ القائم على غابة العزل، مع الإبلاغ عن أوقات التشغيل المتوسطة على مدى خمس تكرارات لتقليل التباين. تم حساب درجات الشذوذ دون تسميات الفئات وتحويلها إلى توقعات ثنائية باستخدام عتبة تلوث تبلغ 0.07. تم تقييم الأداء باستخدام الدقة، والاسترجاع، ودرجة F1، ومنطقة تحت منحنى ROC (AUC)، مما يسهل المقارنات المباشرة مع طرق اكتشاف الشذوذ غير الخاضعة للإشراف.
النتائج
تظهر نتائج التقييم التجريبي لإطار GAIF، الذي تم إجراؤه على مجموعة بيانات سلوك المستخدمين على الهواتف المحمولة المستمدة من Drebin، فعاليته في اكتشاف سلوك المستخدم الشاذ. بعد اتباع بروتوكول منهجي صارم، يبرز التقييم مقاييس الأداء القوية للإطار، حيث حقق درجة F1 عالية تبلغ 0.94 وAUC تبلغ 0.97. تشير هذه النتائج إلى أن دمج التمثيلات القائمة على الرسم البياني يعزز بشكل كبير قدرات الكشف القائمة على العزل لـ GAIF، مما يسمح بالتفريق الفعال بين الملفات الشخصية الشاذة.
بالإضافة إلى ذلك، تعكس مدة التشغيل المبلغ عنها لإطار GAIF توازنًا فعالًا بين توليد التضمينات وتسجيل الشذوذ، مما يشير إلى أن تحسينات الأداء لا تتطلب تكاليف حسابية مفرطة. تؤكد هذه الكفاءة على التطبيق العملي لـ GAIF في السيناريوهات التحليلية غير المتصلة وفي الوقت القريب من الوقت الحقيقي، مما يجعلها خيارًا قابلاً للتطبيق للبيئات التي لا تتطلب معالجة في الوقت الحقيقي.
المناقشة
تسلط قسم المناقشة في الورقة البحثية الضوء على تطور اكتشاف الشذوذ في سلوك المستخدمين على الهواتف المحمولة، مع التركيز على التحديات التي تطرحها التباين العالي في الميزات، والسياقات الديناميكية، وندرة البيانات المصنفة. اعتمدت الطرق المبكرة على تقنيات التعلم الآلي التقليدية، التي واجهت صعوبة مع البيانات عالية الأبعاد والاعتماديات بين الميزات. أدت إدخال نماذج التعلم العميق، مثل الشبكات العصبية التلقائية والشبكات العصبية المتكررة، إلى تحسين دقة الاكتشاف ولكن غالبًا ما كانت تفتقر إلى القابلية للتفسير والكفاءة الحسابية. أظهرت التطورات الأخيرة في التعلم القائم على الرسم البياني وعدًا في معالجة هذه القيود من خلال نمذجة العلاقات بين المستخدمين وميزات السلوك بشكل صريح، ومع ذلك لا تزال العديد من الطرق الحالية كثيفة الحسابات وحساسة للمعلمات الفائقة.
يهدف إطار GAIF المقترح إلى سد الفجوة في اكتشاف الشذوذ السلوكي غير الخاضع للإشراف من خلال دمج النمذجة العلائقية مع اكتشاف الشذوذ القائم على العزل. من خلال بناء رسم بياني ثنائي للميزات، تلتقط GAIF الاعتماديات العلائقية وتستخدم مجموعة من تصفية الميزات باستخدام مربع كاي، وتعلم التمثيل القائم على الرسم البياني، وخوارزمية غابة العزل. يعزز هذا النهج المتكامل الكفاءة الحسابية، والقابلية للتفسير، والقدرة على اكتشاف الشذوذ الناشئة عن الأنماط العلائقية غير العادية. يتم إثبات فعالية الإطار من خلال تقييمات الأداء المقارنة، حيث تتفوق GAIF على الطرق التقليدية في مقاييس مختلفة، محققة أعلى درجة F1 وAUC مع الحفاظ على كفاءة وقت التشغيل التنافسية. بشكل عام، تمثل GAIF تقدمًا منهجيًا كبيرًا في مجال تحليل سلوك المستخدمين على الهواتف المحمولة، حيث تعالج التحديات المستمرة وتحسن قدرات اكتشاف الشذوذ.
القيود
تقدم مجموعة البيانات المستخدمة في هذه الدراسة عدة قيود تؤثر على تفسير النتائج. بشكل أساسي، تقدم لقطات سلوكية ثابتة، مما يفشل في حساب التطور الزمني لتفاعلات المستخدمين أو الديناميات في الوقت الحقيقي. بالإضافة إلى ذلك، تعتبر مجموعة البيانات تمثيلًا مستمدًا من مؤشرات التطبيقات، مما يعني أنها تجرد سلوك المستخدم بدلاً من التقاط سجلات مباشرة للتفاعلات البشرية. يتم الاعتراف بهذه القيود في القسم 4 من الورقة، مما يبرز الحاجة إلى أبحاث مستقبلية للتحقق من صحة النتائج من خلال دراسات طولية وبيانات استخدام الهواتف المحمولة في العالم الحقيقي.
DOI: https://doi.org/10.62411/jcta.15494
Publication Date: 2026-02-03
Author(s): Amaka Patience Binitie et al.
Primary Topic: Anomaly Detection Techniques and Applications
Overview
This study introduces the Graph-Augmented Isolation Forest (GAIF), an innovative unsupervised framework designed for detecting anomalies in mobile user behavior. By modeling users and their behavioral attributes as a bipartite graph, GAIF captures relational dependencies that traditional vector-based methods overlook. The framework employs Node2Vec and Graph Sample and Aggregate (GraphSAGE) to learn low-dimensional user representations, which are then analyzed using an Isolation Forest to generate anomaly scores. Evaluated on a dataset of 700 user profiles derived from application-level behavioral indicators, GAIF achieved an F1-score of 0.94 and an area under the curve (AUC) of 0.97, outperforming conventional unsupervised baseline methods.
The findings underscore the effectiveness of integrating graph-based representation learning with isolation-based anomaly scoring, revealing that this approach enhances the detection of user-level behavioral anomalies driven by relational and contextual deviations. While the study demonstrates significant improvements in detection performance, it acknowledges limitations, such as the static nature of the dataset and the lack of real-time interaction capture. Future research should aim to validate GAIF on longitudinal data and explore alternative strategies for feature selection and graph construction to enhance robustness and applicability in real-world scenarios. Overall, GAIF represents a significant advancement in unsupervised mobile user behavior anomaly detection, providing a reproducible and interpretable methodology that bridges the gap between traditional vector-based and graph-centric approaches.
Introduction
The introduction of this research paper highlights the transformative impact of mobile devices on user interactions with digital services, particularly concerning the management of sensitive data. It identifies the emergence of abnormal user behavior patterns as indicators of cybersecurity threats, such as fraud and identity theft. Traditional detection methods, which rely on static signatures and heuristic rules, are deemed inadequate for recognizing sophisticated behavioral anomalies, prompting a shift towards machine learning and data-driven approaches for anomaly detection in mobile user behavior analytics.
The paper proposes the Graph-Augmented Isolation Forest (GAIF) as an innovative unsupervised anomaly detection framework that integrates graph representation learning with isolation-based anomaly scoring. By modeling mobile user behavior as a user-feature bipartite graph, GAIF captures relational dependencies that conventional vector-based methods overlook. The framework employs Node2Vec and Graph Sample and Aggregate (GraphSAGE) to learn low-dimensional embeddings that reflect both global and local structural patterns, enhancing the detection of contextual and structural anomalies. The study aims to improve anomaly identification compared to existing methods and emphasizes the importance of relational modeling in analyzing mobile user behavior. The proposed framework is evaluated using a dataset derived from the Drebin Android malware corpus, focusing on user-level behavioral abstractions rather than malware signatures.
Methods
The study introduces the GAIF framework, which enhances isolation-based anomaly detection through graph-based representation learning in an unsupervised setting. GAIF captures the relational structure of mobile user behavior data while ensuring a strict separation between training and evaluation stages to prevent information leakage. The framework consists of six sequential stages: data abstraction, preprocessing, offline feature relevance assessment, train-test splitting, graph construction and representation learning, and isolation-based anomaly scoring. Each stage is detailed in the corresponding subsections, culminating in a comprehensive pipeline overview.
Experiments were conducted in a controlled CPU-based environment to ensure reproducibility, utilizing Python (version 3.10) on an Intel Xeon processor with 16 GB of RAM. The implementation leveraged PyTorch and PyTorch Geometric for graph representation learning, while scikit-learn was used for anomaly detection metrics. The dataset was split into 560 training instances and 140 test instances using an 80:20 stratified protocol. Runtime measurements included graph construction, embedding generation, and Isolation Forest-based anomaly scoring, with mean runtimes reported over five repetitions to minimize variability. Anomaly scores were computed without class labels and converted to binary predictions using a contamination threshold of 0.07. Performance was evaluated using precision, recall, F1-score, and area under the ROC curve (AUC), facilitating direct comparisons with baseline unsupervised anomaly detection methods.
Results
The results of the experimental evaluation of the GAIF framework, conducted on the Drebin-derived mobile user behavior dataset, demonstrate its effectiveness in detecting anomalous user behavior. Following a rigorous methodological protocol, the evaluation highlights the framework’s strong performance metrics, achieving a high F1-score of 0.94 and an AUC of 0.97. These results indicate that the integration of graph-based representations significantly enhances the isolation-based detection capabilities of GAIF, allowing for effective differentiation of anomalous profiles.
Additionally, the reported runtime for the GAIF framework reflects an efficient balance between embedding generation and anomaly scoring, indicating that the performance improvements do not incur excessive computational costs. This efficiency underscores the practical applicability of GAIF for offline and near-real-time analytical scenarios, making it a viable option for environments that do not require real-time processing.
Discussion
The discussion section of the research paper highlights the evolution of mobile user behavior anomaly detection, emphasizing the challenges posed by high feature heterogeneity, dynamic contexts, and the scarcity of labeled data. Early methods relied on conventional machine learning techniques, which struggled with high-dimensional data and inter-feature dependencies. The introduction of deep learning models, such as Autoencoders and Recurrent Neural Networks, improved detection accuracy but often lacked interpretability and computational efficiency. Recent advancements in graph-based learning have shown promise in addressing these limitations by explicitly modeling relationships among users and behavioral features, yet many existing approaches remain computationally intensive and sensitive to hyperparameters.
The proposed GAIF framework aims to bridge the gap in unsupervised mobile behavioral anomaly detection by integrating relational modeling with isolation-based anomaly detection. By constructing a user-feature bipartite graph, GAIF captures relational dependencies and employs a combination of Chi-square feature filtering, graph-based representation learning, and the Isolation Forest algorithm. This integrated approach enhances computational efficiency, interpretability, and the ability to detect anomalies arising from atypical relational patterns. The framework’s effectiveness is demonstrated through comparative performance evaluations, where GAIF outperforms traditional methods in various metrics, achieving the highest F1-score and AUC while maintaining competitive runtime efficiency. Overall, GAIF represents a significant methodological advancement in the field of mobile user behavior analysis, addressing persistent challenges and improving anomaly detection capabilities.
Limitations
The dataset utilized in this study presents several limitations that impact the interpretation of the findings. Primarily, it offers static behavioral snapshots, failing to account for the temporal evolution of user interactions or real-time dynamics. Additionally, the dataset is a proxy derived from application indicators, which means it abstracts user behavior rather than capturing direct logs of human interactions. These constraints are acknowledged in Section 4 of the paper, underscoring the need for future research to validate the results with longitudinal studies and real-world mobile usage data.