Что хотят услышать интервьюеры:

Anomaly detection хорошо решает задачи поиска редких и нетипичных паттернов, когда мошенничество заранее не размечено или быстро меняется. В антифроде это особенно полезно для раннего обнаружения новых схем атак и подозрительной активности. Обычно такие модели используют как слой мониторинга или триажа, а не как единственный источник решения.

Определение:

Anomaly detection — это подход, который находит объекты, поведение или события, существенно отличающиеся от нормы. В антифроде под «аномалией» обычно понимают нетипичную транзакцию, аккаунт, устройство, сессию или последовательность действий. Метод особенно эффективен там, где мошеннические паттерны редкие, нестабильные и плохо покрываются правилами или supervised-моделью.

Пример использования:

Например, в платежной системе можно выявлять подозрительные транзакции по отклонению от обычного поведения клиента: необычная география, резкий рост суммы, нетипичное время операции, новый девайс и высокая частота попыток.

# Условный пример: модель обучается на "нормальных" транзакциях
# и затем ищет аномальные наблюдения в новых данных.

features = [
    "amount",
    "country_change",
    "new_device",
    "transactions_last_10min",
    "hour_of_day"
]

model.fit(normal_transactions[features])

scores = model.score_samples(new_transactions[features])
is_anomaly = scores < threshold

suspicious = new_transactions[is_anomaly]

Пояснение кода:

В примере код не требуется, потому что задача концептуальная. Логика работы такая: сначала модель обучают на данных, где преобладает нормальное поведение пользователей. Затем она оценивает, насколько каждое новое событие отличается от этого нормального профиля. Если отклонение выше порога, транзакция помечается как подозрительная и может уйти на ручную проверку или дополнительную верификацию.

Ключевые моменты:

Хорошо подходит для поиска новых и редких схем мошенничества, которых нет в размеченной выборке.
Полезен для выявления out-of-pattern поведения: транзакций, логинов, смены устройства, скорости действий, цепочек событий.
Часто используется как слой раннего предупреждения, а не как финальный антифрод-решатель.
Эффективен при сильном дисбалансе классов и малом количестве подтвержденного fraud.
Может давать ложные срабатывания, поэтому обычно нужен порог, калибровка и последующая ручная/правиловая проверка.
Лучше всего работает в связке с правилами, supervised-моделями и графовыми сигналами.

Какие задачи антифрода успешно решаются с помощью anomaly detection?