Modelos de anomalías: lo que aprenden

Un modelo de anomalías por usuario guarda, en esencia, qué es habitual para esa cuenta durante la ventana de entrenamiento, por ejemplo una media y una desviación del volumen diario. Después puntúa cada día nuevo según qué tan lejos cae de eso. Tiene dos consecuencias. Un cambio legítimo, como un cierre contable, puntúa alto aunque sea inocente. Y un comportamiento abusivo que ya estaba en la ventana puntúa bajo, porque para el modelo «lo que se repite» es lo normal.

Abre modelo y usuarios. La regla de alerta es puntaje 80 o más. Tres cuentas superan ese puntaje y alertan; las otras cuatro no. Entre las que no alertan, mira cuántas veces mayor es el volumen de hoy (mb_hoy) que lo que el modelo tiene como media de la cuenta (media_30d_mb). Una cuenta que no alerta con un volumen varias veces superior a su media merece una pregunta.

Pasar de una impresión a una cifra evita discutir. Para la cuenta de la tarea anterior, la proporción entre el volumen de hoy y la media que el modelo tiene para ella dice cuánto se apartó de «lo normal aprendido». Compárala con la de los usuarios que sí alertaron: la diferencia no está en el tamaño del salto sino en lo que el modelo creía normal.

La media de esa cuenta es 160 MB y su desviación es de 190 MB, mucho mayor que la de otras cuentas con una media parecida. Una desviación tan ancha dice que la ventana contenía días muy distintos entre sí. La columna dias_atipicos_en_la_ventana cuenta cuántos de los 30 días de la ventana ya eran anómalos, y casos_cerrados lista los casos de investigación que caen dentro de ella.

El modelo está configurado para entrenarse con todos los días de la ventana, sin excluir ninguno. Bajar el umbral de 80 a 20 haría sonar la alerta de esta cuenta, pero también la de casi todas las demás, y el equipo volvería a quedar sepultado en ruido. El problema nace en lo que se le dio de comer al modelo.