💳 Détecteur de Fraude Transactionnelle — Score d'Anomalie en Temps Réel

La forêt elle-même effectue ses coupures sur les quatre caractéristiques de façon aléatoire, exactement comme l'exige la forêt d'isolement, mais un diagramme de partition ne peut être tracé qu'en deux dimensions à la fois ; la visualisation projette donc un arbre représentatif sur le plan montant/vélocité. Les coupures effectuées sur les caractéristiques d'heure de la journée ou de catégorie de commerçant se produisent toujours à l'intérieur de cet arbre — elles ne tracent simplement pas de ligne visible dans cette projection 2D, car elles ne coupent pas les deux axes affichés. La dispersion des transactions récentes et leurs scores d'anomalie codés par couleur reflètent cependant le score complet à quatre caractéristiques, pas seulement les deux dimensions tracées.

Le curseur du nombre d'arbres définit combien d'arbres indépendamment randomisés sont moyennés lors du score de chaque transaction — davantage d'arbres réduit la variance du score au prix de plus de calcul, ce qui correspond au compromis réel que font les systèmes de fraude en exploitation entre latence et stabilité de la détection. Le curseur de vitesse du flux contrôle la rapidité d'arrivée des nouvelles transactions synthétiques ; la forêt est périodiquement reconstruite à partir d'un nouvel sous-échantillon aléatoire de la fenêtre de transactions récentes, ce qui correspond à la façon dont les forêts d'isolement en production sont réentraînées sur des fenêtres glissantes de données récentes plutôt que sur un unique lot historique fixe.

Chaque transaction entrante est notée par rapport à la forêt actuelle, et toute transaction dont le score d'isolement franchit le curseur de seuil est signalée. La simulation attribue également une étiquette de vérité terrain cachée à chaque transaction synthétique (selon qu'elle a été générée par le processus de dépense normale ou par l'un des générateurs de fraude/réseau de fraude injectés) uniquement pour que le panneau de statistiques puisse afficher en direct les comptages de vrais positifs, faux positifs et faux négatifs — le détecteur lui-même ne voit jamais cette étiquette, seulement les quatre caractéristiques numériques, exactement comme un véritable détecteur d'anomalies non supervisé opérant sur un trafic en direct non étiqueté.

Les systèmes de fraude par carte en production combinent généralement des détecteurs d'anomalies non supervisés comme les forêts d'isolement avec des modèles supervisés de gradient boosté entraînés sur des étiquettes de fraude confirmées, des moteurs de règles pour les schémas de fraude connus, et une analyse de réseau par graphe pour détecter les réseaux de fraude coordonnés entre de nombreuses cartes et commerçants. Cette simulation démontre la moitié non supervisée de forêt d'isolement de ce pipeline avec de véritables arbres à partition aléatoire et un score réel par longueur de chemin, mais sur des données synthétiques avec des générateurs réglés à la main plutôt que sur des milliards de transactions historiques réelles ; il convient donc de la considérer comme une démonstration de mécanisme montrant comment les forêts d'isolement isolent les valeurs aberrantes, et non comme un moteur de fraude de niveau production.