🕵️ Détecteur de fraude aux sinistres d'assurance — Isolation Forest en direct

Le nombre d'arbres fixe la taille de l'ensemble : davantage d'arbres moyennent le caractère aléatoire des choix de division de chaque arbre individuel, produisant un score d'anomalie plus lisse et plus stable au prix d'un calcul plus important, bien que l'article original ait constaté que les scores se stabilisent généralement autour de 100 arbres. La taille du sous-échantillon contrôle à partir de combien de points chaque arbre individuel est développé ; de petits sous-échantillons (l'article recommande 256) sont délibérément utilisés car les isolation forests reposent sur le fait que chaque arbre ne voit qu'une petite tranche de données résistante à la submersion — de grands sous-échantillons laissent les points normaux s'agglutiner autour des anomalies et les masquer, augmentant le nombre de divisions nécessaires pour isoler un véritable point aberrant et affaiblissant le signal.

Les sinistres frauduleux injectés dans cette simulation sont tirés de distributions délibérément différentes — déposés quelques jours après le début de la police plutôt qu'après une ancienneté normale, avec des montants de sinistre inhabituellement élevés, et de la part de souscripteurs à fréquence de sinistres élevée. Cette combinaison pousse les sinistres frauduleux vers les bords de l'espace des caractéristiques à trois dimensions où les sinistres authentiques atteignent rarement, de sorte que presque toute division aléatoire a de bonnes chances de séparer immédiatement un point frauduleux du reste de la foule. Les sinistres authentiques se regroupent densément autour de montants typiques, d'une ancienneté typique et d'une faible fréquence de sinistres, donc beaucoup plus de divisions aléatoires sont nécessaires avant que l'un d'eux ne se retrouve seul dans sa propre partition, ce qui explique précisément pourquoi l'histogramme montre les sinistres frauduleux se regrouper à des scores d'anomalie plus élevés.

Le curseur fixe quelle fraction de la population de sinistres simulée est réellement frauduleuse, régénérant une nouvelle population à chaque déplacement. Dans les déploiements réels, le paramètre de contamination est généralement une estimation préalable d'un analyste du véritable taux de fraude dans un portefeuille, utilisée uniquement pour choisir un seuil de score afin de signaler des sinistres pour enquête — par exemple, signaler les 5 % de scores d'anomalie les plus élevés si une contamination de 5 % est supposée — plutôt que d'être injectée dans le processus de développement des arbres lui-même, puisque l'entraînement d'Isolation Forest ne voit jamais d'étiquettes de fraude. Cette simulation expose directement la même idée : le véritable nombre de fraudes n'est connu ici que pour noter la précision du détecteur, pas pour le construire.

Un classifieur supervisé (régression logistique, arbres à gradient boosté, réseau de neurones) a besoin d'un ensemble d'entraînement de sinistres déjà confirmés comme frauduleux ou authentiques, apprend la frontière qui sépare le mieux les deux classes connues, et ne peut reconnaître que des schémas de fraude qui ressemblent à ce qui lui a été montré. Isolation Forest n'a besoin d'aucune étiquette : il demande seulement si un point est facile ou difficile à isoler du reste des données qu'il voit, ce qui signifie qu'il peut signaler des schémas de fraude réellement nouveaux qui ne sont jamais apparus dans aucun jeu d'étiquettes historique. En pratique, de nombreux pipelines de fraude réels utilisent les deux : un détecteur non supervisé comme celui-ci fait remonter des candidats pour enquête, et les résultats confirmés alimentent ensuite un modèle supervisé entraîné spécifiquement sur les schémas que les enquêteurs ont vérifiés.