Detecção de Anomalias em Transações: quando o normal deixa de ser normal
Imagine um sistema bancário analisando milhares de transações. A maioria seguirá padrões conhecidos: valores, horários e comportamentos compatíveis com o histórico.
Até que uma delas foge desse padrão.
A pergunta parece simples:
isso é uma fraude?
Nem sempre.
Uma anomalia é, antes de tudo, um comportamento que se distancia de determinado padrão. Transformá-la em uma conclusão sobre fraude exige contexto, evidências e critérios de decisão.
É justamente aí que Python, Ciência de Dados e Machine Learning podem contribuir.
O desafio começa no desbalanceamento
Em detecção de fraude, existe uma característica importante: normalmente, a classe de interesse é muito menor que a classe normal.
Isso cria uma armadilha conhecida.
Um modelo pode apresentar uma acurácia aparentemente excelente simplesmente por acertar a grande quantidade de transações legítimas, enquanto apresenta dificuldades justamente na identificação dos casos raros.
Por isso, métricas como Precision, Recall, F1-score e ROC-AUC podem fornecer uma visão mais útil do comportamento do classificador do que observar apenas a acurácia.
A pergunta deixa de ser:
“Quantas previsões o modelo acertou?”
E passa a ser:
“Como o modelo se comporta justamente onde o erro custa mais?”
O threshold também é uma decisão
Modelos de classificação podem produzir uma probabilidade ou pontuação associada a determinada classe.
Mas transformar essa pontuação em uma decisão exige um limite, o chamado threshold.
Alterar esse limite pode modificar o equilíbrio entre falsos positivos e falsos negativos.
Em um contexto bancário, isso importa bastante.
Uma operação legítima sinalizada incorretamente pode gerar atrito para o cliente. Uma operação fraudulenta não identificada pode representar outro tipo de risco.
Portanto, não existe apenas a pergunta:
“Qual modelo apresenta melhor desempenho?”
Também precisamos perguntar:
“Qual comportamento de decisão é adequado ao contexto?”
Machine Learning não é um oráculo
Existe uma tendência de tratar modelos de IA como se suas previsões fossem respostas definitivas.
Em segurança, essa abordagem pode ser perigosa.
Um modelo encontra padrões a partir dos dados utilizados em seu desenvolvimento. Ele não possui, por si só, compreensão completa do contexto operacional.
Por isso, uma classificação como “suspeita” não deveria ser interpretada automaticamente como sinônimo de “fraude confirmada”.
Essa diferença é fundamental:
anomalia ≠ fraude
Uma transação pode ser incomum sem ser maliciosa. Da mesma forma, uma transação pode parecer normal e ainda assim fazer parte de uma atividade fraudulenta.
Onde entra a explicabilidade?
Quando um sistema sinaliza uma transação, surge outra pergunta:
quais características contribuíram para essa decisão?
Técnicas de explicabilidade, como SHAP, podem ajudar a investigar a contribuição das variáveis para uma previsão.
Isso não significa que uma técnica de explicabilidade transforme automaticamente uma previsão em verdade.
Ela cria uma camada adicional de investigação.
Podemos sair de:
“o modelo sinalizou”
para:
“o modelo sinalizou e conseguimos investigar quais fatores contribuíram para essa previsão.”
Essa diferença é importante quando decisões automatizadas precisam ser auditadas, monitoradas ou questionadas.
E a perspectiva cyber?
Existe uma conexão interessante entre detecção de anomalias e Segurança da Informação.
Em um ambiente de segurança, o adversário também pode tentar aprender o comportamento dos mecanismos de detecção.
Isso levanta uma questão:
Se alguém conhece os padrões utilizados pelo detector, poderia tentar produzir um comportamento suficientemente parecido com o normal para não chamar atenção?
Esse problema aproxima Machine Learning de conceitos como monitoramento, análise comportamental, detecção de ameaças e segurança de sistemas de IA.
O desafio deixa de ser simplesmente construir um detector.
Passa a ser também pensar sobre como o detector pode falhar, ser enganado ou perder capacidade de generalização quando o ambiente muda.
Dados não substituem pensamento crítico
Python pode processar grandes volumes de dados.
Machine Learning pode encontrar padrões difíceis de observar manualmente.
Modelos podem ajudar a priorizar investigações.
Mas nenhuma dessas tecnologias elimina a necessidade de questionar os resultados.
Uma arquitetura de detecção madura precisa considerar dados, modelo, métricas, contexto, monitoramento e critérios de decisão.
Talvez essa seja uma das perguntas mais interessantes quando falamos de IA aplicada à segurança:
Se o modelo encontrou uma anomalia, o que exatamente sabemos — e o que estamos apenas inferindo?
Separar essas duas coisas é fundamental.
Porque detectar um comportamento diferente é apenas o começo.
O verdadeiro desafio é transformar uma anomalia em evidência útil para uma decisão responsável.
