Как мы внедрили в продукт собственную foundation-модель для поиска аномалий

DivergentGPT — это первая foundation-модель, которую мы построили специально под поиск аномалий во временных рядах. Под foundation-моделью мы понимаем универсальную предобученную модель, которая сначала обучается на большом объёме разнообразных данных, а затем может применяться для решения широкого класса прикладных задач без необходимости создавать отдельную модель под каждый конкретный сценарий. Такой подход хорошо известен по большим языковым моделям (LLM), однако концепция foundation-моделей не ограничивается обработкой текста и может использоваться для работы с временными рядами, событиями безопасности, телеметрией и другими типами данных.

Идея простая: вместо предсказания одного следующего значения модель выдаёт распределение вероятностей по упорядоченным токенам, и по ширине этого распределения мы решаем, выглядит ли новое наблюдение нормальным или подозрительным. Это тот же приём anomaly detection by prediction, но с трансформером, который уже видел много разных временных рядов на этапе предобучения.

Для продакшена важны прежде всего размер модели и поверхность развёртывания:

• Foundation-модель для time-series anomaly detection. Предобучена на большом наборе реальных и синтетических рядов, поэтому хорошо обобщается на новые сигналы без отдельного обучения под каждый.
• Очень лёгкая. Около 0.05B параметров — примерно 30 МБ в BF16. На таких размерах GPU-бюджеты вообще не приходится планировать.
• Инференс прямо внутри ClickHouse через UDF. Это позволяет работать с данными сразу внутри базы без необходимости использовать дополнительные инструменты обработки, которые вносили бы значительные задержки во время анализа.

Последний пункт — это то, без чего вся затея в нашем масштабе не взлетела бы. Это позволяет работать с данными сразу внутри хранилища данных без необходимости использовать дополнительные инструменты обработки, которые вносили бы значительные задержки во время анализа.

В xBA уже есть рабочий слой поиска аномалий — он построен на статистическом алгоритме, который быстрый, понятный и отлично ловит подозрительное поведение, хотя всё же требует дополнительного анализа со стороны аналитика. Честная мотивация для добавления DivergentGPT была не в том, чтобы заменить этот алгоритм, а в том, чтобы дополнить его более интеллектуальной второй ступенью.

Статистические детекторы хорошо отвечают на вопрос «здесь что-то не так?», но у них почти нет памяти о том, как «не так» выглядит на тысячах других сигналов. У foundation-модели такая память есть. Поэтому интеграция получилась двухступенчатой фильтром:

DivergentGPT — это трансформер, и даже на 0.05B параметров его инференс на несколько порядков медленнее, чем подсчёт агрегатов в статистическом детекторе. Если попробовать использовать модель для анализа каждого события, она просто не успеет.

Но в роли второй ступени картина переворачивается. Поток кандидатов от статистического слоя уже узкий — это далеко не все события, а лишь те, которые алгоритм счёл подозрительными. И именно на этом узком потоке цена ошибки максимальна: каждый ложноположительный алерт срабатывает у аналитика и забирает его время. Уменьшение false-positive здесь напрямую конвертируется в сэкономленные часы людей и в более высокое доверие к системе в целом — аналитики начинают реагировать быстрее, когда привыкают, что алерт почти всегда означает реальную проблему.

То есть мы сознательно тратим больше процессорного времени на каждого кандидата, чтобы сэкономить значительно более дорогой ресурс — внимание аналитика xBA. Многоузловое исполнение в ClickHouse и UDF делают этот компромисс реально достижимым: модель работает прямо там, где лежат данные, параллельно по шардам, без лишних промежуточных преобразований.

Несколько свойств модели делают её именно фильтром, а не более дорогим дублёром статистического слоя:

• Внимание и более «интеллектуальный» анализ. Трансформер не просто сравнивает свежее значение со скользящим baseline-ом — он умеет учитывать паттерны из более ранней части окна, когда решает, насколько неожиданно текущее значение.
• Длиннее эффективное окно контекста. Окно, которое мы подаём в DivergentGPT, заметно длиннее того, с которым работает статистический алгоритм, и это позволяет модели замечать периодичности и медленные дрейфы, которые короткому окну просто не видны.
• Предобучение на разнообразных рядах. За счёт того, что во время pre-training модель видела много вариантов нормальных и аномальных значений, она устойчивее себя ведёт на сигналах, под которые её специально не настраивали.
• Специализация вместо универсальности. Благодаря тому, что DivergentGPT создавался под конкретный класс задач – поиск аномалий во временных рядах – он значительно компактнее универсальных LLM, требует меньше вычислительных ресурсов и может использоваться непосредственно в производственном контуре без выделенной ИИ-инфраструктуры.

Вместе это ровно то, чего ждёшь от «второго мнения» после быстрого статистического детектора.

Запуск в продакшен — это не финал, а начало той части, где появляется реальный фидбек. Продолжаем работу в следующих направлениях:

• Расширение окна контекста. Хотим увеличить длину окна, чтобы модель могла рассуждать над более длинной историей, не теряя точности.
• Динамический файнтюнинг. Дать модели подстраиваться под данные конкретного развёртывания, а не полагаться только на предобученные веса. Лёгкий CPU-friendly размер делает это вполне реалистичным.
• Анализ многомерных временных рядов. Сейчас DivergentGPT работает с отдельными сигналами. Логичный следующий шаг — научить её смотреть на коррелированные ряды совместно: большинство интересных аномалий в security-телеметрии заметнее всего на пересечении нескольких сигналов, а не внутри одного.

Пока же мы больше всего ждём, как модель поведёт себя на реальном трафике в Dataplan и что скажут аналитики, которые начнут с ней работать в xBA. Если у вас был опыт деплоя transformer-based детекторов рядом с потоковой базой — будет очень интересно услышать, что вас удивило в продакшене. Обычно именно там и живут самые интересные баги.