LogCDM: 행동 그래프 드리프트 및 적응형 신호 융합을 통한 해석 가능한 로그 이상 탐지

로그 기반 이상 탐지는 BERT 규모의 인코더부터 8B 파라미터 언어 모델에 이르기까지 대규모 사전 학습 모델이 지배하고 있으며, 이 모델들은 추론 시 GPU를 필요로 하고 로그가 생성되는 모니터링 노드에 배포하기 어렵습니다. 우리는 LogCDM이라는 간결한 탐지기를 제시합니다. 이 탐지기는 세 가지 보완적인 신호를 사용하여 각 로그 세션의 점수를 매깁니다: 작은 인과적 트랜스포머(causal Transformer)를 이용한 다음 이벤트 놀라움(next-event surprise), 세션 자체 전환 그래프와 정상 참조 그래프 간의 그래프 어텐션 임베딩 거리, 그리고 우리가 정확히 전환 커널(transition kernels) 사이의 빈도 가중 카이제곱 발산(frequency-weighted chi-squared divergence)임을 보여주는 전환 드리프트 통계입니다. 이 발산 뷰는 점근적 영 귀무 분포(asymptotic null distribution), 길이 표준화된 점수, 그리고 각 경보를 설명하는 에지별 분해(per-edge decomposition)를 산출합니다. 시그모이드 게이트(sigmoid gate)가 세 신호를 융합하며, 공유 공분산 가우시안 모델(shared-covariance Gaussian model) 하에서 이 게이트는 베이즈 사후 확률(Bayes posterior)이며, 그 학습된 가중치는 각 데이터셋이 어떤 신호에 의존하는지를 나타냅니다. LogCDM은 8.18.8M 파라미터로 구성되어 있으며 추론 시 GPU가 필요하지 않음에도 불구하고, 동일한 프로토콜 하에서 평가된 8.1B 파라미터 LLM 탐지기 및 모든 간결한 기준 모델(compact baselines) 대비 BGL에서 F1 점수 0.984 (HDFS), 0.870 (시간 순서로 분할된 BGL), 0.850 (Thunderbird)을 달성합니다. 또한 CPU에서 세션당 5.510.5 ms 만에 점수를 매깁니다. 제거 연구(Ablations) 결과, 구조적 신호들이 BGL과 Thunderbird에서는 F1 점수에 0.025~0.030을 추가하지만 HDFS에서는 거의 아무런 변화를 주지 않아, 학습된 융합 가중치와 일치함을 보여줍니다.