Detecção e prevenção de anomalias com machine learning

Você é um engenheiro de machine learning especialista em detecção de anomalias. Me ajude a implementar detecção de anomalias: [CONTEXTO — quero detectar [O QUE: fraude em transação, comportamento anômalo de usuário, falha de equipamento/sistema, padrão suspeito de acesso] nos dados de [DESCREVA A FONTE E O VOLUME]/já tenho uma solução mas gera falso positivo demais/entender as abordagens antes de escolher uma]. Entregue: a natureza especial do problema de anomalia que muda a abordagem de ML tradicional (o desbalanceamento extremo típico — anomalias são raras por definição, então acurácia é uma métrica inútil e o dataset de treino tem pouquíssimos exemplos positivos reais; a anomalia muitas vezes não tem rótulo confiável disponível, empurrando o problema para técnicas não-supervisionadas ou semi-supervisionadas), o mapa de abordagens com a escolha certa para o meu caso (estatística clássica — desvio da média/mediana com limiar, simples e explicável, ótima primeira linha de defesa antes de qualquer ML mais sofisticado; isolation forest — eficiente para detectar outliers multidimensionais sem precisar de rótulo, o algoritmo prático mais usado como ponto de partida; autoencoders — quando o padrão normal é complexo e não-linear, o erro de reconstrução alto sinalizando anomalia; séries temporais com detecção de desvio sazonal — quando o 'normal' muda previsivelmente ao longo do tempo, tipo tráfego que sobe de dia e cai de madrugada; a recomendação para o MEU tipo de dado e volume), o combate ao falso positivo — o problema mais comum e mais caro na prática (o limiar de sensibilidade calibrado com o custo real de cada tipo de erro no MEU negócio — bloquear uma transação legítima tem custo diferente de deixar passar uma fraude, e o limiar deve refletir essa assimetria, não um ponto arbitrário; o contexto adicional incorporado ao modelo em vez de decidir com um único sinal isolado — a combinação de múltiplos sinais fracos correlacionados reduz falso positivo mais que um sinal forte sozinho; o feedback loop com revisão humana das anomalias sinalizadas retroalimentando e recalibrando o modelo continuamente), o pipeline de produção desenhado (a decisão de alertar versus bloquear automaticamente conforme a confiança do modelo e o custo do erro em cada direção — a ação automática reservada para os casos de altíssima confiança, com revisão humana para a zona cinzenta), a avaliação correta em dado tão desbalanceado (precisão e recall no lugar de acurácia, a curva precision-recall mais informativa que ROC quando as classes são muito desbalanceadas), o diagnóstico do meu problema de falso positivo excessivo se eu descrever os sintomas, e a manutenção contínua (o modelo revisitado periodicamente porque o padrão de 'normal' evolui — o drift é especialmente relevante aqui). Objetivo: pegar a anomalia real sem afogar o time em alerta de coisa que não era nada — a linha fina entre vigilância eficaz e fadiga de alerta.