Accueil › Glossaire › Anomaly Detection

Anomaly Detection (Détection d’Anomalies)

La détection d’anomalies (anomaly detection) est l’identification automatique de données, comportements ou patterns qui s’écartent significativement de la norme attendue, en utilisant des techniques de machine learning et de deep learning pour repérer les événements rares, inattendus ou potentiellement problématiques.

Une transaction bancaire inhabituelle, un capteur IoT qui dévie de ses valeurs normales, un pic de trafic réseau suspect, un défaut sur une pièce industrielle : autant de signaux qu’un système de détection d’anomalies doit identifier parmi des millions de données normales. En 2026, avec plus de 41 milliards d’appareils IoT connectés et des volumes de données qui explosent, la détection d’anomalies est devenue un pilier de la cybersécurité, de la maintenance prédictive, de la détection de fraude et du contrôle qualité industriel. Les architectures ont évolué des méthodes statistiques classiques vers des autoencoders, des Transformers et des modèles de fondation capables de détecter des anomalies complexes dans des données multivariées et multimodales.

Types d’anomalies

Anomalies ponctuelles (Point Anomalies)

Une valeur individuelle qui s’écarte fortement de la distribution normale. Exemple : une transaction de 50 000 € sur un compte qui ne dépasse jamais 500 €. C’est le type le plus simple à détecter et le plus courant dans les cas d’usage de fraude et de contrôle qualité.

Anomalies contextuelles (Contextual Anomalies)

Une valeur qui n’est anormale que dans un contexte spécifique. Exemple : une température de 30°C est normale en été mais anormale en janvier dans un datacenter à Paris. La détection nécessite de modéliser le contexte (temporel, spatial, situationnel) en plus de la valeur brute. Les séries temporelles sont le cas d’usage principal.

Anomalies collectives (Collective Anomalies)

Un ensemble de données qui, individuellement, semblent normales, mais dont la combinaison ou la séquence est anormale. Exemple : une séquence de petites transactions bancaires dans des pays différents en quelques minutes (chaque transaction est normale individuellement, mais la séquence est suspecte). C’est le type le plus difficile à détecter, car il nécessite de comprendre les relations entre les données.

Les trois paradigmes d’apprentissage

En pratique, l’approche semi-supervisée est la plus utilisée. La raison : les anomalies sont par définition rares et variées. Il est souvent impossible de collecter des exemples de toutes les anomalies possibles. En revanche, on dispose généralement de grandes quantités de données « normales ». Le modèle apprend la distribution normale, et tout ce qui s’en écarte significativement est signalé comme anomalie.

Méthodes classiques

Méthodes statistiques

Les approches les plus simples détectent les points qui s’écartent de la distribution statistique des données. Le Z-score identifie les valeurs à plus de N écarts-types de la moyenne. Les tests de Grubbs et les box plots détectent les outliers univariés. Le modèle gaussien multivariée (Mahalanobis distance) gère les corrélations entre variables. Ces méthodes sont rapides, interprétables, mais limitées aux distributions simples et aux anomalies ponctuelles.

Isolation Forest

Algorithme de machine learning non supervisé très populaire. L’intuition : les anomalies sont plus faciles à « isoler » que les données normales. L’algorithme construit un ensemble d’arbres de décision aléatoires. Les anomalies, étant rares et différentes, sont isolées en moins de partitions (profondeur faible dans l’arbre) que les données normales. Isolation Forest est rapide, scalable, et ne nécessite pas de définir la distribution des données. C’est souvent la première méthode testée sur un nouveau problème.

One-Class SVM

Un SVM (Support Vector Machine) entraîné uniquement sur des données normales. Il apprend la frontière de la distribution normale dans un espace de haute dimension. Les données qui tombent en dehors de cette frontière sont classées comme anomalies. Efficace sur des données de faible à moyenne dimension, mais ne passe pas bien à l’échelle sur les très grands volumes.

Approches deep learning

Autoencoders

L’architecture deep learning la plus naturelle pour la détection d’anomalies. Un autoencoder est entraîné à reconstruire ses données d’entrée. Entraîné uniquement sur des données normales, il apprend la distribution normale. Quand on lui présente une anomalie, l’erreur de reconstruction est élevée (l’anomalie ne correspond pas à ce que le modèle a appris), ce qui permet de la détecter.

Les variantes sont nombreuses. Les autoencoders variationnels (VAE) modélisent la distribution latente comme une gaussienne, permettant de quantifier l’incertitude. Les Denoising Autoencoders (DAE) ajoutent du bruit aux données d’entrée et apprennent à reconstruire les données propres, ce qui renforce la robustesse. Les LSTM-Autoencoders combinent autoencoders et LSTM pour les données séquentielles. Un travail de 2025 propose un bi-directional LSTM AE avec mémoire de travail pour capturer les dépendances temporelles longues dans la détection d’anomalies.

GAN (Generative Adversarial Networks)

Les GAN sont utilisés de deux façons en détection d’anomalies. Premièrement, le générateur est entraîné sur des données normales et on mesure la difficulté du discriminateur à distinguer les données réelles des données générées : les anomalies sont plus difficiles à reconstruire par le générateur. Deuxièmement, les GAN génèrent des exemples synthétiques d’anomalies pour enrichir les données d’entraînement (data augmentation), ce qui est particulièrement utile quand les anomalies réelles sont très rares. Un travail de 2026 combine un Adversarial Autoencoder (AAE) avec un Transformer amélioré pour la détection d’anomalies dans les réseaux électriques, atteignant un score FID de 28,4 avec une réduction de mémoire de 52,4 %.

Transformers

Les Transformers révolutionnent la détection d’anomalies sur les séries temporelles multivariées. Leur mécanisme d’attention capture les dépendances à longue portée entre différents capteurs ou variables, ce qui est essentiel pour détecter les anomalies collectives.

TranAD (2022) est un Transformer conçu spécifiquement pour les séries temporelles multivariées. Il utilise un encodeur-décodeur avec attention pour reconstruire les séquences temporelles. GTA combine Transformers et un graphe bidirectionnel pour modéliser les relations entre capteurs IoT, avec une propagation d’influence par convolution de graphe. TimesNet (2023) transforme les séries 1D en tenseurs 2D pour capturer les patterns temporels complexes.

Des travaux récents (2025-2026) appliquent les Transformers à des domaines variés : détection d’anomalies dans la télémétrie satellite (Acta Astronautica, jan. 2026), intrusion réseau sur appareils IoT contraints (Scientific Reports, oct. 2025 et fév. 2026), et détection de fraude énergétique dans les smart grids. Un modèle hybride Transformer-Spiking Neural Network (TASNN, Scientific Reports, fév. 2026) combine la modélisation contextuelle par attention avec une computation par impulsions neuronales à faible consommation d’énergie.

Graph Neural Networks

Quand les données ont une structure relationnelle (réseau de capteurs, graphe de transactions, réseau social), les GNN détectent les anomalies en modélisant les relations entre entités. Un capteur IoT dont le comportement diverge de ses voisins dans le graphe est signalé. Une revue systématique de 2025 recense 23 études utilisant des GNN pour la détection de menaces réseau, implémentant 19 types de modèles GNN différents sur 50 datasets distincts.

Modèles de fondation pour l’anomaly detection

La tendance émergente en 2025-2026 est l’utilisation de modèles de fondation pré-entraînés sur de larges corpus de séries temporelles pour la détection d’anomalies par fine-tuning ou inférence zero-shot. Ces modèles (généralement des Transformers ou des modèles de diffusion) capturent des patterns généralisables entre domaines. Leur avantage : efficacité sur les données limitées et généralisation cross-domain. Leurs limites : coût computationnel élevé, instabilité face aux perturbations d’anomalies, et absence de benchmarks standardisés.

Focus : anomaly detection sur séries temporelles

La détection d’anomalies sur séries temporelles est le cas d’usage le plus étudié et le plus exigeant. Les données sont séquentielles, multivariées (dizaines à centaines de capteurs), et les anomalies peuvent être ponctuelles (un pic), contextuelles (une valeur normale dans un contexte anormal) ou collectives (une dérive progressive).

Les architectures dominantes en 2026 :

Applications par domaine

Cybersécurité et détection d’intrusions

Les systèmes de détection d’intrusions (IDS) basés sur les anomalies identifient les comportements réseau inhabituels : scans de ports, exfiltration de données, mouvements latéraux, attaques DDoS. Contrairement aux IDS basés sur des signatures (qui ne détectent que les attaques connues), les IDS par anomalie peuvent détecter des attaques inédites (zero-day). Les modèles BERT et DistilBERT fine-tunés pour l’analyse de trafic réseau atteignent des performances élevées sur CICIDS2017. Le dataset CICIDS2017 (5,6 millions d’entrées, 80 features) est le benchmark le plus utilisé.

IoT et maintenance prédictive

Avec plus de 41 milliards d’appareils IoT prévus d’ici 2026, la détection d’anomalies dans les flux de capteurs est critique. Les capteurs de température, vibration, pression dans les machines industrielles génèrent des téraoctets de données. Une dérive subtile peut signaler une défaillance imminente. Les LSTM-Autoencoders sont particulièrement adaptés car ils capturent les patterns temporels normaux de chaque capteur. Les datasets NASA SMAP (Soil Moisture Active Passive) et MSL (Mars Science Laboratory) sont les benchmarks de référence pour la maintenance prédictive aérospatiale.

Finance et détection de fraude

La détection de fraude est un cas d’usage majeur de l’anomaly detection. Les transactions frauduleuses sont par définition des anomalies par rapport aux transactions légitimes. Les défis spécifiques sont le déséquilibre extrême des classes (moins de 0,1 % de fraude) et l’évolution constante des techniques de fraude. Les GNN sont particulièrement efficaces car ils modélisent les réseaux de transactions (qui envoie de l’argent à qui, quand, combien).

Santé

Détection d’anomalies dans les signaux physiologiques (ECG, EEG), dans les dossiers médicaux électroniques (patterns inhabituels de prescriptions), et dans les données d’imagerie médicale. Les GNN et les Transformers sont utilisés pour détecter les anomalies dans les réseaux de données hospitalières. La détection précoce d’arythmies cardiaques par anomaly detection sur ECG peut sauver des vies.

Contrôle qualité industriel

La détection de défauts visuels sur les produits manufacturés utilise la computer vision et les autoencoders. Le dataset MVTec AD est le benchmark de référence pour cette tâche. Le modèle est entraîné sur des images de produits normaux et détecte les défauts (rayures, bosses, décolorations) par erreur de reconstruction élevée.

Réseaux électriques et smart grids

La détection d’anomalies dans les smart grids identifie les fraudes à l’énergie (manipulation de compteurs), les pannes de réseau et les cyberattaques sur l’infrastructure. Les données sont fortement déséquilibrées et les séquences temporelles sont longues. Le modèle hybride Transformer + Adversarial Autoencoder (2026) avec attention LSH et Focal Loss avec température atteint un AUPRC de 0,837 sur le dataset SGSC, avec une réduction de mémoire de 52,4 %.

Défis et limites

Déséquilibre des classes. Les anomalies sont rares par définition (souvent moins de 1 % des données). Les modèles supervisés classiques échouent car ils apprennent à prédire « normal » par défaut. Les solutions incluent le sur-échantillonnage (SMOTE, ADASYN), le sous-échantillonnage, les fonctions de perte pondérées (Focal Loss), et les GAN pour la génération d’anomalies synthétiques.

Évolution des patterns (concept drift). Ce qui est « normal » change avec le temps. Le trafic réseau de 2026 est différent de celui de 2024. Les modèles doivent être mis à jour régulièrement ou conçus pour s’adapter de façon incrémentale. Les modèles de fondation pré-entraînés offrent une meilleure résilience au concept drift grâce à leur généralisation cross-domain.

Faux positifs. En production, un taux de faux positifs élevé rend le système inutilisable : les opérateurs se lassent des fausses alertes et finissent par les ignorer (« alert fatigue »). Le réglage du seuil de détection est un compromis permanent entre sensibilité (détecter toutes les anomalies) et précision (minimiser les fausses alertes). Les métriques comme l’AUPRC (Area Under Precision-Recall Curve) sont plus informatives que l’AUC-ROC pour les données déséquilibrées.

Explicabilité. Quand un modèle signale une anomalie, les opérateurs veulent savoir pourquoi. Un autoencoder qui dit « erreur de reconstruction élevée » n’est pas suffisamment informatif. Les techniques d’explicabilité (SHAP, LIME, attention visualization) et les approches basées sur des knowledge graphs (reinforcement learning sur graphe de connaissances) aident à rendre les décisions interprétables.

Contraintes embarquées. Sur les appareils IoT à ressources limitées (capteurs, microcontrôleurs), les modèles doivent être légers. La quantification, la distillation de modèles, et les architectures hybrides Transformer-Spiking Neural Network (TASNN) offrent des pistes pour réduire la consommation d’énergie tout en maintenant les performances.

Verdict

La détection d’anomalies est l’un des cas d’usage les plus polyvalents et les plus impactants du machine learning. Elle touche tous les secteurs : cybersécurité, finance, industrie, santé, énergie, IoT. Sa particularité est de devoir fonctionner avec très peu d’exemples d’anomalies (voire aucun), ce qui en fait un terrain privilégié pour l’apprentissage non supervisé et semi-supervisé.

En 2026, les autoencoders restent la brique de base la plus fiable, mais les Transformers gagnent rapidement du terrain grâce à leur capacité à capturer les dépendances longues et les relations multi-capteurs. Les modèles de fondation pré-entraînés promettent une détection zero-shot, mais leur déploiement en production reste limité par les coûts et l’absence de benchmarks standardisés.

Pour un développeur, le meilleur point d’entrée est d’implémenter un autoencoder sur un dataset public (NASA SMAP pour les séries temporelles, MVTec AD pour la vision, CICIDS2017 pour le réseau), de mesurer les performances par AUPRC, puis de tester des architectures plus avancées (LSTM-AE, Transformer) pour évaluer le gain marginal sur votre cas d’usage spécifique. La méthode la plus simple qui fonctionne est souvent la meilleure en production.