非监督异常检测是一种用于在不依赖于已知异常标记示例的情况下识别数据中异常模式或离群点的技术。与需要已知正常和异常标记的训练数据的监督方法不同，非监督方法假定异常很少见且在统计上与大多数数据不同。其目标是检测数据底层结构或分布的偏差，例如意外的峰值、簇或孤立点。这在标记异常数据稀缺、获取成本高昂或可能随时间出现新型异常的场景中特别有用。
常用技术包括基于聚类的方法，如 K-means 或 DBSCAN，这些方法将相似数据点分组，并将远离簇中心或位于低密度区域的点标记为离群点。例如，在网络安全中，DBSCAN 可以通过将连接尝试稀疏的 IP 地址标记为可疑来识别异常流量模式。另一种方法是基于隔离的方法，如 Isolation Forest，它通过随机分割特征来隔离异常——异常需要更少的分割才能被隔离。自编码器（一种神经网络）也被使用；它们有效地学习重建正常数据，并将重建误差高的实例标记出来。在制造业中，在机器传感器数据上训练的自编码器可以通过识别与学习模式严重偏离的读数来检测有缺陷的产品。
然而，非监督方法也面临挑战。它们通常需要仔细调整参数（例如，距离阈值或簇大小），并且由于“正常”行为没有明确定义，可能会产生更高的误报率。例如，使用 Isolation Forest 的信用卡欺诈检测系统可能会将合法但罕见的交易标记为异常。为了缓解这个问题，开发人员通常将非监督结果与领域知识结合起来，或进行后续的手动检查。尽管存在这些权衡，非监督异常检测仍然是探索性分析的一个实用的第一步，尤其是在没有标记数据的情况下。诸如 Python 的 Scikit-learn（用于 Isolation Forest）或 TensorFlow（用于自编码器）等工具提供了这些技术的易于使用的实现，供开发人员进行实验。