Zdrowotna detekcja w czasie rzeczywistym: Jak maszynowe uczenie ocenia transakcje w milisekundach

Dlaczego stałe zasady nie są skuteczne w detekcji fałszu

System tradycyjny oparty na zasadach flaguje transakcje przeciwko ustalonym prógów — np. wszystko powyżej określonego kwoty jest flagowane do sprawdzenia. Ten system złapuje tylko wzory, które ktoś jasno przewidział i zakodował, co prowadzi do regularnej utraty nowych technik fałszu, podczas gdy generuje dużą ilość fałszywych pozycji (false positives) dla prawdziwych transakcji, które przypadkiem przekraczają pewien ustalony próg. Provider płatności działający jedynie z opartym na zasadach detekcji może zobaczyć około 5% wszystkich transakcji flagowanych jako podejrzane, a większość tych flag — często 95% lub więcej — okazuje się być całkowicie prawdziwymi zakupami. Autentyczny fałsz, który nie pasuje do znanych wzorów zasad, ucieka i często nie jest złapany przez kilka dni, co oznacza, że środki są już zwykle przekazane.

Złożone koszty nie ograniczają się tylko bezpośrednich strat ze względu na fałsz. Każdy fałszywy pozycji generuje wywołanie do obsługi od frustrowanego klienta, a znacząca część tych klientów przerzuca karty po tym, jak zostaną zmuszone do płatności — przekształcając system zapobiegający fałszowi w źródło utraty klientów.

Oceńanie w czasie rzeczywistym: model jako silnik prawdopodobieństwa fałszerstwa

Zamiast binarnego oznaczenia, alternatywny model maszynowego uczenia ocenia każdą transakcję w chwili jej podania, produkcjonując prawdopodobieństwo fałszerstwa z zakresu od 0 do 1. Transakcje są następnie przekierowywane odpowiednio: prawdopodobieństwa powyżej wysokiego próg spowodują automatyczną blokadę, a prawa wartości przekierowane są na przegląd manualny, pozwalając jednocześnie na dalsze przetwarzanie transakcji. Transakcje o niskim prawdopodobieństwie są zatwierdzane natychmiast i cicho. Ponieważ ta ocena musi odbywać się w ramach strumienia płatności, opóźnienie ma taką samą wagę co dokładność — pipeline oceńcy typowo musi podać decyzję w ciągu mniej niż 100 milisekund, co prowadzi do architektury skierowanej ku wcześnie wyliczonym cejom dostarczonym z szybkiego magazynu pamięciowy, a nie drogim zapytaniom obliczanym na bieżąco dla każdej transakcji.

Rodziny cech, które regularnie przekazują sygnał, obejmują cechy poziomu transakcji (kwota, kategoria handlowa sprzedawcy, godzina dnia, czy karta była fizycznie obecna), odchylenie bieżącej transakcji od średniej i typowej zmienności tej konkretnego klienta, cechy szybkości (ile transakcji i ile całkowitej wartości nastąpiło dla tego konta w ciągu ostatniej godziny — impuls aktywności jest jednym z najsilniejszych indywidualnych sygnałów fałszerstwa), oraz flagi zmian lokalizacji, gdy geolokalizacja transakcji nagle się zmienia od patternu klienta w ostatnim czasie.

Obsługa ekstremalnej nierównowagi klas

Kraudezja jest rzadka — w praktyce zwykle poniżej 1% transakcji, często nawet blisko kilku setnych procent — co sprawia, że to jest poważnie niezbalansowane zadanie klasyfikacji. Model uczony na podstawie takich danych może osiągnąć de facto wysoką dokładność bezwzględną, przewidując „nie kraudezja” dla każdej transakcji, ponieważ ta odpowiedź jest prawidłowa w większości przypadków, choć jest bezużyteczna dla rzeczywistego zadania. Dwa standardowe metody przeciwstawiące się temu problemowi obejmują nadprzygotowanie sztuczne klasy mniejszej (fraud) podczas uczenia, aby dać modelowi więcej przykładowych przypadków dodatnich do nauki, oraz bardziej powszechny dla modeli opartych na drzewach, parametr wag klasy, który kary to przegubne przypadki kraudezji o wiele cięższej niż fałszywe ostrzeżenia podczas uczenia, bez zmiany podstawowej rozkładu danych.

Ewaluacja musi być dostosowana — dokładność bezwzględna jest prawie nieistotna dla danych tak niezbalansowanych, więc krzywe precyzji i odnosnej czuciwości stają się głównym narzędziem do wyboru próg działania. Popularnym celem jest coś w rodzaju 90% czuciwości (wykrywanie 90% rzeczywistej kraudezji) przy najwyższej możliwej precyzji na tym poziomie czuciwości, z exact tradeoff ustawionym świadomie w oparciu o stosunkowe koszty przegubnego przypadku kraudezji w porównaniu do fałszywego ostrzeżenia dla konkretnego biznesu.

Odwzajemnione tradeoffi: stopień odnalezienia versus fałszywe pozytywy

Porównanie detekcji opartej na zasadach i bazującej na maszynowym uclezeniu wskazuje na poprawę jednocześnie na obu osiach, co jest niezwykłe — zazwyczaj łapanie większej liczby fałszywych transakcji oznacza przyjmowanie większej liczby fałszywych pozytywów. Ale dobrze przewidziana modelica maszynowa może poprawiać oba jednocześnie, ponieważ używa znacznie więcej informacji na podstawie decyzji niż stałe zasady kiedykolwiek mogłyby. Przykładowy przed/po: detekcja oparta na zasadach łapie prawie 60% prób fałszywych transakcji, jednocześnie oznaczając około 5% wszystkich legitymanych transakcji jako fałszywe pozytywy, a model maszynowy bazujący na uclezeniu detekcyjnym łapie bliżej 90% fałszywych transakcji, jednocześnie oznaczając poniżej 1% legitymanych transakcji. Przez odnalezienie wyższej liczby prób fałszywych unikane straty z fraudą są zwykle mniejsza połowa całkowitego korzystnego wpływu — większa połowa często wynika ze znacznej zmniejszenia fałszywych pozytywów, zarówno przez niższe koszty operacyjne związane z wsparciem, jak i znaczący obniżone zrzucenie klientów ze względu na legitymane zakupy, które są nieprawidłowo zablokowane, co z czasem kompensuje się poprzez wzrost wartości życia klienta.

Eksplikowalność: Wartości SHAP dla każdej decyzji

Każda decyzja dotyczące fałszu, która zablokuje prawidłową transakcję lub zostanie później poddana kontroli, wymaga przekonującej interpretacji, zarówno w celu przeglądu przez internego analistę ds. fałszu, jak i dla odpowiedzialności regulacyjnej. Wartości SHAP (SHapley Additive exPlanations) rozkładają wynik oceny fraudulencyjnej transakcji na wkład każdego z cech wejściowych, tworząc wyjście w formie: „prawdopodobieństwo fraudu tej transakcji wynosi 87%, a jest ono przede wszystkim spowodowane atypicznym odchyleniem od typowego wzoru pożyczeń klienta, czasem wystąpienia transakcji w nocy i zmianą lokalizacji od ostatnich aktywności klienta, co częściowo jest zastąpione faktem obecności karty fizycznej”. Podobne podział na poszczególne decyzje pozwala analistom fraudowi szybko potwierdzić lub nadpisać wywołanie modelu, a to jest co sprawia, że system jest audytowalny, gdy klient odmawia blokady transakcji, zamiast modelu działać jako niezrozumiała skrzynka czarna.

Tworzenie warstwy operacyjnej dla ekspertów

System produkcji do detekcji fałszu nie jest tylko modeliem — potrzebuje panelu operacyjnego monitorującego dzienną ilość transakcji, liczbę i tempo zablokowanych i oznaczonych jako podejrzane, rozkład średniej oceny fałszywości oraz opóźnienie w ocenie, aby ekspert złośliwych działań mógł wykryć obniżoną skuteczność systemu lub zmiany w wzorcach fałszywości w czasie prawie rzeczywistym. Ponieważ techniki złośliwych działań ewoluują, podstawowy model sam musi okresowo ponownie trenować się na najnowszych danych, a nie być wdrożony raz i pozostawiony statyczny — model treningowy wykorzystujący tylko wzorce fałszywości z poprzedniego roku postępuje powoli do niewystarczającego poziomu skuteczności, ponieważ kryminalcy dostosowują się do tego, co i co nie jest zauważane przez obecny system, dlatego ciągłe monitorowanie rozkładu oceny oraz okresowe ponowne treningi są traktowane jako część kosztów operacyjnych systemu, a nie jednorazowego zadania utrzymania.

Często zadawane pytania

Wypróbuj na żywo

Wszystko powyżej działa bezpośrednio w Twojej przeglądarce — otwórz Real-Time Fraud Detection Scoring Lab i zmieniaj parametry podczas działania. Nic nie jest instalowane ani przesyłane na serwer, cały model działa w jednej karcie.