1. 课程导入

反欺诈并不是一个新鲜话题，但“实时”二字正在彻底改变它的技术形态。过去，风控团队可以依赖T+1的离线报表、人工审核和事后追偿来管理欺诈风险；今天，支付、信贷、电商、社交、游戏等场景中的欺诈行为往往在毫秒级完成，黑产利用自动化脚本、设备农场、代理IP和AI生成内容，可以在几分钟内完成批量注册、盗刷、套现和洗钱。如果决策系统不能在交易发生前或发生瞬间给出判断，风控就只剩下“记录损失”的功能。

本课程围绕“规则与模型融合的实时反欺诈决策”展开，目标不是单独讲清楚某一条规则或某一个算法，而是帮助学习者建立一套可落地、可迭代、可解释的实时决策体系。第1章作为导入，先回答四个问题：反欺诈业务到底在对抗什么？实时决策为什么有价值？规则与模型为什么要融合？以及整门课的学习路径如何展开。

一、反欺诈业务背景：对抗的是“动态博弈”

反欺诈的本质不是静态分类，而是与黑产之间的动态博弈。黑产会观察风控策略，调整攻击方式；风控团队则根据新的欺诈模式更新规则和模型。常见的欺诈类型包括：

• 账户盗用：通过撞库、钓鱼、木马获取用户凭证，登录后盗刷或转移资产。
• 虚假注册与养号：批量注册账号，模拟正常行为养号，为后续营销作弊、刷单或诈骗做准备。
• 交易欺诈：盗卡支付、虚假交易、套现、洗钱，通常伴随异常设备、IP和收货地址。
• 营销作弊：薅羊毛、刷优惠券、虚假邀请，利用活动规则漏洞获利。
• 信贷欺诈：伪造身份、包装资料、团伙骗贷，申请阶段即需识别。

这些场景的共同点是：欺诈行为发生在业务链路中，决策窗口极短，且对抗性强。离线模型即使AUC很高，如果无法在实时链路中稳定输出，也无法阻止损失。

二、实时决策的价值：从“事后止损”到“事中拦截”

实时决策的价值可以用三个维度衡量：损失拦截率、用户体验和运营成本。离线风控通常只能做到事后标记，损失已经发生；实时风控则可以在支付、登录、申请等关键节点进行拦截、挑战或放行。

以支付场景为例，一笔交易从发起 to 完成可能只有几百毫秒。风控系统需要在这段时间内完成：事件采集、特征计算、规则匹配、模型打分、决策融合和动作执行。如果耗时超过阈值，要么阻塞交易影响体验，要么只能异步处理，失去拦截意义。

三、规则与模型融合的意义：互补而非替代

规则和模型各有优劣。规则由专家经验驱动，解释性强、冷启动快、可精准打击已知模式；但规则容易被绕过，维护成本高，且难以覆盖复杂非线性关系。模型由数据驱动，能捕捉高维特征交互，泛化能力强；但冷启动慢、可解释性弱、对数据漂移敏感。

融合的意义在于：用规则兜底确定性风险，用模型覆盖未知和复杂模式，用融合策略平衡拦截与误杀。例如，强规则可以直接拒绝；模型分数处于灰色区间时，触发二次验证；规则和模型都低风险时放行。这样既保证了实时性，又提升了整体决策质量。

维度	规则	模型	融合后的目标
响应速度	极快	依赖特征计算	规则前置，模型并行
可解释性	强	弱到中	规则解释+模型归因
泛化能力	弱	强	覆盖已知与未知
维护成本	高，需持续更新	中，需监控漂移	统一策略管理
冷启动	快	慢	规则先行，模型迭代

四、整体学习路径：从业务到工程闭环

本课程共30章，按照“业务理解—特征与规则—模型—融合决策—工程落地—复盘迭代”的主线展开。第1章建立全局认知；后续章节会逐步深入实时特征计算、规则引擎、模型训练与部署、融合策略、决策编排、监控告警和案例复盘。

学习路径可以概括为以下步骤：

1. 业务与风险定义：明确欺诈类型、决策节点和损失函数。
2. 数据与特征：实时事件采集、特征工程、特征存储与一致性。
3. 规则体系：规则表达、优先级、冲突处理和灰度发布。
4. 模型体系：离线训练、在线推理、模型监控与更新。
5. 融合决策：规则与模型的编排、分数校准、阈值优化。
6. 工程落地：低延迟架构、高可用、降级与容灾。
7. 复盘迭代：案件回捞、策略评估、对抗升级。

五、常见误区与复盘视角

在反欺诈实时决策中，初学者常陷入几个误区：

• 唯模型论：认为模型可以解决一切，忽视规则在冷启动和确定性拦截中的作用。
• 唯规则论：过度依赖专家规则，导致规则膨胀、冲突和维护困难。
• 忽视实时性：离线指标很好，但线上延迟高，无法拦截。
• 忽视对抗性：用静态测试集评估，忽略黑产会主动绕过。
• 忽视可解释性：拦截后无法向用户或监管解释，导致申诉和合规风险。

本章作为导入，已经勾勒出反欺诈实时决策的全景。接下来，课程将进入具体技术环节，从业务场景拆解开始，逐步构建规则与模型融合的实战能力。