4. 传统欺诈识别方法回顾
在进入 Transformer 交易序列建模之前，有必要先回到起点：过去二十年，欺诈识别究竟是如何一步步从“人工写规则”走到“模型自动学习”的。理解这条演进路径，不是为了怀旧，而是因为今天很多线上系统仍然是规则、统计、机器学习与深度模型的混合体。只有知道每一代方法的假设、能力边界和失效场景，才能判断 Transformer 在序列欺诈识别中真正补上了哪一块短板。
一、核心原理：四代方法的假设差异
传统欺诈识别方法的演进，本质上是对“欺诈模式如何表达”这一问题的回答方式在不断升级。
- 规则引擎：假设欺诈模式可以被专家显式写成条件，例如“同一设备 5 分钟内下单超过 8 笔且金额均低于 50 元”。优点是解释性强、可审计、上线快；缺点是规则爆炸、维护成本高、对新型欺诈几乎无免疫力。
- 统计模型：假设正常行为服从某种分布，偏离分布即为异常。常用均值方差、Z-Score、卡方检验、贝叶斯评分等。它比规则更“软”，能给出风险分数，但仍依赖特征分布假设，对多峰、长尾、强时序依赖的交易数据拟合不足。
- 机器学习：假设欺诈模式可以从标注数据中自动学习。逻辑回归、决策树、随机森林、XGBoost、LightGBM 成为主力。它显著提升了非线性拟合能力，但高度依赖人工特征工程，且通常把每条交易视为独立样本。
- 深度学习：假设欺诈模式隐藏在原始序列与高维关系中，可以由网络自动提取。RNN、LSTM、GRU、CNN、Transformer 逐步引入，使模型能够直接建模用户行为序列、时间间隔和上下文依赖。
这四代方法并非简单替代关系，而是能力叠加关系。规则负责兜底与合规，统计负责快速筛查，机器学习负责主体评分，深度学习负责捕捉复杂序列模式。
二、方法流程：从规则到深度模型的典型链路
以支付交易反欺诈为例，一个典型的演进式系统通常包含以下流程：
- 数据接入：交易流水、设备指纹、登录日志、商户信息、历史标签。
- 规则层：命中黑名单、频次阈值、地理跳跃、金额突变等硬规则，直接拦截或转人工。
- 统计层：计算用户近 1 小时、24 小时、7 天的交易频次、金额均值、方差、偏离度。
- 特征层：构造滑窗统计、时间间隔、类别编码、图关系特征。
- 模型层：XGBoost 或 LightGBM 输出风险概率，LSTM/Transformer 输出序列级风险表示。
- 决策层：融合分数，按阈值分流为通过、复核、拦截。
下面是一个简化的规则与统计混合评分示例，用于说明传统方法如何落地：
def legacy_risk_score(txn, user_profile):
score = 0
# 规则层
if txn.device_id in blacklist:
score += 100
if txn.amount > user_profile.avg_amount * 5:
score += 30
if txn.count_5min > 8:
score += 25
# 统计层
z = (txn.amount - user_profile.avg_amount) / (user_profile.std_amount + 1e-6)
if z > 3:
score += 20
return min(score, 100)
这段代码体现了传统方法的核心特征：规则可解释、统计可量化，但特征和阈值都依赖人工设定。当欺诈者改变节奏、拆分金额、切换设备时，固定阈值很快失效。
三、案例与场景：同一笔交易在不同代方法下的判断
假设用户 A 在 10 分钟内产生 6 笔交易，金额分别为 48、49、50、47、49、48 元，设备为新设备，收货地址与常用地址不同。
| 方法代际 | 判断依据 | 输出 | 局限 |
|---|---|---|---|
| 规则引擎 | 频次未超 8 笔，金额未超阈值 | 通过 | 无法识别拆分小额规避 |
| 统计模型 | 金额偏离度低，频次略高 | 低风险 | 忽略设备与地址突变 |
| 机器学习 | 设备新、地址新、频次高组合特征 | 中高风险 | 依赖人工组合特征 |
| 深度学习 | 序列节奏异常、时间间隔过短、上下文突变 | 高风险 | 解释性弱，需大量序列样本 |
这张表说明：欺诈识别不是“越新越好”，而是“越能表达当前欺诈模式越好”。规则和统计在可解释与合规场景仍不可替代，深度模型则在复杂序列模式上具备明显优势。
四、误区与复盘：传统方法常见的四个坑
- 误区一：规则越多越安全。规则数量膨胀会带来冲突、误杀和维护黑洞。应定期做规则命中率与覆盖率复盘，淘汰低效规则。
- 误区二：统计阈值一劳永逸。用户行为分布会随季节、促销、业务变化漂移，阈值必须动态更新。
- 误区三：机器学习模型只看离线 AUC。欺诈场景中样本极度不平衡，且存在标签延迟。离线高 AUC 不代表线上低误杀。
- 误区四：深度学习直接替代全部旧系统。更现实的做法是分层融合：规则兜底、统计快速筛查、机器学习主体评分、深度模型补充序列风险。
复盘时重点看三类指标：拦截率、误杀率、漏杀率。任何一代方法都只能优化其中一部分，融合策略才是工程落地关键。
五、演进逻辑与 Transformer 的切入点
从规则到深度学习，演进主线是：从人工定义模式，到模型自动学习模式；从单条交易独立判断，到用户行为序列整体判断。传统机器学习虽然强大，但特征工程仍以滑窗统计为主，难以捕捉长距离依赖、不规则时间间隔和复杂交互。Transformer 的自注意力机制恰好补上了这一环：它可以直接对交易序列建模，动态衡量每笔交易与其他交易的相关性，从而识别“看似正常、组合异常”的欺诈模式。