4. 机器学习在AML中的应用概览
反洗钱（AML）体系的技术演进，本质上是一条从“人工经验驱动”走向“数据与模型驱动”的路径。理解这条路径上的五类核心方法——规则引擎、异常检测、监督学习、图神经网络、风险评分——不是为了记住名词，而是为了在调查员反馈闭环与模型再训练中，准确判断“当前问题该由哪一层解决”。本章将逐一拆解它们的原理、适用边界与协作关系。
一、核心原理：五类方法各自解决什么问题
规则引擎是最早也最稳定的防线。它把监管要求、内部政策和专家经验写成“如果……则……”的判定逻辑，例如“单笔现金交易超过5万元且当日累计超过20万元则触发预警”。规则引擎的优势是可解释、可审计、可追溯，监管沟通成本低；劣势是刚性、易被规避，且规则数量膨胀后误报率急剧上升。
异常检测属于无监督学习范畴，目标是在没有标签的情况下发现“与大多数样本显著不同”的行为。常用方法包括孤立森林、One-Class SVM、自编码器重构误差、聚类离群点等。它擅长发现新型、未知的洗钱模式，但输出的是“异常”而非“可疑”，需要调查员进一步定性。
监督学习依赖历史已标注的可疑/正常样本，训练分类模型（如逻辑回归、XGBoost、LightGBM）输出可疑概率。它的精度通常高于规则和异常检测，但强依赖标签质量与数量，且对概念漂移敏感——犯罪手法变化后，旧模型会迅速失效。
图神经网络（GNN）把账户、客户、设备、IP、交易等视为节点，把资金流、共用信息等视为边，通过消息传递聚合邻居信息，识别团伙化、层级化、循环化的洗钱网络。它弥补了单点模型“只看个体、不看关系”的盲区，是当前团伙洗钱识别的主流方向。
风险评分不是单一模型，而是一套融合层：将规则命中、异常分、监督模型概率、图风险传播结果等统一映射为0～100的客户或交易风险分，用于排序、阈值切分和资源分配。
二、方法流程：从原始交易到风险决策
一个典型的AML机器学习流水线可概括为以下步骤：
- 数据接入与清洗：整合核心银行系统、支付流水、KYC资料、外部名单，统一客户与账户主键，处理缺失与重复。
- 特征工程：构造金额统计、频次、时间窗口、对手方集中度、跨境比例、设备共用等特征。
- 分层建模：规则引擎先行过滤硬性红线；异常检测与监督学习并行打分；图神经网络在关系子图上输出团伙风险。
- 风险评分融合：按业务权重或学习型融合器合成总分，输出预警队列。
- 调查员反馈：调查员对预警标注“确认可疑/误报/需补充”，形成闭环标签。
- 模型再训练：将反馈标签回流至训练集，定期或触发式重训，并监控漂移。
下面是一段简化的风险评分融合配置示例，体现各层输出如何加权：
risk_score:
rule_hit_weight: 0.30 # 规则命中，强合规信号
anomaly_weight: 0.15 # 异常检测分，覆盖未知模式
supervised_weight: 0.35 # 监督模型概率，精度主力
gnn_weight: 0.20 # 图风险传播，团伙识别
threshold:
alert: 70 # 触发预警
review: 50 # 进入人工复核
feedback_loop:
retrain_cycle: 30d # 反馈标签积累周期
drift_monitor: psi > 0.2 # 群体稳定性指标告警
三、案例/场景：一笔跨境交易的联合判定
假设客户A在凌晨向境外新开户B转账80万元，B在10分钟内分散转给5个境内账户。各层模型表现如下：
| 方法层 | 输出 | 作用 |
|---|---|---|
| 规则引擎 | 命中“夜间大额跨境”规则 | 提供合规硬触发，保证不漏报 |
| 异常检测 | 金额与时段偏离该客户历史分布，异常分0.82 | 发现个体行为突变 |
| 监督学习 | 可疑概率0.76 | 基于历史相似案件给出精度判断 |
| 图神经网络 | A-B-5个账户构成快速分散子图，团伙风险0.88 | 识别结构化洗钱链路 |
| 风险评分 | 融合总分91，进入高优先级预警 | 统一排序，指导调查资源 |
调查员核实后确认为可疑交易，该标签回流后，监督模型与图模型均获得正样本，下一轮再训练时对“夜间跨境+快速分散”模式的识别能力增强。这就是反馈闭环的价值：每一次人工判断都在为模型补充真实世界的边界。
四、误区与复盘：常见认知偏差
- 误区一：模型越复杂越好。 若标签稀缺或质量差，复杂模型只会放大噪声。规则与异常检测在冷启动阶段往往更可靠。
- 误区二：把异常等同于可疑。 异常检测输出的是统计偏离，可能是正常业务波动。必须结合调查员反馈校准阈值。
- 误区三：忽视概念漂移。 洗钱手法随监管变化而演化，模型上线不是终点，需持续监控PSI、KS等指标并触发再训练。
- 误区四：反馈标签直接当训练标签。 调查员标注存在主观差异与抽样偏差，需做标签一致性校验与偏差校正，否则模型会继承人工偏见。
- 误区五：图模型只看结构不看业务。 图神经网络需与金额、频次、KYC风险等级等属性特征结合，否则容易把正常高频商户误判为团伙。
掌握这五类方法的定位与协作逻辑，是后续理解“反馈闭环如何驱动再训练”的前提。调查员反馈的质量、标签的回流路径、各层模型的贡献评估，共同决定了AML体系能否从静态规则走向持续进化的智能防线。