2. 欺诈评分基础：常见欺诈类型与评分模型
在构建低延迟欺诈评分 API 之前，必须清晰理解业务层面对的欺诈形态以及评分技术的演进路径。本章从三类核心欺诈场景出发，引出评分卡与机器学习模型的基本原理，为后续 API 特征工程与模型部署奠定基础。
2.1 常见欺诈类型
欺诈行为在数字交易中呈现高度分化，但根据攻击目标与手法可归纳为以下三类高频场景：
| 欺诈类型 | 攻击目标 | 典型行为 | 业务影响 |
|---|---|---|---|
| 账户盗用 (ATO) | 用户账户凭证 | 撞库、暴力破解、Session 劫持 | 资金损失、用户信任崩塌 |
| 支付欺诈 | 交易链路 | 盗刷信用卡、虚假退款、三方支付绕过 | 拒付率上升、渠道风控处罚 |
| 薅羊毛 | 营销资源 | 批量注册、刷单、优惠券套利 | ROI 失真、资源浪费、真实用户被挤出 |
关键认知： 同一笔异常请求可能同时包含多种欺诈特征。例如，使用盗来的账户（ATO）进行大额支付（支付欺诈），同时叠加新客优惠券（薅羊毛）。评分 API 必须支持多维度特征融合。
2.2 欺诈评分卡：可解释的线性框架
评分卡是金融风控领域最经典的评分工具，核心思想是将多个特征通过权重线性组合映射为分数，再通过分数阈值判定风险等级。其优势在于高可解释性与监管合规。
2.2.1 评分卡数学形式
Score = Offset + Factor × (β₀ + β₁·x₁ + β₂·x₂ + … + βₙ·xₙ)- Offset：基准偏移，用于将分数映射到业务可读范围（如 300–850）。
- Factor：刻度因子，控制每单位 log-odds 变化对应的分数变化。
- β₀ … βₙ：逻辑回归系数，通过历史坏样本训练得到。
- x₁ … xₙ：经过 WOE 编码的特征变量。
2.2.2 评分卡 vs 规则引擎
| 维度 | 规则引擎 | 评分卡 |
|---|---|---|
| 决策方式 | 硬阈值 (if-else) | 连续分数 + 弹性阈值 |
| 特征数量 | 通常 < 20 条 | 20–50 个 WOE 变量 |
| 可解释性 | 极高 | 高（可回溯每个特征贡献） |
| 维护成本 | 规则膨胀后失控 | 需定期重新训练 |
| 延迟 | < 1 ms | 1–5 ms（含特征计算） |
架构建议： 在低延迟 API 中，评分卡通常作为第一层快速过滤。分数低于“拒绝阈值”直接拦截，高于“通过阈值”直接放行，中间分数段再送入复杂模型二次评估。
2.3 机器学习模型：从线性到非线性
当欺诈模式呈现复杂非线性关系（如设备指纹 + 行为序列 + 社交图谱）时，评分卡的线性假设不再足够。机器学习模型通过自动特征交互与高阶模式挖掘，显著提升召回率与准确率。
2.3.1 常用模型对比
| 模型 | 核心原理 | 延迟 (P99) | 可解释性 | 适用场景 |
|---|---|---|---|---|
| 逻辑回归 | 线性决策边界 + Sigmoid | < 1 ms | 高 | 基线模型、评分卡替代 |
| XGBoost / LightGBM | 梯度提升树集成 | 1–5 ms | 中（SHAP 可解释） | 结构化特征、高精度需求 |
| 深度神经网络 (DNN) | 多层感知机 / 注意力 | 5–20 ms | 低 | 序列行为、图像/文本特征 |
| 图神经网络 (GNN) | 消息传递 + 节点聚合 | 10–50 ms | 低 | 团伙欺诈、设备关联网络 |
延迟约束： 低延迟 API 通常要求 P99 响应时间 < 50 ms（含网络开销）。选择模型时必须将推理延迟作为第一优先级，必要时使用模型量化、ONNX Runtime 或 GPU 推理加速。
2.3.2 模型训练与上线流程
- 样本构建： 正样本（正常交易）与负样本（确认欺诈）按 10:1 到 100:1 采样，注意时间窗口避免数据泄露。
- 特征工程： 衍生统计特征（频次、均值、标准差）、时序特征（间隔、熵）、图特征（一度关联风险分）。
- 模型训练： 使用 AUC、KS、Recall@N 作为评估指标，交叉验证防止过拟合。
- 模型部署： 导出为 PMML / ONNX / Pkl 格式，加载到推理服务中。
- 在线监控： 实时追踪分数分布偏移、特征空值率、PSI（群体稳定性指标）。
2.4 评分 API 的核心指标
在进入 API 设计之前，必须统一衡量评分质量的业务与技术指标：
- 准确率 (Precision)： 拦截的请求中真实欺诈占比。过高会导致误杀，过低则漏放。
- 召回率 (Recall)： 真实欺诈中被拦截的比例。通常要求 > 90%。
- P99 延迟： 99% 的请求在多少毫秒内返回。低延迟 API 目标 < 50 ms。
- QPS (每秒查询数)： 单节点承载能力。需结合业务峰值设计水平扩展。
- PSI (群体稳定性指标)： 监控模型分数分布是否随时间偏移，PSI > 0.25 需触发重训。
实战经验： 在薅羊毛场景中，召回率比准确率更重要——漏放一个羊毛党可能造成数万元损失，而误杀一个真实用户可通过人工申诉补偿。评分 API 的阈值应随业务容忍度动态调整。