【技术分享】欺诈交易检测算法及实际应用

线上支付在人们的日常生活中起着越来越重要的作用。一个大型线上支付系统（如PayPal、微信支付和支付宝）每天有数以亿计的用户产生了海量交易事件。线上支付给人们带来了便利，随着网络环境的日益复杂，线上支付也面临着越来越多的挑战，其中一个关键挑战就是欺诈行为。因此，检测和防止欺诈交易的能力对于线上支付系统来说至关重要。

欺诈检测是非常具有挑战性的。首先，它不是一个简单的二分类问题，因为我们需要构建回归或是评分模型，设定一个阈值来区分欺诈和正常交易，然后可疑交易就会被阻断，线上交易平台也将通知相关用户。

欺诈交易如果产生了误报，不仅会降低交易成功率，还会降低用户体验。为了保护用户帐户，线上支付平台通常使用多种身份验证方法，这将额外产生大量开销。精准的数据驱动方法能够帮助平台降低成本。在本文中，我们将介绍应用于生产环境的数据驱动欺诈行为检测方法，并在特征工程和模型设计方面分享我们的经验。

特征工程（Feature Engineering）：传统的方法是构建基于用户静态特征（如交易量、交易频率等）的模型用于欺诈检测，但是静态特性只包含用户的历史数据，不能体现动态的用户行为数据。在这方面，我们不仅从用户档案中提取静态特征，还可以从他们最近的行为中提取动态特征。下文的实验证明，结合动态特征能够显著提高模型性能。

模型设计（Model Design）：通常来说，我们可以构建线性模型（如逻辑回归）、非线性模型（如深度神经网络）或树模型（如随机森林、梯度提升树）。对于线性或非线性模型来说，通常需要对特征进行处理（离散化等），然后再将特征输入模型。对于树模型，由于这类模型能够相应地分割数值，因此可以直接输入原始特征。这种特性及其强大的泛化能力让树模型在工业中得以广泛应用，而随机森林、梯度提升树是树的线性组合，其中可以从式（1）观察到，

其中，γi是第i棵树的权重，hi(x)是第i棵树的输出。在实际应用中，这些线性的权重永远无法达到最优，直到γ1，......，γi在引入第i+1棵树时仍保持不变。为了解决这个问题，一些研究人员将树模型作为转换特征的方法，并利用逻辑回归进一步学习，但是逻辑回归无法充分学习特征之间的联系，降低了欺诈检测系统的性能。因此，我们使用DNN学习树的权值（称为GBDT-DNN方法）。实验表明，包含动态特征的GBDT-DNN混合模型明显优于其他基线（baseline）。

总的来说，我们主要进行了以下工作：

我们将表示用户行为的动态特征用于欺诈检测；

我们提出了GBDT-DNN方法；

实验表明，我们的方法明显优于其他基线。我们将其实际应用于生产环境，并分享了相关经验。

在这一节，我们将介绍特征工程和模型设计的具体方法。

我们主要使用了两种类型的特征，一种是来自用户档案的静态特征，另一种是基于用户行为的动态特征。

静态特征：根据平台上用户的交易和购物记录，我们可以得到用户的相关特征，如工作场所、生活场所、信用评分（与FICO评分相似）、交易金额等，这些特征体现了用户的消费能力和消费习惯。由于欺诈行为往往是异常的交易数量或位置，因此我们在模型中使用这些特征。

动态特征：当用户使用平台的服务时，我们可以记录用户的使用情况。如图1所示，登录、查看账单、查看银行卡列表等行为将被记录在我们的数据库中。基于这些操作记录，我们可以了解用户正常的行为模式。

操作行为可以用一组时序数据来表示。我们使用以下方法处理这类数据：首先，统计用户行为数据。具体来说，就是用二元向量表示用户行为，其中向量的长度是行为的维数，每个维度的值表示是否发生对应行为。行为序列具有相同的点击行为，不同的序列反应了不同的交易状态。为了充分利用序列信息，我们使用N-gram特征（捕捉最多长度为N的序列）。我们发现，表示行为特征的二元向量相对其他特征具有较强竞争力，可以快速部署到工业规模的应用程序中。

在本节中，我们提出了GBDT-DNN混合模型结构：连接决策树和深层神经网络分类器的级联（concatenation），如图2所示。

在文献[3]中，增强决策树（Boosted Decision Trees）被证实能够有效转换一个实例的原始特征，然后利用其他模型，进一步提高模型的准确性。具体来说，将每棵已学习的树作为一个分类特征，其中的值被设置为当前实例下降的叶节点索引。因此，如果当前梯度提升树模型中有n棵树，那么转换的特征将在结构化向量x={ei1,......,ein}上给出(ei1表示第ik个dk维单位向量，dk等于第k棵树的叶节点数，ik表示叶节点的下标（index），其中当前实例陷入第k棵树）。这样的特征提取方法将不会对线上系统产生压力。在训练阶段，我们假定每个交易都已经用y∈{0,1}标注其是否为欺诈行为。最后，我们用转换特征训练DNN模型。

我们使用了5层全连接网络的DNN模型，在3个隐层中使用ReLU作为激活函数，在输出层使用了Sigmoid函数。另外，实验证明，更多层的DNN模型对于准确率并没有显著提升。

在这一节，我们将描述相关的实验步骤及结果。

在实验中，我们使用了一个来自真实线上支付平台的历史交易数据集。每个实例的特征包括在2.1节提到的交易信息、用户信息和用户行为的记录，除此之外，在动态特征方面，我们提取了用户最近两天的交互行为作为特征，如果交互次数大于200，我们将舍弃旧的交互信息，并且去除低频行为来提高高频行为在训练中的权重。最终，形成了273维的静态特征向量和2790维的动态特征向量。

为了进行严格可控的实验，我们准备了一个足够大的数据集，其中包括2016年5个月交易记录。为了模拟在线环境，我们根据时间戳将前三个月的数据被视为训练集，第四个月作为验证集，最后一个月作为测试集。我们注意到欺诈的样本太少而正常的样本太多，我们通过降低正常样本的采样来平衡两者的比例。数据大小的详细信息汇总在表1中：

为了验证GBDT-DNN和动态特征的效果，我们将现有的技术应用应用于我们的样本，并进行了比较：

LR：逻辑回归算法[1]

DNN：深度神经网络（with plain feature）

GBDT：梯度提升树

GBDT-LR：采用梯度提升树转换特征的逻辑回归算法

由于我们的数据集较大，我们在鲲鹏算法平台（类似于Pettum）上进行了所有实验（除LSTM算法）。针对GBDT，我们使用了400棵树，并每一棵树的最大深度限制为3个，从而覆盖更多的特征（及其相互关系），防止过拟合。DNN和GBDT-DNN具有相同的网络结构：3个全连接的隐层，其中隐层单元数分别为256、128、128，将ReLU作为激活函数，输出层使用Sigmoid函数，使用Adagrad作为优化求解器。

首先，我们所有的方法仅基于静态特征，使用RATP（Recall At Top Percent，最高召回率）评估算法的性能。RATP@ r表示包含前γ%预测得分的子样本集的召回率，实验结果见表2。

根据表2中的RATP，可以发现GBDT-DNN明显优于其他基线（在r取值为0.02，0.05，0.1时），这表明，GBDT-DNN能够显著提高RATP。对于线上支付平台的海量交易行为来说，任何微小的提升都能显著降低无法正常交易的用户数。

在这一小节，我们将检验行为特征对于检测结果影响的显著性。

首先，我们用AUC（Area-Under-Curve，曲线下面积）来评估表3中的方法。由于大多数交易都不是欺诈行为，所以基线的AUC得分相当高。相比GBDT，GBDT-DNN增加了0.08%以上的AUC得分。对AUC得分的微小改进就能防止大量欺诈交易。为了验证这一点，我们再次使用RATP评估进行评估，如表4所示。

根据表4中的RATP，在使用了行为特征后，所有的算法都有了较大的提升（0.9%-5%），GBDT-DNN模型仍优于所有其他的算法。

在这项研究中，我们展示了一个用于提取用户特征的系统方法，将用户档案和动态行为用于欺诈行为检测。我们进一步提出了GBDT-DNN来实现这个工作，并在一个真实的大规模数据集上进行了实验，验证了该模型的有效性。而我们的模型也被部署在一个大型线上支付平台。在未来，我们将试图使用一个统一模型自动从欺诈交易检测的原始数据中学习更高级特征。

[1] Galen Andrew and Jianfeng Gao. 2007. Scalable training of L 1-regularized loglinear models. In ICML.

[2] John Duchi, Elad Hazan, and Yoram Singer. 2011. Adaptive subgradient methods for online learning and stochastic optimization. JMLR (2011).

[3] Xinran He and et al. 2014. Practical lessons from predicting clicks on ads at facebook. In Proceedings of the Eighth International Workshop on Data Mining for Online Advertising.