פיתוח GNN לזיהוי הונאות בגרף תנועות

GNN לזיהוי הונאות: היכן הכללים נכשלים

כלל סף מעריך עסקה בהתנתקות מההקשר: סכום גבוה מהמגבלה, סטייה חדה מפרופיל החשבון הרגיל, התאמה לרשימת פרטי תשלום חשודים. כל עוד ההונאה נראתה כפעולה גדולה אחת, זה הספיק. כשהתרמית מפוצלת לעשרות העברות קטנות בין חשבונות מקושרים, כל העברה בנפרד נראית תקינה — והכלל מפספס את הרשת כולה.

הקשרים בין החשבונות משוחזרים לפי סימנים עקיפים: מכשיר או כתובת כניסה משותפים, פרטי משיכה תואמים, תזמון מתואם של פעולות, שרשראות העברות דרך חשבונות מעבר (תיווך). כל סימן בנפרד אינו מפעיל התראה, אך יחד הם יוצרים אזור צפוף — תת-גרף שבו צפיפות הקשרים גבוהה באופן ניכר מהרקע. זיהוי הונאות כאן מצטמצם לחיפוש אחר אזורים כאלה, ולא אחר שורות בודדות ביומן.

GNN מתאימה למשימה ישירות: צמתים — חשבונות, מכשירים ומקבלים, קשתות — עסקאות עם התכונות שלהן. המודל מפיץ את התכונה דרך הקשתות ובמספר שכבות מצבר את סביבת הצומת, ולכן ההחלטה נשענת על מבנה הקשרים ולא על עסקה אחת.

מבחינה פורמלית זוהי סיווג צמתים וקשתות על גרף עסקאות, והוא עמיד בפני פיצול סכומים והחלפת פרטי תשלום.

הערך המעשי בפיצול התפקידים: כללי סף נשארים מסנן מהיר למקרים מפורשים ופועלים ללא השהיה, ואילו המודל מכסה את מה שהם אינם רואים מבחינה מבנית — קבוצות של חשבונות מקושרים, משיכות מניפה, "חימום" הדרגתי של חשבון לפני משיכה. בהמשך נפרט כיצד זה בנוי ברמת הנתונים, התיוג והאימון.

מה מוסיף המודל הגרפי להערכת סיכון עסקאות

בהערכת סיכון המודל הגרפי נשען לא על עסקה בודדת, אלא על סביבתה: מי שילם למקבל קודם, דרך אילו חשבונות כבר עבר הכסף, באיזו מהירות הסכומים מתפזרים לאורך השרשרת. לתרמית כמעט תמיד יש דפוס קשרים חוזר — הוא אינו נראה ברשומה אחת, אך מתגלה בתת-גרף במרחק שניים-שלושה צעדים ממנה.

GNN מאומן על תת-גרפים כאלה ומפיק ציון בנפרד עבור הצומת ועבור הקשת. על גרף העסקאות המתויג Elliptic ניכר היכן הרווח הגדול ביותר: עולה חלק התרמיות שזוהו בקרב פיצול סכומים, חשבונות מעבר ותשלומי מניפה — כלומר היכן שכללי הסף מפסיקים לעבוד, ואילו מבנה הקשרים נשאר מזוהה.

התראות השווא, לעומת זאת, יורדות: המודל מסתכל על ההקשר ולא על חריגה בסכום, ולכן תשלומים המוניים ותשלומי שכר מפסיקים להיראות חשודים. זמן התגובה מתקצר לחישוב מחדש של הציון על תת-הגרף המעודכן — ההחלטה מתקבלת בשלב האישור, ולא בסוף תקופת הדיווח.

עבור הצוות זה משנה לא רק את המדדים, אלא גם את מיון התור: לכל התראה ניכר אילו שכנים תרמו להערכת הסיכון, והעדיפות נקבעת לפי המבנה ולא לפי גובה הסכום. ציון כזה קל יותר להסביר גם בבירור האירוע וגם בדיווח לגורמים הבודקים.

GNN, כללים ומודלים קלאסיים: השוואת גישות

על גרף עסקאות הבחירה מצטמצמת לארבע סכמות: כללים, מודלים טאבולריים על אגרגטים, GNN והיבריד. הם נבדלים לא בדיוק, אלא בתנאי היישום — בהיקף ההיסטוריה המתויגת, בדרישות לשהיית ההערכה ובמידת הצורך של הרגולטור בהסבר לכל התראה.

בפועל, לרוב מנצחת הגישה ההיברידית. מדדי מבנה של הגרף — דרגת הצומת, מספר שכנים משותפים, זמן חיים של השרשרת, קרבה למקרים מאומתים — מחושבים מראש במאגר גרפי, למשל Neo4j, ונכנסים למודל הטאבולרי כתכונות רגילות. GNN מתחבר היכן שהסיכום מאבד מידע: הוא מעריך את תת-הגרף סביב הפעולה בשלמותו, ולא את האגרגט שלו.

כללים נותנים התראה מיידית וניסוח לבדיקה, המודל הטאבולרי מכסה מקרים סטנדרטיים המוניים, ו-GNN — את אלה שבהם ההחלטה תלויה בסביבה. אם החלק הגרפי טועה בתרמית נדירה, תרומתו מנותקת, וההערכה ממשיכה להתבצע בשני הקווים הראשונים — בלי לעצור את התהליך.

שלבי הטמעת מודל GNN במערכת לגילוי הונאות

הטמעת מודל גרפי רגישה לסדר העבודות: התחלה מהארכיטקטורה ולא מהתיוג מניבה מדגם מוטה ומדדים שאינם משוחזרים על הזרם החי. לכן הולכים מביקורת נתונים למסירת הקו, וקובעים בכל שלב תוצאה ניתנת לבדיקה.

1. ביקורת נתונים. בודקים שלמות שדות העסקאות, עומק ההיסטוריה, חלק ההונאות המאומתות והשהיה בין האירוע לתווית. תכונות הידועות רק לאחר בירור האירוע אינן נכנסות למודל.

2. תכנון הגרף. מחליטים מה הופך לצומת — חשבון, לקוח, מכשיר, פרטי תשלום — ואילו קשרים בונים ביניהם. קובעים חלונות זמן לצבירה ותכונות על הקשתות: מכשירים משותפים, מהירות העברה, החלפת פרטי תשלום.

3. הרכבת קו ההכנה. הזרם מרכיב מחדש את הגרף בכל חתך זמן לפי אותו היגיון כמו באימון: הפער בין מדגם האימון לזה העובדי נסגר כאן, ולא בניפוי.

4. אימון ותיקוף המודל. מחלקים את הנתונים לפי זמן, ולא באקראי. משווים את GNN לכללים הקיימים על אותם חתכים: בודקים כיסוי מלא בשיעור התראות שווא נתון ויציבות לאורך שבועות.

5. מצב צל. המודל מחשב הערכות במקביל למערכת העובדת, ההחלטות אינן מיושמות. רואים כמה התראות יתווספו לבירור הידני וכיצד מתפלגות ההערכות.

6. מסירה לתפעול. ניטור סחיפת תכונות, נוהל אימון מחדש, משוב מאנליסטים וחזרה לגרסה קודמת בהחלפה אחת.

חפצי הטמעה: סכמת גרף, מדיניות גישה, תיעוד

לאחר המסירה צריך להישאר לא מסווג מאומן אחד, אלא סט שלפיו הצוות מפתח את הפתרון בלי קבלן. רשת נוירונים גרפית (GNN) מאומנת על קשרים היסטוריים, ובלי תיאור הסכמה אי אפשר לשחזר אותה על נתונים חדשים. אם סעיף מהרשימה חסר — התקלה הראשונה או חילופי הרכב הצוות הופכים להשבתה ארוכה.

• סכמת גרף: סוגי צמתים (חשבונות, צדדים שכנגד, מכשירים, פעולות), סוגי קשתות וכיוונן, חלונות זמן לצבירה, כללים להופעה ולמחיקה של קשר
• חוזה תכונות: תכונות צמתים וקשתות עם נוסחאות חישוב, חלונות וטיפול בערכים חסרים — תכונה חדשה מתווספת בלי הרכבה מחדש של כל הסכמה
• מדיניות גישה: מטריצת תפקידים ברמת הישויות והתכונות, הפרדת קריאה וכתיבה, ביקורת גישות לקו הניקוד, בידוד שדות רגישים
• תיעוד המודל: ארכיטקטורה, היפרפרמטרים, גרסת נקודת ביקורת, מדדים על מדגם מושהה, כרטיס מגבלות — היכן המודל טועה באופן צפוי
• מערך בדיקות: בדיקות סכמת הגרף, מערך רגרסיה על תוויות היסטוריות, בקרת עמידות לסחיפת התפלגות, השוואת מדדים לפני פריסה
• נוהל אימון מחדש: טריגרים (גידול בחלק הקשרים החדשים, ירידה בכיסוי, סחיפת תכונות), תדירות, אחראים, סדר חזרה לגרסה קודמת
• מדריך תפעול: רשימת בדיקה להפעלה, אבחון תקלות אופייניות, נוהל חיבור מקור נתונים חדש ועדכון הגרף

מקרה בוחן: כיצד מודל גרפי צמצם התראות שווא

קו האנטי-פראוד פעל על כללי סף: מגבלות לחשבון, תדירות פעולות, התאמת מכשיר. מערך כזה סינן את המובן מאליו, אך לא ראה תרמית של עשרות העברות קטנות בין חשבונות מקושרים. שיעור התראות השווא עמד על כ-68%, ותור הבדיקה הידנית גדל מהר יותר משהאנליסטים הספיקו לטפל בו. שינוי הכללים דרש חלון אי-זמינות — בזמן הזה פעולות עברו בלי הערכת סיכון.

מה שינו

הרכיבו גרף עסקאות: צמתים — חשבונות, מכשירים, פרטי תשלום של מקבלים, קשתות — העברות והופעות משותפות עם חותמות זמן. רשת נוירונים גרפית (GNN) מעריכה את סביבת הפעולה בשלמותה ורואה את השרשרת, הפיצול והמניפה, שאינם ניתנים להבחנה לפי תכונות בודדות.

הכללים נשארו כמסנן ראשון, ורשת הנוירונים — כקול מכריע במקרים שנויים במחלוקת. דרישות PCI DSS לתיוג נתונים נלקחו בחשבון בשלב התכנון: בגרף נשמרות רק תכונות אנונימיות.

מה השתנה

בנפרד כוסו תרמיות שהכללים לא מצאו: העברות מעגליות בתוך קבוצת חשבונות, פיצול סכום מתחת לסף, תשלומי מניפה ממכשיר אחד. עדכון המודל מתבצע בלי עצירת הקליטה, וחזרה לגרסה קודמת — בתוך דקות.

מה לעשות אם מערכת גילוי ההונאות כבר מבוססת כללים?

כללים הם מומחיות מקובעת, ובחלק מהתרחישים הם מכסים לא פחות טוב מהמודל: ההחלטה מוסברת, מופעלת מיידית, ואינה דורשת חישוב מחדש של הגרף. אין צורך לשבור את הקו הזה כולו. הדרך המעשית — להציב את המודל הגרפי לצד הכללים ולהעביר לו בהדרגה את אותם מקרים שבהם הכללים כבר אינם מספיקים.

מתחילים במצב צל: המודל קורא את אותו זרם אירועים כמו הכללים, בונה גרף קשרים בין חשבונות, מכשירים ומקבלים ומפיק הערכת סיכון — אך אינו משפיע על דבר.

בדיקה על הזרם לאורך מספר שבועות מראה אילו תרמיות הכללים מפספסים: פיצול סכומים בין חשבונות מקושרים, שרשראות מעבר, זינוק בפעולות אצל צומת עם קשרים רדומים. בפלט — לא דוח, אלא רשימת אי-התאמות שעל פיהן מכווננים תכונות.

בהמשך — מעבר הדרגתי. תחילה מקבל המודל זכות להעלות את עדיפות הפעולה בתור הבדיקה הידנית, ואחר כך — לחסום רק את אותם מקרים שבהם הכללים שותקים, והערכת הסיכון גבוהה ויציבה. מגדילים את חלק התעבורה במנות, ובכל פעם משווים את הדיוק ושיעור התראות השווא לחתך הקודם, ולא לאידאל מוחלט.

חזרה לאחור נכללת מלכתחילה: ענף ההחלטה מוחלף בדגל קונפיגורציה, והתעבורה חוזרת לכללים במלואה — בלי הרכבה מחדש, אימון מחדש או עצירת השירות. בנפרד מתעדים מה רואה האנליסט: לכל התראה של המודל נשמר הסבר — אילו קשרים בגרף עוררו את חשדו.

תיוג, סחיפה והסברתיות: ספקות טכניים נפוצים

באנטי-פראוד התיוג א-סימטרי: מקרים מאומתים בודדים, והתווית מגיעה באיחור — תוצאת הבירור נודעת שבועות לאחר הפעולה.

רשת נוירונים גרפית (GNN) נשענת גם על תכונות הפעולה וגם על סביבת הצומת, ולכן הכול תלוי בתיוג ובאופן שבו מתווספים הקשרים. להלן — תשובות לספקות שנשמעים לפני ההתחלה.

כיצד לעקוב אחר סחיפת המודל?

מסתכלים משני צדדים: בצד הקלט — סוגי קשרים חדשים ושינוי בתדירות התכונות, בצד הפלט — ירידה בחלק האישורים בראש הרשימה. אימון מחדש מתבצע לפי טריגר ותמיד עם חזרה למשקלים הקודמים.

האם אפשר להסביר את החלטת המודל?

עבור הצומת מוצגים אילו שכנים ופעולות העלו את ההערכה: הבירור מקבל לא ציון, אלא נימוק עם קשרים קונקרטיים לבדיקה ידנית. אותה אטריבוציה חושפת גם היכן המודל טועה.

מה עם קשרים חסרים והטמעה בלי עצירה?

את הגרף בונים לפי החלון הזמין ואין משלימים קשתות בסינתטיקה — המודל מקבל תכונות של דלילות הסביבה. האיטרציות הראשונות מתבצעות במצב צל לצד הכללים, ויוצאים לפרודקשן לפי סטטיסטיקה מצטברת, עם ספים וחזרה לאחור.

נדון במשימה: אילו נתונים נדרשים להערכה

כדי שההערכה תישען על מבנה הגרף ולא על מילים כלליות, נדרש מינימום של נתוני פתיחה. להלן — מה שמספיק לתאר בשיחה או לשלוח כדוח; לפי מערך זה כבר ניכר אילו מדדים ברי-השגה, והיכן הנתונים יגבילו את הפתרון.

• סכמת גרף: מה משמש כצומת — חשבון, כרטיס, מכשיר, צד שכנגד — אילו קשרים נבנים ביניהם ובאיזה חלון זמן.
• היקף וזרם: כמה אירועים ביממה, איזה עומק היסטוריה זמין, כיצד נראים שיאי עומס. מכך תלוי אם מאמנים את המודל על מלוא הדוח או על מדגם.
• מקרים מאומתים: האם קיים תיוג הונאה, כיצד הוא נוצר — החזר תשלום לפי בקשה, בדיקה ידנית, פנייה של שירות התמיכה — ובאיזה איחור הוא נודע.
• תכונות: מה זמין בצמתים ובקשרים — סכומים, תדירות פעולות, גאוגרפיה, גיל הקשר, טביעת אצבע של המכשיר, זמן בין אירועים.
• גישות וסביבה: היכן הנתונים נמצאים, האם אפשר לפרוס בסמוך אימון ויישום של המודל, האם קיימת סביבת ניסוי עם מדגם אנונימי.
• התהליך הנוכחי: אילו כללים פועלים כעת, איזה חלק מההחלטות נמסר לאנליסט באופן ידני ואילו שגיאות ניכרות כבר בשלב זה.
• מגבלות: דרישות להסברתיות ההכרעה, מדיניות בנוגע לנתונים אישיים, השהיית תגובה מקובלת לעסקה.

לאחר קבלת אלה, אנו מרכיבים את הרכב המדגם, בודקים אותו למידת ההפרדה וחוזרים עם הערכה ותוכנית עבודה: שלבים, מדדי קבלה, סדר הטמעת GNN בזרם הבדיקות הנוכחי בלי לעצור את הכללים הפועלים.