AI-агенты в банках: как ИИ считает скоринг и ловит мошенников

Банковский скоринг и антифрод давно работают на машинном обучении: градиентный бустинг оценивает риск дефолта, а правила и модели считают вероятность мошенничества по каждой транзакции. Новое — это переход от одной обученной модели к связке из нескольких компонентов, где языковая модель выступает оркестратором: сама решает, каких данных не хватает, дёргает нужные сервисы, объясняет решение текстом и передаёт его следующему шагу. Такую конструкцию и называют AI-агентом. Разберём, что именно меняется в кредитном скоринге и антифроде, чем агентный подход отличается от привычного ML и где он пока не работает.

Что такое агент в банковском контуре

Классическая скоринговая модель принимает вектор признаков на вход и выдаёт число на выходе. Она не «ходит» за данными и не рассуждает — всё, что ей нужно, подготовил инженер заранее. Агент устроен иначе: у него есть цель («оценить заявку»), набор инструментов (запрос в бюро кредитных историй, проверка по внутренним базам, вызов ML-скоринга, проверка документов) и языковая модель, которая по шагам решает, какой инструмент вызвать следующим.

На практике это выглядит как цикл: агент смотрит на заявку, замечает, что нет данных о доходе, вызывает нужный сервис, получает ответ, оценивает, достаточно ли этого для решения, и либо продолжает, либо выдаёт вердикт с текстовым обоснованием. В антифроде тот же принцип применяется к цепочке операций: агент связывает разрозненные сигналы — новое устройство, нетипичная сумма, смена геолокации — и формулирует, почему транзакция похожа на мошенническую.

Ценность агента не в том, что он «умнее» модели, а в том, что он берёт на себя ту работу, которую раньше вручную делал аналитик: собрать разрозненные факты, сопоставить и объяснить решение человеку.

Скоринг: где агент добавляет, а где мешает

В кредитном скоринге ядром по-прежнему остаётся проверенная ML-модель — регуляторы требуют, чтобы решение об отказе можно было объяснить и воспроизвести. Языковая модель в контуре скоринга берёт на себя не сам расчёт вероятности дефолта, а вспомогательные задачи:

• разбор неструктурированных документов — справок, выписок, договоров — и извлечение из них признаков для модели;
• формулировку понятного объяснения решения для клиента и для внутреннего комплаенса;
• дозапрос недостающих данных вместо жёсткого отказа по неполной анкете;
• проверку заявки на противоречия между разными источниками.

Здесь же главная проблема. Языковая модель может галлюцинировать — уверенно выдать несуществующий факт. В скоринге это недопустимо: решение об отказе в кредите на основе выдуманной модели данных — прямой путь к жалобе и претензии по дискриминации. Поэтому итоговый вердикт почти всегда остаётся за детерминированной моделью и правилами, а агент работает как оболочка, а не как судья.

Антифрод: скорость против ложных срабатываний

Антифрод — область, где секунды решают всё. Транзакция должна быть одобрена или отклонена за десятки миллисекунд, и тяжёлая языковая модель в этот путь не встаёт: реальное время обслуживают быстрые ML-модели и правила. Агент с LLM подключается на втором уровне — там, где нужно расследование, а не мгновенное решение.

Типичный сценарий: система пометила серию операций как подозрительную. Раньше кейс уходил живому аналитику, который вручную собирал историю по клиенту. Теперь агент делает первый проход — связывает операции, проверяет устройства и IP, поднимает похожие прошлые случаи и готовит аналитику сводку с гипотезой. Человек проверяет и подтверждает или отклоняет. Это снижает нагрузку на команду фрод-мониторинга, но не убирает человека из петли принятия решений по спорным блокировкам.

Сравнение подходов

Вывод из таблицы простой: агент не заменяет ни ML-модель, ни правила, а надстраивается над ними. Продакшн-архитектура в банке — это гибрид, где каждый компонент делает то, что умеет лучше.

Кому это пригодится, а кому нет

Пригодится:

• командам фрод-мониторинга крупных банков, где поток спорных кейсов не успевают разбирать вручную — агент снимает первичную рутину;
• кредитным конвейерам, работающим с большим объёмом сканов и документов, которые нужно разбирать и сверять;
• комплаенс-функциям, которым нужны читаемые обоснования решений для регулятора и клиента.

Не пригодится или преждевременно:

• для мгновенного решения по каждой транзакции в реальном времени — тут LLM слишком медленная и дорогая, работают ML и правила;
• для полностью автономного отказа в кредите без человека — это регуляторный и репутационный риск;
• небольшим организациям без выстроенного контроля за данными: агент, который сам ходит в источники, требует жёсткого разграничения доступа и логирования.

Риски, которые нельзя игнорировать

Автономность агента — источник новых уязвимостей. Если агент сам формулирует запросы к внутренним системам, появляется риск инъекции инструкций через входные данные: злоумышленник закладывает в документ или сообщение текст, который агент воспринимает как команду. Второй риск — утечка персональных данных: агент видит больше, чем нужно для конкретной задачи, если доступы не ограничены по принципу минимальных привилегий. Третий — воспроизводимость: два прогона одного кейса могут дать разные формулировки, а для банковского решения нужна повторяемость.

Поэтому в проде агент почти всегда обёрнут ограничениями: фиксированный набор разрешённых инструментов, обязательное логирование каждого шага, человек в петле на финальных решениях с последствиями для клиента, и отдельная проверка выводов LLM детерминированными правилами.

Материал носит обзорный характер. Конкретные архитектуры, метрики качества и требования регулятора зависят от банка и юрисдикции — перед внедрением сверяйтесь с требованиями ЦБ и внутренними политиками по данным.