ИИ-агент против мошенников: как антифрод переходит от правил к реакции

Классический антифрод десятилетиями работал на жёстких правилах: платёж на новую карту после полуночи, перевод за границу выше лимита, десять покупок за минуту — блокировка. Проблема в том, что мошенники читают те же правила и обходят их, а честные пользователи упираются в ложные срабатывания. Новая волна антифрод-систем строится вокруг ИИ-агентов¹ — программ, которые не просто проверяют транзакцию по чек-листу, а собирают контекст, обращаются к нескольким источникам данных и принимают решение за доли секунды, пока платёж ещё висит в обработке.

Разберём, чем агентный подход отличается от привычных моделей скоринга, какой сценарий он реально закрывает и почему это не серебряная пуля.

Что именно поменялось

Скоринговая модель на градиентном бустинге или нейросети выдаёт число: вероятность фрода от 0 до 1. Дальше это число сравнивают с порогом, и всё. Модель не объясняет решение и не может добрать данные, которых ей не хватило на входе.

Агент устроен иначе. Он получает событие — например, входящий перевод — и дальше сам решает, каких данных не хватает для вывода. Обратиться к истории операций отправителя, проверить репутацию получателя по внутренним и внешним спискам, сопоставить геолокацию устройства с обычным поведением клиента, задать уточняющий вопрос через чат-бот. Каждый шаг агент выбирает на основе предыдущего результата, а не по фиксированному сценарию.

Разница простая: скоринг отвечает «насколько это похоже на фрод», агент отвечает «что здесь на самом деле происходит и что с этим делать прямо сейчас».

Как выглядит контур в реальном времени

Типичная последовательность для перевода, помеченного как подозрительный, выглядит так:

1. Платёжный шлюз ставит транзакцию на короткую паузу — обычно единицы секунд, чтобы не рвать пользовательский опыт.
2. Агент подтягивает профиль отправителя: средний чек, привычные получатели, устройства, время активности.
3. Проверяет получателя по внутренним спискам дропов и, если есть интеграция, по межбанковским базам подозрительных счетов.
4. Сопоставляет поведенческие сигналы: сессия началась с нового устройства, был звонок перед переводом, экран демонстрировался стороннему приложению.
5. Формирует вывод: пропустить, запросить дополнительное подтверждение или заблокировать с эскалацией на оператора.

Ключевой момент — всё это происходит до списания, а не в ночном пакетном разборе на следующий день, когда деньги уже ушли через цепочку дропов.

Что агент ловит, чего правила не видели

Самый показательный класс — социальная инженерия под давлением. Человек сам инициирует перевод, вводит корректный код из СМС, использует своё привычное устройство. Для правил и классического скоринга это чистая операция: все формальные признаки в норме. Но агент способен собрать поведенческий контекст, который правило не закодировано ловить: нетипично длинная пауза перед подтверждением, перевод новому получателю сразу на крупную сумму, активная телефонная сессия в момент операции, признаки запущенного приложения удалённого доступа.

Ни один из этих сигналов сам по себе не значит ничего. Пауза перед подтверждением бывает у любого. Но агент рассуждает по совокупности и по истории конкретного клиента, а не по общему порогу. Именно связка «свой человек делает нетипичное под внешним воздействием» — то, где правила традиционно проигрывают.

Где это ломается

Три честные проблемы, которые не стоит замалчивать:

• Ложные срабатывания. Более чувствительный контур блокирует и настоящие операции. Отпуск в другой стране, крупная разовая покупка, новый телефон — всё это выглядит как аномалия. Цена ошибки — раздражённый клиент и звонок в поддержку.
• Объяснимость. Регулятор и служба комплаенса требуют внятного обоснования отказа. Цепочка рассуждений агента должна логироваться так, чтобы её можно было воспроизвести и защитить, иначе решение уязвимо в споре.
• Стоимость задержки. Каждый шаг агента — это запрос к сервису и время. Уложиться в приемлемую паузу при высокой нагрузке — отдельная инженерная задача, а не свойство модели.

Агент против классических подходов

На практике это не выбор «или — или». Правила и скоринг остаются дешёвой первой линией: они отсекают очевидное и очевидно чистое. Агент подключается там, где первые два слоя дали неуверенный ответ — то есть на самой спорной прослойке, где и живёт основная часть современного мошенничества.

Кому это пригодится, а кому нет

Пригодится:

• Банкам и платёжным сервисам с потоком переводов между физлицами — там, где основной удар приходится по социальной инженерии.
• Маркетплейсам и сервисам с быстрым выводом средств продавцам — для отлова цепочек с подставными аккаунтами.
• Командам, у которых уже есть работающий классический антифрод и накоплена история операций: агенту нужен контекст, а не пустой профиль.

Скорее не нужно:

• Небольшому бизнесу с редкими предсказуемыми платежами — правил и базового скоринга хватает, а стоимость агентного контура не окупится.
• Сценариям с жёстким требованием к задержке в миллисекунды, где нет запаса даже на короткую паузу.
• Проектам без нормального логирования и данных: агент на слепом входе ничем не лучше правил, только дороже.

Что это значит на горизонте года

Направление явно смещается от «предсказать риск числом» к «разобраться в ситуации и среагировать». Но эйфории быть не должно: агент — это дополнительный слой поверх существующей защиты, а не её замена. Он снимает нагрузку с операторов на пограничных случаях и закрывает сценарии, где формально всё чисто, но по совокупности сигналов операция подозрительна. Всё остальное — вопрос инженерии: задержка, объяснимость, контроль ложных срабатываний. Тот, кто решит эти три задачи, получит преимущество, а не тот, кто просто подключит модель побольше.

¹ ИИ-агент — программа на базе языковой модели, которая для достижения цели сама выбирает последовательность действий: обращается к внешним инструментам и базам данных, оценивает промежуточные результаты и корректирует следующий шаг, а не выполняет один жёстко заданный сценарий.