https://yennj12.js.org/yennj12_blog_V4/tags/managed-flink/Recent content in Managed Flink on YennJ12 Engineering BlogHugo -- gohugo.ioen-usSat, 25 Jul 2026 09:00:00 +0800https://yennj12.js.org/yennj12_blog_V4/posts/ai-system-on-native-aws-part8-realtime-streaming-fraud-detection-zh/Sat, 25 Jul 2026 09:00:00 +0800https://yennj12.js.org/yennj12_blog_V4/posts/ai-system-on-native-aws-part8-realtime-streaming-fraud-detection-zh/Part 3 的推薦系統要求 100ms、但推錯了頂多少賺一點。詐欺偵測也要求毫秒級,可是判斷錯了——放行一筆盜刷、或攔下一筆正常消費——都是真金白銀或客戶流失。而且推薦的使用者不會故意騙你,詐欺的對手會主動研究你的規則、繞過它、隔天換一套手法再來。 這是即時 ML 的最高難度:延遲最緊、代價最高、對手最刁鑽,而且你能用來判斷的特徵,大多得從「此刻及過去幾秒的行為串流」裡當場算出來——批次算好的特徵,對「一分鐘內連刷 20 筆」這種攻擊完全無效。 AWS 原生的解法:Kinesis 收交易、Managed Flink 在流上算時間窗特徵、SageMaker 毫秒評分、Neptune 用圖找出「看似無關但其實同夥」的帳號、規則引擎兜住 ML 抓不到的已知手法。 這是 Part 8:當一個 AI 決策要在幾十毫秒內、面對主動對抗的對手時,系統長什麼樣。 一、情境與痛點:即時、對抗、高代價 詐欺偵測(信用卡盜刷、帳號盜用、洗錢、刷單)有三個把它跟前面所有系統區分開的特性: 延遲極緊:交易授權必須在使用者按下付款到頁面回應之間完成,通常留給風控的預算只有幾十毫秒。你沒時間做重運算。 特徵要即時:最有價值的訊號是「速度型」特徵——「這張卡過去 60 秒刷了幾次」「這個裝置過去 5 分鐘登入了幾個帳號」。這些無法預先批次算好,必須在事件流上即時計算。 對手會對抗:詐欺集團會測試你的門檻、找到規則的邊界、然後大規模利用。你的模型今天有效,不代表下週有效——這是一場持續的軍備競賽。 這三點合起來,排除了很多看似合理的作法: 天真作法 為什麼在詐欺場景失效 ────────────────────────────────────────────────────────────── 用批次算好的使用者特徵 抓不到「此刻連續刷」的速度型攻擊 純規則引擎(if 金額 > X 就擋) 對手一測就知道門檻,繞過只是時間問題 純黑箱 ML 模型 抓不到已知手法,且無法解釋為何擋(法遵要求) 只看單筆交易 抓不到「一百個帳號協同」的團夥詐欺 正解是一個多層混合系統:串流即時特徵 + ML 模型 + 規則引擎 + 圖分析,每一層補另一層的盲點。 二、系統目的:功能與非功能需求 功能需求: 即時消費交易/行為事件流。 在流上計算時間窗特徵(近 N 秒/分鐘的速度、金額、地理跳躍)。 對每筆交易輸出風險分數與決策(放行 / 挑戰 / 攔截)。 圖分析:偵測共用裝置、卡號、收款帳戶的詐欺團夥。 規則引擎:即時封鎖已知手法(不必等重訓模型)。 決策可解釋、可稽核(為什麼擋這筆)。 非功能需求: