电信欺诈分析AI协作助手：实时检测与统一数据底座

背景

根据通信欺诈控制协会2025年的调查，电信欺诈损失已攀升至418.2亿美元1，而更广泛的欺诈经济正在快速增长：仅美国消费者在2024年就报告因欺诈损失超过125亿美元，一年内增长了25%2。数据泄露的成本也在上升；2024年全球数据泄露的平均成本达到创纪录的488万美元3；一旦计入退单、更换成本以及调查欺诈的运营开销，每一美元的欺诈给运营商造成的成本约为3.4倍。

电信账户不再只是一份电话套餐。它是用户众多资产的入口：银行应用通过手机号进行身份验证，密码重置通过它完成，双因素验证码也发送到它上面。因此，当欺诈者通过钓鱼、社会工程或使用旧泄露事件中的凭证攻破账户时，时间窗口非常紧迫。在几分钟内，他们就能执行SIM卡交换、更改账单地址、订购昂贵设备，并转入关联的金融账户——往往在受害者或运营商察觉任何异常之前。与此同时，欺诈团队还在等待昨晚的批处理任务完成。

这种二元对立，欺诈以机器速度运行，而检测却以批处理速度运行，正是制约因素。对于高管团队而言，欺诈不是安全方面的附注。它是收入流失、监管风险、加速的客户流失，以及很少在损失报告中清晰体现的运营税负。每一种主要欺诈类型得逞，都源于以下三个原因之一：

1. 它产生了一种尚未被及时检测到的数据特征
2. 它利用了彼此不通信的系统之间的缝隙
3. 或者它在批处理的滞后中滋长。

以下是我们认为最重要的重新界定：这三者都是数据架构问题，可以通过统一、实时、受治理的数据基础来解决。

保护业务

根据stockhead的数据，2024年澳大利亚的账户接管和SIM卡交换攻击增加了240%，其中约90%现在是在完全不接触实际受害者的情况下发生的。欺诈者的请求看起来完全合法。国际收入分成欺诈通过伪装成正常流量，每年向高费率号码注入40至70亿美元。SIM盒旁路欺诈（每年约31亿美元）隐藏在看似常规的通话模式中1。

几乎在所有情况下，能够检测这种欺诈的信号已经存在——只是分散在六七个系统（CDR、CRM、计费、设备/SIM、网络、数字渠道日志）中，而这些系统不共享单一的查询界面。通常，复杂的欺诈类型在夜间批处理中处理，而攻击窗口以分钟计；而较简单的欺诈类型（如欺骗）则可以实时捕获。

这种碎片化的人力成本会加剧财务成本。僵化的基于规则的系统让分析师淹没在误报中，因此欺诈团队花费数小时调查无害的账户变更，而机器速度执行的复杂攻击却悄然通过。这是一个令人望而生畏的循环：分析师被警报淹没，真正的威胁未被发现，损失不断累积。

为什么旧架构跟不上

大多数运营商已在欺诈管理系统上投入巨资，这些系统成功拦截了已知、易于理解的攻击模式，且这些系统今天正在节省真金白银。机会不是拆除它们，而是增强它们。但欺诈是一场对抗性博弈，而非静态博弈——模型学会捕获的每一种模式，都是欺诈者正在积极设法绕过的模式，而且他们行动很快。缺口恰恰出现在现有欺诈引擎从未被构建来应对的领域：跨渠道关联、行为建模、设备仿真，以及比规则变更周期更快演变的欺诈模式。这些缺口源于架构，而非努力——而无法以对手速度运转的架构，是已经落后的架构。

任何反欺诈系统的共同点是，它都会经历对抗性漂移，而且会按照欺诈者的时间表发生，而非你的时间表。欺诈者一旦被抓，就会立即改变行为——没有延迟，没有缓冲窗口。这意味着任何已部署模型的召回率会立刻开始下降，有时在24小时内。在这种环境中，过时不是轻微的低效，而是模型能否捕获欺诈与实际上对其视而不见之间的差别。不存在“暂时够用”这回事——检测系统的优劣只取决于其最近一次更新，而监控-调整-重新部署循环的敏捷性不是锦上添花，而是全部关键。

这正是大多数欺诈运营输掉竞争的地方。典型模式：运营（OLTP）系统处理实时交易，而独立的分析（OLAP）系统承载真正的智能：——上下文、历史查询、欺诈模型、数据科学家每天精炼的仪表盘数据。问题在于，实时风险引擎在决策时无法足够快地访问该分析环境。团队随后必须依赖缓慢、昂贵的同步过程——计划批处理任务，将完成的“金”数据（工程特征、模型评分、风险信号）从OLAP仓库复制回运营数据库。

这种复制就是瓶颈，而在对抗性漂移的世界里，瓶颈正是你失败的地方。运营存储始终在基于过时快照运行——而当你的对手正在逐小时主动变异行为时，“过时”会迅速累积。管道很脆弱（上游模式变更就会破坏它），维护成本高昂，最糟糕的是修复缓慢；每停机一小时，你的决策引擎就有一小时在用昨天的智能对抗今天的攻击。让检测变得智能的模型和上下文，最终被搁置在距离决策引擎一跳之遥的地方，而这恰恰是速度最关键的时候。

在其上部署 AI 智能体，它也会继承同样的鸿沟，只是风险更高：要么它在缺乏所需丰富 OLAP 上下文的情况下进行推理——快速但盲目——要么你将敏感的黄金数据复制出来供其访问，以治理换取访问权限。当你的架构追赶上来时，对手早已转移，这两种选择都站不住脚。

Databricks 如何解决这一问题

解决方案必须针对真正的瓶颈：智能所在之处与决策制定之处之间的跳跃。 Lakebase是我们集成到统一环境中的托管 Postgres 引擎，它彻底消除了传统的 OLTP/OLAP 分离。湖仓中的黄金表持续同步到 Lakebase，使实时评分引擎能够获得亚毫秒级的特征检索——与生成这些特征的同一批分析模型并排运行。决策引擎与它所需的智能之间没有批处理作业阻隔，这意味着没有过时的快照，也没有脆弱的管道等待在下一次架构变更时崩溃。当模型开始漂移时，修复以漂移所要求的速度传播，而不是以下一次计划同步的速度传播。

同时，我们的智能体平台和 Genie让分析师能够分析历史事件、综合运营手册并自动化复杂的调查工作——更快地闭合监控-调优-重新部署的循环，从而使“欺诈者改变行为”与“模型适应”之间的差距从数天缩短到更接近实时。借助 Databricks Apps，团队可以在同一统一架构上快速部署自定义运营工具，而不是每当新的欺诈模式需要新工具时就等待单独的构建周期。

而且，由于它是一个架构而非两个拼接在一起的系统，构建在其上的 AI 智能体不会面临先前在利用丰富上下文进行推理与保持治理之间的权衡。在 Unity Catalog 之下的单一平面管理从原始网络摄取到实时交易决策的治理、血缘和安全——因此速度和管控不再是彼此对立的。合规负责人获得完整的血缘，工程团队获得一个能够真正跟上不会等待的对手的架构。

我们构建了什么：解决方案加速器

Databricks 为电信欺诈构建了一个解决方案加速器，涵盖从原始数据到分析师队列再到高管仪表盘的完整生命周期。

管道。 该解决方案包含一个采用勋章架构（青铜 → 白银 → 黄金）的管道，可大规模生成逼真的交易、设备和网络通话详单数据。

此外，风险引擎会根据不可能旅行、蜂窝/IP 不匹配、快速基站跳变、漫游异常和设备模拟等规则对每笔交易进行评分，这些信号类别与生产环境中捕获 SIM box 和 SIM 交换欺诈的信号相同。分数阈值将交易路由到三种结果之一：自动批准、排队等待分析师审核或自动阻止。

欺诈分析师工作台应用 展示了不同的欺诈工作流，基于同一受治理数据构建了三种基于角色的视图：

• 高管 - 财务损益影响、季度趋势、区域风险分布，以及一个供领导者用自然语言提问的 Genie Space，例如“本季度哪些地区的 SIM 交换案件最多？”，并获得受治理的、有数据支撑的答案——无需分析师或 SQL。
• 管理层 - 工单管道健康状况、30 天 AI 预测、欺诈引擎性能和 SLA 跟踪，使管理者能够主动而非被动地配置分析师能力。
• 分析师 - 一个案件队列和设备/案件详情视图，由工具调用型 AI 调查 Genie 智能体支持，该智能体同时读取案件历史、风险规则和政策，然后建议批准、拒绝或升级——以及一个基于公司欺诈手册训练的知识助手，用于回答升级阈值和文档标准等程序性问题。

更大的模式

这里的任何单个组件——风险评分管道、AI 智能体、受治理的目录——都不独特。不同之处在于将所有组件运行在一个平台上，而不是拼接一个欺诈引擎、一个单独的特征存储、一个 BI 工具和一个附加的 AI 层，每个都有自己的治理模型和自己的延迟税。对于电信运营商来说，机会是巨大的。关键在于认识到，为保护业务而构建的基础设施，正是能够将网络数据转化为新收入线的基础设施。

在你的环境中部署解决方案加速器：

• GitHub - databricks-industry-solutions/fraud_prevention_in_telco
• 克隆它，部署管道，并在你自己的工作区中搭建分析师工作台——行业特定逻辑位于单个配置文件中，因此同一架构无需更改核心平台即可重新定位到金融科技、保险或电子商务欺诈。
• 如需深入了解，请联系你的 Databricks 客户团队以配置 Lakebase、创建同步表、配置欺诈领域 Genie Space 并构建调查应用。

引用

1 通信欺诈控制协会（CFCA），2025 年全球电信欺诈损失调查 - https://cfca.org。

2 FTC 报告（https://www.ftc.gov/news-events/news/press-releases/2025/03/new-ftc-data-show-big-jump-reported-losses-fraud-125-billion-2024）

3 IBM 报告（https://newsroom.ibm.com/2024-07-30-IBM-Report-Escalating-Data-Breach-Disruption-Pushes-Costs-to-New-Highs）