Lei Feng réseau AI Technology Review par: la fraude commerciale dans le commerce électronique a apporté une menace énorme de sciences de l'information interdisciplinaire, post-doctorale de l'Université de Tsinghua, le Dr Wang a récemment Shuhao physique dans la présentation de la part des jeunes AI Yanxishe a été la négociation basé sur le réseau de neurones récurrents système de détection des fraudes - temps Detective (Clue), il a expliqué au centre des trois principaux détection de la fraude des fournisseurs d'électricité difficultés techniques dans ce scénario: apprentissage déséquilibré de l'échantillon, le système de détection en temps réel, mise à jour du modèle incrémental.

Ce qui suit est sa part, Lei Feng réseau AI Technology Review éditeurs sont résumés comme suit:

Je suis heureux de partager notre papier avec la coopération financière Jingdong avec vous, ce document a été reçu ECML-PKDD2017. Notre travail peut se résumer en une phrase, C'est, à la fraude des fournisseurs d'électricité a été détectée par la méthode de l'apprentissage en profondeur. Je voudrais dire plus du point de vue du sol industriel, de construire un système complet pour résoudre le problème.

fond

Tout d'abord, le contexte. Dans le secteur de l'électricité dans le site, nous rencontrons souvent deux fraudes.

• La première fait référence à la fraude a été volé le compte de l'utilisateur, les voleurs peuvent aussi payés mot de passe utilisateur, après quoi il est susceptible de se connecter l'utilisateur du compte de certaines activités frauduleuses, telles que l'argent va acheter certains produits, indirects les soldes des comptes d'utilisateurs supprimés.

• La seconde est maintenant possible d'acheter des cartes fausses sur le marché noir, tels que les cartes de crédit de faux, si la personne peut enregistrer un nouveau compte, la carte est liée à son nom de compte, il peut utiliser cette carte pour acheter des marchandises, les marchandises ont été réalisées.

Les deux ont une chose en commun la fraude, Que les utilisateurs frauduleux seront l'achat de biens et de l'argent. Ces comportements des utilisateurs frauduleux ne sont pas là quelques traits communs, que ce soit d'observer le chemin de navigation entier à travers un moyen? A travers une série d'actions a eu lieu avant la transaction, l'utilisateur peut déterminer à la fin est un utilisateur normal ou les utilisateurs soupçonnés de fraude.

Le tableau ci-dessus sur les gauche montre le chemin de navigation de l'utilisateur normal, l'utilisateur peut le voir finalement acheté un or rose 128G version wifi de l'iPad Pro, parcourir tout le chemin très régulier. Pour les utilisateurs frauduleux, deux utilisateurs voient à droite, il y a deux caractéristiques relativement distinctes statistiquement parlant.

• Le premier utilisateur est très simple et brut, sont une partie de l'achat de biens virtuels, des biens virtuels peuvent être réalisés à tout moment depuis.

• Le second est le comportement de navigation de l'utilisateur n'est pas logique, il a d'abord visité Jingdong, puis recherchez Apple, parcourir un tas de marchandises, mais vous pouvez voir la vue de ces produits n'ont pas beaucoup de pertinence, notre système enregistrera cette il est une fraude.

nom chinois du système entier est appelé le temps de détective, le temps est les données de séries chronologiques observées dans l'utilisateur parcourir la totalité de la séquence de l'intérieur, puis l'utiliser pour étudier en profondeur l'approche de la modélisation. Nous pouvons obtenir les données qui sont générées sur l'historique de navigation de l'utilisateur Jingdong, combiné avec notre système d'observer, le système donnera un jugement sur l'ensemble du risque de comportement de navigation, nous obtenons vraiment score de risque. En contrepartie du point de vue de la vie privée des utilisateurs, notre historique de navigation qui ne dispose pas d'informations sur l'ID utilisateur.

défis techniques

Un défi très direct pour obtenir notre premier échantillon est un échantillon très déséquilibré, ce qui est en train d'étudier la question de la soi-disant échantillons non-équilibre. De ce qui précède, nous pouvons clairement voir dans cette image des utilisateurs frauduleux et les utilisateurs normaux qui représentent environ un millième, très petit. Au cours de l'étude que nous avons une proportion déterminée d'un millième de la fraude, aussi connu comme la comptabilité anormale. En savoir faible proportion de problèmes anormaux du système provoque une grande interférence.

La deuxième question est très grave trafic trop . Jingdong a maintenant plus de 220 millions d'utilisateurs actifs, l'un sur le côté PC, le nombre de sessions par jour sont probablement de l'ordre de dizaines de millions, le nombre de transactions de session arrive vraiment sans doute de l'ordre d'un million. Ce système fait regarder à la séance de négociation a eu lieu environ une journée pour disposer de millions d'accès, dont la pression du système est très grande.

Il y a aussi un phénomène très intéressant dans le domaine de la fraude. En fait, la fraude est générée par des personnes, comme cela a été tout au long de la fraude va changer au fil du temps. Montré dans l'image ci-dessus est frauduleux utilisateurs préfèrent acheter des biens. Par exemple, en Janvier fraudeur peut voir les produits particuliers comme n ° 2, mais avec le temps de développer, à 10 mois, ces utilisateurs n ° 2 produits pas intéressé. Nos besoins du système pour adapter aux changements dans le comportement des utilisateurs, nous avons besoin de mettre à jour périodiquement le modèle en permanence.

modélisation

A côté de parler approche de modélisation à ce problème. Nous avons juste fait un article qui de la détection des fraudes, mais l'approche peut également se produire la modélisation utilisée dans d'autres domaines de recommandation de produits ou la modélisation des produits, y compris le portrait de l'utilisateur.

Affinant le problème auquel nous sommes confrontés. La figure montre que la totalité de la séquence de comportement de navigation de l'utilisateur dans Jingdong, première visite à la maison, il peut regarder une page promotionnelle, et peut voir une liste de quelques pages, et parcourir toutes sortes de marchandises, et enfin installés. On peut noter dans l'URL complète, liste des produits et des matières premières pages de détails page est le plus difficile de codage.

Nos informations sur le serveur chaque fois qu'un utilisateur clique sera enregistré, comme IP de l'utilisateur, qui a visité URL, y compris le navigateur de l'utilisateur, les informations du système d'exploitation. Après encodage de l'information peut faire une machine à apprendre.

Comment coder? En fait, le modèle n'est pas l'entrée d'informations d'origine, dans le besoin de fonctionnement réel d'une certaine façon de mettre cette information pour devenir capable de reconnaître les machines d'information. Notre approche est relativement simple. Vous pouvez ignorer la première URL, effectuer un codage à chaud. Un codage à chaud se réfère à un vecteur dans lequel un seul est 1, les autres bits sont 0.

Il y a un message très important appelé arrêt du temps, le temps de séjour est plus difficile d'obtenir un comportement de navigation de l'utilisateur, nous avons adopté les statistiques plus conforme à l'approche de bon sens - la prochaine fois que la page, cliquez sur une page et cliquez sur le temps moins un peu, l'utilisateur est considéré comme le temps global consacré à cette page.

URL codant je l'ai écrit deux encodage, dans lequel beaucoup d'URL de la page peut être classé dans la catégorie ou objet deux catégories. page Liste des produits et la page de détail est trop grand, et si l'encodage d'un chaud est un très grand nombre.

Jingdong sur le navigateur de produits spécialement conçus pour répondre à très forte distribution loi de puissance, on peut coder l'élément recueilli plus de la session à l'intérieur du comportement de navigation, si les objets sélectionnés apparaissent pas codés à l'intérieur de l'élément, nous encodé séparément.

Notre mode de réalisation utilise un codage Item2Vec, l'idée de ce procédé et que Word2Vec, Word2Vec correspond à la distance entre le même phénomène se produit dans le cadre de la minimisation mot. Item2Vec donner ce produit est attribué un vecteur aléatoire, puis selon les produits de situation apparaissant dans une sémantique différente pour nous cédez optimisation de vecteur. Nous utilisons un vecteur 25 bits dans l'étude, il peut couvrir environ 90% des produits que nous avons étudiés. Le tableau montre est le résultat de Item2Vec.

Le regard Let un exemple plus large, aléatoire dans trois catégories qui identifient un certain nombre de produits, puis Item2Vec réduction de dimensionnalité recodé. Nous avons utilisé des fournitures automobiles, téléphones mobiles et accessoires, soins personnels de ces trois catégories. Vous pouvez voir trois types de marchandises dans cet espace à deux dimensions dans la plus évidente est divisée en trois régions distinctes, ce qui indique l'efficacité Item2Vec est encore très forte. Nous faisons référence codée Item2Vec est tout à fait le comportement de navigation de l'utilisateur, ne correspondent pas avec le titre sur la sémantique des marchandises.

Nous pouvons encoder l'URL en trois parties, la première partie du type d'URL, la deuxième catégorie est une partie, la troisième partie est le vecteur de l'élément. Après nous avons mis tous les clics effectués auprès d'utilisateurs de codage, chaque clic peut obtenir un vecteur codant pour le comportement de toute navigation de l'utilisateur peut être considéré comme une combinaison d'un vecteur, et enfin nous verrons cette session de la table de données à l'intérieur normal ou été rapporté auparavant.

Il y a aussi un problème à résoudre. Lors de la formation du réseau de neurones, la durée de chaque session ne sont pas susceptibles d'être fixé, peut-être la première session de succès est de six, la deuxième session de seulement trois coups sûrs, alors comment faire face à cette inégalité le problème? Tout d'abord, nous déterminons après un nombre maximum de clics, dans l'article que nous fixons ce nombre à 50, ce qui signifie que le nombre de avant 50 clics de la page de commande, effectuer une interception, puis la longueur de la 50 n'a pas atteint l'arrière de tous 0s. Lorsque vous prenez les résultats finaux, assurez-vous de prendre à la position de la caisse, si elle est prise dans la dernière position, une erreur se produit.

Enfin, l'étude de ces derniers à l'intérieur RNN. Nous utilisons le cadre dans lequel la recherche est tensorflow, quelle est l'utilisation tensorflow définie. Nous utilisons la configuration ci-dessus de la figure LSTM, la structure multicouche LSTM peut être employé.

Comment résoudre les problèmes techniques

Ensuite, parler de la façon de résoudre ces problèmes techniques vient de dire.

La première consiste à résoudre le problème de l'échantillon non équilibré. L'utilisation de deux manière relativement simple dans lequel ce travail, la première méthode est au niveau des données, nous directement au nombre aléatoire normal de l'utilisateur moins 4/5. Pour l'utilisateur frauduleux, nous ne faisons rien. Dans les données d'apprentissage de la proportion initiale est 1 , après échantillonnage pour ajuster le nombre de 5 . Dans l'ensemble du jeu de validation et de test ou de maintenir la proportion initiale de 1 .

Au niveau du modèle, nous adoptons la méthode Thresholding, son idée est très simple. Notre modèle est un problème de classification binaire, ou de fraude, ou normal, la sortie du modèle est une variable continue, si plus d'importance que 1, nous pensons qu'il est plus probable des utilisateurs frauduleux.

La deuxième question est de savoir comment résoudre l'énorme trafic Nous structurons de l'ensemble du système, comme indiqué sur la figure. Architecture divisée en deux parties, ce qui suit est formé, la prédiction est au-dessus, est utilisé dans la formation tensorflow, prédire le service tensorflow le module open source. Ce qui suit est une partie survolée du modèle, le modèle sera mis à jour à ce qui précède, le module d'AQ alors décider si d'éteindre les modèles existants.

Nous avons une façon de mettre à jour les deux modèles - la totalité du montant des mises à jour de données supplémentaires et des mises à jour de données. Les avantages de la quantité de données que chaque modèle est optimisé pour obtenir un bon résultat, les avantages des données supplémentaires ne sont pas nécessaires pour prendre en charge toutes les données historiques. En termes de temps, serait mises à jour plus progressives pour gagner du temps et des ressources informatiques, nous avons adopté dans cette étude il y a une approche de mise à jour incrémentale.

la recherche montre

Enfin, pour vous montrer ce que certains des résultats de notre étude.

Pour les échantillons question déséquilibrée, PR peut voir efficacement la performance du modèle de courbe. Le chiffre est le résultat de la première, le taux d'exactitude est maintenant beaucoup plus élevé que ce chiffre. 4-64 en utilisant les meilleures performances.

Nous avons aussi un tableau plus détaillé, le rappel fixe est de 30%, ce qui représente 1 anormale. Avec le nombre de couches de plus en plus peut être vu, il y a une augmentation de la performance, mais le nombre d'unités augmente, pourraient produire un peu plus ajusté à certains endroits.

Comme indiqué plus haut, par comparaison avec des méthodes traditionnelles RNN aussi la supériorité démontrée.

Nous avons également quelques expériences pour comparer le montant de la mise à jour du modèle de mise à jour du modèle incrémental. Nos données sont divisées en plusieurs périodes, puis la prochaine période de temps pour tester les performances du modèle actuel, le modèle initial ligne orange, nous utilisons seulement bon modèle de données de formation d'une première période de temps, pas optimisé plus tard être voir les lacunes ligne orange avec les deux autres lignes de plus en plus, que le changement de comportement des utilisateurs, la première fois obtenir des modèles formés ne peut pas être utilisé dans la pratique.

Les résultats montrent

Le dernier spectacle est le résultat de notre plus intéressant à faire. L'image dans le comportement de l'utilisateur peut être distingué plus évident. Par exemple, le coin supérieur droit, ce qui indique qu'aucune partie de l'échantillon trouvé dans la session que les utilisateurs de parcourir la marchandise et les paiements directs, ce qui est pourquoi? Parce que nous n'avons pas pris à l'utilisateur de naviguer d'abord pour durer toute la collection de marchandises vers le bas. Nous suivons le comportement de navigation de l'utilisateur assemblant, trouver la session précédente, donc la performance sera meilleure.

Lei Feng réseau de consolidation AI Technology Review