基于识别和多重分类的反洗钱系统

肖 琨,王 云,张桂刚

1(湖北经济学院 信息与通信工程学院,武汉 430205) 2(中国科学院自动化研究所,北京 100190)E-mail:guigang.zhang@ia.ac.cn

1 引 言

洗钱(ML)是指通过商业银行、投资银行、保险公司等金融机构,对黑钱的来源和性质进行伪装和清洗,使非法所得合法化的行为.几十年来,洗钱几乎对所有国家都构成严重的危害.这不仅是因为洗钱涉及的金额巨大,可能严重破坏一个国家的金融体系,并且助长了其他类型犯罪的发生.而且还因为其结构复杂、发展迅速,使得检测工作很难进行.幸运的是,人工智能技术的发展为提高反洗钱检测系统的效率提供了机会,并且可以及时发现新出现的反洗钱模式和交易规则,从而应对这些威胁.

反洗钱一般分为三个阶段:预防阶段、检测与报告阶段和处罚阶段.预防策略包括对反洗钱的公众教育、开户和交易所需的综合信息、颁布诸如《金融机构反洗钱条例》等法律.检测与报告是指利用人工智能和数据挖掘技术对可疑的金融交易进行检测,这也是本文研究的重点.处罚阶段是指对被侦查出来的洗钱犯罪分子的经济和刑事处罚.

对于检测与报告部分,一般通过在线监测系统进行可疑检测,之后发送有关目标群体的报告,以便分析员进一步调查和判断.目前对反洗钱可疑行为检测的研究主要集中在开发算法上,以便将潜在的非法交易与合法交易区分开来.但就目前而言,开发一个能够识别非法交易的系统,为分析人员提供可靠的参考,可在一定程度上降低劳动成本,并且有利于反洗钱工作的发展.该系统能根据交易模式的特征,对非法交易行为与哪种犯罪有着可靠的预测.这也是本文主要的研究目的.

2 相关工作

信息技术在反洗钱工作中的应用最早提出于20世纪90年代.[1]中详细介绍了FAI(FinCEN美国金融犯罪执法网络的人工智能系统),该系统采用基于规则的方法对各类金融业务进行评估,以识别反洗钱和其他犯罪行为.这些规则主要是通过专家的知识和经验来设定的,这使得它的准确性高,缺点是它不足以匹配快速发展的洗钱方法.因此在此基础上,通过进一步研究提出了改进的检测系统,提高了检测系统的精度、自动化程度、灵活性等.例如,[2]提出了一种基于支持向量机(SVM)的检测算法,代替了预先设定的规则,其结果表明该算法降低了误报率.

检测系统的改进是通过两种方式来实现的.第一种是开发先进的算法,以便根据客户的个人信息更好地分析客户情况.例如,[3]提出了一种用于洗钱的决策树方法,其结果证明了该模型的有效性.该方法的是基于从企业客户档案中提取的四个属性(行业、位置、业务规模和客户购买的产品)来实现的.[4]提出基于每个银行账户的交易行为,建立一个多维自适应概率矩阵,并根据每个银行账户自身的行为模式进行判断.但由于突发性并不等于可疑性或违法性,该系统对AML的检测并不总是有所帮助.[5]引入小波分析(Haar 以及 bior3.7),根据交易的时间和数量序列来衡量客户的可疑程度.

另一种方式主要在团体规模上改进异常检测算法.该方法确实提供了有用的信息,因为ML操作总是涉及三个以上账户.[6]介绍了联系分析的概念,这意味着要找到个人之间的关系,并将他们分为不同的群体,以便于调查.进行分类的方法称为聚类,包括BIRCH[7,8],k-means[9],GDBSCAN[10,11]介绍了使用(半)超监视和无监督方法进行基于图的异常检测的详细和结构化知识.此外,还有一些其它的方法直接应用在AML.[12]针对洗钱犯罪开发了一种新的解决方案“CORAL for LDCA”(基于相关性分析的链路发现).[13]提出了CELOF算法(基于聚类的局部异常因子),取得了较好的效果.[14]对ML检测领域中应用的典型聚类算法进行了全面总结.另外一些算法也很有效.[15]采用near-k-step neighborhoods方法进行网络分析.[16]提出了使用从用户专业文件和自适应模糊系统中提取的特征.[17]引入了SARDBN,它是聚类和DBN的组合.[18]用于为合法和非法比特币交易用户建立社区.此外,今年还出现了一些新的工具.例如,[19]指出自然语言处理(NLP)在新闻文章、社交媒体等各种信息来源上的有效性,其所提取的信息有助于AML减少30%的调查时间和成本.[20]对检测方法进行了综述,验证了可伸缩图卷积神经网络的有效性.

3 研究框架

由于目前我国90%以上的洗钱[21,22]活动和涉案金额都是通过金融机构,特别是商业银行,已经成为反洗钱的主要战场,因此银行账户之间的交易是该研究的重点.准备工作包括两个部分:根据交易过程中显示的不同特征对犯罪进行分类,以及从第一手资料中提取特征.然后基于结合的特征数据,开发了两个模型.一个是可疑交易监控模型.另一个模型经过培训,以确定每一条欺诈(或被认定为欺诈)交易信息所涉及的最接近的犯罪类型.模型均在监督学习下训练,并经历了技术的变化.最后,将这两个模型串联起来,对可疑行为进行检测和分类,并对其性能进行了测试.

4 反洗钱算法

反洗钱系统的算法如图1所示.需要注意的一点是,单独使用模型2评估其性能时,数据A的80%用于训练,其余的20%用于测试.

图1 反洗钱系统流程图Fig.1 Flow chart of AML system

系统算法架构:

输入:交易信息数据集A,所有欺诈交易数据集F;

输出:S′,A的测试集A2上可疑交易的识别和犯罪类别的分类;

步骤:

1.基于数据集A创建用户档案P;

2.从P中提取关于每个事务的发起者和接收者的附加特征,并将它们添加到原始数据集A中;

3.将A分为训练组A1(80%)和测试组A2(20%);

4.在模型1上分别采用逻辑回归,多层感知和梯度增强等方法对A1进行训练,并在A2上进行测试,获得可疑交易集S;

5.在F-S上训练模型2并在S上进行测试,获得标有相关犯罪类别的可疑交易集S′;

6.返回S′.

5 实验准备

5.1 样本数据

出于隐私保护,公共可用数据集的缺乏在金融服务中很常见,特别是在货币交易领域.幸运的是,为了模拟事务的正常运行,目前有几种基于真实数据生成合成数据集的模拟器.在本文采用了Paysim模拟器创建的货币交易数据.它所依赖的样本是从一家跨国公司提供的非洲国家的一个月财务日志中提取的真实交易.为了使它更真实可靠,改进了一些数据.财务日志中提取的真实交易.为了使它更真实可靠,改进了一些数据.

5.2 犯罪分类

洗钱与贩毒、走私、恐怖主义、腐败等其他有组织犯罪有着密切的关系.根据他们的交易性质,罪行分为五类,如表1所示.当对第二种模型进行训练时,分类结果将起到标签的作用.

表1 与洗钱有关的五大类犯罪Table 1 Five main categories of crimes related with money laundering

5.3 特征收集

第一手交易数据的特征包括每笔交易的简单信息,如表2所示.对于现实商业银行信息存储的真实模式,为了提取更有用的潜在数据并提高模型训练的准确性,基于交易信息建立了用户档案,如表3所示.

用户档案文件有助于提取客户的特征.除了个别参与方,网络效应可能是反洗钱检测的一个重要因素,因为交易总是发生在网络上.拥有非零cheat_time的个体更有可能进行另一笔欺诈交易,而与拥有非零cheat_time有联系的个体也会产生怀疑,但交易边缘等因素削弱了犯罪的可能性.为了量化地度量这种效果,我们应用了一个名为suspic_cheat的变量,并如公式(1)计算.

表2 第一手数据的特征Table 2 Features for the first-hand data

表3 用户档案样本Table 3 User profile example

对于给定客户a与交易对象[b1,b2,…,bn],n具有非零cheat_time,并且每个bi具有交易对象[a,c1,c2,…,cni],(ni+1)具有非零cheat_time,suspic_cheat如公式(1)所示:

suspic_cheat= 2×m+ 1 × Σmi

(1)

特征suspic_cheat_org和suspic_cheat_dest代表一个事务中两个帐户的suspic_cheat.下面列出了从用户配置文件派生的其他特征:

frequency_org:交易的频率,计算为开始交易的客户的交易总次数.

frequency_dest:交易频率,计算为作为交易接收方的客户的交易总次数.

part_num_org:开始交易的人的贸易伙伴数量.

part_num_dest:接收交易的人员的贸易伙伴数量.

Prct_org:计算为金额除以old_balance_org.

Prct_dest:计算为金额除以new_balance_dest.

在旧特征和新特征相结合之后,交易的最终版本的特征包括:type,amount,old_balance_org,new_balance_dest,is_foreign,suspic_cheat_org,suspic_cheat_dest,frequency_org,frequency_dest,part_num_org,part_num_dest,prct_org,prct_dest和标签:is_fruad(用于ML检测模型),fraud_catg(用于ML分类模型).

6 可疑交易监控模型

6.1 训练模型

由于金融体系日益复杂,金融衍生品层出不穷,洗钱手段正在迅速发生变化.因此,高水平的检测模型将受益于其灵活性.本文采用了三种监督学习模型:逻辑回归(LR)、多层感知(MLP)、梯度增强(GB).

被用于训练和测试的交易信息有168,599条,其中涉及洗钱的1047条.本文将其中80%的样本用于训练,20%的样本进行测试.为了对模型性能进行鲁棒性评估,采用k-fold cross validation,其中k=10.指标包括混淆矩阵、准确率、召回率、F1和AUC.

样本类别(0:167552,1:1047)的不对称性是反洗钱研究的一个常见问题,如果处理不当会降低模型的准确性.LR最容易受到这里采用的三种算法之间的不平衡的影响.如果没有采取补救措施,那么将趋向于将所有类别归类为类别0以最小化损失函数.为了克服这一问题,人们开发了几种方法,如过度抽样、抽样不足、重量变化等.本文应用第三种方法,即调整损失函数中正样本和负样本的权重,以平衡两类样本.结果表明这是有效的.

6.2 结果以及评估

测试集的混淆矩阵如表4-表6所示.精确率,召回率,F1,cross validation scores和AUC如表7所示.图2显示了使用LR预测的欺诈概率.

表4 逻辑回归模型的混淆矩阵Table 4 Confusion matrix for logistic regression model

表5 MLP模型的混淆矩阵Table 5 Confusion matrix for MLP model

表6 梯度增强模型的混淆矩阵Table 6 Confusion matrix for gradient boosting model

图2 使用LR预测欺诈概率Fig.2 Predicted probability of fraud using LR

三种型号的主要参数如下:

LR:C=50,class_weight={0:0.06,1:0.94},solver=′liblinear′,penalty=′l1′.

MLP:activation=′relu′,max_iter=200,hidden_layer_size=(50,).

GB:max_depth=2,n_estimator=100.

上述结果表明,该模型在训练数据集和测试数据集上都具有良好的功能,基本上适用于实际应用.在参数优化过程中,目标设定为最大化F1分数.但在实际情况下可能会发生变化.在大多数情况下,在线监控系统判断并锁定目标群体之后,人工分析师将根据他们的经验进行进一步调查.通过表7对3种算法的性能对比,可以发现MLP算法的精确率高于LR以及GB.其Train和Test数据集的精确率分别达到了93.90%和95.28%.并且MLP在F1值,Cross validation score,以及AUC的表现均优于其它两个算法.综合以上分析,MLP应被选作模型一的算法.

7 多分类模型

7.1 单模型训练

为了使该系统更有效和实用,进行了进一步的研究.

表7 性能指标Table 7 Performance indicators

建立了第二个模型来预测欺诈交易的最可能犯罪类别.用于模型训练的特征与可疑检测模型部分相同,标签改为fraud_catg.

对于多分类,这里使用了另外三种有监督的学习技术:支持向量机(SVM)、LR和MLP.培训和测试过程中使用了1047项欺诈交易.其中80%用于训练集,20%用于测试集.第1,2,3,4,5类犯罪的数量分别为302,214,282,203和46.指标包括混淆矩阵,精确率,召回率和F1.

混淆矩阵如等式(2)-式(4)所示.精确率,召回率,F1见表8.

(2)

(3)

(4)

三种型号的主要参数如下:

SVM:kernel=′rbf′,decision_function_shape=′ovo′,C=100.

LR:C=100,multi_class=′multinomial′,solver=′sag′.

MLP:activation=′relu′,max_iter=500,hidden_layer_size=(100,).

该模型在训练和测试数据集上表现良好.研究结果表明,犯罪分类对于模型训练是合理可行的,并且是反洗钱系统研究多分类问题的良好开端.由表8性能指标分析可得出,MLP在精确率、召回率和F1的性能表现优于SVM以及LR.因此,模型二选用MLP为多分类算法.目前的一个局限是,随着经济和犯罪技术的发展,为了保持对犯罪类型预测的良好准确性,对犯罪类型的分类应该经常变化.

表8 性能指标Table 8 Performance indicators

7.2 串联模型

在分别评估了两种模型的精度后,我们对模型的性能进行了串联测试.图3显示了系统的概述.在提取和结合特征之后,模型1用于从测试集锁定可疑交易集S.然后,在欺诈交易集F上训练模型2(这里排除已经由模型1检测到的欺诈交易,以使模型2的预测更有说服力).然后利用模型2对集合S上的犯罪类型进行分类,最后将结果报告给情报分析人员,以便进一步调查和判断.

图3 系统运行框架Fig.3 System framework

基于对模型一以及模型二的单独分析,应用MLP来训练模型1和2的系列.每个模型的主要参数如下.

模型1:MLP:activation=′tanh′,max_iter=200,hidden_layer_size=(100,).

模型 2:MLP:activation=′tanh′,max_iter=500,hidden_layer_size=(200,).

混淆矩阵如等式(5)所示.召回率为78.61%,准确率为74.63%,F1为76.56%.

(5)

结果表明,性能比较满意,虽然这两种模型单独使用时效果都不理想(只有对诈骗罪的判断和对犯罪的分类同时正确时,预测才是正确的,这是一个更严格的要求),它仍然为实际应用和未来研究具有积极的意义.

8 结论和未来的工作

本文采用监督学习的方法,建立了一个基于交易数据的洗钱检测和犯罪类别分类两种模型的系统.结果表明,每个模型对于样本数据都非常有用,并且对不同的训练方法表现出良好的鲁棒性.当模型组合在一起时,可以为手工检查提供有价值的参考.用户可以根据不同的用途选择使用哪种模型(或两者),但在实践中需要对提取的数据特征和模型参数进行微调.本文的不足之处在于缺乏真实的多维数据.考虑到信息研究需求的高度隐私性,这是该领域的一个很难解决的问题.然而,添加客户信息(如性别,年龄,工作,位置)的模拟数据是可能的,而且会有很大的贡献.另一个局限性是缺乏对各种因素的评估.例如,可疑水平与个体的时间和数量序列有关,这些交易可以借助于小波分析进行测量.同时,未来应考虑无监督学习(例如聚类).此外,如何提取适当的特征部分依赖于人类对ML过程的经验和理解,并且在一定程度上显着影响最终结果.就研究的局限性而言,需要进一步的工作来改进系统的算法和稳健性.