Warren Buffett dijo una vez que el fraude sería el sector de mayor crecimiento de todos los tiempos. Tenía razón, y ni siquiera conocía la mitad de lo que estaba por venir. Ahora, ese crecimiento está automatizado en ambos bandos. Los estafadores utilizan la IA para lanzar ataques a gran escala, mientras que la detección de fraude mediante IA agéntica permite detenerlos antes de que haya que despertar a algún equipo antifraude a las 2 de la madrugada. Por eso hemos llamado a la SardineCon de este año «La frontera agéntica».
El año pasado, en nuestra primera SardineCon, hablé de la «estafademia» y de cómo las operaciones de estafa se habían industrializado hasta el punto de sostener una parte considerable del PIB en lugares como Camboya. Así que este año quise profundizar y preguntar: «¿Qué cambios hemos visto realmente en los últimos 12 meses?»
Conclusiones clave:
- La detección del fraude mediante deepfakes basada en artefactos de vídeo es una carrera armamentística imposible de ganar. Cada nuevo detector acaba siendo burlado por el siguiente modelo. La vinculación de dispositivos y la biometría del comportamiento son las medidas que realmente mantienen su eficacia a lo largo del tiempo.
- Los agentes de IA encadenados superan a los modelos generalistas en la detección del fraude. Los agentes especializados y de alcance limitado ofrecen mejores resultados que un único agente de propósito general al que se le proporciona un procedimiento operativo estándar poco definido y una instrucción ambigua.
- Incluso las empresas dedicadas a la prevención del fraude son blanco de ataques. Cuando se publicaron dos vacantes técnicas —una para un ingeniero de aprendizaje automático y otra para un ingeniero de IA de despliegue avanzado—, entre el 70 % y el 80 % de los candidatos eran falsos y estaban vinculados a agentes estatales norcoreanos que atacan a empresas poseedoras de secretos comerciales.
- Una implementación de seis meses para automatizar el control de sanciones con un cliente bancario alcanzó un 99,9 % de concordancia entre la IA y los revisores humanos. Esto redujo la supervisión humana del 100 % al 10 % sin que se pasara por alto a una sola persona sancionada.
- El modelo fundacional de pagos, entrenado con más de mil millones de transacciones, trata el historial de transacciones como si fuera lenguaje. El resultado fue un aumento de más del 45 % en el AUC de detección de fraude con tarjetas.
- La vinculación universal de dispositivos para KYC crea una unidad de identidad persistente que elimina la necesidad de repetir la verificación en el mismo dispositivo.
- La detección de desviaciones en los modelos de aprendizaje automático para la prevención del fraude, la identificación de reglas obsoletas y la impugnación de contracargos ahora se ejecutan mediante agentes programados, sin que nadie tenga que iniciarlas.
- El diseño de los procedimientos operativos estándar (SOP) para agentes de IA contra el fraude importa más que el propio agente. Si se le asigna una tarea imprecisa, alucina. Un conjunto de instrucciones específicas y documentadas que refleje cómo toma realmente las decisiones un analista humano supera siempre a las indicaciones vagas.
El fraude se está volviendo más extraño
La calidad de los deepfakes no deja de mejorar, y no precisamente de forma lenta y gradual. Hace unos meses, Matt Vega y yo aparecimos en directo en CBS LA y convertimos a la presentadora de noticias en Taylor Swift mediante un deepfake en tiempo real, utilizando herramientas que cualquiera puede descargar. A ella le pareció divertidísimo, pero creo que a todos debería preocuparnos un poco más de lo que nos preocupa actualmente.
Luego está el fraude de candidatos, que nos tomó por sorpresa a pesar de que somos una empresa especializada en fraude. A principios de este año publicamos dos vacantes, una para ingeniero de aprendizaje automático y otra para ingeniero de IA de implementación avanzada (el puesto más de moda en el sector ahora mismo), y entre el 70 % y el 80 % de las candidaturas que recibimos eran falsas. Gran parte de esto se remonta a agentes estatales norcoreanos que tienen en el punto de mira a empresas de criptomonedas, bancos y, sí, proveedores de prevención del fraude como nosotros, porque todos poseemos secretos comerciales que quieren conseguir.
Hay un caso que todavía me ronda la cabeza. Un candidato que se hacía llamar Frank Crawford completó todo el proceso de entrevistas con nuestro equipo. Detectamos indicios sospechosos y decidimos no seguir adelante. Dos semanas después, el verdadero Frank Crawford nos escribió para decirnos que alguien había estado suplantando su identidad en numerosas solicitudes de empleo. Ya no se trata de un puñado de agentes estatales, sino de una operación a escala industrial dirigida contra cualquiera que contrate personal para puestos sensibles.
Detectamos algo similar en un puesto con sede en Estonia, cuando un candidato apareció con una dirección IP de Estados Unidos. Al investigar, descubrimos que esa dirección estaba vinculada al Grupo Lazarus y que, detrás de ella, operaba toda una red de identidades falsas que utilizaban de forma rotativa la misma infraestructura.
Por qué dejamos de confiar en los rostros y empezamos a confiar en los dispositivos
El problema del vídeo y la voz es que pueden robarse. Están disponibles públicamente en internet. Alguien puede mover el rostro de un lado a otro, imitar tu voz y superar una prueba de detección de vida creada hace cinco años. Lo que no se puede robar es tu forma de comportarte: tu manera de escribir, deslizar el dedo o sostener el teléfono es única. En Sardine, desarrollamos nuestra tecnología en torno a esas señales de comportamiento intrínsecas.
Por eso también hemos dejado de considerar que una prueba de vida basada en movimientos faciales sea suficiente para verificar la identidad. Debe estar respaldada por una vinculación sólida con el dispositivo. Ahora creo deepfakes de personas en videollamadas constantemente, solo para demostrarlo. Se pueden crear detectores que busquen imágenes borrosas o temblores en una transmisión de vídeo, pero es una carrera armamentística imposible de ganar. En cuanto se lanza un detector, aparece un nuevo modelo que elimina el artefacto que este buscaba.
Lo que realmente funciona es plantear una pregunta diferente: ¿esta verificación procede siquiera de un dispositivo real? Los estafadores inyectan vídeo en una cámara web mediante cámaras virtuales, dispositivos de inyección de hardware o emuladores móviles, que dejan sus propias huellas. Un teléfono colocado boca abajo mientras alguien afirma estar haciéndose un vídeo selfi también deja una huella. Es lo más fácil de detectar y, a diferencia de los artefactos de vídeo, es una señal persistente.
Llevamos esa lógica un paso más allá con Universal KYC, que ahora está en fase beta. Una vez que alguien completa un proceso de KYC real (SSN más verificación de identidad vinculada a un dispositivo específico), lo recordamos. Si vuelve a acceder desde ese mismo dispositivo, no tiene que repetir la verificación. La identidad y el dispositivo se convierten en una unidad única y duradera, en lugar de algo que hay que volver a demostrar en cada sesión.
Cuando aparecen 250.000 cuentas en un solo día
Esta es la parte de la charla que más me importa. Uno de nuestros clientes recibió 250.000 solicitudes de apertura de cuentas en un solo día, todas ellas basadas en datos de CIP robados (nombres reales, direcciones, fechas de nacimiento y números de la Seguridad Social), adquiridos en el mercado negro y canalizados a través de servidores proxy que apuntaban a los Emiratos Árabes Unidos y Suiza.
Todo estafador comete algún error. En este caso, fue la reutilización de la huella digital del dispositivo en la mayoría de esas cuentas. Eso nos proporcionó dos señales claras: primero, una ubicación real fuera de EE. UU.; y segundo, una reutilización masiva de la misma huella digital. Le dimos esa información como instrucción a nuestro agente de IA de análisis de datos, que llevó a cabo toda la investigación de principio a fin y detectó otras cinco huellas digitales con el mismo patrón.
Recuerdo exactamente cuándo ocurrió. Era un viernes a las 6 de la tarde y mi teléfono no paraba de sonar. Mi primer impulso fue avisar a mi equipo de ciencia de datos, la mayoría de cuyos integrantes están en la costa este y ya se habían desconectado por el fin de semana. En lugar de eso, pusimos en marcha a nuestro agente.
La parte que realmente disfruté fue ver cómo manejaba los matices. La reutilización de dispositivos no siempre implica fraude. Los residentes de residencias de ancianos y sus familias comparten dispositivos por motivos totalmente normales. El agente no se limitó a detectar una frecuencia de uso inusual, sino que determinó qué patrones de reutilización correspondían a fraudes reales y cuáles a residencias de ancianos, y solo derivó los primeros.
No puedes asignarle a un agente una tarea imprecisa
La lección que subyace a todo esto es que no se le puede entregar a un agente de IA un procedimiento operativo estándar demasiado amplio y esperar que todo salga bien. Si se le dan instrucciones poco precisas, empieza a alucinar. Lo que realmente funciona es encadenar agentes especializados con funciones muy concretas: uno para detectar anomalías, otro para analizar grafos y vínculos, otro que escriba SQL y lleve a cabo investigaciones exhaustivas, y otro que proponga nuevas reglas una vez que los demás hayan terminado su trabajo.
Probamos esto constantemente en nuestra propia plataforma de acceso a cripto, que comenzó como nuestra primera línea de productos y ahora cuenta con su propio responsable de cumplimiento de la BSA/AML, una licencia lituana y un equipo completo de investigaciones. También es nuestro señuelo. Los estafadores la atacan a diario, lo que la convierte en un buen entorno para probar agentes antes de que nadie más los utilice.
Ahora programamos estos agentes como si fueran tareas cron. Uno se activa a diario, compara el tráfico de las últimas 24 horas con el de los 30 días anteriores y señala las novedades. Otro analiza toda nuestra biblioteca de reglas (que, si alguna vez has gestionado un programa antifraude, tiende a acumularse como capas de tiritas) y nos indica qué reglas siguen siendo eficaces y cuáles son código obsoleto. Un tercero busca patrones de pruebas de tarjetas y redacta nuevas reglas en respuesta.
Ya lo he dicho antes y lo repetiré: el aprendizaje automático por sí solo nunca es suficiente. Si ya conoces una tipología de fraude, el aprendizaje automático supervisado la extrapolará a la perfección y detectará todos los casos similares. Pero si aún no conoces el patrón, el aprendizaje automático no tiene nada de lo que aprender. Para eso sirven las reglas: son tu capa no supervisada, que detecta patrones de velocidad y heurísticos antes de que dispongas de datos etiquetados con los que entrenar el modelo.
Algunas de las otras cosas que nuestros agentes hacen ahora sin que nadie se lo pida:
- Supervisan todas las colas de nuestra pasarela de entrada a las criptomonedas y alertan cuando el volumen se desploma, ya sea por un problema de fraude o, como ocurrió en una ocasión, por una integración de Apple Pay que había dejado de funcionar
- Supervisar las distribuciones de las puntuaciones de riesgo para detectar desviaciones
- Revisar los archivos TC40 y de contracargos para detectar patrones de fraude que se hayan pasado por alto o nuevas tipologías que aún no hayamos codificado
- Evaluar qué contracargos merece la pena impugnar conforme a un marco como Compelling Evidence 3.0 de Visa, comprobando si el mismo dispositivo y la misma dirección IP tienen un historial real de compras con el comercio en cuestión
Automatización del 95 % de las revisiones de sanciones, sin escatimar esfuerzos
La vertiente relacionada con los delitos financieros es menos llamativa, pero podría representar una oportunidad aún mayor. Los bancos nos dicen que hasta el 30 % de sus gastos operativos se destina al cumplimiento normativo en materia de delitos financieros mediante el control de sanciones, la supervisión de transacciones de nivel 1 y las revisiones EDD y CDD. La mayoría de las alertas de sanciones son falsos positivos, pero la normativa exige que una persona revise todas y cada una de ellas de todos modos.
Pasamos seis meses trabajando con un cliente bancario para automatizar la revisión de sus alertas de sanciones, y creo que este sigue siendo el único ejemplo de este tipo en producción. El agente revisa la alerta y deja una nota explicando por qué se trata de un falso positivo, pero una persona supervisa el proceso en todo momento. Durante los dos primeros meses, todas las decisiones de la IA se sometían a revisión humana. Ahora esa cifra se ha reducido a alrededor del 10 % y sigue bajando.
La cifra que importa aquí es la tasa de coincidencia del 99,9 % entre la IA y los revisores humanos. En total, se revocaron siete decisiones, y en todos los casos se debió a que la IA había sido demasiado conservadora al señalar como persona de riesgo a alguien que un revisor humano consideró que no lo era. Ni una sola vez una revisión por muestreo detectó que se hubiera pasado por alto a una persona sancionada, que es el único indicador de todo este programa que debe tener una precisión del 100 %, sin excepciones.
Lo conseguimos documentando en detalle el procedimiento operativo estándar vigente del banco, entrenando al agente para que reprodujera exactamente cómo tomaban las decisiones sus analistas y, después, ejecutándolo en producción en paralelo con la revisión humana hasta alcanzar un nivel de concordancia constante, antes de reducir siquiera la supervisión. Explicamos el enfoque completo en un libro blanco sobre el despliegue de agentes de IA en entornos regulados por si quieres conocer los detalles de su funcionamiento.
¿Agente o flujo de trabajo? Pregúntese si existe un procedimiento operativo estándar
Ryan McCormack, quien dirige nuestro trabajo de IA y aprendizaje automático, plantea esta cuestión como una disyuntiva entre autonomía y determinismo. Es la primera pregunta que hacemos a cada banco, fintech o procesador de pagos con el que trabajamos: ¿disponen de un procedimiento operativo estándar documentado sobre cómo revisa su equipo estos casos?
Si la respuesta es sí, probablemente no necesites un agente. Un flujo de trabajo determinista te permitirá lograr casi todo lo necesario. Si la respuesta es no —y, sinceramente, esta es la respuesta más habitual—, ahí es donde un agente de IA demuestra su valor, normalmente junto con un ingeniero de implementación en campo.
Sin embargo, no es una cuestión binaria. Puedes empezar usando un agente en una cola que no tenga un procedimiento operativo estándar (SOP) y, cuando los costes de los tokens empiecen a aumentar, convertir las partes estables y repetibles de su trabajo en un flujo de trabajo determinista. Para eso utilizamos internamente Sardine Flow, algo parecido a N8n, pero diseñado específicamente para el fraude y los delitos financieros, que encadena pasos deterministas con agentes allí donde aún se requiere criterio.
Desde que lanzamos nuestros agentes de IA, más de 300 clientes los han adoptado, lo que supone un aumento de 2,5 veces desde enero.
Creación de un modelo fundacional que habla el lenguaje de los pagos
Lo último que quiero abordar es hacia dónde nos dirigimos. Los LLM de propósito general se entrenan con datos públicos. Nosotros tenemos algo que ellos no tienen: más de 6.000 millones de dispositivos perfilados, más de 440 millones de consumidores y más de 3 millones de empresas, todo ello desarrollado junto con nuestros clientes a lo largo de los años. Al igual que muchos sectores en la actualidad, hemos llegado a la conclusión de que el próximo gran salto no consiste en crear un modelo general más grande, sino uno entrenado específicamente en nuestro ámbito.
Los modelos de lenguaje de gran tamaño predicen el siguiente token de una secuencia. Si aplicamos esto a los pagos, la cosa se pone interesante enseguida. Si hago una transacción en SafePay, luego en Starbucks, después en Chevron y de nuevo en SafePay, se forma un patrón, casi como las palabras de una oración. A partir de mi historial, se puede predecir con bastante certeza en qué comercio apareceré a continuación. Si me roban la tarjeta y alguien empieza a comprar en Gucci, el patrón se rompe por completo, porque Gucci nunca iba a ser mi siguiente palabra.
Esa es la idea en la que se basa el modelo fundacional de pagos que desarrolló nuestro laboratorio de IA. Un modelo entrenado con más de mil millones de transacciones y unos modestos 40 millones de parámetros, en comparación con los modelos de vanguardia de los que todo el mundo habla, que mejoró en más de un 45 % el AUC de nuestro sistema de detección de fraude con tarjetas.
Conviene dejar claro que el modelo fundacional por sí solo no basta. Entrenamos representaciones vectoriales para aspectos como «en qué comercio es probable que esta persona realice su próxima transacción» y las incorporamos como características a un modelo supervisado estándar. Lo que realmente marca la diferencia es la combinación de ambos elementos, no cada uno por separado.
¿Cuál es el siguiente paso? Un lenguaje de inicios de sesión, construido a partir de las direcciones IP y los dispositivos desde los que las personas suelen conectarse. Un lenguaje de movimientos del ratón, para detectar herramientas de acceso remoto como TeamViewer y AnyDesk, que los estafadores utilizan para controlar la pantalla de una víctima. Y un lenguaje de contrapartes para la prevención del blanqueo de capitales (AML), de modo que, cuando un restaurante envíe un pago de una factura de 100.000 dólares a un proveedor de piezas de armamento, el modelo lo marque como lo haría un analista humano: «esa frase no tiene sentido».
En cierto sentido, ahora también existe un modelo fundacional para los estafadores. Hasta ahora siempre hemos tenido que descifrar sus señales manualmente. Si podemos entrenar modelos para que aprendan su lenguaje directamente, eso cambiará el ritmo de toda esta lucha.
Si el fraude va a seguir industrializándose como predijo Buffett, la única forma de que podamos dormir tranquilos es combatirlo también a la velocidad de las máquinas.
Preguntas frecuentes
¿Qué es la detección de fraude mediante IA agéntica y en qué se diferencia de la detección de fraude tradicional basada en aprendizaje automático?
La detección de fraude mediante IA agéntica utiliza agentes de IA especializados y de alcance limitado, conectados entre sí para investigar redes de fraude, proponer nuevas reglas y automatizar las colas de revisión. A diferencia de los modelos tradicionales de aprendizaje automático, que extrapolan patrones de fraude conocidos a partir de datos etiquetados, los agentes pueden investigar patrones novedosos sin necesidad de etiquetas previas. Esto los hace eficaces frente a nuevos tipos de ataques sobre los que los modelos supervisados aún no tienen datos de los que aprender.
¿Por qué la detección del fraude mediante deepfakes está dejando de centrarse en el análisis de vídeo para enfocarse en las señales del dispositivo?
La detección de artefactos de vídeo es una carrera armamentística. Cada vez que se lanza un detector, aparece un nuevo modelo que elimina el artefacto que buscaba. Las señales del dispositivo, como las huellas de cámaras virtuales, el comportamiento de los emuladores móviles y la orientación del teléfono durante la verificación mediante selfi, son más fiables a largo plazo porque no pueden falsificarse al mismo ritmo. Combinar la vinculación del dispositivo con la biometría del comportamiento crea una unidad de identidad que se mantiene sólida cuando fallan las comprobaciones de prueba de vida por vídeo.
¿Cómo mantiene la automatización del control de sanciones la precisión al tiempo que reduce la revisión manual?
La clave está en comenzar con una revisión totalmente humana de cada decisión de la IA y reducir la supervisión únicamente cuando las tasas de coincidencia se mantengan constantes en producción. En el caso de Sardine, una implementación de seis meses con un cliente bancario alcanzó un 99,9 % de coincidencia entre la IA y los revisores humanos antes de reducir la supervisión al 10 %. La única métrica que no puede variar es la de personas sancionadas no detectadas, y ninguna revisión por muestreo ha identificado caso alguno.
¿Qué es un modelo fundacional de pagos y cómo mejora la detección del fraude?
Un modelo fundacional de pagos trata el historial de transacciones como si fuera lenguaje y predice cuál será probablemente el siguiente comercio de una secuencia basándose en el comportamiento previo. Cuando una transacción rompe ese patrón —por ejemplo, una compra en Gucci realizada por alguien cuyo historial solo contiene supermercados y gasolineras—, la marca como anómala. Entrenado con más de mil millones de transacciones y 40 millones de parámetros, el modelo fundacional de pagos de Sardine aumentó en más de un 45 % el AUC de detección de fraude con tarjetas al incorporar sus representaciones vectoriales como variables en un modelo supervisado estándar.
