ウォーレン・バフェットはかつて、詐欺は史上最大の成長産業になると語りました。彼の予言は正しかったのですが、実態はその想像をはるかに超えていました。今や、その成長は攻撃側と防御側の双方で自動化されています。詐欺師はAIを使って攻撃を大規模化し、それに対してエージェント型AIによる不正検知が、対策チームの誰かが午前2時にたたき起こされる前に攻撃を阻止します。そこで、今年のSardineConを「Agentic Frontier」と名付けました。
昨年、初開催のSardineConで、私は「詐欺パンデミック」について、そして詐欺組織の活動が産業化し、カンボジアのような国ではGDPのかなりの部分を支えるまでになっている現状について話しました。そこで今年はさらに掘り下げ、「この12か月で、実際に何が変わったのか？」を考えたいと思いました。
主なポイント：
- 動画の不自然な痕跡に基づくディープフェイク詐欺検知は、勝ち目のないいたちごっこです。新しい検知技術が登場しても、次のモデルには突破されてしまいます。長期的に有効なのは、デバイスバインディングと行動バイオメトリクスです。
- 連携させたAIエージェントは、不正検知において汎用モデルを上回ります。曖昧なプロンプトと大まかな標準作業手順書（SOP）を与えられた単一の汎用エージェントよりも、特定分野に特化した専門エージェントの方が優れた結果を生み出します。
- 不正防止企業でさえ標的になります。機械学習エンジニアとAIフォワードデプロイドエンジニアという2つの技術職を募集したところ、応募者の70～80％が偽者であり、企業秘密を保有する企業を狙う北朝鮮の国家関係者によるものだと判明しました。
- 銀行顧客向けに6か月間実施した制裁対象者スクリーニングの自動化導入では、AIと人間の審査担当者の判定一致率が99.9％に達しました。その結果、制裁対象者を一人も見逃すことなく、人による確認を100％から10％に削減できました。
- 10億件を超える取引データで学習した決済基盤モデルは、取引履歴を言語のように扱います。その結果、カード不正検知のAUCが45％以上向上しました。
- ユニバーサルKYCのデバイス紐付けにより、永続的な本人識別単位が作成され、同じデバイスでの再認証が不要になります。
- 不正検知MLモデルのドリフト検出、無効化したルールの特定、チャージバックへの異議申し立ては、誰かが開始しなくても、スケジュールされたエージェントによって自動的に実行されるようになりました。
- AIエージェントによる不正対策では、エージェント自体よりもSOPの設計が重要です。曖昧なタスクを与えると、エージェントは事実に基づかない回答を生成します。人間のアナリストが実際に行う意思決定プロセスを反映した、範囲が明確で文書化された一連の指示は、常に曖昧なプロンプトを上回る成果を上げます。
不正行為はますます奇妙になっている
ディープフェイクの品質は向上し続けており、その進歩はゆっくりと段階的なものではありません。数か月前、マット・ベガと私はCBS LAの生放送に出演し、ニュースキャスターをディープフェイクでリアルタイムにテイラー・スウィフトへと変身させました。使ったのは、誰でもダウンロードできるツールです。彼女はとても面白がっていましたが、私たちは今よりもう少し、このことに危機感を持つべきだと思います。
次に挙げられるのが応募者による詐欺です。不正対策を手がける会社である私たちでさえ、これには不意を突かれました。今年初め、機械学習エンジニアとAIフォワードデプロイドエンジニア（今、業界で最も注目されている職種名です）の2職種を募集したところ、応募者の約70〜80％が偽者でした。その多くは、暗号資産企業や銀行、そして私たちのような不正防止ベンダーを狙う北朝鮮の国家支援型攻撃者に行き着きます。私たちはいずれも、彼らが欲しがる企業秘密を保有しているからです。
今でも忘れられない事例があります。フランク・クロフォードと名乗る候補者が、当社の採用面接を一通り受けました。私たちは不審な兆候を検知し、選考を進めないことにしました。その2週間後、本物のフランク・クロフォードからメールが届き、何者かが複数の求人への応募で彼になりすましていたことが判明しました。もはや一握りの国家関係者による犯行ではなく、機密性の高い職種を採用するあらゆる組織を狙った、産業規模の組織的な活動なのです。
エストニアを拠点とするポジションでも、同様の事例がありました。ある応募者が米国のIPアドレスからアクセスしていたのです。詳しく調べると、そのアドレスはLazarus Groupに行き着き、その背後では、同じインフラを使い回す偽の身元情報の一大ネットワークが動いていました。
顔ではなくデバイスを信頼するようになった理由
動画や音声の問題は、盗まれる可能性があることです。これらは公開されたウェブ上に存在します。誰かが顔を左右に動かし、あなたの声をまねて、5年前に作られた生体検知を突破することもできます。一方で、実際の行動の仕方は盗めません。文字の入力方法、スワイプの仕方、スマートフォンの持ち方は、一人ひとり異なります。Sardineでは、こうした人に内在する行動シグナルを軸にシステムを構築しています。
だからこそ、顔を動かすだけのライブネスチェックでは、もはや本人確認には不十分だと考えています。その基盤には、デバイスとの強固な紐付けが必要です。私は今では、そのことを実証するために、ビデオ通話で頻繁に人物のディープフェイクを作っています。映像のぼやけや揺れを検出する仕組みを構築することはできますが、それは勝ち目のないいたちごっこです。検出器をリリースした途端、新しいモデルが検出対象の不自然さを取り除いてしまいます。
実際に有効なのは、別の問いを立てることです。そもそも、この本人確認は実在するデバイスから行われているのでしょうか？詐欺師は、仮想カメラやハードウェアインジェクター、モバイルエミュレーターを使ってウェブカメラに映像を注入しますが、これらにはそれぞれ固有の痕跡が残ります。ビデオセルフィーを撮っていると主張しているのに、スマートフォンが画面を下にして置かれている場合も、やはり痕跡が残ります。まず狙うべきはこうした検出しやすい不正であり、映像のアーティファクトとは異なり、長期的に有効です。
私たちはその考え方をさらに発展させ、現在ベータ版として提供しているUniversal KYCを開発しました。一度ユーザーが本格的なKYC（SSNと、特定のデバイスに紐づけられた本人確認）を完了すると、その情報が記憶されます。同じデバイスで再びアクセスすれば、本人確認を繰り返す必要はありません。本人情報とデバイスが一体となった永続的な単位となり、セッションのたびに再証明する必要がなくなります。
1日に25万件のアカウントが押し寄せたとき
ここが、この講演で私が最も重視している部分です。あるクライアントでは、たった1日で25万件ものアカウント登録が押し寄せました。そのすべてが、闇市場で購入された盗難CIPデータ（実在する氏名、住所、生年月日、社会保障番号）を使って作成され、UAEとスイスを経由地とするプロキシを通じて行われていました。
どんな詐欺師も、どこかで必ずミスを犯します。今回のケースでは、それらのアカウントの大半でデバイスフィンガープリントが使い回されていました。そこから、2つの明確なシグナルが得られました。1つ目は実際の所在地が米国外であること、2つ目は同じフィンガープリントが大量に再利用されていることです。これらをプロンプトとしてデータアナリストAIエージェントに渡したところ、調査を最初から最後まで自律的に実行し、同じパターンを持つフィンガープリントをさらに5つ特定しました。
このときのことは今でも鮮明に覚えています。金曜日の午後6時、私の電話は鳴りやみませんでした。真っ先に思い浮かんだのはデータサイエンスチームを呼び出すことでしたが、メンバーの大半は東海岸にいて、すでに週末に入ってオフラインでした。そこで代わりに、私たちのエージェントを稼働させました。
実際に見ていて面白かったのは、エージェントが微妙な違いまで見極めて対処する様子でした。同じデバイスが繰り返し使われているからといって、必ずしも不正とは限りません。介護施設の入居者や家族が、ごく普通の理由でデバイスを共有することもあります。エージェントは単に利用頻度の高さを検知するだけでなく、どの再利用パターンが本当の不正で、どれが介護施設での利用なのかを判別し、前者だけをエスカレーションしました。
エージェントに曖昧な仕事を任せてはいけない
ここから得られる教訓は、AIエージェントに大まかな標準作業手順書（SOP）を渡して、あとはうまくいくことを期待するだけではだめだということです。曖昧な指示を与えると、エージェントはハルシネーションを起こし始めます。実際に有効なのは、役割を絞った専門エージェントを連携させることです。たとえば、異常検知を行うエージェント、グラフ分析とリンク分析を行うエージェント、SQLを書いて詳細な調査を実行するエージェント、そして他のエージェントが作業を終えた後に新たなルールを提案するエージェントです。
私たちは、最初の製品ラインとして立ち上げ、現在では専任のBSA/AML責任者、リトアニアのライセンス、そして本格的な調査チームを擁する自社の暗号資産オンランプで、これを常に実運用しています。ここは私たちにとってハニーポットでもあります。詐欺師が毎日のように攻撃してくるため、他社に提供する前にエージェントをテストするには格好の環境です。
現在では、cronジョブを設定するのと同じように、これらのエージェントをスケジュールしています。あるエージェントは毎日起動し、直近24時間のトラフィックを過去30日間のデータと比較して、新たな動きを検出します。別のエージェントは、ルールライブラリ全体（不正対策プログラムを運用したことがある方ならご存じのとおり、応急処置を重ねるように増えていきがちです）を調べ、今も効果を発揮しているルールと、もはや使われていないルールを教えてくれます。3つ目のエージェントは、カードテスティングのパターンを監視し、それに対応する新しいルール案を作成します。
以前にも言いましたが、改めて言います。機械学習だけでは決して十分ではありません。すでに不正の類型が分かっているなら、教師あり機械学習はそこから見事に一般化し、類似するケースを漏れなく見つけ出してくれます。しかし、まだそのパターンが分かっていなければ、機械学習には学習材料がありません。そこで役立つのがルールです。ルールは教師なしのレイヤーとして機能し、学習に使えるラベル付きデータが揃う前に、頻度や経験則に基づくパターンを検知します。
現在、私たちのエージェントが誰に指示されることもなく行っているその他のこと：
- 当社の暗号資産オンランプにあるすべてのキューを監視し、取引量が急減した際には、不正に起因する問題であれ、あるケースで発生したApple Pay連携の不具合であれ、フラグを立てる
- リスクスコアの分布を監視し、ドリフトを検知する
- TC40およびチャージバックファイルを確認し、見逃していた不正パターンや、まだコード化していなかった新たな類型を特定する
- Visaの「Compelling Evidence 3.0」のような制度に基づき、同一のデバイスとIPアドレスで当該加盟店における正規の購入履歴があるかを確認し、異議申し立てを行う価値のあるチャージバックを見極める
妥協することなく、制裁審査の95％を自動化
金融犯罪対策の領域はそれほど華やかではありませんが、より大きな可能性を秘めているとも言えます。銀行によると、制裁スクリーニング、L1取引モニタリング、EDDおよびCDDの審査など、金融犯罪コンプライアンスに営業費用の最大30％が費やされています。制裁アラートの大半は誤検知ですが、規制上、例外なくすべてを人が確認する必要があります。
ある銀行の顧客とともに、制裁アラートのクリアリング審査を自動化する取り組みに6か月を費やしましたが、今なお本番環境で稼働している同種の事例はこれだけだと考えています。エージェントがアラートを確認し、誤検知である理由を説明するメモを残しますが、プロセス全体を通じて人間が関与します。最初の数か月は、AIによるすべての判断を人間が100％確認していました。現在、その割合は約10％まで下がっており、今も低下し続けています。
ここで重要なのは、AIと人間の審査担当者の判断一致率が99.9％だったことです。判断が覆されたのは合計7件で、いずれもAIが慎重になりすぎ、人間が問題なしと判断した人物をリスクありと判定したケースでした。サンプル審査で制裁対象者の見落としが判明したことは一度もありません。これは、このプログラム全体で例外なく100％の精度が求められる唯一の指標です。
この成果は、銀行の既存の標準業務手順（SOP）を詳細に文書化し、同行のアナリストとまったく同じ判断を再現できるようエージェントをトレーニングしたうえで、本番環境で人間によるレビューと並行して稼働させ、判断の一致が安定してから初めて監督を縮小することで実現しました。その全体的なアプローチについては、ホワイトペーパー「規制環境におけるAIエージェントの導入」にまとめています。具体的な仕組みにご興味があれば、ぜひご覧ください。
エージェントかワークフローか？SOPが存在するかを確認する
当社のAIおよび機械学習分野を統括するRyan McCormackは、これを「自律性か決定論か」という観点で捉えています。当社が取引する銀行、フィンテック企業、決済事業者に最初に尋ねるのは、「貴社のチームがこうしたケースをどのように審査するかについて、文書化された標準業務手順書（SOP）はありますか？」ということです。
「はい」なら、おそらくエージェントは必要ありません。決定論的なワークフローで、ほとんどの対応が可能です。「いいえ」なら——実際、こちらの回答のほうが一般的ですが——AIエージェントの出番です。通常は、現場に常駐するエンジニアと連携して活用します。
ただし、これは二者択一ではありません。SOPが存在しないキューにはまずエージェントを導入し、トークンコストが増え始めたら、その処理のうち安定して繰り返し実行できる部分を決定論的なワークフローに移行できます。社内では、そのためにSardine Flowを使用しています。N8nに似ていますが、不正行為や金融犯罪への対応に特化して設計されており、決定論的な処理ステップを連結しつつ、判断が必要な箇所にはエージェントを組み込めます。
AIエージェントの提供開始以来、300社を超えるクライアントに導入され、1月時点と比べて2.5倍に増加しました。
決済を理解する基盤モデルの構築
最後にお話ししたいのは、私たちがこれからどこへ向かうのかということです。汎用LLMは公開データで学習されています。一方、私たちには汎用LLMにはないものがあります。それは、60億台を超えるプロファイリング済みデバイス、4億4,000万人を超える消費者、そして300万社を超える企業に関するデータです。これらはすべて、長年にわたりお客様とともに築き上げてきたものです。現在、多くの業界がそうであるように、私たちも次の飛躍をもたらすのは、より大規模な汎用モデルではなく、私たち固有の領域に特化して学習されたモデルだという結論に至りました。
大規模言語モデルは、シーケンス内の次のトークンを予測します。これを決済に当てはめると、たちまち興味深いことが見えてきます。私がSafePay、Starbucks、Chevron、そして再びSafePayの順に決済したとすれば、そこには文章中の単語の並びにも似たパターンがあります。私の履歴を踏まえれば、次にどの加盟店を利用するかをかなりの確度で予測できます。もし私のカードが盗まれ、誰かがGucciで買い物を始めたら、そのパターンは完全に崩れます。Gucciが私の「次の単語」になるはずはなかったからです。
これが、当社のAIラボが構築した決済基盤モデルの根底にある考え方です。このモデルは10億件を超える取引データで学習されており、誰もが話題にする最先端モデルと比べれば控えめな4,000万パラメータながら、カード不正検知のAUCを45％以上向上させました。
はっきり述べておきたいのは、基盤モデルだけでは不十分だということです。私たちは、「この人が次に取引しそうな加盟店はどこか」といった情報を表す埋め込みを学習し、それを特徴量として標準的な教師あり学習モデルに入力します。成果を生み出すのはこの組み合わせであり、どちらか一方だけではありません。
次に目指しているのは何か。まず、ユーザーが普段ログインに使用するIPアドレスやデバイスから構築する「ログインの言語」です。次に、詐欺師が被害者の画面を操作するために使うTeamViewerやAnyDeskのようなリモートアクセスツールを検知するための「マウス操作の言語」。そしてAML向けの「取引相手の言語」です。たとえば、レストランが武器部品の供給業者に10万ドルの請求書代金を支払った場合、人間のアナリストと同じように、モデルが「この文は意味が通らない」と判断してフラグを立てられるようにします。
ある意味では今や、詐欺師にも基盤モデルがあると言えます。これまで私たちは、彼らが発するシグナルを人の手で読み解かなければなりませんでした。モデルを訓練し、彼らの言語を直接学習させることができれば、この攻防全体のスピードは一変します。
バフェットの予測どおり詐欺の産業化が進み続けるなら、私たちが安心して夜を過ごす唯一の方法は、こちらも機械のスピードで対抗することです。
よくある質問
エージェント型AIによる不正検知とは何ですか？また、従来の機械学習による不正検知とはどのように異なりますか？
エージェント型AIによる不正検知では、特定分野に特化した複数のAIエージェントを連携させ、不正グループの調査、新たなルールの提案、審査キューの自動化を行います。ラベル付きデータから既知の不正パターンを推定する従来の機械学習モデルとは異なり、エージェントは事前のラベルがなくても未知のパターンを調査できます。そのため、教師ありモデルがまだ学習材料を持たない新たな攻撃手法にも効果を発揮します。
ディープフェイク詐欺の検知が、動画分析からデバイスシグナルの活用へと移行しているのはなぜですか？
動画の不自然な痕跡の検出は、いたちごっこです。検出ツールが登場するたびに、新しいモデルがそのツールの検出対象だった痕跡を消し去ります。一方、仮想カメラのフィンガープリント、モバイルエミュレーターの挙動、自撮り認証時のスマートフォンの向きといったデバイス由来のシグナルは、同じペースでは偽装できないため、長期的に有効です。デバイスバインディングと行動バイオメトリクスを組み合わせることで、動画による生体判定が機能しない場面でも信頼できる本人識別の仕組みを構築できます。
制裁スクリーニングの自動化は、人による確認作業を減らしながら、どのように精度を維持するのでしょうか？
重要なのは、AIによるすべての判断を当初は人間が100％確認し、本番環境での一致率が安定してから初めて監督の割合を引き下げることです。Sardineの場合、ある銀行顧客への6か月間の導入で、AIと人間の審査担当者の判断一致率が99.9％に達した後、監督の割合を10％まで引き下げました。絶対に悪化させてはならない指標は、制裁対象者の見逃し件数です。これまでのサンプル審査では、見逃しは1件も確認されていません。
決済基盤モデルとは何ですか？また、不正検知をどのように向上させるのでしょうか？
決済基盤モデルは、取引履歴を言語のように捉え、過去の行動に基づいて一連の取引で次に利用される可能性が高い加盟店を予測します。たとえば、食料品店とガソリンスタンドでしか利用履歴がない人がグッチで買い物をするなど、通常のパターンから外れた取引が発生すると、異常として検知します。10億件を超える取引データと4,000万個のパラメータで学習したSardineの決済基盤モデルは、その埋め込み表現を特徴量として標準的な教師ありモデルに入力することで、カード不正検知のAUCを45％以上向上させました。
