Warren Buffett disse uma vez que a fraude seria o setor de maior crescimento de todos os tempos. Ele tinha razão — e nem sequer conhecia metade da história. Agora, esse crescimento é automatizado dos dois lados. Os fraudadores usam IA para ampliar os ataques, enquanto a detecção de fraudes com IA agêntica é usada para impedi-los antes que a equipe antifraude de alguém precise ser acordada às 2h da manhã. Foi por isso que demos à SardineCon deste ano o nome de Agentic Frontier.
No ano passado, na nossa primeira SardineCon, falei sobre a "epidemia de fraudes" e sobre como as operações fraudulentas se industrializaram a ponto de sustentar uma parcela significativa do PIB em países como o Camboja. Por isso, este ano quis aprofundar o tema e perguntar: “o que realmente vimos mudar nos últimos 12 meses?”
Principais conclusões:
- A detecção de fraudes com deepfakes baseada em artefatos de vídeo é uma corrida armamentista impossível de vencer. Cada novo detector acaba sendo contornado pelo modelo seguinte. A vinculação de dispositivos e a biometria comportamental são as soluções que realmente se mantêm eficazes ao longo do tempo.
- Agentes de IA encadeados superam modelos abrangentes na detecção de fraudes. Agentes especializados e focados produzem melhores resultados do que um único agente de uso geral que recebe um procedimento operacional padrão pouco definido e um prompt vago.
- Até mesmo empresas de prevenção a fraudes são alvos. Quando foram anunciadas duas vagas técnicas — uma para engenheiro de aprendizado de máquina e outra para engenheiro de implantação avançada de IA —, entre 70% e 80% dos candidatos eram falsos e foram associados a agentes estatais norte-coreanos que visavam empresas detentoras de segredos comerciais.
- Uma implementação de seis meses de automação da triagem de sanções junto de um cliente bancário alcançou uma concordância de 99,9% entre a IA e os revisores humanos. Isto reduziu a supervisão humana de 100% para 10%, sem deixar escapar uma única pessoa sancionada.
- O modelo fundacional de pagamentos, treinado com mais de um bilhão de transações, trata o histórico de transações como uma linguagem. O resultado foi um aumento de mais de 45% na AUC da detecção de fraudes com cartões.
- A vinculação universal de dispositivos ao KYC cria uma unidade de identidade persistente que elimina a necessidade de repetir a verificação no mesmo dispositivo.
- A detecção de desvio de modelos de ML antifraude, a identificação de regras inativas e a contestação de estornos agora são executadas por agentes programados, sem que ninguém precise iniciá-las.
- O design do procedimento operacional padrão (SOP) de fraude para agentes de IA é mais importante do que o próprio agente. Dê a um agente uma tarefa vaga e ele terá alucinações. Um conjunto restrito e documentado de instruções que reproduza a forma como um analista humano realmente toma decisões supera sempre os prompts vagos.
As fraudes estão ficando mais estranhas
A qualidade dos deepfakes continua a melhorar, e não de forma lenta e gradual. Há alguns meses, Matt Vega e eu participámos em direto na CBS LA e transformámos a apresentadora do telejornal num deepfake da Taylor Swift, em tempo real, utilizando ferramentas que qualquer pessoa pode descarregar. Ela achou imensa piada, mas penso que isto nos deveria preocupar a todos um pouco mais do que preocupa atualmente.
Depois, há a fraude de candidatos, que nos apanhou de surpresa, apesar de sermos uma empresa de prevenção de fraudes. No início deste ano, anunciámos duas vagas: uma para engenheiro de aprendizagem automática e outra para engenheiro de IA destacado no terreno (o cargo mais em voga no setor neste momento). Entre 70% e 80% das candidaturas que recebemos eram falsas. Grande parte desta atividade remonta a agentes estatais norte-coreanos que visam empresas de criptomoedas, bancos e, sim, fornecedores de soluções de prevenção de fraudes como nós, porque todos detemos segredos comerciais que eles pretendem obter.
Há um caso que ainda não me sai da cabeça. Um candidato que se apresentou como Frank Crawford passou por todo o processo de entrevistas com a nossa equipa. Detetámos sinais suspeitos e decidimos não avançar. Duas semanas depois, o verdadeiro Frank Crawford enviou-nos um e-mail a dizer que alguém se tinha feito passar por ele numa série de candidaturas a empregos. Já não se trata de um punhado de agentes estatais, mas sim de uma operação à escala industrial que visa qualquer pessoa que esteja a contratar para funções sensíveis.
Encontramos algo semelhante em uma vaga na Estônia, para a qual um candidato apareceu usando um endereço IP dos EUA. Ao investigarmos, descobrimos que esse endereço estava ligado ao Lazarus Group e que, por trás dele, havia toda uma rede de identidades falsas se revezando na mesma infraestrutura.
Por que deixamos de confiar em rostos e passamos a confiar em dispositivos
A questão do vídeo e da voz é que podem ser roubados. Estão disponíveis na Internet. Alguém pode mover o rosto de um lado para o outro, imitar a sua voz e passar por uma verificação de vivacidade criada há cinco anos. O que não pode ser roubado é a forma como realmente se comporta: a maneira como escreve, desliza o dedo ou segura o telemóvel é única. É em torno desses sinais comportamentais intrínsecos que desenvolvemos as nossas soluções na Sardine.
É também por isso que já não consideramos que uma prova de vida baseada em movimentos faciais seja suficiente para verificar a identidade. É necessário que exista, por trás dela, uma forte vinculação ao dispositivo. Hoje em dia, crio constantemente deepfakes de pessoas em videochamadas, só para demonstrar isso. É possível desenvolver detetores que procurem sinais de desfocagem ou instabilidade numa transmissão de vídeo, mas essa é uma corrida armamentista impossível de vencer. Assim que um detetor é lançado, surge um novo modelo que elimina o artefacto que ele procurava.
O que realmente funciona é fazer uma pergunta diferente: esta verificação está sequer a ser feita a partir de um dispositivo real? Os burlões injetam vídeo numa webcam através de câmaras virtuais, injetores de hardware ou emuladores móveis, que deixam as suas próprias impressões digitais. Um telemóvel pousado com o ecrã virado para baixo enquanto alguém afirma estar a fazer uma selfie em vídeo também deixa uma impressão digital. É o alvo mais fácil e, ao contrário dos artefactos de vídeo, é duradouro.
Levamos essa lógica ainda mais longe com o Universal KYC, que agora está em fase beta. Quando alguém conclui um KYC real (SSN mais verificação de identidade vinculada a um dispositivo específico), nós registramos essa informação. Ao retornar usando o mesmo dispositivo, não é necessário repetir a verificação. Identidade e dispositivo passam a formar uma unidade única e duradoura, em vez de algo que precisa ser comprovado novamente a cada sessão.
Quando 250.000 contas aparecem em um único dia
Esta é a parte da palestra que mais me importa. Um dos nossos clientes foi alvo de 250.000 registos de contas num único dia, todos criados com dados de CIP roubados (nomes verdadeiros, moradas, datas de nascimento e números da Segurança Social), comprados no mercado negro e encaminhados através de proxies que apontavam para os Emirados Árabes Unidos e a Suíça.
Todo fraudador comete algum erro. Neste caso, foi a reutilização da impressão digital do dispositivo na maioria dessas contas. Isso nos deu dois sinais claros: primeiro, uma localização real fora dos EUA; segundo, uma reutilização intensa da mesma impressão digital. Fornecemos essas informações como instrução ao nosso agente de IA de análise de dados, que conduziu toda a investigação de ponta a ponta e identificou mais cinco impressões digitais com o mesmo padrão.
Lembro-me exatamente de quando isso aconteceu. Era uma sexta-feira, às 18h, e meu telefone não parava de tocar. Meu primeiro impulso foi acionar minha equipe de ciência de dados, cuja maioria está na Costa Leste e já havia encerrado o expediente para o fim de semana. Em vez disso, executamos nosso agente.
A parte de que realmente gostei foi vê-lo lidar com as nuances. A reutilização de dispositivos nem sempre é fraude. Residentes de lares de idosos e famílias compartilham dispositivos por motivos perfeitamente normais. O agente não se limitou a sinalizar a frequência de uso: identificou quais padrões de reutilização eram fraudes reais e quais correspondiam a lares de idosos, encaminhando apenas os primeiros para análise.
Não se pode atribuir uma tarefa vaga a um agente
A lição por trás de tudo isto é que não se pode entregar a um agente de IA um procedimento operacional padrão abrangente e esperar que tudo corra bem. Se lhe dermos instruções vagas, ele começa a alucinar. O que realmente funciona é encadear agentes especializados com funções bem delimitadas: um para detetar anomalias, outro para analisar grafos e ligações, outro que escreve SQL e realiza investigações completas e outro que propõe novas regras depois de os restantes terem concluído o seu trabalho.
Testamos isso constantemente em nosso próprio serviço de conversão de moeda fiduciária em criptomoedas, que começou como nossa primeira linha de produtos e agora conta com um responsável por BSA/AML, uma licença lituana e uma equipe completa de investigações. Ele também funciona como nosso honeypot. Os fraudadores o atacam diariamente, o que faz dele um bom ambiente para testar agentes antes que qualquer outra pessoa tenha acesso a eles.
Agora, agendamos estes agentes da mesma forma que se agenda uma tarefa cron. Um deles é ativado diariamente, compara o tráfego das últimas 24 horas com o dos 30 dias anteriores e assinala as novidades. Outro analisa toda a nossa biblioteca de regras (que, para quem já geriu um programa de combate à fraude, tende a acumular-se como camadas de pensos rápidos) e indica-nos quais as regras que continuam a ser eficazes e quais já são código obsoleto. Um terceiro monitoriza padrões de teste de cartões e, em resposta, elabora novas regras.
Já disse isto antes e volto a dizer: a aprendizagem automática, por si só, nunca é suficiente. Se já conhece uma tipologia de fraude, a aprendizagem automática supervisionada consegue extrapolá-la de forma excelente e encontrar todos os casos semelhantes. Mas, se ainda não conhece o padrão, a aprendizagem automática não tem nada com que aprender. É para isso que servem as regras: são a sua camada não supervisionada, que deteta padrões de velocidade e padrões heurísticos antes de existirem dados classificados para treinar o modelo.
Algumas das outras coisas que os nossos agentes agora fazem sem que ninguém peça:
- Monitorar todas as filas da nossa plataforma de entrada em criptoativos e sinalizar quedas bruscas no volume, seja por um problema de fraude ou, em um dos casos, por uma integração com o Apple Pay que deixou de funcionar
- Monitore as distribuições das pontuações de risco para detectar desvios
- Analise os arquivos TC40 e de estornos para identificar padrões de fraude não detectados ou novas tipologias que ainda não havíamos codificado
- Avaliar quais contestações de pagamento vale a pena impugnar ao abrigo de um programa como o Compelling Evidence 3.0 da Visa, verificando se o mesmo dispositivo e endereço IP têm um histórico real de compras junto do comerciante em questão
Automatizando 95% das análises de sanções, sem abrir mão do rigor
A vertente dos crimes financeiros é menos apelativa, mas representa, sem dúvida, uma oportunidade maior. Os bancos dizem-nos que até 30% das suas despesas operacionais são destinados à conformidade em matéria de crimes financeiros, através da verificação de sanções, da monitorização de transações de nível 1 e das análises EDD e CDD. A maioria dos alertas de sanções são falsos positivos, mas a regulamentação exige que todos sejam analisados por uma pessoa, sem exceção.
Passámos seis meses com um cliente bancário a automatizar a análise para o encerramento de alertas de sanções e creio que este continua a ser o único exemplo deste tipo em produção. O agente analisa o alerta e deixa uma nota a explicar por que motivo se trata de um falso positivo, mas há sempre uma pessoa envolvida no processo. Nos primeiros meses, começámos por submeter todas as decisões da IA a uma análise humana. Essa percentagem desceu entretanto para cerca de 10% e continua a diminuir.
O número que importa aqui é a taxa de concordância de 99,9% entre a IA e os revisores humanos. Houve sete decisões revertidas no total, e em todas elas a IA tinha sido demasiado conservadora, sinalizando como arriscada uma pessoa que um humano considerou segura. Em nenhuma ocasião uma análise por amostragem detetou uma pessoa sancionada que tivesse passado despercebida, sendo esta a única métrica de todo o programa que tem de ser 100% exata, sem exceções.
Chegámos a esse resultado documentando detalhadamente o procedimento operacional padrão (SOP) existente do banco, treinando o agente para reproduzir exatamente a forma como os analistas tomavam decisões e, em seguida, colocando-o em produção com revisão humana até que o nível de concordância se mantivesse consistente, antes mesmo de reduzirmos a supervisão. Descrevemos toda a abordagem num white paper sobre a implementação de agentes de IA em ambientes regulamentados caso queira saber mais sobre os aspetos técnicos.
Agente ou fluxo de trabalho? Pergunte se existe um POP
Ryan McCormack, que lidera o nosso trabalho de IA e aprendizagem automática, enquadra esta questão como agência versus determinismo. É a primeira pergunta que fazemos a todos os bancos, fintechs ou processadores de pagamentos com quem trabalhamos: têm um procedimento operacional padrão (SOP) documentado sobre a forma como a vossa equipa analisa estes casos?
Se sim, provavelmente você não precisa de um agente. Um fluxo de trabalho determinístico será suficiente para resolver a maior parte do problema. Se não — e, sinceramente, essa é a resposta mais comum —, é aí que um agente de IA mostra seu valor, geralmente trabalhando em conjunto com um engenheiro alocado diretamente no cliente.
Mas não é uma escolha binária. Pode começar por usar um agente numa fila que não tenha um procedimento operacional padrão (SOP) e, quando os custos com tokens começarem a aumentar, converter as partes estáveis e repetíveis do que ele faz num fluxo de trabalho determinístico. É para isso que o Sardine Flow é utilizado internamente: algo semelhante ao N8n, mas desenvolvido especificamente para fraude e criminalidade financeira, encadeando etapas determinísticas com agentes nos pontos em que ainda é necessário discernimento.
Desde que lançámos os nossos agentes de IA, mais de 300 clientes passaram a utilizá-los, um aumento de 2,5 vezes desde janeiro.
Criando um modelo fundacional que entende de pagamentos
A última coisa que quero abordar é o rumo que estamos a tomar. Os LLM de uso geral são treinados com dados públicos. Nós temos algo que eles não têm: mais de 6 mil milhões de dispositivos com perfis definidos, mais de 440 milhões de consumidores e mais de 3 milhões de empresas — tudo isto construído ao longo dos anos em conjunto com os nossos clientes. Tal como muitos setores atualmente, concluímos que o próximo grande salto não passa por um modelo geral maior, mas sim por um modelo treinado no nosso domínio específico.
Os grandes modelos de linguagem preveem o próximo token de uma sequência. Quando aplicamos isso aos pagamentos, a coisa fica rapidamente interessante. Se eu fizer uma transação na SafePay, depois na Starbucks, em seguida na Chevron e novamente na SafePay, isso forma um padrão, quase como palavras numa frase. Com base no meu histórico, é possível prever com bastante confiança em que estabelecimento farei a próxima transação. Se o meu cartão for roubado e alguém começar a fazer compras na Gucci, isso quebra completamente o padrão, porque Gucci nunca seria a minha próxima palavra.
Essa é a ideia por trás do modelo fundacional de pagamentos desenvolvido pelo nosso laboratório de IA. Treinado com mais de um bilhão de transações e com modestos 40 milhões de parâmetros, em comparação com os modelos de ponta de que todos falam, ele aumentou em mais de 45% a AUC do nosso sistema de detecção de fraudes com cartões.
Uma coisa que vale a pena deixar clara é que o modelo fundacional, por si só, não é suficiente. Treinamos embeddings — por exemplo, «em que estabelecimento esta pessoa provavelmente fará a próxima transação?» — e os usamos como atributos em um modelo supervisionado padrão. É a combinação dos dois que faz a diferença, não cada componente isoladamente.
Qual é o próximo passo? Uma linguagem de inícios de sessão, construída a partir dos endereços IP e dos dispositivos que as pessoas normalmente utilizam para iniciar sessão. Uma linguagem de movimentos do rato, para detetar ferramentas de acesso remoto como o TeamViewer e o AnyDesk, que os burlões utilizam para controlar o ecrã da vítima. E uma linguagem de contrapartes para efeitos de combate ao branqueamento de capitais, para que, quando um restaurante envia um pagamento de uma fatura de 100 000 dólares a um fornecedor de peças para armamento, o modelo o sinalize como faria um analista humano: «essa frase não faz sentido».
De certa forma, agora também existe um modelo fundacional para os fraudadores. Sempre tivemos de decifrar os sinais deles manualmente. Se conseguirmos treinar modelos para aprender diretamente a linguagem deles, isso mudará o ritmo de toda essa luta.
Se a fraude continuar a industrializar-se como Buffett previu, a única forma de conseguirmos dormir descansados é combatê-la também à velocidade das máquinas.
Perguntas frequentes
O que é a detecção de fraudes com IA agêntica e como ela difere da detecção de fraudes tradicional baseada em aprendizado de máquina?
A detecção de fraudes com IA agêntica utiliza agentes de IA especializados e de escopo restrito, encadeados para investigar redes de fraude, propor novas regras e automatizar filas de análise. Ao contrário dos modelos tradicionais de aprendizado de máquina, que extrapolam padrões de fraude conhecidos a partir de dados rotulados, os agentes conseguem investigar novos padrões sem depender de rótulos prévios. Isso os torna eficazes contra novos tipos de ataque, sobre os quais os modelos supervisionados ainda não têm dados para aprender.
Por que a detecção de fraudes com deepfakes está deixando de se concentrar na análise de vídeo e passando a usar sinais do dispositivo?
A deteção de artefactos em vídeo é uma corrida armamentista. Sempre que um detetor é lançado, surge um novo modelo que elimina o artefacto que este procurava. Sinais do dispositivo, como impressões digitais de câmaras virtuais, o comportamento de emuladores móveis e a orientação do telemóvel durante a verificação por selfie, são mais duradouros porque não podem ser falsificados ao mesmo ritmo. Combinar a vinculação do dispositivo com a biometria comportamental cria uma unidade de identidade robusta nos casos em que as verificações de vivacidade por vídeo falham.
Como a automação da triagem de sanções mantém a precisão e, ao mesmo tempo, reduz a necessidade de revisão humana?
O segredo é começar com uma revisão 100% humana de cada decisão da IA e reduzir a supervisão somente quando as taxas de concordância se tornarem consistentes em produção. No caso da Sardine, uma implementação de seis meses com um cliente bancário alcançou 99,9% de concordância entre a IA e os revisores humanos antes de a supervisão cair para 10%. A única métrica que não pode aumentar é a de indivíduos sancionados não identificados, e nenhuma revisão por amostragem detectou qualquer caso.
O que é um modelo fundacional de pagamentos e como ele melhora a detecção de fraudes?
Um modelo fundacional de pagamentos trata o histórico de transações como uma linguagem, prevendo o próximo estabelecimento mais provável em uma sequência com base no comportamento anterior. Quando uma transação foge desse padrão — como uma compra na Gucci feita por alguém cujo histórico contém apenas supermercados e postos de gasolina —, ela é sinalizada como anômala. Treinado com mais de um bilhão de transações e 40 milhões de parâmetros, o modelo fundacional de pagamentos da Sardine aumentou em mais de 45% a AUC da detecção de fraudes com cartões quando seus embeddings foram usados como atributos em um modelo supervisionado padrão.
