黑客這么厲害，為啥不去攻擊支付寶？
“支付寶被黑客搞了！??！”女票發(fā)給我一段視頻。我虎軀一震，這么大的事兒居委會咋沒通知我？趕緊打開視頻。
作者：史中，來源：淺黑科技（ID：qianheikeji）
我去，這是黑客嗎？誰來解釋一下，明明是黑客，為神馬穿得這么白，連臉都是白的。。。
還有，你帶著那個面具敲代碼，能看清鬼??？這是在練盲打么？？閉著眼睛攻擊支付寶，是為了表現(xiàn)一種蔑視和侮辱么？？？
往后看了五分鐘，冷靜了一下，我不禁三呼臥槽。這是一個叫做《智造將來》的節(jié)目，浙江衛(wèi)視的。雖說黑客的裝束槽點滿滿，但干的事情還是很刺激的：
他們在試圖推倒三個身嬌體柔的支付寶賬戶，把賬戶里的錢偷偷轉(zhuǎn)走。。。
主持人說，他們之所以搞得這么硬核，就是為了現(xiàn)場檢測一下支付寶的安全性能到底好不好，你的錢放在支付寶里到底安不安全。
為了讓大家舒爽看片，這里中哥插一嘴：支付寶怎么保護大家的賬戶安全呢？并不是你想的那樣，在杭州有一個臉上貼著“支”的敢死隊，每天在網(wǎng)上和黑客手動硬剛。
真實情況是，“安保工作”是由安全部門的童鞋開發(fā)的一套“風(fēng)控系統(tǒng)”來自動完成的。
這套風(fēng)控系統(tǒng)有點像參加高考的你，在之前的學(xué)習(xí)階段有“老師”各種輔導(dǎo)，但是一旦被推到實戰(zhàn)場景里，就只能靠自己“自動滑行”了。
回到節(jié)目現(xiàn)場，情況很是危急。一邊是黑客奮力攻擊，一邊是受害者支付寶各種殊死抵抗。
就在我為支付寶捏一把汗的時候，劇情突然走向癲狂：受害者家屬也來到了現(xiàn)場！
這個男人叫雄文，是支付寶風(fēng)控部門的老大，螞蟻金服的副總裁。支付寶的安全系統(tǒng)，就是他團隊的作品。一堆頭銜你也記不住，這么說吧，如果你支付寶里錢丟了，就找他賠。
看到雄文這個名字我就震精了，目測支付寶安全老大，應(yīng)該管理很多碼農(nóng)。不叫“佳娃”（Java）或者“稀加”（C+），居然叫雄文。對不起跑偏了，繼續(xù)看節(jié)目。
對第一個賬戶的攻擊開始惹。黑客攻擊主持人蔣昌建的支付寶。他們事先通過釣魚 Wi-Fi 收集了他的手機號，然后又利用近場讀卡器偷到了他的銀行卡號。用這些信息嘗試重置他的支付寶密碼。
然而，重置支付寶密碼還需要身份證，黑客并沒有辦法拿到蔣昌建的身份證號。于是登錄他的支付寶失敗。
對第二個賬戶的攻擊開始惹。黑客攻擊的是嘉賓王孟秋的支付寶。這次攻擊的對象黑客通過“撞庫”拿到了王孟秋的支付寶登錄密碼，順利登陸。但是由于不知道支付寶支付密碼，所以轉(zhuǎn)賬失敗。
對第三個賬戶的攻擊開始惹。這次攻擊目標是現(xiàn)場一位觀眾的支付寶。由于提前在這部手機里植入了木馬，黑客可以完全控制這部手機，所以他們使用手機驗證碼就直接登陸了支付寶。
然后黑客選擇修改支付密碼，修改支付密碼需要驗證個人信息，黑客又通過手機里存儲的銀行卡和身份證照片，成功修改了支付密碼。轉(zhuǎn)賬眼看就要成功。
我滿心激動，等著看黑客使出最后的殺手锏一擊致命。。。然后。。。突然。。。轉(zhuǎn)賬失敗了！節(jié)目結(jié)束了！結(jié)束了！束了！了！
納尼？XX 都 X 了你就給我看這個？我期待中支付寶被黑客干翻在地的場景被 XX 總局吃了嗎？
我突然想起了一個新聞：
女棋士贏了。。。
用了好久，我才接受支付寶真的贏了這個事實。雖說在節(jié)目上支付寶贏了，然而，在日常和黑客的亂斗中，支付寶難道就沒有輸?shù)臅r候嗎？我不信。
于是，筆者下定決心要去和雄文聊聊，寫一篇雄文背后故事的雄文，讓大家認識一下我雄文里的雄文到底是怎樣的雄文。
幾天后，在支付寶童鞋的引薦下，我坐在了雄文大叔的對面。我不是要和他下棋，而是要探究一下支付寶背后的秘密。
雄文
01支付寶能不能扛住“黑客圍毆”？
“老實說，節(jié)目上被攻擊的支付寶，是不是假的支付寶？”我劈頭蓋臉就問。
“當(dāng)然是真的支付寶。”雄文云淡風(fēng)輕。
“你怎么證明？”我說。
“為了電視節(jié)目，如果要模擬一個假的支付寶，還要做出一套假的風(fēng)控系統(tǒng)，要開發(fā)好多代碼。太麻煩了。還不如用真的。況且真的風(fēng)控系統(tǒng)我們做了十幾年，干嘛要用假的。。。”他說。
“所以，被攻擊的那三個賬戶，也是真的咯？”我問。
“如假包換”他說。“支付寶賬戶都是實名制，背后掛著身份證的。不僅用不了假的，做節(jié)目的時候，連真的都差點用不了。。。”
納尼？雄文大叔在說什么？原來，在節(jié)目錄制之前，需要進行一次彩排。彩排時候選定了三個賬戶被黑客一頓錘，支付寶防住了，一切都沒問題。
結(jié)果第二天要正式錄制的時候，奇特的事情發(fā)生了——這三個賬戶被支付寶風(fēng)控系統(tǒng)判定為受攻擊高危賬戶，直接保護起來了，暫時限制對外轉(zhuǎn)賬功能一段時間。。。
無奈，節(jié)目組只能另外換三個賬戶。也就是最終出現(xiàn)在節(jié)目上的那三個。
“系統(tǒng)都是自動運行的，被封住的賬戶，就連我也無權(quán)解開。。。”雄文一攤手。
我去，你是魔鬼嗎？支付寶風(fēng)控系統(tǒng)瘋起來連自己人都剛啊，六親不認，肅然起敬。
“這支付寶的風(fēng)控系統(tǒng)，叫個啥名？”
“叫 AlphaRisk！”他說。
“賬戶是真的，攻擊是真的，AlphaRisk 的防御也完全是自動化的，那么也就是說在節(jié)目現(xiàn)場，你根本不知道它能不能擋住黑客的進攻咯？”我問。
“是的。”
“那你慌么？”
“有點。”
“。。。”
雄文這么不按套路出牌的坦誠，讓我本來準備好的一萬個質(zhì)疑都瞬間失效。
“錄節(jié)目時你最慌的是什么時候？”
“AlphaRisk 判斷一個賬戶是不是被盜用，是要綜合很多指標來判斷的。其中一個重要的維度就是看轉(zhuǎn)走多少錢。結(jié)果在節(jié)目彩排的時候，黑客強行登錄支付寶賬號以后，居然只轉(zhuǎn) 5 塊錢！說實話，這么少的金額，是有可能被 AlphaRisk 放過的。轉(zhuǎn)這么少錢，也沒跟我商量，當(dāng)時我真是捏了一把汗。還好支付寶給力，攔住了。”雄文吐槽。
感覺白衣黑客們費盡氣力，才看清 5 這個按鍵在哪。。。
雄文當(dāng)時的表情是這樣的?？纯?，在節(jié)目上黑客攻擊三個支付寶賬戶都功敗垂成時，雄文有多開心。
支付寶曾對外發(fā)布了一個數(shù)據(jù)：資損率低于千萬分之五。意思就是，存在支付寶里的錢，出問題的概率低于千萬分之五。
千萬分之五，真牛 X！等等，好像哪里不對。。。假如我就是那倒霉的千萬分之五，我是不是要去杭州上訪？
“不用，如果你的支付寶真的沒被攔住，被盜了，我們賠給你就是了。”雄文淡定地說。
確實，我記得支付寶從 2004 年上線之后，就有一個口號叫“你敢付，我敢賠。”只不過說實話這么多年我的支付寶賬戶也沒丟過錢，不知道他們到底是賠不賠。。。既然今天支付寶副總裁都這么說了，那我放心了。
也就是說，理論上支付寶并不能保證防御住每一次具體的黑客攻擊，但這對于普通用戶來說那不重要，因為每個人的錢都是絕對安全的。
說實話，見到雄文之前，我是沒想到他會這么坦誠的。好不容易逮到他，得多問點電視臺不讓播的內(nèi)容。
接下來就到了硬核科普時間了，今天的話題是：你家支付寶的門神——AlphaRisk——到底是咋工作的？
02黑客偷錢，總共分三步
你可以簡單想象一下，用支付寶轉(zhuǎn)賬，要過三道大門：
- 登錄密碼
- 支付密碼
- AlphaRisk 風(fēng)險控制系統(tǒng)
來，我們一道一道地科普。
登錄密碼
這個很簡單，你登錄支付寶的時候，要輸入登錄密碼，證明你是你。
你可能會杠說，不對啊，我每次在手機上登錄支付寶，不用輸入密碼，直接就打開了啊！沒錯，那是因為你經(jīng)常登錄，并且沒有換手機。
這種情況下，你賬戶有風(fēng)險的概率很低。支付寶沒有必要每次都打擾你，讓你輸密碼。
這里，我們學(xué)到了今天最重要的一個概念：打擾率。
一個 App，每要求你做一件事，比如輸入密碼，比如讓你接收一個短信驗證碼，這都算一次打擾。而在用戶體驗中，打擾是要扣分的。
所以，通過頻繁打擾用戶的方式來保證你的“絕對安全”，并不是個好辦法。
由上圖可知，頻繁打擾是一件很煩的事，這個問題涉及到深奧的產(chǎn)品哲學(xué)，我們在最后還會詳細討論。
我們繼續(xù)說登錄密碼。如果你在一部手機里很久都沒有登錄支付寶，那是需要重新輸入密碼的。
如果你換了一部新手機登錄支付寶，那么不僅要輸入密碼，還要二次校驗（短信驗證碼或者回答安全問題）。
所以，黑客單單偷到了你的支付寶登錄密碼，是無法直接登錄你的支付寶的。那他們是怎么做的呢？可以告訴你幾種可能性：
①你的身份信息泄露嚴重
剛才我說到，支付寶密碼是可以被重置的，需要提供身份證、銀行卡等一系列信息。
如果這些隱私信息都被黑產(chǎn)掌握了，那么從某種程度上說，他就是你了。沒辦法，你的密碼也會被重置，他可以登錄。
②你的手機丟了
你的手機丟了的意思是——你的手機不僅丟了，并且沒有設(shè)置開屏密碼或指紋解鎖。否則壞人解不開你的手機，就跟沒丟一樣。
反正黑客只要進入你的手機主屏，接下來就有兩種情況：
- 你在幾天內(nèi)用過支付寶，那么，黑客不用輸入密碼，就像你本人使用一樣，能直接登陸。
- 你最近沒有登錄支付寶，那么支付寶會要求你輸入密碼，此時黑客可以選擇重置密碼，選擇手機接收驗證碼，也是可以重置密碼成功登錄的。
此乃第一關(guān)。
支付密碼
如果壞人破解了你的登錄密碼，那么接下來他想把錢轉(zhuǎn)走，就要遇到“支付密碼”這道關(guān)口。
你記得不，支付寶會要求你的支付密碼和登錄密碼不同，目的就是為了防止壞人破解了你的登錄密碼，直接就能攻破你的支付密碼。
這里有個小細節(jié)：支付寶最近幾年會鼓勵你用指紋代替支付密碼。當(dāng)然，用戶也可以手動選擇切換——這次支付不用指紋，就用密碼。這關(guān)實際上擋不住黑客，但是你要記住這個細節(jié)，一會兒有用。
接下來我們繼續(xù)說黑客怎么攻破你的支付密碼：
①用你之前泄露的其他登錄密碼嘗試
一般人不會把支付寶支付密碼和其他應(yīng)用的登錄密碼設(shè)置為一個，這種方法成功率從實戰(zhàn)數(shù)據(jù)中看比較低。
②重置你的支付密碼
重置你的密碼，需要你的個人信息，或者需要你的手機。如果黑客已經(jīng)掌握了這些，那么他很可能重置支付密碼成功。
你一定以為：黑客破了我的支付密碼，錢就會被轉(zhuǎn)走了嚕。錯！圖樣圖森破！黑客的噩夢才剛剛開始。馬上就會進入第三步驟：AlphaRisk。
AlphaRisk
前面兩步，黑客的所有操作，其實 AlphaRisk 都在默默看著，只是它沒說話而已。
當(dāng)前兩個密碼都輸入正確后，AlphaRisk 會作為最后一道門神，像尉遲恭和秦叔寶一樣，決定放不放走這個錢。那么，AlphaRisk 判斷的依據(jù)是什么呢？
舉個栗子：一個老警察靠在公交車站，他如何發(fā)現(xiàn)一個正在擠上車的小伙是個賊呢？
他會通過幾個維度：眼神、舉止、穿著、和前人之間的距離、是否遮擋手上的行為等等等等。有經(jīng)驗的警察不用等到“偷錢”那個動作發(fā)生，就已經(jīng)能準確判斷誰是小偷。
同樣，AlphaRisk 也像一個老警察，它也會從一些維度來觀察一筆交易。比如：設(shè)備、環(huán)境、偏好、行為、關(guān)系、賬戶、身份、交易，等等。
如果其中所有維度任何一個或者多個有異常，都會引起 AlphaRisk 的警覺，直接強制操作者進行人臉活體驗證，手機驗證碼，或者干脆就截斷交易。
不知你感受到了沒。日常你用支付寶轉(zhuǎn)賬給別人，你覺得非常自由，支付寶從來不添亂，恰恰是因為 AlphaRisk 對每一筆交易都做了極其細致的評估之后，覺得沒問題才不攔著的。
你可能會問，為神馬 AlphaRisk 等到那么驚險的最后一步才起作用呢？早點出來這個“嗶——”就裝得不夠到位嗎？
這個地方又涉及到剛才的概念——打擾率，如果支付寶在輸入交易密碼之前就用 AlphaRisk 跳出一堆人臉驗證手機驗證碼，那就會讓你覺得很煩。
作為一個有尊嚴的 App，支付寶把安全性最強的 AlphaRisk 放到最后一步，就是為了最少的打擾。
下面說 AlphaRisk 的工作細節(jié)。以《制造將來》里面的操作舉例。攻擊第三個手機的時候，黑客已經(jīng)拿到了登錄密碼和交易密碼，并且是照著身份證的照片把身份證號一次輸入正確的，為神馬 AlphaRisk 會認為這個交易有風(fēng)險呢？
用大家都能理解的話說，大概是醬：
- 首先，支付寶是在陌生的手機上登陸的。
- 其次，支付寶的登錄密碼是剛剛被重置過的。
- 再次，支付寶的支付密碼也剛剛被重置過。
- 還有，轉(zhuǎn)出賬戶和被轉(zhuǎn)入賬戶之間沒有任何人際關(guān)聯(lián)。
- 還有，轉(zhuǎn)出賬戶所在城市和被轉(zhuǎn)入賬戶所在城市，本身就很少存在轉(zhuǎn)賬行為。
- 等等等等。
其實，還有很多不正常的維度可供 AlphaRisk 參考。比如剛才我故意賣了關(guān)子的一個細節(jié)：操作者本來習(xí)慣用指紋支付，突然今天強制改成了密碼支付。
這一個蛛絲馬跡，起碼說明事出有因，足夠讓 AlphaRisk 關(guān)注到這次交易的風(fēng)險。
啊，說了這么多，終于大概解釋清楚了支付寶風(fēng)控的三道關(guān)。雄文告訴我，支付寶也不是一開始就有這么強大的智能風(fēng)控能力的。
在 2004 年，支付寶剛上線，他們就大喊“你敢付，我敢賠”的口號。實際上在那個時候，支付寶還真是“敢賠”。意思是，雖說風(fēng)控技術(shù)有點糙，但我們膽子大，敢賠錢給用戶而已。。。
“那后來你們是怎么一步步提高風(fēng)控能力的呢？”我好奇的地問。
“你要是那么嘩嘩地賠錢，你也會拼了老命提高風(fēng)控能力的！”
“。。。”
03偷不到錢，那騙錢行不行？
有一個問題其實很值得一說。寬泛來說，支付寶賬戶受損失，有兩種情況：
- 賬戶被盜
- 你被詐騙之后主動轉(zhuǎn)錢給別人
當(dāng)然，你的賬戶被盜，支付寶會賠錢給你。但如果你被騙，用支付寶主動轉(zhuǎn)錢給騙子，就沒辦法找支付寶賠錢了。畢竟，被騙不能賴錢包。
但是雄文告訴我，作為一個有追求的錢包，這兩年支付寶恰恰在“識別詐騙”方面苦練技巧。
這種對詐騙的識別能力，同樣在 AlphaRisk 身上。騙子騙人，一般都是直接打電話，或者在微信上騙，那些過程支付寶肯定不知道。
它只能看到一個賬戶給另一個賬戶轉(zhuǎn)了錢。。。通過這么少的信息，它怎么能判斷你是不是被騙了呢？？
雄文給我講了一個真實的例子：一個媽媽，她的孩子在外地打工，做快遞小哥。突然有一天，她接到了一個陌生電話，告訴她兒子出了車禍，急需搶救，需要她打錢過來。
媽媽開始沒相信，把電話掛了。但是身邊的電視正好播出了一條新聞，說他兒子所在的城市，有一個送貨小哥出了嚴重車禍。這下她著急了，趕快給對方回電話，要把錢轉(zhuǎn)過去。
就在這位媽媽把錢轉(zhuǎn)給騙子的時候，AlphaRisk 判斷了風(fēng)險，并且彈出了提示，告訴她有這筆轉(zhuǎn)賬可能是被騙了。
媽媽選擇無視，關(guān)掉彈窗繼續(xù)轉(zhuǎn)賬。這次，AlphaRisk 判斷強風(fēng)險，直接阻斷了交易，鎖定賬戶兩小時。
這位媽媽非常生氣，覺得自己的兒子出了事，支付寶卻不讓轉(zhuǎn)賬，于是撥打客服理論。正在這時，他的兒子碰巧打電話給媽媽，這才揭穿了騙子的騙局。
在這個例子中，AlphaRisk 是憑什么判斷轉(zhuǎn)賬存在詐騙風(fēng)險呢？雄文說，至少有三點：
- 媽媽平常的支出，都是小額的日常生活，買菜超市，突然一下轉(zhuǎn)幾萬塊顯得很異常。
- 對方的收款賬戶是新注冊的。而且近幾日只有大額收款和提現(xiàn)，并沒有日常消費。
- 這兩個賬戶之間從未有過直接轉(zhuǎn)賬。
你看，基礎(chǔ)邏輯和判斷賬戶被盜差不多，只不過，判斷被騙可以利用的信息比判斷被盜少得多，所以難得多。
但最讓雄文頭疼的是，截斷用戶付款固然好，但是萬一截錯了，用戶是要跟支付寶拼命地。。。
支付寶但凡截斷用戶的交易，必須證據(jù)確鑿。如果沒有百分百的證據(jù)，一般會選擇彈窗提示。
然鵝，很多時候即使支付寶彈出了警視窗，用戶都會選擇直接關(guān)掉，沒啥作用。即使是這樣，雄文團隊也對彈窗內(nèi)容改了又改，可謂是苦口婆心啊。
這是修改前的：
這是修改后的：
前兩天，雄文和團隊突然找到了一個好方法，他們和地方反詐騙中心“合作彈窗”。
例如你是重慶人，在支付寶判斷你的一筆交易有風(fēng)險時，彈出的內(nèi)容不是“支付寶提醒您注意詐騙”，而是“重慶反詐騙中心提醒您，這個交易有可能是詐騙。”
“這樣一下，用戶終止交易的比率大大增加！”改了幾個字，就能讓好多人少上當(dāng)。雄文老激動了，這兩天從地方到中央找反詐中心公安局各種合作。
“到目前為止，用戶遭受詐騙，有 85-90% 都能收到彈窗提示。”雄文大叔開心地說。
現(xiàn)在是這樣：
說到這，雄文大叔給我普及了一個金融小常識：一般的在線交易系統(tǒng)，對于轉(zhuǎn)賬這個操作，只涉及“轉(zhuǎn)出”和“到賬”兩個狀態(tài)。這邊轉(zhuǎn)出之后，那邊就到賬。
就像一盞燈只存在“開”和“關(guān)”兩個狀態(tài)。不可能存在“這邊錢扣掉，那邊還不到賬”的情況。
但是支付寶為了防止詐騙，開發(fā)了第三個狀態(tài)：類似“預(yù)授權(quán)“。如果你覺得這次轉(zhuǎn)賬有風(fēng)險，可以設(shè)置 2 小時或者 24 小時延時到賬。
這種情況下資金就在“預(yù)授權(quán)”狀態(tài)。在這個期間如果你發(fā)現(xiàn)被詐騙，可以報警并向支付寶申請凍結(jié)資金。
“預(yù)授權(quán)“狀態(tài)的錢，按理說到時之后就會順利進入轉(zhuǎn)入賬戶。但只要有公安機關(guān)的相關(guān)憑證，就可以退回到轉(zhuǎn)出賬戶。
別看只是加了一個“預(yù)授權(quán)”的狀態(tài)，這相當(dāng)于給了受害者一個“時光機”，回到過去，改變那個無可挽回的錯誤。
雄文說，為了增加這個新狀態(tài)，他們兩年里對支付寶底層的代碼做了很大的修改。雖然大動干戈，但這件事非常值得。
04玩漂移的老司機
講真，人類對一臺機器的要求是很變態(tài)的。好的機器不僅要代替人，還要比人更精神。
畢竟是親生的， 說到 AlphaRisk，雄文特別開心。他覺得如果 2017 年支付寶沒有開始研究 AlphaRisk，現(xiàn)在很多風(fēng)控策略還靠人肉的話，一定會被“時代的洪流”所擊垮。
如今，AlphaRisk 有兩個殺手锏：
①和人比，它厲害到不知哪里去了
你可能已經(jīng)知道，AlphaRisk 就是一種“人工智能”。你作為一個人每天家長里短悲歡離合其實本質(zhì)都是判斷，人工智能每天也是做一件事：判斷。
人工智能判斷事情的標準，和人又像又不像。這里涉及到一個大家普遍理解得不好的技術(shù)梗，正好以 AlphaRisk 為例簡單科普幾句。
人工智能和人各自做一個判斷，有點像兩個大廚分別做一桌菜給你吃。這分為三步：
- 他們使用的原料種類都是一樣的青椒、蘿卜、雞肉等等。（這意味著人工智能和人用于判斷一件事情的基礎(chǔ)數(shù)據(jù)是一樣的。）
- 但是，他們炒菜的路數(shù)可就不一樣了。人類可能會做出魚香肉絲、宮保雞丁、水果拼盤，但是機器會根據(jù)自己的理解做出西瓜披薩，蘋果蒸蛋、巧克力燒茄子等等常人不能想象的飯菜。（這意味著人工智能的判斷模型和人既相似又不同。）
- 最后，兩桌菜分別上來，食客們會發(fā)現(xiàn)，兩種菜雖然不一樣，但是都能填飽肚子，而且機器做的明顯更好吃更營養(yǎng)。（這意味著人工智能判斷的準確度比人類還高。）
簡單總結(jié)人工智能的工作原理：通過人類看都看不過來的數(shù)據(jù)，用風(fēng)騷的機器思維，做出一擊致命的判斷。
這里給你幾個數(shù)據(jù)你感受一下。AlphaRisk 用來判斷的風(fēng)險點有幾千個（如交易金額、支付寶注冊地、交易時間、使用密碼支付還是指紋支付等）。把這么多數(shù)據(jù)進行慘無人道的交叉運算，總運算量是巨大的。
在平時，每秒鐘全世界都會用支付寶進行上萬次的交易。如果在雙十一這種狂歡節(jié)，每秒支付寶要處理 25 萬筆交易。
你想想看，就像商場的收銀臺后面，排隊排了 25 萬個顧客，每一筆交易，AlphaRisk 都還要計算無數(shù)次來判斷它是不是有風(fēng)險，這得累計多大的計算量。。。
如果這些計算量交給人來做，等到算完，估計已經(jīng)到了 9102 年雙 11 了吧。
這么瘋狂的機器，日常得有不少碼農(nóng)為它檢修上油吧。。。
雄文說哈哈哈 NO！因為，這兩年他們已經(jīng)搞出了一套“自動駕駛”系統(tǒng)。
納尼？支付寶也會開車了么？求車牌號！其實，不是你想的那樣，這就到了 AlphaRisk 的第二個逆天優(yōu)勢。
②這是個會自動駕駛的老司機
那些做壞事的黑客，連過年都不休息，天天“苦煉內(nèi)功”，不斷升級自己盜取支付寶賬戶和詐騙用戶的技術(shù)。
這是為什么？因為他們知道，如果能早幾天研究出一個盜取支付寶的方法，那賺的錢可比在支付寶上班的碼農(nóng)加班費多多了。
對手那么瘋狂，AlphaRisk 也要加油才行啊。正常情況下，AlphaRisk 想要學(xué)會新的反詐騙套路，要工程師手動輸入代碼。
但是，雄文和支付寶安全團隊的隊員很“懶”，他們覺得，AlphaRisk 已經(jīng)長大了，不能每天晚上給它“檢查作業(yè)”，它要自己學(xué)習(xí)新的知識了。
所以過去兩年，攻城獅們很少砍柴，主要磨刀。他們建立了一個自動建模的系統(tǒng)。
每天都會有一些用戶損失通過投訴渠道反饋到支付寶風(fēng)控團隊，這個自動建模系統(tǒng)就可以通過學(xué)習(xí)這些 AlphaRisk 沒有攔截成功的案例來建立新的風(fēng)險模型，然后把這個模型輸入到 AlphaRisk 里，下次再遇到同樣的問題，AlphaRisk 就能一眼識別。
自動建模還不是全部。你知道，每年雙 11 的時候，支付寶會像雷峰塔一樣，承受一下交易量水漫金山的感覺。
這個時候，如果還執(zhí)行原來的風(fēng)控策略，就會導(dǎo)致計算力嚴重不足的情況。本來人家零點秒殺，結(jié)果支付寶算了十秒鐘，跟人家說沒問題去付錢吧。
結(jié)果秒殺的限量款衣服早都被人家搶得毛都不剩。這會造成大批群眾到杭州上訪的。。。
所以，支付寶需要根據(jù)不同的情景，調(diào)整 AlphaRisk 的風(fēng)控策略。這就像一輛車，根據(jù)路況不同，切換 12345 檔。
原來每到雙 11，攻城獅們就會寫一套新的風(fēng)控策略，為 AlphaRisk 手動換擋。
從 2017 年開始，完全不用了。AlphaRisk 學(xué)會了騷氣的自動換擋。交易量巨大的時候，就自動切換為高檔，交易量低的時候，就瞬間調(diào)回來。
這不就和汽車的自動駕駛是一回事么。。。
我第一次發(fā)現(xiàn)，原來自動駕駛不僅僅是汽車領(lǐng)域的人工智能。凡是需要復(fù)雜人工智能的場景，其實都有自動駕駛的一席之地。甭管是人是機，反正這個世界缺不了老司機。
05三個“隱秘戰(zhàn)場”
其實，中哥知道，科普半天支付寶 AlphaRisk 的風(fēng)險識別技術(shù)，你也未必聽得進去，因為我已經(jīng)提前劇透了，反正你丟了錢支付寶會賠給你。
不過，要是你以為雄文和支付寶風(fēng)控團隊只玩技術(shù)，那就太小看他們了。
有道是：“科學(xué)的盡頭是哲學(xué)。”
這句話不無道理。好多事是科學(xué)解決不了的。比如你女票天天吵著要買鉆石戒指，你告訴她從科學(xué)角度說那玩意兒其實就是碳，那你當(dāng)晚必定自己睡。
雖說支付寶的風(fēng)控做得很科學(xué)，但是雄文卻每天都面臨三個哲學(xué)問題：
打擾率和資損率如何平衡？
之前我們已經(jīng)介紹過這個重要概念“打擾率”，就是支付寶為了保障你賬戶的安全，彈出來一些驗證提示等等打擾你的行為的概率。
當(dāng)然技術(shù)水平是在不斷進步的。但假設(shè)在技術(shù)保持不變的情況下，這是個蹺蹺板。打擾率越高，資損率就越低。
如果讓我這樣的摳門來做決定，那估計是要把資損率降到極限，對用戶的打擾率有多高。。。愛咋咋地。。。因為這樣能保證賠出去的錢最少。
當(dāng)然，支付寶沒有這樣做。他們在資損率降低到千萬分之五之后，轉(zhuǎn)而把技術(shù)重心放在了降低打擾率和詐騙識別上。
資損率低到千萬分之五的時候，我們就認為被盜是小概率事件了。即使被盜，也能做到全額賠付。這個時候，我們要用技術(shù)的進步讓用戶體驗到溫度。
雄文說，正所謂：“有技術(shù)的 App 千篇一律，有溫度的 App 萬里挑一”。表面上看，這是一個產(chǎn)品哲學(xué)和技術(shù)取舍。但在這個天平上，你其實可以測量用戶的重量。
賠付與不賠付如何平衡？
你可能會說，不是剛剛都說了么，被盜就賠，自己轉(zhuǎn)給騙子不賠。
沒錯，但是在現(xiàn)實生活中，總有那些讓人哭笑不得的中間地帶。我隨便給你舉兩個例子。
第一個例子：賣早點的老張，把自己的收款碼放在早餐車柜臺上，結(jié)果有一天，一個混球突然把老張的收款碼偷偷換成自己的。
老張忙著做早點，結(jié)果半個小時才發(fā)現(xiàn)。他聯(lián)系支付寶客服，你是支付寶的話，你賠還是不賠？
直接說答案，賠。原因很簡單，做生意不容易，雖然二維碼被偷梁換柱不是支付寶的責(zé)任，但是支付寶不想讓誠實的人受損失。
別看雄文說得輕描淡寫，當(dāng)初決定二維碼偷換也要賠的時候，所有人可是下了老大的決心的。
因為，付款碼偷換的整個流程，都不是支付寶能監(jiān)督控制的，所以他們不知道如果賠的話，要賠出去多少錢。
雄文記得，那時候他跟支付寶老大井賢棟商量這件事，井賢棟立刻就同意了，他說：“我們準備個幾億，先賠著。”支付寶還專門給小攤主設(shè)計了一個語音播報的功能，收到款手機就會大聲喊出來。
當(dāng)然，事后證明廣大攤主并沒有那么粗心，自己的二維碼被偷換了還不知道。數(shù)據(jù)顯示，真正因此受損失的小商家很少。
第二個例子：小美聯(lián)系支付寶客服要求賠償，說一覺醒來支付寶里幾萬塊的余額不翼而飛。
但是支付寶通過數(shù)據(jù)查看， 這筆錢是用她的手機，在她家的 Wi-Fi 環(huán)境里，密碼根本沒有被重置，都是一次輸入正確而被轉(zhuǎn)走的。
AlphaRisk 認為這很可能不是被盜，說白了，有可能是“監(jiān)守自盜”，如果你是支付寶，你賠不賠？
直接說答案，不一定賠。原因也很簡單，因為大家都要誠實。如果涉及到欺詐，支付寶并不能蒙受不白之冤。
這是個真實的案例。后來的警察調(diào)查發(fā)現(xiàn)，這是她交往十年的男朋友，因為沾上了賭博不敢說，趁她睡覺的時候偷偷把錢轉(zhuǎn)走的。
雄文告訴我，支付寶風(fēng)控部門有一個專門的團隊，就是處理這種介于賠償和不賠償之間的中間地帶。
如果確實有警方介入，沒有發(fā)現(xiàn)是監(jiān)守自盜或親友作案，那么支付寶就會賠付。
安全和安全感之間如何平衡？
你有沒有過這樣的經(jīng)歷：給別人轉(zhuǎn)好大一筆錢，結(jié)果支付寶問都沒問，直接放行了你的轉(zhuǎn)賬。
這時你的心里會閃過一絲不安全感，就像穿著短裙的女裝大佬，總感覺空空蕩蕩的。
其實，AlphaRisk 在背后已經(jīng)幫你掐指一算，判斷了你的轉(zhuǎn)賬沒有風(fēng)險，只不過沒有明確告訴你。
雄文說，這是他們團隊最近在努力思考的問題：“安全”沒問題，但是用戶的“安全感”有問題，這要怎么平衡？
其實有關(guān)“安全”和“安全感”的問題，歷史上有個經(jīng)典公案。汽車門關(guān)上的時候，本來是沒有聲音的，但是廣大司機們聽不到聲音，總覺得車門沒關(guān)好，百爪撓心。
于是，索性各大車廠專門設(shè)計了一個機關(guān)，讓車門關(guān)閉的時候發(fā)出堅實的“砰——”。然后，天下太平。。。
“所以，你們也要在某些不需要打擾用戶的時候，彈出驗證消息嗎？”我問。
“誰說得準呢？”雄文笑了。
沒想到，每天我打開支付寶只是付個錢買個余額寶，其實它背后正在發(fā)生著無數(shù)秘密戰(zhàn)爭——支付寶風(fēng)控團隊帶著 AlphaRisk 時刻在改進風(fēng)控技術(shù)，并且在這樣那樣的平衡之間精確騰挪。
告別雄文。走在杭州冬天溫潤的空氣里，我突然覺得心情很舒暢。
一次偶然的電視節(jié)目，卻讓我認識了這么一位溫暖的大叔，還有背后守護我們的工程師們。
我記得曾經(jīng)在網(wǎng)上看到過這樣一個帖子：“黑客這么厲害，為什么不去攻擊支付寶？”
現(xiàn)在我覺得自己大概能回答這個問題了：他們攻擊了，只是你不知道，因為有人在替你負重前行。
很多備受推崇的產(chǎn)品經(jīng)理在介紹經(jīng)驗時，總是強調(diào)“人心”二字。當(dāng)時，我未免覺得這是一種政治正確的姿態(tài)。
但當(dāng)我和無數(shù)大佬聊過之后，越來越發(fā)現(xiàn)一個真理：技術(shù)可以打下世界，但只有良知可以贏得人心。
世界遼闊，而且，沒有想象中那么糟。
O，對了，想看這期節(jié)目的，可以上優(yōu)酷搜索“智造將來”，2019 年 2 月 3 日那期。
