CommBank：让智能体自己写出拦截欺诈的规则

先把事实摆清楚。澳洲联邦银行（Commonwealth Bank，CBA）自研了一套智能体系统，它从交易与支付数据里识别新出现的欺诈与诈骗模式，评估其严重性，分析上下文，再生成用于拦截的检测规则。据 CBA 2026 年 4 月的新闻稿披露，这套系统由内部数据科学与工程团队用三个月建成，跑在 Snowflake 数据云与其云端核心银行平台之上，全天候运行。三个月这个数字本身值得停一下：它意味着这是在既有数据底座上快速拼装出来的一层能力，而非耗资数年的旗舰工程。

要看清它面对的对抗强度，得把它放回 CBA 的运营规模里。银行每天监测逾 8000 万个信号、平均处理超过 2000 万笔支付，通过手机 App 向客户推送约 4 万条主动预警，并运行着 2900 多个用于扰乱诈骗分子的 AI 机器人——这些都属于其超过 10 亿澳元的安全投入。背景是澳洲的诈骗损失常年停在 20 亿澳元量级：据国家反诈中心（NASC）数据，2024 年约为 20.3 亿澳元。这是一个高对抗、每天都在变形的战场，昨天有效的规则今天可能就被绕过。

CBA 给出两个数字来标示成效。其一，2026 财年上半年（截至 2025 年 12 月的半年）欺诈损失同比下降超过 20%；其二，这套智能体参与了约四分之三银行卡欺诈规则的生成或更新。这两个数字都得先标注来源与边界。它们出自那份 2026 年 4 月的新闻稿，属于银行自我披露，并未进入其正式的半年业绩公告，也没有独立审计背书。对以事实为生的读者——投资人、风控负责人、监管者——这个来源标签必须一直贴着，不能在转述中悄悄脱落。

CBA 自己的措辞比外界转述要克制得多。损失下降，是它的欺诈检测技术「参与促成」的，而非单独归因于这个智能体；「四分之三」指的是银行卡欺诈规则这一特定规则集，且明确包含「更新」，不只是从零新写。消息源是其反欺诈与反诈骗执行总经理 James Roberts。把「参与促成」读成「AI 单独实现了 20% 降幅」，或把「生成或更新四分之三规则」读成「AI 接管了四分之三的欺诈决策」，都是对披露口径的过度拉伸。

真正新的地方在这个智能体的产出形态，而非「用 AI 抓欺诈」本身——用模型做模式识别，银行做了很多年——它交出的是一条条能被人读懂、被复核、被单独上线的规则。一条规则，和一个只给出高低、却无法定位到哪一环出错的分数，是两种不同的东西。与此叠加的还有另一件事：CBA 在 2025 年 12 月发布《我们采用 AI 的方式》（Our Approach to Adopting AI）报告并在 2026 年 2 月公开，自称是澳洲同业首份此类披露。一套会写规则的系统，配一份把治理讲清楚的报告——这两件事叠在一起，才构成这个案例真正值得拆解的地方。

产出「规则」和产出「判断」，差别值得掰开。一个只给判断的模型说「这笔交易像欺诈」，它交出的是一个分数；分数错了，你很难说清究竟错在哪，也很难精准地改——你能做的往往只是整体调阈值、整体重训。一个产出规则的智能体不同：它写出的是一段能被人读懂、被复核、被单独开关的拦截逻辑。在欺诈这种高对抗、每天变形的领域，能把新出现的模式快速转成一条新规则，本身就是核心能力。CBA 的说法是，系统以「远更高的速度和规模」识别异常、更快更新控制。

把它放到反欺诈的两种老状态之间，位置就清楚了。一端是人工手写的规则：可读、可审计，但写得慢，常常落后于新变种，等分析师琢磨出一条规则时，诈骗脚本已经改了三版。另一端是纯机器学习打分：反应快，模式泛化能力强，却难向监管者、客户或申诉机构讲清楚——当一笔正常支付被拦、客户投诉到申诉机构时，「模型给了 0.87 的分」不是一个能被裁处的解释。CBA 这套系统的取法，是让机器学习去干「快」的那部分——从数据里长出候选规则；而最终产物仍是一条可被人审阅的规则。

需要说明的是，「两头好处都占」这层意思，CBA 自己并没有这样标榜。能确认的只是两点：它保留了规则这一可读的产物形态，以及下面要谈的那道人工关。把「速度」与「可解释」同时拿到手是这套设计的意图指向，但它是否在每一类欺诈上都成立、有没有牺牲某些泛化能力，披露里没有给出证据，这一层应当留白，而非替 CBA 补全。

正因为它写的是会真正拦截真实交易的规则，审阅这一环不能省。规则的颗粒度是一把双刃：一条过宽的规则会误杀大量正常支付，把客户挡在自己的钱之外；一条过窄的规则会放过变种，让新型诈骗从缝里溜走。生成速度越快，这两类错误累积的速度也越快。所以「快速生成」和「逐条审阅」必须成对出现，而非可以二选一的取舍——没有后者，前者就是在以更高速度往生产系统里灌入未经检验的拦截逻辑。

于是 CBA 的做法是：新规则在上线前，须经其欺诈分析团队复核并批准，它明确称之为 human-in-the-loop（人在环中）。智能体负责「快」，人负责「稳」，由人决定哪一条真正上线。这条界线要看清楚：生成或更新了四分之三的规则，不等于把四分之三的决定权交给了 AI。产出规则的智能体，把决策权切成了一条条可被单独批准、单独拒绝的小单元；而决定权仍握在批准这一环的人手里。这是理解整个案例的枢纽。

「人在环中」这四个字在 AI 治理话术里已经被用滥，很多时候只是一块贴在自动化系统上的合规标签。要判断它在 CBA 这里是不是实打实的控制，得看这道关卡到底管什么、能管多细。这里它管的是：每一条会进入生产、真正拦截真实支付的规则，上线前都要经过欺诈分析团队的复核与批准。管的颗粒度是「单条规则」，而不是「这套系统整体可不可信」——后者是一次性表态，前者是持续的、逐条的把关动作。

这道关之所以有实质意义，是因为规则这种产物天然可拆。一条规则可以被单独读懂：它写明了在什么条件下拦什么。它可以被单独审阅：分析师能判断这条会不会误杀某类正常交易。它还可以被单独回滚：某条规则上线后发现拦错了，直接停用这一条，不影响其余。反欺诈的日常本就是不断打补丁、退补丁——今天上一条拦新型变种，明天发现它误伤了一批商户就撤回。这种「单条可回滚」的性质，是控制权能不能长期握在人手里的物理前提。

对照之下，一个只吐分数的黑箱模型做不到这一点。它错了，你没法精确撤掉「某一条判断」，因为它内部没有可被指认的「条」；你只能整体调阈值或整体重训，而这两个动作都会牵动它对所有交易的判断。换句话说，黑箱模型的控制权是锁进一个整体里的，人只能在外面拧一个总阀门；规则系统的控制权则散落在一条条逻辑上，人可以逐条开关。CBA 把 AI 放在生成候选规则的位置、把人放在逐条批准的位置，正是把控制权留在了可拆的那一侧。

但要诚实地指出这道关最脆弱的地方：它的有效性完全取决于审阅是否真的在逐条发生。如果自动生成的规则量涨了十倍，而复核的分析师人手没变，那么「逐条批准」就会退化为批量放行、抽样看几条、甚至橡皮图章。到那一步，外壳还是一条条规则，实质却退回了「系统说了算」。「人在环中」由此从一种控制机制，滑落成一句无法兑现的措辞。这是任何生成速度快于审阅速度的自动化系统都会遇到的结构性压力，而非假设中的极端。

所以判断这道关是否名副其实，有一个具体可查的比值：规则生成/更新的速率，对上投入审批的分析师工时。CBA 的披露里给了分子的量级感（四分之三规则由智能体参与），却没有给分母。这不是苛责——半年一次的运营披露本就不会披露到工时颗粒度——但它标出了外部观察者真正该追问的那个数，也标出了这套设计成立与否的命门所在。后文会把它作为最该盯的反向信号再展开一次。

一套能产出可审阅规则、且每条都过人工批准的欺诈控制，在两年前也许只是工程上的一种审美偏好；放到今天的澳洲监管环境里，它的性质变了。2025 年 2 月通过的《诈骗防范框架》（Scams Prevention Framework，SPF）是全球首部同类立法。它对未能采取「合理步骤」去防范、检测、报告、扰乱与响应诈骗的受规管机构，设定了最高 5000 万澳元的罚款。这个数量级把「反诈做得好不好」从一个声誉问题，抬升成了一个资产负债表上的风险敞口。

SPF 的义务清单里，排在第一位的是「治理」（governance）。这个排序不是随意的：立法者把「机构有没有一套能被检验的、管住诈骗风险的制度」放在具体的检测、报告动作之前，意味着监管重心落在「你能不能证明自己在系统性地管这件事」。一套每条规则都留有生成记录、都经人工批准、都可被逐条复盘的控制体系，恰好就是对「治理」义务最直接的证据形态——它在运行中持续产出可被审计的痕迹，而非在事后讲一个自己尽责的故事。此外，自 2026 年 7 月起，相关诈骗争议将由澳洲金融申诉局（AFCA）统一裁处，这意味着「向申诉机构讲清楚为什么拦了这笔、为什么没拦那笔」会成为高频、且有裁决后果的动作——而这正是纯打分模型最讲不清的场景。

与 SPF 并行收紧的还有审慎监管这条线。APRA 的 CPS 230 操作风险管理标准已于 2025 年 7 月生效，它要求重大运营风险事件在 72 小时内上报，并把云与 SaaS 等重大服务提供商纳入机构的风险治理范围。CBA 这套智能体正跑在 Snowflake 之上，也就直接落入了 CPS 230 对第三方服务商治理的要求半径。可解释、可审计的控制在这里同样是加分项：当监管要求你能对一个关键系统的运行与其依赖的外部平台负责时，一个能逐条说明自己在拦什么的系统，比一个只能给出总体准确率的黑箱更容易通过审视。

行业自律层面也在往同一个方向加码。澳洲银行公会 2023 年推出的 Scam-Safe Accord，以及自 2025 年 7 月起在成员行间铺开的「收款人确认」（Confirmation of Payee）——在转账前核对收款人姓名与账号是否匹配——都在把「主动、可核查地拦截诈骗」变成行业基准动作。当基准被抬高，各家比拼的就转向能不能证明这套能力持续、可控、可交代，而非是否具备反诈能力。

把这些叠起来看，结论是一个可以被证伪的判断：在澳洲这样的监管环境里，欺诈控制的「可解释、可审计、可快速更新」正在从成本项转为合规资产。这个判断成立的触发条件，是监管持续以「治理证据」而非「事后结果」为考核重心；它的反向信号也很具体——如果 SPF 的实际执法落到只看诈骗损失总额、而不追问机构的控制过程，那么「可审阅」的溢价就会缩水，投入到逐条治理的资源也会失去外部激励。目前的立法文本把「治理」放在义务首位，指向的是前一种执法逻辑；但立法意图与执法实践之间的落差，值得持续观察。

规则可审阅，是控制的第一样看得见的东西；主动披露，是第二样。作为上市银行，CBA 在 2025 年 12 月发布了《我们采用 AI 的方式》报告，并在 2026 年 2 月对外公开，自称是澳洲同业首份此类披露。这份报告的作用，是把一套原本只在内部可查的治理制度，摆到监管者、投资人与公众面前，让它接受问询。可审阅的规则如果只对内可见，那它证明的只是「我们内部有能力查」；只有当治理框架也对外公开，控制的颗粒度才真正被摆上了台面。

报告列出了集团的六条 AI 原则：环境与社会、公平、透明、隐私与数据保护、可靠与安全、问责。孤立地看，这六个词与任何一家大型机构的 AI 原则清单没有本质区别，几乎可以互换。真正把它们从口号变成制度的，是报告写明的那套问责机构安排：董事会保留最终问责，集团设立专门的 AI 治理论坛，由相关委员会在部署前审批高风险模型，并每年复核。这些安排把抽象原则落到了「谁在什么节点、对什么负责」这一层——这才是外部读者能拿来检验的东西。

值得强调的是，这些治理话术本身算不上新，大型金融机构的 AI 治理框架大多长得类似。这个案例里要紧的，是一家受严格监管的上市银行选择把它们公开，并且把公开这件事往前赶——赶在 SPF「治理」义务全面咬合、AFCA 统一裁处生效之前。主动披露在监管收紧的窗口里，是一种把自己的治理标准先行钉在公开记录上的动作：一旦公开，它就成了外部可以据以问责的基准，机构再想悄悄降低标准就有了成本。

把两样东西合起来看，才看得到这个案例的完整形状。一边是可被逐条检验的规则——控制的颗粒度细到单条逻辑；另一边是公开的治理框架——把这套颗粒度对外可见。二者叠加的效果，是任何外部观察者原则上都能指着某一类规则问：「这类规则由谁批准、什么条件下会被停用、出错时谁负责。」这种可被指名追问的状态，比一份只讲原则、不落到机构安排的声明要难注水得多。声明可以写得四平八稳，一条条经过批准与回滚的规则却要经得起实操检验。

不过这里也要划清披露的边界。报告讲的是治理的制度设计，不是治理的实际执行质量。它告诉你董事会保留问责、委员会审批高风险模型，但它不能替你证明每一次审批都认真做了、每一条规则都真被复核过。制度设计与执行质量之间永远有缝隙，而披露只覆盖前者。因此这份报告应被读作「CBA 承诺以何种制度管住 AI」的公开承诺，而非「这套制度已被验证有效」的结论。把承诺读成实效，是外部解读这类披露时最容易犯的错。

回到最初那两个数字——欺诈损失同比降超 20%、四分之三银行卡欺诈规则由智能体参与——因为它们几乎必然会在转述中被放大，值得单独做一次边界清算。先说降幅这个数。它是「同比」，比较的是两个半年；欺诈损失受太多变量牵动：诈骗手法的季节性、大型攻击事件的有无、其他控制措施的同期上线、宏观支付量的变化。把一个受多因素影响的总量降幅，单独归因给一套三个月前才建成的系统，在方法上站不住——而 CBA 自己也没有这样归因，它用的是「参与促成」。

再说「四分之三」。它的准确含义是：在银行卡欺诈这一特定规则集里，约四分之三的规则由智能体生成或更新。这里有三个约束条件常在转述中丢失：一是范围限定在「银行卡欺诈规则」，不是全部欺诈、更不是全部诈骗；二是「生成或更新」把改一条既有规则和新写一条规则算在了一起，二者的技术含量并不相同；三是「由智能体参与」不等于「未经人手」，前面那道审批关始终在。这三个约束一旦补齐，「AI 接管了四分之三反欺诈」这种读法就自动瓦解了。

更根本的一层限制是证据的性质：这两个数字都是自我披露，没有独立审计背书，也没有进入正式业绩公告。这不意味着它们是假的——一家受 APRA 与 ASIC 监管的上市银行在新闻稿里编造运营数字，代价极高，所以这些数字大概率反映了真实的内部观测。但「大概率真实」和「可作为决策依据的经审计事实」之间隔着一道验证工序。对于要据此判断「该不该在自己机构里上马类似系统」的 CTO 或投资人，正确的做法是把它当作一个有指向性的信号，而非一个已结算的结论。

那么这两个数字到底能证明什么？它们能证明的是可行性与规模，而非效果的因果量级。它们证明了：一套让智能体生成、由人审批的反欺诈规则系统，可以在三个月内于一家超大型银行的生产环境里建成并运行，且已渗透到某个规则集的多数规则里。这是一个关于「这条路走得通、且能规模化」的存在性证明。它没能证明、也不该被用来证明的是「这套系统单独带来了 X% 的损失下降」这类因果断言——把存在性证明误当成因果证明，是解读这类案例最常见的滑坡。

对做决策的人，这里有一条可直接用的规则：评估这类披露时，先把每个数字拆成「范围—口径—来源」三栏,再判断它支撑什么结论。范围栏问「它覆盖到哪」（银行卡欺诈规则，非全部）；口径栏问「它把什么算进去了」（生成与更新合并，参与非独立）；来源栏问「谁在背书」（自披露，无审计）。三栏填完，一个数字能承重多少就一目了然。这套拆法不止用于 CBA，它对任何厂商案例、任何「AI 带来 N% 提升」的营销叙事都适用。

要看清 CBA 这套设计好在哪，最有效的方法是把它放在两种更常见做法的失败模式旁边对照。第一种是纯机器学习打分的黑箱路线，很多机构过去几年正是往这个方向重仓投入的。它的优势真实存在：反应快、能捕捉人写不出的高维模式、随数据自动进化。但它的失败模式在受监管环境里越来越致命——当一笔正常大额转账被拦、客户投诉到 AFCA，机构拿不出「因为触发了哪条具体逻辑」的解释，只能给出一个分数和一句「模型综合判断」。在 SPF 与 AFCA 统一裁处的框架下，讲不清楚本身就构成合规风险。

黑箱路线的第二个失败模式是修不动。发现模型在某类交易上系统性误判时，机构没有「撤掉那一条」的选项，只能整体重训或整体调阈值，而这两个动作都会扰动它对所有交易的判断——修一个局部问题，可能在别处引入新的误判。反欺诈需要的是外科手术式的、单点的增删改，而黑箱只给你一把会牵动全身的总阀门。这就是为什么很多重仓纯打分的机构，反而在「快速迭代」上被拖慢：它们能快速训练，却不能快速、安全地做局部修正。

第二种做法是全人工手写规则，这是更传统的银行反欺诈形态。它的产物完全可读、可审计、可逐条回滚——治理属性极好。它的失败模式在速度：新型诈骗脚本以天为单位变形，而人写、人测、人批一条新规则以周甚至月为单位推进。等一条应对新变种的规则终于上线，攻击者早已迁移到下一种手法。手写规则的机构控制得太慢，而非不会控制，长期处于「用上一场战争的规则打这一场」的滞后里。它守住了可审计，却守不住时效。

CBA 这套设计的位置，正好压在这两种失败模式各自绕不开的痛点上。它用智能体承接手写规则最缺的「快」——从数据里以远高于人力的速度长出候选规则；同时用「产出规则+人工批准」保住黑箱最缺的「可审阅、可回滚」。它没有消灭这两种路线各自的风险——快速生成仍可能量产坏规则，人工批准仍可能被产量压垮——但它把风险挪到了一个更好管的位置：风险集中在「审批关的产能」这一个可观测、可加人手、可设阈值的环节上，而不是弥散在一个不可拆的模型内部。

这个对照给决策者的 take-home 很直接：在受监管、高对抗、且必须对每次拦截负责的业务里，控制权的可拆性应当被当作一等的设计约束，而不是事后再补的可解释性包装。选型时该问的第一个问题不是「模型准确率多高」，而是「当它拦错时，我能不能只撤掉那一条、并说清为什么」。答不上来这个问题的系统，无论准确率数字多高，在 SPF 与 AFCA 的环境里都是一个持续累积的合规负债。

对东南亚的银行、支付机构与监管者，CBA 案例里可迁移的是一个组合，而非某一套模型或某一家云厂商的选择：让 AI 写候选规则、让人按条批准，使每一次控制变动都对应一条能被单独读懂、单独停用、单独回滚的逻辑。这个组合的价值不依赖 CBA 的具体技术栈——它跑在 Snowflake 上，但换成任何一个能承载规则生成与审批工作流的数据平台，逻辑都成立。真正要抄的是「把控制权散在一条条规则上，而非锁进一个整体模型」这层架构选择。

这层选择在 ASEAN 尤其对味，因为区域内的监管正沿着相似的轨迹收紧。新加坡金管局（MAS）的技术风险管理与外包治理要求、以及各国对实时支付欺诈的问责压力，都在把「机构能否对自动化决策交代清楚」抬升为硬约束。在这样的方向里，一套可逐条审计的规则系统，比一个准确率更高但讲不清的黑箱，更贴合监管的考核逻辑。可迁移的判断是：在监管以「治理证据」为重心的市场，可拆的控制权本身就是一种可申报、可抗辩的合规资产。

这个组合还有一个常被忽略的好处：它比一份治理声明更难注水。声明是一次性的文本，写得再周全也只是承诺；一条条经过生成、批准、上线、必要时回滚的规则，是持续产生的运行痕迹，要经得起「随时抽一条出来问」的实操检验。对监管者，这意味着可以从审查厚厚的政策文档，转向抽查具体规则的生命周期——问某一条规则何时生成、由谁批准、拦了多少、误伤了多少、何时被停用。对机构，这意味着治理不再是合规部门的事后文书，而是嵌在反欺诈日常运营里的、自动留痕的动作。

但要抄对，得连风险一起抄，否则抄来的是形似神非的空壳。这套做法最脆弱的地方在人：规则可拆、可回滚，前提是有人真的在逐条审、逐条批。照搬「AI 生成规则」这半边、却不配齐审批端的分析师产能，结果会比原本的黑箱更糟——它披着可审阅的外壳，实际却在以更快的速度往生产系统灌入没人真正看过的拦截逻辑。迁移时必须把审批产能当作与生成能力同等的一等投入，而不是可以后补的运营细节。

给 ASEAN 建设者一份可操作的清单：第一，产出形态选可拆的规则，而非只出分数的判断；第二，为每条规则建立生成—批准—回滚的完整生命周期记录；第三，把「审批工时/规则生成速率」设为一个被持续监控的运营指标，并为它设下限；第四，把治理框架的关键部分对外披露，把标准先钉在公开记录上；第五，评估任何厂商方案时，先问「拦错时能不能只撤这一条」。这五条里没有一条依赖 CBA 的具体技术，但少了任何一条，抄来的就只是这套做法的名字。

把整个案例收束到一个可持续追踪的判断上：这套「让智能体写规则、让人逐条批准」的设计能不能长期握住控制权，取决于一个具体比值——规则生成/更新的速率，对上投入审批的分析师产能。这个比值健康，控制权就实实在在散在一条条可回滚的规则上；这个比值失衡，「单条可回滚」就名存实亡，系统会在保留规则外壳的同时，实质滑回「自动化说了算」。这是一个可被数据证伪的运营命题，而非一个价值判断。

之所以把它设为最该盯的反向信号，是因为它正好压在这套设计的结构性张力上。生成端是自动的、边际成本极低的，它天然倾向于加速；审批端是人工的、要占用稀缺的资深分析师工时的，它天然难以同比例扩张。任何这种「自动生成快于人工审阅」的系统，都会持续承受把审批环节稀释掉的压力——先是从逐条看变成抽样看，再从抽样看变成信任默认放行。这条滑坡不需要任何人有恶意，只需要产量涨、人手不涨，它就会自己发生。

那么具体该盯什么可观测的信号？在 CBA 这个案例里，几个可追踪的指标包括：后续披露中「智能体生成规则占比」是否继续攀升，而对审批团队规模或投入的表述是否同步跟进；是否出现因规则误杀导致的、被 AFCA 受理的申诉量上升；是否有「自动上线」「减少人工干预」这类措辞悄悄替换掉现在明确的「须经欺诈分析团队复核并批准」。其中最直接的失守信号，是 human-in-the-loop 的表述从「每条规则上线前批准」弱化为「对规则进行抽样审核」——用词的这一步收缩，往往先于实质的控制流失。

反过来，什么信号能确认这套设计仍然稳固？是 CBA 在保持或提高生成占比的同时，明确披露审批端的相应投入——无论是分析师人数、审批工时，还是为审批环节新建的工具与流程。如果生成能力翻倍的同时，审批产能也有可见的加强，那么「单条可回滚」就还是真的。信号的两个方向都具体、都可查，这正是这个反向信号的价值：它把一个关于「AI 会不会架空人」的抽象担忧，变成了一个可以在下一份披露里直接核对的比值。

所以这个案例最终留下的是一个更硬也更有用的东西：一套把决策权切成可回滚小单元的架构，加上一个盯住它命门的具体比值——而非「银行用 AI 抓欺诈很成功」这样一句可以到处套用的结论。控制权的真伪不写在治理报告的原则清单里，而写在生成速率与审批产能的这道对账中。谁想在受监管环境里让智能体真正承担运营决策，就得先把这道对账做实——这是 CBA 案例递给每一个后来者的、无法回避的那道题。