Đang in số

Cầm cốc cà phê

Đang chạy mực qua máy in — từng lớp màu một, kiên nhẫn nhé!

AML Monitoring · AI·20K Demo Day Zine

№ 75

AML Monitoring

Sản phầm phát hiện tài khoản và giao dịch có hành vi nghi ngờ rửa tiền, AI Agent gom bằng chứng và giải thích

BÀI TOÁN Bối cảnh. Nửa đầu 2026, thanh toán không dùng tiền mặt tại Việt Nam vượt 15 tỷ giao dịch, số lượng tăng 34% so với cùng kỳ; hơn 232 triệu tài khoản cá nhân, nhiều tổ chức có trên 90% giao dịch qua kênh số. Trong khi đó Việt Nam vẫn nằm trong danh sách giám sát tăng cường (grey list) của FATF, còn Luật PCRT + Thông tư 27/2025 đặt ra thời hạn báo cáo ngắn (STR trong 3 ngày làm việc, 24 giờ nếu có dấu hiệu tội phạm) và yêu cầu giám sát tăng cường với khách hàng rủi ro cao.

Nghịch lý cốt lõi: khối lượng giao dịch tăng theo cấp số nhân, nhưng năng lực đội ngũ AML không thể tăng tuyến tính theo.

Từ đó nảy ra bốn nỗi đau:

(1) Quá nhiều giao dịch. Không thể rà thủ công ở quy mô hàng triệu/ngày; cần chấm điểm tự động. (2) Quá nhiều cảnh báo, ít tín hiệu. Hệ dựa trên luật/ngưỡng sinh cảnh báo dễ, nhưng ca thực sự đáng điều tra chìm trong nhiễu. Tỉ lệ đáng ngờ nền chỉ ~0,1% — rà không xếp hạng nghĩa là ~99,8% là báo động giả. (3) Rửa tiền là mạng lưới, không phải một giao dịch. Mule, shell, layering, dòng vòng, xuyên biên giới chỉ lộ ra khi nhìn cả mạng quan hệ, không nhìn từng dòng rời rạc. (4) Chuyên viên tốn phần lớn thời gian đi gom bằng chứng, không phải phân tích. KYC + lịch sử giao dịch + mạng lưới + sanctions + rủi ro quốc gia nằm rải 5–10 màn hình; quy trình thực tế là search → copy → compare → reconstruct → document. Định vị lại bài toán: không phải tạo thêm cảnh báo, mà biến hàng triệu giao dịch thành một số ít hồ sơ có thể giải thích, ưu tiên và điều tra ngay.

Suy ra 5 yêu cầu kỹ thuật:

Chấm điểm ở quy mô lớn, hướng thời gian thực. Xếp hạng độ chính xác cao để triệt tiêu cảnh báo giả. Phát hiện theo mạng lưới/đồ thị, không chỉ theo giao dịch đơn lẻ. Tự động gom bằng chứng đa nguồn. Giải thích được ("vì sao đáng ngờ") để lập SAR đúng thời hạn pháp lý.

GIẢI PHÁP KỸ THUẬT

Kiến trúc gồm 4 tầng, một dòng chảy: Nạp dữ liệu → Phát hiện → Cảnh báo & đồ thị → Tác tử AI → Hồ sơ giải thích được.

TẦNG 1 — NẠP DỮ LIỆU

Đường ống streaming: Kafka (giao dịch theo dòng) → Flink → HDFS (lưu trữ & phát lại), quy về một lược đồ canonical. Bộ chấm điểm real-time: đã dựng và chạy end-to-end cho nhánh Bitcoin (consumer micro-batch, chấm trực tiếp, ghi kết quả); IBM/SAML-D hiện chấm theo mẻ (batch). TẦNG 2 — PHÁT HIỆN (3 nhánh, mỗi nhánh một vùng dữ liệu, KHÔNG cộng gộp chỉ số)

IBM AML — MEGA-PNA (mạng nơ-ron đồ thị chấm cạnh). F1 0,78 · PR-AUC 0,49 · Precision 0,84 · Recall 0,73; ở nhóm top rủi ro cao nhất precision xấp xỉ 100%. SAML-D — MEGA-PNA (GNN chấm cạnh, giao dịch xuyên biên giới). F1 0,979 · PR-AUC 0,9998 · Precision 0,96 · Recall 0,999. Bitcoin — Random Forest trên bộ Elliptic. F1 0,81 · PR-AUC 0,79 · Precision 0,99 · Recall 0,69. Giải thích bằng TreeSHAP + phục hồi 151/166 tên đặc trưng ẩn danh (DFRWS 2026). Truy vết trên đồ thị giao dịch on-chain: ngược/xuôi dòng, đo phơi nhiễm tới điểm illicit đã biết (nhãn thật) + hop gần nhất, ngữ cảnh láng giềng rủi ro, topology (bậc, chuỗi tuyến tính, mẫu layering), tổng hợp thành evidence_strength (NONE→STRONG). Vì sao dùng GNN: rửa tiền là quan hệ giữa tài khoản; model chấm trên cạnh đồ thị nhìn được fan-in/out, mule, shell — thứ không thấy khi chấm từng giao dịch rời. Cô đặc tín hiệu: precision 84–99% so với tỉ lệ nền ~0,1% ≈ cô đặc 500–800× → số cảnh báo giả phải rà giảm khoảng 99% so với rà không xếp hạng. TẦNG 3 — CẢNH BÁO & ĐỒ THỊ