风控日报 — 2026-08-27

📊 原料：49 条相关条目（GitHub 仓库搜索 39 条 / arXiv 10 条全部无关——新批次 2608.248xx（08-25 提交日期）：FID 生成式评估诊断、LLM 生成 Python 代码安全弱点实证、企业网安研究方法论综述、机器人世界模型动作对齐 WorldEcho、亚海王星硅酸盐化学、SPO++ 异步 agentic RL、LAWA 世界动作模型、分子圆锥交叉拓扑、跨问题车辆路径、LAION 千万小时视频数据集——两项安全/代码主题但域为软件安全与研究方法论，非交易风控）。arXiv 全噪声小计：连续 32 期（07-17→08-27）全噪声，累计 746 条中 1 条相关，噪声率 99.9%。剔除构成：~16 条已覆盖/重复（sentinelpay、mastercard-aegis、msc-dissertation-fraud-gnn 为昨日 ★★★/★★★/★★★ 同仓重推、osprey[08-18★★★]、phaas-tracker[08-15★]、PayShield[08-17★]、jd-capital[08-20]、TemporalStore[非金融]、SecCheck[韩企审查]、FFraud-com×2[数据库]、gnn-ieee-fraud-detection[08-26 过薄]、portfolio-risk[投资组合]、finpulse[08-25 剔除]、phase/argentum/nba2k/discord-mtg[游戏规则引擎]、amlystuhub[校园应用]、tsec-website[官网]、AIRiskManagerML[空 README]、tongdun/tmt-id/telnyx-verify/tim-com[api-evangelist 目录档案]）+ 3 个已确认恶意仓库残留（hgthangbq-lang/defi-risk-screening[07-26]、primatewakeisland574/payment-channel-guide[08-09]、yoelpa6680/upi-fraud-gnn[07-26]——不重复验证）。连续 3 日无新确认恶意仓库，累计维持 20 个。今日筛出 8 条新增高信号条目。今日主题是 \"agentic payments 时代的新治理层\"：三个独立样本（Risk Governor 的四平面 ALLOW/REVIEW/BLOCK、唯稳律的 AI Agent 白箱因果护栏、RiskPilot 的 agent 式下一步决策）都在回答同一问题——当 AI agent 持有真实支付凭据时，\"凭据有效\"不再等于\"动作合法\"；加上 conformal 论文证明被广泛误读的覆盖保证在欺诈检测中代价惊人（ULB 上告警量 100%），评估经济学的证据链又添一块。

今日高信号

1. agentic-payment-risk-governor (theoxfaber) — 自主支付 agent 的治理层完整形态（Rust 22-crate：Policy 硬边界→Risk 行为评分→Entity Graph 协同滥用→Investigation 证据正反权衡四平面 ALLOW/REVIEW/BLOCK；Conformal Risk Control 声明式预算校准阈值（欺诈泄漏≤2%/摩擦≤1%有限样本有效）；140 随机参数世界 P100/R99.4%；数据退化实验：30% 证据缺失召回不塌、人工审查占比 1%→72%；LLM 只提取意图声明永不决策；MCP 接口）【信号：★★★】

theoxfaber/agentic-payment-risk-governor（0★, Rust, 185 tests passing, "Age of Agentic Payments" 语境， CI 门禁化回归）是给自主金融 agent 挂的前置决策层：agent 发起 refund/payout 前先过四道独立平面，每个决定写不可变审计链（action_requested → policy_evaluated → risk_scored → graph_analyzed → decision_made → human_reviewed → razorpay_called 全程可回放）。四个设计点罕见：(1) 核心安全哲学反直觉——"高风险不能在证据矛盾时自动 BLOCK"：Investigation 引擎对支持/反对滥用的证据（Direction::Supports/Contradicts）分别计权算 evidence_confidence，高分但证据矛盾→转人工 REVIEW 而非硬拦（"false BLOCK 不是安全失败，是合法用户的钱被拒绝"）；(2) Conformal Risk Control 进阈值——auto-block 阈值来自声明预算（fraud-leak ≤2%、friction ≤1%）的 CRC 校准，auto-allow 条件 p̂ × exposure ≤ review_cost（"花人工审查时间去防 ₹13.50 是坏经济学，系统能用数字说出来"）；(3) 诚实评估三连——干净数据 100/100 之外，退化扫描（30% 缺失+±48h 漂移：召回不塌、误报 0→24、审查占比 1%→72%）+ 140 个随机参数世界（P100/R99.4%，合法 FP 池化 0）+ CRC 压力测试主动承认混合分布失配曾致 87% 泄漏（校准世界与部署世界 mixture 不同时上界失效——conformal 的适用边界自证）；(4) MCP 接口让任何 agent 用普通工具调用问"我能动这笔钱吗"。

风控视角："agentic payments 风险治理"从概念第一次变成可运行的开源完整形态：与 08-24 app-fraud-interdiction（LLM 不碰拦截决策）、08-25 kaidn-mcp（默认只读+配额护栏）构成 agent 金融安全三部曲，本仓补上最关键的决策平面分离（policy/risk/graph/investigation 四个独立引擎而非一个大模型）。CRC 预算化阈值是把 08-26"评估即证据链"推进到部署阈值也带有限样本保证——直接可用于面试回答"阈值怎么定才有统计依据"。"证据退化→人工审查占比上升"的曲线是 HITL 容量规划的量化模板。⚠️ 全合成数据、Razorpay test-mode、组织背景未披露。与 风控策略 的干预阶梯和 实时风控引擎 的 agent 化治理直接相关。→ GitHub

2. conformal-fraud-price (ABDELLATIFELBADRAOUI) — " conformal 覆盖保证在卡欺诈检测中值多少告警量"可复现论文包（类条件 conformal 在 ULB 上告警量 100%/Sparkov 73.6%——边际保证只覆盖 0.9%-45.2% 欺诈；train/tune/calibration/test 四段切分让覆盖声明真正适用；15 秒免数据免训练全表复算；Zenodo+SHA256SUMS 存档）【信号：★★★】

ABDELLATIFELBADRAOUI/conformal-fraud-price（0★, Jupyter/Python, 08-12 建→08-26 推送, MIT, .zenodo.json+CITATION.cff）是论文 *Quantifying the Empirical Alert-Volume Cost of Class-Conditional Conformal Prediction for Card Fraud Detection Under the Revised EU Payment Services Directive* 的复现包。核心发现一张表：split conformal predictor 在 α 水平"保证真标签在预测集内的概率 ≥1-α"在欺诈检测中被普遍误读为漏报上界——边际保证约束的是被合法类主导的混合分布；真正给出类级保证的类条件构造（每类一个分位数）代价取决于检测器分离度：PaySim（AUPRC 0.989）告警量仅 0.41%、Sparkov（0.529）73.6%、ULB（0.713）100%——退化为"全告警规则"。方法论三点：(1) tune 与 calibration 分离——"同一 held-out 块两用（业界常见三段切分）是在已被选择过的数据上算分位数，覆盖声明不适用"；(2) 零数据复现——results/scores/*.npz 存校准概率，python src/pipeline.py reproduce 15 秒重算论文全部表图；(3) 子采样从 sha256(seed:stage) 派生生成器而非全局 NumPy 状态（结果不依赖执行顺序，selftest 自检）。

风控视角：对"conformal 给欺诈检测上数学保证"这一新兴叙事的最重要纠偏：国内风控圈 conformal prediction 正热（PSD2/欧盟修订支付服务指令语境），这篇用三数据集证明——类条件保证在真实分离度（AUPRC 0.7 左右）下的代价可能是百分之百告警量，"有限样本保证"与"运营可行性"必须一起谈。tune/calibration 分离是防泄露纪律光谱又一块（与 08-24 三权分立、08-25 泄露量化同谱系但更细粒度——校准块必须"只算分位数不做别的"）；Zenodo 存档+SHA256+15 秒复算是"评估即证据链"的学术级实现。与 风控模型 的校准与阈值理论直接相关。→ GitHub

3. weiwen-law-dsh (Shaky77) — 中文原创的 AI Agent 白箱因果护栏框架（DeepSeek Harness 插件：3 道钩子硬闸[tools/pre-execute 拦动作、agent/pre-step 拦整步、tools/result 只观察]+6 个白箱自查工具[铁律/稳态储备/刚性锚点/传导链/边界/BUG 停机]；"第一 BUG 停止闭环"：停机后强制走完反推→溯源→修复→重入，未修复拒绝重入；118/118 测试+引擎零 DSH 依赖可单测）【信号：★★★】

Shaky77/weiwen-law-dsh（1★, HTML/JS, 08-19 建→08-26 推送, AGPL-3.0, 28 commits）名为"唯稳律"（守真·稳态 / Keep Integrity & Steady State），是中文原生的 AI agent 护栏框架，以 DeepSeek Harness（DSH）Cordis 插件形态实现。架构干净：纯逻辑裁决引擎（engine.mjs 零 DSH 依赖可独立单测）+ 插件入口挂 3 道钩子——tools/pre-execute 返回 {kind:'deny'} 拦截单动作、agent/pre-step 返回 {kind:'reject'} 拒绝整步、tools/result 仅观察不改写；同时注册 6 个白箱自查工具让模型主动查询自己的边界（三大铁律原文、S 稳态储备账本、R 刚性锚点定义、R→D→S→H→M 传导链、内 H 边界、BUG 停机闭环状态）。最有工程含量的是第一 BUG 停止闭环（作者 08-21 补全）：传统 fail-stop 只做"断"，本插件强制走完"断→反推→溯源→修复(验证)→重入"的后半程，未修复前拒绝重入——从根上阻断"只反推不修复→无限递归"。

风控视角：agent 安全的中文原创贡献首次进入本日报视野，且思路与美式样本互补：kaidn-mcp 管 API 副作用、Risk Governor 管资金动作，唯稳律管agent 自身的执行循环（工具调用前校验、故障停机、修复后才放行）——三个层次拼出 agent 风控的完整栈图。"把护栏状态暴露为可查询工具"是巧妙设计：模型能自查边界（self-calibration），审计者能外部观察（observability），比纯拦截式护栏多一层白箱性。DSH 生态绑定是主要局限（DeepSeek 专用 harness），但"钩子+白箱工具+停机闭环"三件套抽象可迁移到任何 agent 框架。与 反欺诈体系 的 agent 安全栈和 实时风控引擎 的治理层设计相关。→ GitHub

4. osprey (opensource-finance) — Go 单二进制 AML 引擎 9 天三连更（v0.4.0：typology 端点族+compliance 模式未载入即 503/degraded 的失败可见设计；FATF starter kit 12 规则+structuring/ATO/mule 三 typology；pro 层 PostgreSQL/Redis/NATS——open-core 分层：社区 SQLite 全功能、企业后端可插拔）【信号：★★★】

opensource-finance/osprey（0★, Go, Apache-2.0, 01-07 建→08-26 推送, 31 commits, v0.4.0, Go 1.26）08-18 首次入图（★★★）后 9 天完成三轮迭代，工程节奏和治理设计都值得跟踪：(1) 失败可见——compliance 模式启动而 typology 未载入时 /evaluate 返回 503、/health 报 degraded、/ready 503（"监控规则没加载好就静默放行"是 AML 系统最危险的失败模式，这里把它做成显式健康态）；(2) 规则↔typology 引用完整性——删除被 typology 引用的规则返回 409（规则引擎的参照完整性约束，Drools 生态都少见的细节）；(3) open-core 分层样本——community（SQLite/内存缓存/channel bus）与 pro（PostgreSQL/Redis/NATS）双 profile，社区版功能完整、企业版只是可插拔后端，这是开源基础设施公司的标准玩法（GitLab/ClickHouse 谱系）首次在本领域观察到；(4) starter kit 明示"FATF-inspired 起点不是你自己的风险政策"。

风控视角：AML 规则引擎开源侧罕见的"可持续工程"信号：多数 AML demo 是 notebook 或 Spring 巨石，osprey 用 Go 单二进制+租户头+admin token 权限分离+CI 沙箱门禁做"可部署的服务"，三轮快速迭代（detection/compliance 双模式→typology 治理→开源治理三件套）证明是活项目而非快照仓。对 Java 风控工程师：CEL 规则表达式+typology 分组+引用完整性约束的组合可直接对照 Drools/自研规则引擎的设计评审清单。⚠️ open-core 商业模式（pro 层闭源预期）、0★ 年轻组织。与 风控策略 的规则引擎选型直接相关。→ GitHub

5. ReturnGuard (rajveer1421) — 电商退货调包欺诈的多 agent 视觉证据链（配送时多角度拍照→mean-pooled embedding 存"ground truth"→退货时五 agent 流水线[政策校验/理由交叉验证/历史风险/两段视觉分析 embedding 相似度→VLM 损伤检测/裁决]，50-90% 概率区间强制转人工附完整证据包；卖家保护争议报告可分享）【信号：★★】

rajveer1421/ReturnGuard（0★, Python, 07-24 建→08-26 推送, 15 commits, 20MB, LangGraph, IIIT Nagura 三年级/Amazon ML Summer School）针对电商最大的未解决损失源之一——退货调包（收到正品、退回次品/调包品仍全额退款）。两阶段设计：(1) 配送阶段取证——多角度照片（正/背/侧/包装）聚合成单一产品 embedding 存为 ground truth；(2) 退货阶段五 agent 链——政策校验（窗口/品类/理由合规）→理由交叉验证（声称"发错货"但图物相符即矛盾）→欺诈模式（退货历史动态风险分调节阈值，惯犯从严首退从宽）→视觉分析（两段式：embedding 相似度快筛+VLM 深度分析损伤检测与证据描述）→裁决合成（>90% 拒 / 50-90% 转人工 / <50% 退款）。品类感知：电子产品标记需功能测试（内伤不可见）。

风控视角："证据在配送时采集而非退货时"是时间维度的风控设计：国内电商退货率高压背景下（服饰 30%+），调包/穿退货/以旧换新是平台资损大头，这个仓把"退货欺诈"从规则黑名单推进到视觉证据链+可解释裁决。与 08-25 sentinelpay 的 chargeback dossier（拒付抗辩材料）同构——风控产出从"拦不拦"扩展到"争议举证材料"，这里多模态证据在争议两端（买家主张 vs 实物状态）都成立。"50-90% 区间强制人工"的带宽设计呼应 08-26 容量约束审查。⚠️ 学生项目、合成演示数据、embedding 抗攻击性（同款不同个体）待验证。与 反欺诈体系 的电商场景防线相关。→ GitHub

6. Snowflake_Fraud_Detection (fortuneMog) — Medallion 分层风控数仓全代码（Bronze 原始落地→Silver PII Jinja 宏掩码+Haversine 速度特征→Gold fct_cardholder_risk_scores 复合评分；RBAC 四角色分析师不可见未掩码 PAN；三虚拟仓库成本隔离；5 种欺诈模式合成注入器；含对抗性测试）【信号：★★】

fortuneMog/Snowflake_Fraud_Detection（0★, Python+SQL, 08-26 建, 3MB, dbt+Snowpipe）是数据工程视角的欺诈检测管线：合成生成器注入 5 种模式（不可能行程/速度尖峰/微授权攻击/高危 MCC/金额离群）→ S3 External Stage + Snowpipe 持续摄入 → dbt 三层转换——Bronze 仅去重/类型转换，Silver join 维表+PAN 掩码 Jinja 宏（**********1234）+地理速度特征（lag 坐标+Haversine），Gold 出 fct_fraud_hotspots 地理热区与 fct_cardholder_risk_scores 持卡人 0-100 复合分。治理三件套：RBAC 四角色（admin/ingest/transform/analyst，分析师角色无法访问未掩码 PII）、三虚拟仓库**（摄入/转换/计算分离+auto-suspend+资源监控防失控成本）、幂等 DDL。含 test_dbt_and_sql_adversarial.py 对抗测试。

风控视角：离线侧（特征/数仓）风控工程的清晰参考：国内风控团队的"特征层"正从 Hive/Spark 向云数仓迁移，这个仓把分层职责（原始落地/清洗掩码/特征聚合）、PII 最小可见性（角色×掩码列）、成本隔离（仓库级）三个治理主题做成可运行代码——尤其"分析师角色见不到未掩码 PAN"是数据合规（个保法最小必要原则）的直接代码化。⚠️ 新建仓 2 commits、合成数据、无 ML 层（纯规则/聚合视角）。与 实时风控引擎 的离在线架构和特征平台设计相关。→ GitHub

7. realtime-risk-engine (harsharajkumar-273) — <10ms 端到端决策延迟的教学级微服务（规则引擎→Redis ZSET 滑窗特征→XGBoost 推理三段流水线；benchmark.py 断言 SLA 而非叙述；断路器+内存降级；reason codes 逐笔输出）【信号：★★】

harsharajkumar-273/realtime-risk-engine（0★, Python, 08-25 建→08-26 推送, 47KB, 2 commits）自称"high-throughput low-latency (<10ms) event-driven"，架构是标准三段式：确定性规则前置（velocity/限额/黑名单）→ Redis ZSET 滚动窗口特征（5min 交易数/24h 累计消费/历史均值比，Redis 挂自动内存降级）→ 向量化 XGBoost 推理 → 决策+延迟+reason codes。亮点在验证方式：benchmark.py 对 <10ms SLA 断言而非叙述（"measured directly, asserts on this SLA rather than just narrating it"），断路器模式+WebSocket 实时告警面板。

风控视角：麻雀虽小的实时链路教学模板：与 08-24 financial-risk-engine（Redis Pub/Sub 五件套）同族但更聚焦延迟预算——"benchmark 断言 SLA"是性能工程正确姿势（对照徽章指标幻觉家族），reason codes 逐笔输出对齐解释要求。对准备 Java 风控面试的读者：三段式（规则前置短路→滑窗特征→模型分）+降级路径（Redis 挂→内存近似+断路器）正是"实时风控链路怎么设计"的标准答题骨架，可对照 Flink+Redis+规则引擎的生产形态。⚠️ 新建仓、合成流、XGBoost 训练来源未说明。与 实时风控引擎 的架构设计直接相关。→ GitHub

8. RiskPilot-AI (iabhishekgautam) — "65% 规则+35% ML"混合评分的诚实小品（RF 概率+透明规则分混合 0-100；ALLOW/REVIEW/HOLD 三态+agent 式下一步决策；合成数据明示"不应视为真实欺诈基准"；SHAP/在线特征/校准列进 roadmap 而非冒充已有）【信号：★】

iabhishekgautam/RiskPilot-AI（0★, Python/FastAPI, 08-26 推送）定位本地教学原型：特征工程→Random Forest 概率→透明规则分→混合评分（65% 规则+35% ML）→HIGH/MEDIUM/LOW+人类可读理由+运营建议（ALLOW/REVIEW/HOLD）+agent 式审计决策。README 的诚实块值得注意：训练脚本生成可复现合成数据并明示"synthetic and should not be treated as a real-world fraud benchmark"；SHAP 解释、在线特征存储、流式处理、校准概率与漂移监控全部列在 Future improvements 而非冒充已完成（对照 08-20 fintech-fraud-detection-ai 徽章幻觉的反面）。

风控视角："规则+ML 混合评分"的最小可读实现：国内风控主流架构正是规则引擎与模型分并行融合（不同权重/熔断优先级），这个仓把"为什么混合"（规则可解释可快速迭代、ML 泛化强）做成能跑的代码+明示未做清单，适合作为向非技术干系人解释混合架构的演示件。与 08-24 AI-Risk-Manager（0.4 规则+0.45 ML+环加成）同主题，权重设计与融合次序各有取舍。⚠️ 教学作品集、合成数据。与 风控策略 的规则模型协同相关。→ GitHub

技术趋势

  • "Agentic payments 治理层"一周内三样本成形：Risk Governor（四平面+CRC 预算阈值+MCP）、唯稳律（钩子硬闸+白箱自查+BUG 停机闭环）、RiskPilot（agent 式审计决策）——加上 08-24 app-fraud-interdiction、08-25 kaidn-mcp，"agent 持凭据 ≠ agent 可动钱"正在成为独立的风控子领域，决策平面分离（policy/risk/graph/investigation）与"LLM 只提供证据永不裁决"成为共识模式。
  • Conformal prediction 的适用边界被量化：类条件保证在 AUPRC 0.713 的 ULB 上 = 100% 告警量；CRC 混合分布失配曾致 87% 泄漏——"数学保证"与"分离度/分布假设"必须一起谈，与 08-26 校准门否决更强模型互为印证：统计性质正在成为模型选择的一级维度。
  • 防泄露切分继续细化：tune 与 calibration 必须分离（"三段切分在被选择过的数据上算分位数，覆盖声明不适用"）——从 08-24 三权分立（校准/路由/评估）到今日四段切分（train/tune/calibration/test），"每块数据只服务一个决定"成为金标准。
  • "失败可见"进入规则引擎设计：osprey 的 compliance 模式 typology 未载入即 503/degraded/ready-fail 三重显式失败——AML 系统"规则没加载好就静默放行"的反模式被显式设计阻断。
  • 退货/争议侧证据链成为新战场：ReturnGuard 配送时取证（多角度 embedding ground truth）+50-90% 强制人工带证据包——与 08-25 chargeback dossier 同构，风控产出从拦截决策扩展到"争议举证材料"，证据采集时机前移到交易/履约时点。
  • 数据合规的代码化细节下沉：Snowflake 管线"分析师角色见不到未掩码 PAN"（RBAC×掩码列交叉）、三仓库成本隔离——个保法最小必要原则在数仓层的落地参考。

行业案例

  • 自主支付 agent 治理：agentic-payment-risk-governor（Rust 四平面+CRC 预算，Razorpay 语境）
  • 中文 agent 护栏：weiwen-law-dsh（DSH 插件三钩子+六白箱工具）
  • AML 规则引擎：osprey（v0.4.0 typology 治理+open-core 分层，9 天三连更）
  • 电商退货反欺诈：ReturnGuard（配送时视觉取证+五 agent 裁决链）
  • 数仓侧风控治理：Snowflake_Fraud_Detection（Medallion+RBAC 掩码）
  • 实时链路教学：realtime-risk-engine（<10ms 断言式基准）
  • 混合评分教学：RiskPilot-AI（65/35 规则模型混合+诚实 roadmap）

值得深入

  1. agentic-payment-risk-governor 的 docs/AI_DESIGN.md §2.6——CRC 混合分布失配 87% 泄漏的完整复盘（校准世界 vs 部署世界 mixture），conformal 适用边界的一手案例。
  2. conformal-fraud-price 的四段切分与 results/PAPER_RESULTS.md——"每个数字带来源"的论文级证据链格式，对照自家实验记录规范。
  3. weiwen-law 的 engine.mjs 纯逻辑裁决引擎——零框架依赖的护栏引擎怎么单测（118/118），钩子拦截与白箱工具的职责划分。
  4. osprey 的 docs/ASSURANCE.md 沙箱门禁——AML 引擎的 CI 级验证怎么做（对照 k6 负载测试文档）。