您的欺诈防御体系是为人类对手而构建的

在过去的30年里，CAPTCHA 只完成了一项任务:让机器在一个人无需思考即可通过的测试中失败。这个任务已经结束。研究人员，对 Google 的 reCAPTCHA v2 图像挑战进行自动求解器测试，报告了 100% 的成功率，较早期工作约 68% 到 71% 的成功率有所提升，并且发现机器人需要通过的挑战次数与人类几乎没有显著差异。

如果我们把 CAPTCHA 看作是整类基于相同前提的控制手段的代表——即某些任务对人类而言轻而易举、对机器而言困难重重，而通过任务即可证明你是人类——那么是时候重新审视控制参数了。AI 代理已经悄然在图像识别、表单填写和多步骤导航等方面抹掉了这一前提，而大多数风险团队尚未据此重建其防御体系。

针对错误的敌人进行校准

成熟的欺诈防御体系中的每一条规则都针对特定对手进行调校，无论是冒充其他人的人类，还是冒充大量人类的机器人农场。速度检查捕捉到比人类合理速度更快的开户行为。设备复用规则捕捉到在多个身份之间重复使用硬件的行为。这两类规则都围绕人类的限制——填写表单所需的实际时间以及购买新设备的实际成本——而构建。

这些限制并不约束 AI 代理。它可以在人类阅读第一个字段的时间内完成整张表单，并且可以以几乎为零的成本进行配置、使用一次后即丢弃。自动化流量现在占全部网络流量的 53% 以上，相比一年前的 51% 上升，而人类活动降至 47% 并继续下降。超过四分之一的机器人攻击（27%）直接针对 API，完全绕过用户界面，以机器速度运行；仅金融服务业就吸收了 2025 年全部机器人攻击的 24% 和账户接管事件的 46%。围绕人类节奏构建的规则根本无法捕捉到完全没有节奏的流量。

裂痕显现之处

业界早期的本能是用更多 AI 对抗 AI，将黑箱模型视为对付黑箱对手的灵丹妙药。这种本能本身会让问题更加恶化。一个无法解释自身决策的欺诈模型在面对监管机构、客户或内部审计时几乎无法进行辩护，一旦决策受到质疑，一个为捕捉不透明威胁而训练的黑箱模型只会加剧不透明性而非解决它。这里的可辩护性不仅是哲学上的美好概念；它还意味着能够展示模型治理的细节:到底是哪一个模型在运行、相较于前一版本有什么变化、模型使用了哪些训练数据、谁批准了变更以及为何批准。一个旨在自动更新 AI 模型本身的系统从未设计出能够留下此类文档痕迹的能力。

另一种防御手段是通过层叠情报来区分良善与恶意:在足够多的独立维度上提供信号深度，使得伪造身份、被劫持账户或“金驴”无处可藏。每增加一个维度，就多一个捕捉不一致、共享欺诈基础设施或行为与档案人物不匹配的机会。没有单一信号需要承担全部决策重量。上下文越广，单一、模糊的线索就越容易被欺诈团队所依赖。

同样的原则适用于由人或模型作出的决策。AI 风险引擎并不比其所获数据更聪明。去掉一半维度后，你得到的系统只能凭借半幅图景自信地推理，这与机器学习模型在毫秒内为交易打分的方式一样，亦与分析师手工处理案件的方式相同。随着决策更多地转移到自主系统，且整个过程没有任何人参与，情况只会变得更真实，而非更模糊。上下文深度不仅是捕捉代理欺诈的手段，更是信任代理对任何事物作出决策的前提。

将这种上下文输入到推理仍然可读的模型中，而不是让单一黑箱系统仅凭单一信号猜测意图，决策就不再仅仅是准确，而是可辩护的。这一点在面对 AI 代理时比面对人类欺诈团伙更为重要，因为代理留下的痕迹不同。它不会出现抖动、犹豫或行为生物识别技术能够捕捉到的小错误。它留下的是足迹——使用的凭证年代、设备历史是否能够追溯到当前交易之前。它在后台悄悄运行远程访问工具，而别人的凭证被消耗。所有这些都不需要读取面部，只需要能够对完整会话细节进行广泛信号比对。

人类的迹象已不复存在

在身份验证领域，重新校准的紧迫性尤为突出。欺诈团队曾围绕捕捉人类特征建立完整学科，例如不自然的眨眼频率、唇形不同步或照片中的纹理伪影。深度伪造技术已经填补了这些大多数漏洞，犯罪分子不再需要自行构建这些工具。

Interpol 的全球金融欺诈威胁评估于三月发布，报告称 2025 年金融欺诈从全球经济中抽走超过 4420 亿美元，AI 增强的欺诈大约比传统手段盈利 4.5 倍。报告指出暗网市场上出现“深度伪造即服务”业务，出售合成身份套件，配有 AI 生成的视频化身、语音克隆和生物特征数据，攻击者只需从社交媒体帖子中提取 10 秒音频即可构建可信的数字克隆。

可靠的信号从来不是身份证件本身。 而是连续性:真实身份在多年普通账户活动和行为模式中累积的数字历史，而合成身份或代理根本没有时间去构建。仅仅寻找伪造的身份证件的系统将持续失效。寻找缺失历史的系统则面临更难伪造的目标。

为不同的对手重新装备

这并不是要恐慌，也不是说人类欺诈已经消失。事实并非如此。它是说，完全基于人类限制、节奏和特征调校的防御体系在 AI 代理活动的领域存在结构性盲点，而该盲点不会自行消失。任何单独的检查单独测试时仍可能表现良好。只有当这些检查在足够多的独立维度上共同读取时，原本被单一检查遗漏的模式才会显现。

代理 AI 系统现在可以自主策划并执行完整的欺诈行动，从侦察到勒索需求，几乎全程无需人为操作员介入。解决方案不是在旧体系上再加一条规则，而是重建前提。测试不再是判断某事是否看起来像人类欺诈者——而是判断背后是否曾经真正存在过人类。