支付宝如何用“安全武器”来守住你的钱包？

fudashuai

　　原标题：登上综艺节目后，支付宝如何用‘安全武器’来守住你的钱包？

　　摘要 一个国民支付应用不为人知的故事。

　　‘任何一种新技术，都在我们的事物中引进一种新的尺度。’

　　过去十年，马歇尔麦克卢汉在《理解媒介》中提出的这句话，几乎成为智能手机最好的注释。在几乎改变全人类工作、生活的同时，手机这个小小的工具，成为人体器官延伸的一部分，进一步放大了新技术的变化尺度。

　　从短信电话，到拍照摄像、从社交聊天、移动支付，几乎你能想象到的所以关于衣食住行的工具纬度，智能手机都在尝试进入甚至接管，这既是一种变革，让地球越来越小，人们联系越来越密切，但也开始出现越来越多的隐忧。

　　信息安全、金融风险、网络暴力。。。。。。 科技公司创造的价值越多，风险随之也就越高，具体到细节方面更是如此。比如今天几乎每个人都熟悉的移动支付，带来方便的同时，也会有人因为感到不安。如何更好化解对技术困惑的不安，成为互联网公司要面对的难题，而在一档综艺节目中，支付宝就给出了自己的答案。

　　2 月 3 日，作为《智造将来》主角，支付宝向全国观众展示了在每天都使用的移动支付背后，安全风控方面的技术效果。极客公园也在节目播出前采访到蚂蚁金服集团副总裁芮雄文，他为我们带来了关于在支付宝首次冠名的电视节目《智造将来》背后的故事，以及详细阐述了在十多年的成长中，支付宝的安全风控系统如何成长为今天这个样子。

　　从‘感知’安全到‘掌控’安全

　　对于大多数人来说，安全科技是非常抽象的概念，日常生活中不容易直观感受到。展示安全风控这件事上，综艺节目或许是一个不错的方式，这正是支付宝出现在《智造将来》，并展开了一场别开生面的网络攻防战的契机。

　　‘大家看似很简单的支付，每一步都有风控保护。’芮雄文告诉极客公园，‘比如支付的时候先打开支付宝，要登录你的账户，假如是本人手机已经验证过了，那么不用每次都输登录密码。但如果是新的手机，不单单要输登录的账户名、密码，也许还要进行短信验证或者人脸，确保登录支付宝的这个人就是你本人。’

　　登录可以说是支付宝风控的第一关，如何在方便用户使用的同时保证足够安全，支付宝为此下了很多功夫。比如对大多数人来说，人脸验证都足够方便，既不用记住繁琐的密码，也能很容易登录进去。但在技术上，如何在普通摄像头上达到非常高的安全性？这正是一个技术难点。

　　支付宝从 2016 年开始尝试刷脸支付技术，在经历了人脸+签名，人脸+手机号的尝试之后，如今已经通过多模态生物特征实现了非常完整的身份验证系统，所以当你更换手机登录支付宝后，只需要简单验证人脸就可以迅速完成验证登录，而即便是普通手机前置摄像头也能达到同样的安全性，这便是其能大规模应用的原因。

　　但人脸验证并非满足所有场景，有些用户并没有录入人脸信息，有些场景光线太暗也不适合人脸验证，具体情况的复杂性需要更多手段保证体验，因此支付宝在你登录验证身份的一开始，就给出了尽量方便并适用于每一个人的手段，这就有了指纹甚至声纹验证的方式。

　　芮雄文举了一个例子，对于普通人，刷脸核身是最方便的。但支付宝还有相当数量的视障用户，对他们而言，这一安全技术反而成为一道使用门槛。为了让视障用户也能安全便捷的使用移动支付，支付宝安全团队的工程师想到了新的解决办法。

　　‘针对视障群体，现在我们有声纹核身，只要照提示说的念一下，因为每个人的声纹通过电子化以后都有自己的特点，所以也能辨别你是不是账户本人。这种方式一般人确实都不用，因为指纹、面部更方便。但对于比如盲人，就会打开这个功能。’

　　谈到这里，芮雄文告诉我们，通过这套身份识别技术，用户的数字身份和在线交易得到保护，而在使用过程中，作为人工智能风险引擎的 AlphaRisk，则提供了如今支付宝上每一时刻的风险监测和控制能力。

　　作为支付宝第五代智能风控引擎，AlphaRisk 是支付宝在十多年风控安全实践中得到的技术积累，核心是利用 AI 技术颠覆传统风控的运营模式，通过 Perception（风险感知）、AI Detect（风险识别）、Evolution（智能进化）、AutoPilot（自动驾驶）4 大模块构建起实时风险监测和预防的能力。

　　说起来非常复杂，但芮雄文表示，在综艺节目中，通过网络安全工程师扮演‘黑客’展开攻防战，观众能通过最通俗易懂的方式理解 AlphaRisk 的工作特性。

　　‘比如最大的风险可能是你的手机丢失了，被他人操作，在这个风险状况下，短信校验没有用的，因为手机已经被别人掌握了，但是人脸过不了，所以这个场合我们要二次校验。需要通过人脸核身才能过，但是在别的场景，可能短信校验就可以了。风控系统根据不同场景判断什么样的风险，风险有多大，怎么样做校验，这都是在 AlphaRisk 里面来实现的。’

　　在能感知到的安全背后，支付宝的安全风控系统 AlphaRisk 一个核心功能 AutoPilot（自动驾驶）就是它能如此聪明的原因所在。这个 AutoPilot 并非汽车上的技术，而是风控体系如何根据实际情况实现最佳核身策略，在这一过程中，支付宝的安全风控体系能够从千人一面走向千人千面，适配出每个人最佳的核身方式。

　　从‘你敢付，我敢赔’到‘延时到账’

　　对于支付宝来说，能够做到智能核身，千人千面的安全智能还不够，对用户来说，如何切实感受到自己在支付宝上的财产是安全的，这一点也至关重要。

　　在 2005 年，支付宝提出‘你敢付，我敢赔’的承诺，如果用户的账户被盗，将会得到全额赔付。随着支付宝风控技术的不断升级，资损率降到了如今的千万分之五，盗刷的情况越来越少。

　　在芮雄文看来，盗刷问题的一步步解决，让支付宝有能力在移动支付领域更进一步。在做好防盗的防御之后，支付宝主动出击，开始做防诈骗。其中一个重磅产品是‘延时到账 2.0’。


　　所谓延时到账，就是在遭遇诈骗时，延时转账还未到账，用户及时报警，通过警方下达止付指令，这笔转账就可以原路返回。但从防盗刷到防诈骗，这一步没有大家想象的那么容易。

　　‘诈骗跟盗用最大的区别，诈骗都是本人操作，刚才我们讲的那么多手段其实都是做一件事，就是判断操作者是不是账户拥有者本人，防止财产被盗用。但诈骗就不一样了，操作者就是用户本人，我们前面说的招对于防欺诈不管用了。这个问题其实是非常难防的，因为是本人操作。

　　另外，诈骗很多骗术不在支付宝体系内发生，比如说通过第三方社交软件聊天，或者通过打电话的方式，不管是冒充公检法还是要给你退货，各种各样的骗术我们其实没有办法知道，因为完全在支付宝平台之外。只是最后在支付环节用到支付宝，我们不知道支付前的任何交谈信息，要通过几次支付交易就判断这笔交易有问题，这本身就是很难的事情。’

　　对于支付宝而言，防诈骗体系相比过去建立难度更大，但一旦建立起来，用户在安全性上就能得到更进一步的保障，但技术难度也更大。

　　‘怎么查出一笔交易是诈骗，其实有一些风险特征的。’芮雄文告诉我们，双方账号的交易行为习惯、账户关联度等特征都可以来判断交易是否存在风险，而在判断风险的情况下，帮助用户防止受骗还需要对用户进行提示。

　　‘最开始是警告短信，但大家收短信校验码看内容吗？不看，就看六个数字，直接贴过来了。后来我们就说弹窗吧。提醒你，弹窗里面说什么，用什么标识有做了很多，这就是我们互联网场景，我们看合适不合适，看一下有没有效果，没有效果咱们就换。’

　　关于信息提示用户防止受骗这件事，支付宝内部进行过很多测试，从红色警示表示转变为黄色警示标志等，在不同情况下的确发现了一些不同。

　　芮雄文告诉极客公园，支付宝如今尝试了一个效果更好一点的方式，通过跟很多地区反诈中心合作，如今在支付宝上现在上显示转账者当地反诈中心的提示，比如支付宝已经和重庆市反诈中心建立合作，通过这样权威第三方机构来进行提示，效果相比过去的黄色警示又更进一步。

　　当黑科技成为暖科技

　　从人脸识别到声纹验证，从防盗刷到人工智能防诈骗，尽管技术上始终走在黑科技的最前方，但支付宝在移动支付领域带来的却是和我们每个人息息相关的体验，这或许也是其发展十多年之后，如今拥有 10 亿用户的原因所在。

　　而在《智造将来》这样的科技综艺节目现场，利用偏娱乐的方式来提升观众参与感，同时又用最直观的技术展示自身的价值，也许这就是把高科技带给所有人的理想方式，如同芮雄文所说：

　　‘用公众喜闻乐见的形式把高科技的东西用可视化方式呈现给大家，让用户能有更多的安全感，这非常好。’  极客公园