一張平常只在巷口買蛋餅的卡，凌晨三點在國外網站刷了一台筆電，似乎有些不單純。

卡在你應該睡死的時間刷了一筆海外筆電，不能排除你失眠衝動了，但更有可能是有人在做壞事。

刷卡的那一瞬間，銀行得馬上決定：過，還是不過？放錯了，盜刷成功；擋錯了，你在餐廳櫃台前被拒絕，主管說了一句「還是我來吧。」，真沒面子，這卡留不得。

規則一樣，每個人卻又不一樣

Mastercard 是卡組織：它不負責發卡給你，而是經營一張串起店家、銀行的支付網路，你每刷一次卡，交易資料都會經過它。2016 年底，它把 Decision Intelligence 放上這張全球網路，說這是第一次在自家網路上全球規模地用 AI。

在那之前，常見的防詐評分大多照事先寫好的規則跑，例如「單筆超過 3 萬就要多查一下」。規則對每張卡都一樣，問題是每個人不一樣：對黃爸爸來說，3 萬可能只是包下一個阿婆水果攤；對平常只會買蛋餅的我，3 千就很可疑。

Decision Intelligence 在意的不只是「這筆金額大不大」，而是「這張卡平常是怎麼被用的」。

每張卡都有自己的「平常」

這就是異常偵測（Anomaly Detection）：先學會什麼叫正常，再找出跟正常差太多的那一筆。拆開來看，有三步。

第一步，畫出「平常」。依 Mastercard 的說明，系統會長期觀察一個帳戶怎麼被使用，參考地點、商店、裝置、時段、消費類型等資訊。

第二步，量差多遠。一筆新交易進來，就拿去跟這張卡的「平常」比，差越多，風險分數越高。風險分數就是一個數字，表示「這筆有多可疑」。

第三步，依門檻處理。分數交給發卡銀行，也就是發卡給你、替你付這筆帳的那家銀行。銀行再依自己設定的門檻（Threshold）決定：分數低就直接放行，中間的通知你確認，太高的拒絕。門檻就像體溫計上「幾度算發燒」的那條線，畫在哪裡，由銀行決定。

用那張蛋餅卡試一次。它的「平常」大概是：早上七點、巷口早餐店、刷 60 元、實體刷卡。今天早上八點，同一家店刷了 120 元，金額翻倍，其他都跟平常一樣，分數不會太高。凌晨三點、國外網站、四萬多元、買筆電，時段、地點、金額、商品類型全部對不上，分數就一路往上衝，異常異常異常！

同樣一筆凌晨在國外網站買筆電，對常出差、常在國外網站買東西的人，可能就沒什麼。異常偵測比的，是這張卡跟它自己。

規模有多大？Mastercard 在 2024 年說，這套系統一年幫銀行評分並核准約 1,430 億筆交易。平均下來，每一秒大約 4,500 筆，每一筆都要在你把卡收回皮夾之前比完。

不像你，不等於是壞人

異常偵測抓的是「不一樣」，不是「犯罪」。第一次出國、第一次買鋼琴、搬家後換了常去的超市，全都很不像你。

模型只知道這筆跟平常差很多，不知道你是去度蜜月。

這種把好人的正常交易擋下來的情況，叫誤擋（False Decline）。代價並不小。Mastercard 2016 年推出這套系統時，引用研究機構 Javelin 的估計：光在美國，被誤擋的正常交易金額，是真正盜刷損失的 13 倍以上。換句話說，每被盜刷 1 元，就有超過 13 元的正常生意被自己人擋掉。

門檻也是兩難：畫低一點，擋下更多盜刷，也擋下更多去度蜜月的人；畫高一點，好人一定過，盜刷也比較容易溜過去。下次出國第一天收到銀行簡訊問「這筆是您本人嗎？」，那只是它還不認識旅行中的你。

異常偵測做得到的，是在刷卡的一瞬間發現：這筆跟這張卡的平常差非常多，把這個訊號交給銀行，決定要擋、要放，還是先問你一聲。它做不到的，是分辨凌晨三點坐在電腦前的是盜刷集團，還是睡不著、手滑下單的你本人。

所以它給的不是判決，是一句「這不太像你，要不要確認一下？」它會這樣問，正是因為它記得你平常的樣子。被問的時候別生氣，他只是覺得，你變了。

延伸討論

如果你的工作也有一個「平常」可以讓 AI 學，你最想讓它幫你盯哪一種異常？

來源（查證日 2026/11/08）：

• Mastercard supercharges consumer protection with gen AI（Mastercard Newsroom）（在新分頁開啟）・2024/02/01
• Mastercard Rolls Out Artificial Intelligence Across its Global Network（Mastercard Belux 新聞室）（在新分頁開啟）・2016/12/02
• 什麼是異常偵測？（AWS）（在新分頁開啟）

文／上哲（ChatGPT 協力）