每笔支付都是电影里的一帧，Stripe把欺诈检测率从59%提到了97%

Stripe 2024年处理了1.4万亿美元支付，约等于全球GDP的1.3%。每分钟有5万笔新交易流经它的系统。但真正值得停下来看的数字是另一个：部署支付基础模型之后，Stripe对大商户的卡测试检测率从59%跳到了97%。

卡测试是欺诈者用大量小额授权请求来验证哪些偷来的卡还能用。几十万笔正常交易里混进几百笔三毛五毛的可疑请求，传统机器学习模型很难把它从噪声里拎出来。Stripe数据与AI负责人Emily Sands在《Cognitive Revolution》这期播客里解释了新模型的做法：把每笔支付看作电影里的一帧，单看一帧什么也看不出来，但连着看两百帧，那两百笔几乎一模一样的请求，相同的低熵user agent、轮换的代理、每40秒来一发，在嵌入空间里亮得像一座孤岛，直接就被拦了。

这期播客的信息密度很高，但最有价值的不是“Stripe做了一个支付基础模型”这件事本身。Emily Sands讲清楚了几个更普适的判断：什么时候该做领域基础模型，嵌入怎么以最小代价接进现有系统，规则和模型该怎么混着用，以及为什么她说“不要自己镜像Stripe的数据”。

支付有语法，也有语义

Emily Sands给支付基础模型下了一个很好懂的类比。她说在Stripe的密度下，支付在很多方面看起来像语言。支付有语法：卡BIN、商户类别码、金额，这些是结构化的符号。支付也有语义：一张卡或一台设备在时间里怎么被重复使用，这层信息藏在序列里。

语言Transformer学的是词嵌入，语义相近的词聚在一起。支付基础模型的前提就是：如果每一笔收费、每一段收费序列，也能在一个类似的空间里有自己的向量呢？

输入是原始支付信号：卡信息、商户类别、IP地址。但真正解锁效果的是序列，一张卡、一台设备、一个商户BIN或一个客户在过去几分钟或最近k笔交易里做了什么。Emily Sands说，“恰恰是这段历史，成了最大的解锁点。”

Nathan Labenz在节目里问，人类工作记忆只能同时处理七个左右的项目，模型能看到什么人类看不到的东西？Emily Sands的回答很精准：最难用肉眼看的，是在多个序列之间做组合。判断欺诈攻击是否正在发生，跟那一笔交易本身关系不大，跟它前后左右的交易关系极大。“你看的不是一个屏幕，而是一段电影。但包含这个屏幕的片段有很多条，你都得看。”买家在做什么、商户在做什么、这张卡在做什么、这个IP在做什么，四个维度的近期历史组合起来才有信号。

她举了两个具体的例子。一个人在波士顿用卡本身不说明问题，但如果他刚在家里IP（顺便说，那个IP在帕洛阿尔托）用同一台设备刷过卡，而且平时的消费习惯跟在波士顿突然出现的行为完全对不上，那就是红旗。反过来，如果看到有人轮换少量几张卡，从某家AI提供商那里买几千个账号，卡可能真是他自己的，但几乎可以肯定是在做转售退款滥用，想偷你的算力。

数据规模、模型架构和那个“周末项目”

Nathan Labenz估算数据量在万亿token级别，比文本基础模型低一个数量级左右。Emily Sands确认他的数学没问题，但补了一个关键区别：支付数据高度结构化且稠密，Stripe专门做了自定义tokenizer来高效压缩数值和类别信号。数据集大，同时每一条都塞满了对支付任务极其rich的信息。

模型架构上，v1用的是BERT风格的掩码建模，加上第二阶段显式的相似度微调。大部分功夫花在策划该学哪些序列、构建编码、用相似度目标做后训练，让支付空间里的近邻聚在一起，怪异的离群点分开。v1.5转向编码器-解码器加压缩记忆序列，几个向量放在一起，把完整故事蒸馏进紧凑表示，更容易在实时场景里抓到微妙的滥用。

延迟要求决定了部署形态。走支付路径的场景，必须在几十毫秒内做完决策。所以模型本身负责把新来的收费和序列放进稠密嵌入空间，上面再挂轻量级的任务专用头。一次前向传播，不生成整个序列，这是延迟能压住的关键。

但Emily Sands反复强调的，是这套架构带来的组织杠杆。传统上Stripe有数百个生产模型，点对点解决方案，很多是六年来靠手工特征工程迭代出来的。有了共享嵌入之后，很多模型工程师做的第一件事，是把嵌入从Shepherd（Stripe的特征工程平台）里取出来，当成一个新特征塞进现有模型，然后回测：这些嵌入有没有带来增量信号？

有些情况下会得到假阴性，把原始嵌入硬塞进一个已经迭代六年的成熟模型，当然不会有提升。但在另一些只做到v1的模型上，直接就有增量。更夸张的是新模型的启动成本：有了共享嵌入，做一个新模型从季度项目变成了周末项目。这直接扩大了团队愿意尝试的ML方案的范围。

Emily Sands还讲了一个之前没公开过的细节。支付基础模型第一次部署，其实不是直接上线挡欺诈。他们先把它内部用在卡测试上，让它生成标签，交给内部专家人工验证，再把验证过的标签喂给传统的卡测试ML模型。结果传统模型的表现大幅提升，因为它终于有了一个更全面的真相来源。这是很务实的做法：新模型的第一份工作是给旧模型当老师。

规则很钝，模型很细，混着用比谁都强

节目里有一段关于“软拦截”的讨论，信息量很大。支付不是只有“放行”和“拦截”两个选项。自适应3DS（3-D Secure）是中间那条路：向发卡行发起一步验证，让用户确认是本人。欧洲很常见，美国不常见，而且触发时往往带来不必要的摩擦。

Stripe的做法是选择性地推3DS。模型感觉某笔收费可能有问题，就走到3DS这条分支上。好人会通过验证，因为他们真想买；坏人过不去。美国市场的checkout用户开启这个功能后，欺诈平均下降30%，在dashboard里一键就能开。早期采用者是ElevenLabs和Character AI，AI公司的边际成本高，欺诈对unit economics的伤害远大于SaaS公司。

还有更反直觉的：CVC或邮编不匹配时，Stripe有时会让交易通过。Nathan Labenz在节目里专门确认了这件事。Emily Sands的回答是，如果你是一个已知的好用户，之前从这个商户买过，用同一张卡，IP也正常，发卡行回来说CVC不匹配，那就放行。人在手机上着急输错一位数字太正常了，一刀切拦截等于把好收入也挡掉。规则很好用，但规则很钝。模型的判断很细，但可解释性差。两者混合，在很多场景下比纯模型或纯规则都好。

还有动态风险阈值。商户平时有一个Radar分数阈值，超过就拦。但攻击开始时，Radar会学到“有攻击正在发生”，自动收紧防御，对可疑流量子集降低拦截门槛。攻击几乎从来不是单笔事件，它总是一个真正的簇。模型在这里学的是“该怎么行动的policy”，虽然目前还不是在线学习。

标签来得晚是支付风控的底层难题。争议可能滞后几天甚至几个月：持卡人要先看到账单、发现不对、告诉银行，银行再向卡组织提交。Stripe不等这个。他们用代理信号和弱标签，一直用到发卡行的实时反馈。CVC不匹配、邮编不匹配，这些信号在交易当下就有。关键在于用模型分数和发卡行实时反馈的交集做决策，而不是让任何单一信号一票否决。

争议永远不会来的可疑支付呢？Emily Sands提到一个数字：47%的企业说“友好欺诈”（免费试用后取消、退款滥用、注册机器人账号但从不结账）对业务的伤害比盗卡还大。这个叫法本身就是误导，它一点也不友好。AI公司尤其疼，因为有推理成本和算力成本，边际成本高。Stripe在基础模型之上识别这类可疑支付，生成解释（枚举邮箱、轮换少量IP等），然后用LLM-as-judge对每个“交易-标签”组合打分，判断这个标签质量够不够。足够可信的交给AI公司去决策，太噪声的回去再加工。这里根本没有明确的地面真相，LLM-as-judge填补的是这个空缺。

数据飞轮的真正形状

节目里有一段关于竞争格局的讨论值得单独拎出来。Nathan Labenz问，Stripe这个位置是不是已经无法挑战了？Emily Sands的回答很克制但信息明确：真正的优势不是原始数据量，而是复利循环。处理的数据越多，模型越好；模型越好，给商户的价值越大；商户长得越快，流经Stripe的交易越多；循环一年一年滚下去。

两个数字支撑这个循环的转速。去年Stripe上的企业增长速度是标普500的7倍。交易量同比增长38%。92%的商户第一次见到的卡，Stripe在另一个商户那里已经见过了。这个网络密度意味着，对大多数新交易，模型不需要走很多跳就能拿到上下文，同时又要对真正新颖的流量保持横向遍历的能力。

Stripe还在把这个循环往外推。去年Sessions上宣布的模块化，让Radar、Billing、优化checkout这些产品可以多处理器运行，处理Stripe之外的交易、账单计划和checkout。这给Stripe打开了一个更大的数据网络。

Nathan Labenz问了一个很直接的问题：有没有想过融100亿美元去训一个Stripe 1，跟Claude 5和GPT正面竞争？Emily Sands的回答划清了边界：Stripe的四个大赌注是成为AI公司最好的合作伙伴（福布斯AI 50里三分之二已经在用Stripe）、enabling agentic commerce、把Stripe原生嵌进开发者已经在用的工具（Vercel、Replit、Cursor、Mistral的LeChat）、以及把基础模型部署到整个网络做欺诈检测和授权率提升。“今天超级聚焦在AI的经济基础设施上，不直接做AI模型店。”

这个边界本身就是一个判断：不是所有有数据和ML能力的公司都应该去训通用模型。把领域模态做到超人类水平，然后通过产品和API暴露能力，比下场拼通用模型更符合Stripe的位置。Emily Sands还补了一个安全视角：Stripe不暴露原始权重，只通过产品和API交付，攻击面比开放模型小得多。欺诈者可以不断试支付，但他们对抗的是一整套系统，模型防御、规则防御、软拦截、商户自己的防御层，不是单个模型。

Talk to Your Data和“别自己镜像Stripe”

Nathan Labenz问了一个很多人踩过坑的问题：Talk to Your Data这类产品，怎么定准确率门槛？Emily Sands的回答把前提条件说得很清楚。第一，商户想知道的大部分事情本来就沉淀在Stripe数据里：谁卖什么、卖多少钱、卖给谁、订阅的留存和流失。第二，数据本身结构好、有文档，因为它是从交易流里生成的，下游schema清晰。很多Talk to Your Data项目死在垃圾进垃圾出：表没标好、字段没标好、数据没去重，你根本分不清是text-to-SQL错了还是底层数据烂。

即便这样，LLM还是会犯错。Stripe的做法是，有合理置信度就给出答案，同时在上面叠一层自然语言解释：我们以为你想问的是这个，我们用的黑色星期五日期是这几个，时间戳是这几个（顺便说，Stripe上大部分事情用UTC，但很多人的业务不是只用UTC思考），我们算了三年的数据，百分比增长是这么算的。听起来很无聊，但这层解释让非数据分析师能建立对输出的信任，而不是要么闭眼信、要么完全不敢用。

节目最后有一段非常具体的建议，关于要不要自己维护一份Stripe数据的镜像。Nathan Labenz说自己十年前做Stripe客户时，出于不想被锁定的考虑，自己存了一份交易数据，当时工作量很大。现在做用量计费，这个事更难了。Emily Sands的回答很干脆：别镜像，把Stripe当系统记录。Stripe的API是六个九的可用性，用量计费API每秒处理10万个事件，监控、告警、发票都内置。自己建镜像要同步所有事件、建监控、做对账，对5到20人的创业公司来说，这些工作不产生任何差异化价值。需要跟自己的业务对象join？用metadata扩展Stripe对象，把订单ID或发货ID挂在发票上。需要分析？用Sigma和Stripe Data Pipeline，不用自己建数仓。

她举了Lovable的例子：8个月做到1亿美元ARR，整个技术栈基本是全押Stripe。用Atlas注册公司，用优化checkout套件在100多个国家本地化支付、开箱150种支付方式，用Billing做订阅，用Link做一键结账（“极客喜欢从极客那里买东西”，Link上AI买家的集中度非常高），用Radar做欺诈，用Sigma做分析。小一点的Retail AI第一年做到1000万美元ARR，Link贡献了38%的支付，智能重试恢复了约60%的失败扣款，Stripe Tax管100个国家的合规。

明天就能用的几件事

这期播客最实用的地方，是Emily Sands把很多决策讲成了可迁移的模式。以下几条不需要你是Stripe也能用。

• 给分类器加中间地带。别只做放行/拦截的二分类。找到那个可以用低成本外部动作（验证、二次确认、补充信息）解决最难案例的中间层，让模型决定什么时候需要它，而不是对所有人强制。
• 规则和模型混着用。规则钝但可靠，模型细但难解释。在风控、审核、异常检测里，把模型分数和确定性信号做交集决策，通常比任何单一方法都好。
• 先检查数据配不配做自然语言界面。表有没有标好、字段有没有文档、数据有没有去重。这些问题不解决，text-to-SQL的准确率永远说不清是模型的锅还是数据的锅。解决之后，让LLM用自然语言解释它做了什么，比追求100%准确率更能让用户建立信任。
• 用LLM-as-judge填补没有地面真相的标签缺口。当你没法人工审核每一条，也没有滞后到来的官方标签，让一个LLM看着交易和它所属的簇，判断标签质量够不够。够的往下游走，不够的回去加工。
• 共享嵌入是组织杠杆。如果你的公司有多个点对点模型，考虑训一个领域编码器，把嵌入作为特征暴露给所有下游模型。新模型的启动成本从季度变周末，团队愿意尝试的方案范围会明显变大。
• 创业公司别自己镜像支付数据。六个九可用性的API就是系统记录。把工程资源花在产品和增长上，需要join就用metadata，需要分析就用平台自带的数据管道。

Emily Sands在节目里说了一句话，可以作为整期的注脚：“别把自己限制成一个建模者。做一个产品思考者，去想怎么用低成本的方式拿到信息。”Stripe的支付基础模型之所以能落地，不只是因为模型好，更因为从卡测试到3DS到Talk to Your Data，每一步都有人问：这个信号怎么变成用户能直接用的产品决策。模型是引擎，产品判断才是方向盘。