Redes de fraude y alfa relacional

Hasta aquí, este curso ha montado la maquinaria: grafos, tareas a nivel de nodo, de arista y de grafo, paso de mensajes, la dinámica de contagio que se propaga por una red. Una teoría preciosa. Ahora vamos a apuntar todo ello a las dos cosas que de verdad financian una mesa cuantitativa y un equipo de cumplimiento: pillar dinero que se está escondiendo y predecir dinero que está a punto de moverse.

Aquí va la moraleja unificadora, por delante. La detección de fraude y el alfa relacional no son problemas nuevos con matemáticas nuevas: son exactamente las tareas de nodo, arista y grafo de la lección de tareas sobre grafos, apuntadas al dinero en lugar de a redes de citas de juguete. La estructura es la señal. Una red de blanqueo es invisible cuenta a cuenta y obvia como subgrafo. La sorpresa de resultados de un proveedor es silenciosa en la propia gráfica de precio de su cliente y atronadora a lo largo de la arista de cadena de suministro que los conecta. El aprendizaje sobre grafos se gana el sueldo justo donde el valor vive entre los nodos, no dentro de ellos.

Esta lección es el broche del “apúntalo al dinero” antes de la auditoría honesta. Seremos ingeniosos con ello, pero las advertencias van mortalmente en serio, y la próxima lección no hace otra cosa que someterlas a prueba de estrés.

La idea unificadora: las mismas tareas sobre grafos, apuntadas al dinero

Analogía. Ya tienes la caja de herramientas. Las lecciones anteriores te vendieron un martillo, una sierra y un taladro y te hicieron practicar con madera de desecho. Esta lección te entrega la casa de verdad. Nada en las herramientas ha cambiado: solo estás clavando clavos que valen algo.

Definición. Todo problema de esta lección se asigna a una de las tareas canónicas de aprendizaje automático sobre grafos:

• Clasificación / regresión de nodo — etiqueta o puntúa cada nodo a partir de sus características y de su vecindario $\mathcal{N}(v)$. Fraude: ¿es esta cuenta ilícita (una etiqueta)? Alfa: ¿qué rendimiento publicará esta empresa (un número)?
• Clasificación de subgrafo / grafo — etiqueta un patrón completo en lugar de un solo nodo. Fraude: ¿es este pequeño racimo de cuentas una red de blanqueo?
• Predicción de enlaces — puntúa pares de nodos en busca de una arista ausente u oculta. Fraude: ¿comparten en secreto un mismo dueño estas dos carteras seudónimas? Alfa: ¿hay una relación de suministro no declarada?

Ejemplo resuelto. Imagina una única cuenta que envía cincuenta pagos pequeños a cincuenta contrapartes distintas y no recibe ninguno. Un modelo tabular fila a fila ve cincuenta filas aburridas. Un clasificador de nodo con una ronda de paso de mensajes ve un nodo cuyo grado de salida es cincuenta y cuyo grado de entrada es cero — un concentrador de abanico de salida — y esa característica estructural, calculada agregando sobre $\mathcal{N}(v)$, es lo que inclina la puntuación. Los mismos datos; el marco de grafo saca a la luz una característica para la que la tabla plana nunca tuvo una columna.

Idea equivocada. “Los modelos de grafo sustituyen las características y modelos que ya tengo.” No: los aumentan. Las propias características del nodo (tamaño de la transacción, fundamentales de la empresa, historial de precios) siguen importando; el grafo añade el canal relacional por encima. Tirar las características del nodo para irse a “grafo puro” suele tirar señal.

Cuándo usarlo

Plantea un problema financiero como aprendizaje sobre grafos cuando el valor es relacional — cuando una entidad es sospechosa o predecible por con quién está conectada, no solo por sus propios atributos. Si un modelo plano por entidad sin información de vecindario ya lo clava, no necesitas un grafo; el grafo se gana su complejidad solo cuando la estructura porta señal que la tabla no puede captar.

Detección de redes de blanqueo (AML) en grafos de transacciones

Analogía. Una red de blanqueo es un atraco donde cada persona en cámara solo está comprando comida. Una compra harina, otra levadura, una tercera una furgoneta de reparto — todo perfectamente legal. Solo cuando dibujas las líneas entre ellas ves una panadería que se está montando para blanquear el dinero del pan. El delito está en el grafo, no en ningún fotograma aislado.

Definición. El blanqueo de capitales clásicamente discurre en tres fases: colocación (meter el efectivo sucio en el sistema), estratificación (barajarlo a través de muchas transacciones para oscurecer su origen) e integración (devolverlo con aspecto limpio). La prevención del blanqueo de capitales (AML, por sus siglas en inglés) es el trabajo de detectar esto. Un grafo de transacciones lo modela directamente: los nodos son cuentas o carteras, las aristas dirigidas y ponderadas son transferencias (dirección = quién pagó a quién, peso = importe y/o número, a menudo con marca de tiempo). Una red neuronal sobre grafos etiqueta un nodo agregando su vecindario, de modo que una cuenta puede “parecer culpable por asociación y por patrón” aunque sus propias transacciones sean sosas.

Por qué las reglas por cuenta lo pasan por alto. Las reglas por umbral (“señala cualquier transferencia por encima de diez mil”) se derrotan trivialmente por diseño. Los blanqueadores estructuran deliberadamente la actividad por debajo de los umbrales y la reparten entre muchas cuentas. Las tres fugas estructurales:

• Abanico de entrada (pitufeo): muchas transferencias pequeñas entrantes convergen en una colectora.
• Abanico de salida: una sola fuente rocía fondos a muchas mulas.
• Cadenas / ciclos de estratificación: largos caminos dirigidos o bucles que reciclan fondos para difuminar su origen.

Ejemplo resuelto — el abanico de entrada que vence al umbral. Diez cuentas “pitufo” envían cada una 9000 unidades a una única cuenta colectora. Cada transferencia está por debajo del umbral de notificación de 10000, así que una regla por transacción dispara cero alertas. Pero agrega el vecindario de la colectora:

$\text{flujo de entrada}(c) = \sum_{u \in \mathcal{N}^{-}(c)} w_{u \to c} = 10 \times 9000 = 90{,}000,$

donde $\mathcal{N}^{-}(c)$ es el conjunto de cuentas que envían hacia la colectora $c$. El grado de entrada de la colectora es diez y su flujo de entrada total es noventa mil unidades — cómodamente en territorio de notificación — y luego reenvía aproximadamente esa suma entera en uno o dos saltos. Un clasificador de nodo cuyo paso de mensajes calcula agregados de vecindario (grado, flujo de entrada sumado, número de remitentes distintos) lee esas características y puntúa la colectora como sospechosa. Cada arista era legal; la estructura agregada del nodo no lo es. Esa brecha es la razón entera por la que los grafos ganan a las reglas planas aquí.

Cuándo usarlo

Usa AML sobre grafos cuando el blanqueo es estructurado — fragmentado deliberadamente para colarse por debajo de las reglas por entidad — que es la mayoría de los casos serios. Trata el modelo como un priorizador de alertas que alimenta a investigadores humanos, no como un juez autónomo: eleva los nodos estructuralmente más sospechosos a lo alto de una cola, y las personas (con estándares legales de prueba) deciden. Si tu blanqueo es solo una transferencia gigante y obvia, una regla por umbral ya lo pilla y no necesitas el grafo.

Tipologías y motivos: emparejar delitos con formas

Analogía. Los detectives llevan un catálogo de modus operandi — el revientacajas que siempre taladra el mismo punto, el falsificador que reutiliza una marca de agua. El AML tiene el mismo manual de jugadas, salvo que el “MO” es una forma en el grafo. Aprende las formas y aprenderás los delitos.

Definición. Una tipología es un patrón de blanqueo reconocido; un motivo es el pequeño subgrafo recurrente que lo codifica. Detectarlos es recuento de subgrafos / motivos (¿cuántas veces aparece esta forma alrededor de un nodo?) que alimenta a un clasificador a nivel de grafo o de nodo. Las tipologías de cabecera:

Ejemplo resuelto — contar el bucle. La ida y vuelta se esconde en un ciclo dirigido. Toma las cuentas $A \to B \to C \to A$. Una regla por cuenta ve tres cuentas que cada una envió y recibió una transferencia — del todo normal. Un contador de motivos busca ciclos dirigidos de 3 y encuentra exactamente uno que pasa por $A$. Si $A$ se sitúa en, digamos, siete ciclos dirigidos cortos distintos cuando una cuenta típica se sitúa en cero, esa característica de recuento de ciclos ($7$ frente a una base cercana a $0$) es una bandera estructural fuerte. La aritmética es solo contar caminos dirigidos cerrados — pero es un recuento para el que la tabla plana no tiene columna.

Idea equivocada / trampa. “Forma de concentrador igual a culpabilidad.” Enfáticamente no. Un gestor de nóminas es un abanico de salida gigante. Un exchange popular es un abanico de entrada gigante. Un adquirente de comercios es un racimo denso de muchos a muchos. Si tu modelo se basa solo en el grado o en los recuentos de motivos, clasificará a cada concentrador legítimo como sospechoso principal y ahogará a tus investigadores en falsos positivos — el fallo exacto que describía el cuestionario previo. El arreglo es aprender las distinciones más finas (temporización, velocidad, mezcla de contrapartes, etiquetas de entidades conocidas) que separan un racimo de blanqueo de un martes cualquiera en un procesador de pagos.

Cuándo usarlo

Recurre a las características de motivos y tipologías cuando tengas un catálogo conocido de formas de blanqueo y quieras señales interpretables y auditables (“esta cuenta se sitúa en siete ciclos”). Casan bien con una GNN: los recuentos de motivos hechos a mano dan una explicación amistosa para el regulador, mientras que el paso de mensajes aprendido pilla variantes que el catálogo se dejó. No despliegues los recuentos de motivos a pelo contra el problema de los falsos positivos — combínalos siempre con características que exoneren a los concentradores legítimos.

Alfa relacional / de empresas pares

Analogía. El mal trimestre de un proveedor es la tos antes de la gripe del cliente. Si la fábrica que hace tu única pieza de motor acaba de avisar de una caída de demanda, no necesitas esperar al propio informe del fabricante de coches para actualizar tu visión — el síntoma ya viajó cadena de suministro abajo. El alfa relacional es escuchar la tos.

Definición. El alfa relacional (de empresas pares) propaga una señal — una sorpresa de resultados, un choque de sentimiento de noticias, una revisión de analistas — desde una empresa a lo largo de aristas económicas (vínculos proveedor-cliente, co-movimiento del mismo sector, propiedad compartida) para predecir el rendimiento de una empresa conectada. En términos de grafo es regresión de nodo donde el objetivo de cada nodo (rendimiento futuro) se informa por mensajes agregados desde $\mathcal{N}(v)$. Esto es paso de mensajes usado como alfa: la misma operación de agregar-desde-vecinos que señala un concentrador de blanqueo, reutilizada para predecir un precio.

Ejemplo resuelto — propagación ponderada de una sorpresa. Un proveedor $S$ publica una sorpresa de resultados de $+8\%$. Tiene tres clientes, y ponderamos la señal propagada por la cuota de ingresos que cada cliente obtiene de $S$ (cuán expuesto está cada uno):

El mensaje de un salto hacia el cliente $v$ es una suma ponderada sobre su vecindario de proveedores,

$m_v = \alpha \sum_{u \in \mathcal{N}(v)} w_{u \to v} \, s_u,$

donde $s_u$ es la sorpresa de la empresa fuente, $w_{u \to v}$ el peso de la arista (dependencia) y $\alpha$ un decaimiento global que captura cuánto de las noticias de un proveedor se transmite de verdad. El cliente $A$, dependiente a medias de $S$, hereda un empujón esperado del $2\%$; el apenas expuesto $C$ hereda un $0.4\%$. La misma sorpresa, desplegada en abanico y escalada por la arista, se convierte en una predicción de rendimiento de corte transversal.

Lazo con el curso de aprendizaje profundo. Un modelo de secuencia (RNN, TCN, atención) captura la propia historia de una empresa — su trayectoria de precio, su estacionalidad, su momento. La GNN añade el canal entre empresas al que el modelo de secuencia es ciego: información que vive en otras empresas y llega a esta a lo largo de una arista. Los dos se componen de forma natural — un modelo de secuencia por nodo para la señal temporal, una capa de grafo entre nodos para la señal relacional.

Cuándo usarlo

Usa el alfa relacional cuando (1) tengas una arista económica defendible — un vínculo de suministro o propiedad real y razonablemente actual, no una correlación supuesta — y (2) la señal lidere de forma plausible, es decir, las noticias de la empresa fuente lleguen antes de que el precio del objetivo las haya absorbido. Es más fuerte justo después de un evento discreto (una sorpresa de resultados, un recorte de guía, un titular de fusión o adquisición) en una red bien mapeada. Es más débil, y más peligroso, cuando los datos de la arista están rancios o el adelanto-retraso va en realidad al revés.

Analítica on-chain en grafos de carteras

Analogía. Imagina que cada transacción bancaria de la Tierra se publicara en un tablón de anuncios público, para siempre, bajo apodos en lugar de nombres. No podrías leer de inmediato “Alicia pagó a Bruno”, pero podrías observar los apodos, ver cuáles se mueven siempre juntos y deducir poco a poco quién es quién. Ese tablón de anuncios es una cadena de bloques pública, y la deducción es la analítica on-chain.

Definición. La analítica on-chain construye un grafo de carteras / direcciones a partir de los datos brutos de la cadena de bloques — los nodos son direcciones, las aristas son transferencias — y corre tareas de grafo sobre él:

• Agrupamiento de entidades — ¿qué direcciones comparten un mismo dueño? (Agrupamiento de nodos / predicción de enlaces.)
• Rastreo de flujos ilícitos — conectar una dirección con un hackeo, una estafa, una entidad sancionada o un mezclador conocidos. (Propagación desde fuente etiquetada / rastreo de caminos.)
• Clasificación de exchange / mezclador / servicio — etiquetar una dirección por su comportamiento (clasificación de nodo).

Ejemplo resuelto / ilustrativo — agrupar por entrada común. En una cadena de modelo UTXO (piensa en las monedas como billetes discretos, donde una transacción gasta billetes concretos), una sola transacción a menudo gasta entradas de varias direcciones a la vez. La heurística de entrada común dice: si las direcciones $X$, $Y$ y $Z$ aparecen todas como entradas de la misma transacción, casi con seguridad están controladas por una sola cartera — generalmente necesitas todas las claves privadas para firmar un gasto así. Así que una transacción con entradas $\{X, Y, Z\}$ colapsa esos tres nodos en una sola entidad. Una GNN luego refina la heurística: aprende del comportamiento de las direcciones (temporización, importes, contrapartes) para fusionar racimos que la regla ingenua separó, y para evitar fusionar cuando la heurística se pasa de la raya. Las cadenas de modelo de cuenta (un saldo persistente por dirección, sin monedas discretas) rompen la heurística de entrada común por completo, así que las tácticas de agrupamiento difieren según el modelo de cadena — un lazo flojo con la distinción UTXO frente a cuenta de antes.

Cuándo usarlo

Usa la analítica de grafos on-chain para el cribado de cumplimiento (¿está esta cartera de contraparte vinculada a una entidad sancionada o a un hackeo?), el rastreo forense de fondos robados y el etiquetado de direcciones de exchange o servicio. Está en su mejor momento allí donde las heurísticas se sostienen — agrupamiento por entrada común en cadenas UTXO, propagación desde unas pocas etiquetas de alta confianza. Está en su peor momento, y deberías ser de lo más sonoro sobre la incertidumbre, cuando los fondos han pasado por un mezclador o han saltado de cadena, o cuando tus únicas etiquetas son una lista de bloqueo pública y ruidosa.

La advertencia honesta común (puente a la próxima lección)

Da un paso atrás y las dos mitades de esta lección riman. Tanto si cazas redes de blanqueo como si cosechas alfa de empresas pares, los mismos cuatro duendecillos están al acecho. Las etiquetas son escasas y ruidosas — los casos confirmados de blanqueo y los mapas limpios de cadena de suministro son ambos raros y propensos al error. Las clases están desequilibradas — el fraude es una aguja en un pajar, y la exactitud ingenua miente sobre ello. El mundo contraataca — el blanqueador se adapta a tu último modelo y la arista de alfa decae a medida que se masifica. Y el grande, el duendecillo que silenciosamente invalida más artículos sobre grafos que ningún otro: estos modelos sufren fugas graves si particionas con descuido. Nodos conectados que deberían estar del mismo lado de la línea entrenamiento/prueba acaban en ambos; aristas futuras se cuelan en el entrenamiento pasado; un nodo de “prueba” ya le ha susurrado su etiqueta a un vecino de entrenamiento a través de un salto de paso de mensajes. Tu backtest reluce, y el rendimiento en vivo se estampa.

Recapitulación

Tomaste toda la caja de herramientas del aprendizaje sobre grafos y la apuntaste al dinero. La detección de fraude resultó ser clasificación de nodo y de subgrafo sobre un grafo de transacciones, donde el blanqueo estructurado se esconde bajo los umbrales por cuenta y solo los motivos de abanico de entrada, cadena, ciclo y racimo lo delatan — mientras que los concentradores legítimos amenazan con enterrarte en falsos positivos. El alfa relacional resultó ser regresión de nodo con el paso de mensajes como motor, propagando la sorpresa de un proveedor a lo largo de aristas económicas ponderadas para predecir el rendimiento de un cliente, añadiendo el canal entre empresas que un modelo de secuencia de empresa única nunca ve. La analítica on-chain resultó ser el mismo juego de grafo de transacciones sobre un libro mayor público y seudónimo, donde el agrupamiento y el rastreo recuperan estructura hasta que un mezclador o un salto de cadena contraataca. Y todo ello comparte un mismo conjunto de advertencias honestas — etiquetas escasas, desequilibrio, un adversario que se adapta o una arista que decae, y la trampa de la fuga que la próxima lección existe para exponer.