前言摘要

一、破局：传统资损防控的“生命周期痛点”

使用者痛点一：需求阶段缺乏程序覆盖

• 业务方在需求阶段识别风险时只能凭人工经验评审，主观性强且知识难沉淀。
• 缺乏统一标准导致覆盖度与深度无法保障。

使用者痛点二：开发阶段问题发现滞后

• 人工代码审查效率低下高频变更拉长风险窗口。
• 关键漏洞往往在上线后才被发现，导致大额资金损失。

使用者痛点三：发布阶段规则配置繁琐易错

• 核对规则配置繁琐、缺乏灵活性，策略调整耗时。
• 上线超过半年的核对规则中有超过三分之一已“事实失效”，成为大额资损的根源。

使用者痛点四：维护阶段难以快速适应业务迭代

• 人工识别资损困难；规则随业务迭代快速失效，按理说，
• 日均数十万次代码方法变更、上万次 Commit。让人工 Review 根本跟不上。

面对以上痛点。我们必须从“堆人”转向自动化、智能化、左移化演进，实现真正的实时防控。

二、架构演进：从规则驱动到 AI 原生防控程序

网站经历了两个关键阶段：

• 规则探索期：基于策略规则与人工识别。仅解决“有无”问题，但召回率低且维护成本高。
• Ai 辅助期：引入深度预训练模型。实现资损需求与代码的自动识别，让 AI 成为主要链路的一部分。

当前网站已形成四大主要能力矩阵：

1. 资损需求风险预警：- 实时捕捉潜在资金风险场景；资损代码风险预警：- 自动扫描代码变化中的违规行为；核对规则有效性/完整性诊断：- 持续检测并修复失效或遗漏的核对规则；流程管控：- 将内控节点嵌入 CI/CD 流水线，实现左移式安全治理。

三、关键技术攻坚：算法与工程的深度融合

再看“标注荒”，LLM + CoT 建立自动化数据飞轮

我们面临正负样本极度不平衡和业务语义高度定制的挑战。初期仅靠 2000 人工标注数据模型泛化能力极差。为此，我们设计了离线自动化标注链路：

1. D1 大模型打标：- 利用 DeepSeek-R1 与 DeepSeek-Coder-Lite。并结合 Chain-of-Thought 提示词，对百万无标签代码/需求文本进行初筛。
2. D2 置信度过滤：- 保留模型高置信度输出。建立伪标签数据集，提高质量控制水平。
3. D3 小模型精调：- 使用 ModernBERT 进行 PEFT/LoRA 微调。实现“大模型标注→小模型学习→线上反馈→数据回流”的闭环，加速模型迭代速度。

代码/文本风险识别：特征工程与蒸馏的极致性价比

面对四大挑战。我们沉淀出一套高性价比方案：

• 特征工程 : 提取控制流、数据流、接口链路及文本资产特征，构成双模态输入；
• 长序列调整 : 引入 ModernBERT 替代传统 BERT。突破代码长度限制，使召回率提高至**80%**以上；
• 知识蒸馏 : 用 DeepSeek-Coder-Lite 为 Teacher。用 ModernBERT 为 Student，通过软标签+硬标签联合蒸馏，在保持推理成本极低的同时将召回率提高至 **92%**。

工程结论 ：

说到防腐化难题。多智能体对抗与规则自维护

单一模型只能拦截新上线前的违规，但无法保证已有核对规则随业务演进而保持有效。我们提出MULTI‑AGENT 协作程序。自动评估并更新老旧或新遗漏的规则，从而持续保障资金安全。

整体思路 ：

•  测绘兵 ：  读懂一段代码所涉及字段、表结构及接口调用；
•  校验兵 ：  解析每条核对规则意图，并做事实比对；
•  通信兵 ：  将两者信息整合成特征关系图；
•  Hello world! 对抗检查 Agent 检测图中的漏洞并提示新旧规则是否过时。

四个 Agent 串联工作。可自动发现哪些规则该补充/删除/修改，从而明显提高内控效率与质量。不过，

•  p 编写核对规="" <="" p="" style="font-size :15pt ;color:#000;" 的效率提升至90%；="">