400毫秒（即0.4秒）能干什么？我们眨一次眼，支付宝就完成了四次实时的风控流程。在一次典型的电商平台交易中，从用户登录淘宝到选择商品、确认购买，再到支付的各个环节，其背后都有蚂蚁金服的风险识别和管控操作，普通用户可能感知不到，自己的一次简单操作，后台有蚂蚁金服十次以上的风险识别。现在，蚂蚁金服后台风险识别的数量是交易笔数的十倍。
隐藏在这些交易背后的是一个7×24小时智能化交易监控系统网络，蚂蚁金服将其命名为“CTU”，看过《反恐24小时》的朋友都知道，CTU在剧中叫作“美国反恐局”，是电视剧观众虚构的一个政府部门，将CTU作为公司智能风控大脑的名字，寄托着蚂蚁金服保护用户资金安全的美好愿望。这个系统涵盖了业务数据、智能模型、人工模拟决策、对外服务应用渠道等十多个子系统，每位支付宝会员的每个支付动作都在瞬间经过CTU系统的安全识别、认证和处置。
“罗马不是一天建成的”，智能化的CTU也经历了一个逐步积累的过程。从最开始简单意义上的一对一的攻防到后来安全系统功能的不断完善，再到智能风控大脑概念的提出，以及生物识别等技术的应用，CTU不断地发展演变。
在蚂蚁金服风控体系的背后，有1500名从事风险管理的专业人员，占到公司所有员工的1/5，其中有2/3的人从事数据分析和技术研发，而与他们并肩作战的还有2000台应用服务器和320台存储服务器，这些机器专门用于风险监测、分析和处置。
蚂蚁金服的理念是实现极致的效率与风险的平衡。彭蕾和管理层一直要求安全团队提升用户体验，而智能风控大脑CTU正是这种理念的贯彻，使可信的交易通过，减少对用户的打扰，阻断可疑的交易，保障用户的资金安全，要想达到目标就需要创造性地用数据的思维辅助决策。
比如，安全团队一改过去在支付宝海量交易中寻找“骗子”的思维模式，他们首先假定交易是安全的，是用户本人操作的，在这个假定条件下，提炼出手机、电脑、IP地址、收货地址、收货邮箱等12个核心条件。基于用户与这些核心条件关联的历史消费频次、消费金额等特征建立关系模型体系。比如，用户在某个手机上进行了100次正常购物消费，累计消费金额超过2000元，那么可信体系就会判断该用户在该手机上的操作是安全的。这就是支付宝用户可信习惯体系，它是促使CTU向智能化方向迈进的重要一步。
郑良西是蚂蚁金服专案风险部的高级经理，这位曾长期在公安系统工作的公务员，曾经一度被杭州市委组织部选调挂职萧山近江街道担任副书记，到蚂蚁金服之后，他主要负责安全管理部下的专案风险部和情报数据中心。
用郑良西的话说，风控体系最核心的任务是要知道“你是谁”，要判断账户是否为本人操作。说得专业一点，就是一个交易请求是否可信，CTU就是隐藏在支付宝交易的背后监控整个网络的大脑。如果CTU判断账户是用户本人操作，就不需要有后续的验证动作。相反，如果存有疑惑，CTU就会要求用户去通过验证。如果没有通过，系统就会自动阻断交易。
CTU最重要的功能是用户身份的核实。它的判断主要从四个维度展开，即可信的行为、可信的位置、可信的设备、可信的关系。如果系统从这些维度判断都可信，就会认定账户的操作者是用户本人。然后再基于这个核心点，继续判断用户的资金、个人隐私、数据等是否存在风险。
具体来说，CTU通过账户与账户之间、账户与设备之间、账户与场景之间的行为来判断具体是否为本人操作。比如，一个在网上只买衣服的人，有一天突然买了游戏点卡，这其中就可能存在风险。再如，一个平时一直在杭州的人，突然有一天半夜12点在广西买了个东西，这其中也可能存在风险。
广东深圳的黄先生四十多岁，平时用支付宝就是在网上买理财产品或者进行转账，使用的是苹果操作系统。2015年6月7日中午12点，一个国际站点以10086这样的号码给他发了一条短信，说他中奖了，获得了积分，如果想兑换，就需要输入身份证和银行卡信息。黄先生按照短信提示做完之后，点击了确认。这时，他已经上当受骗，下载了木马程序。由于黄先生手机中了木马，所以修改支付宝登录密码的短信通知自动转发到了骗子那里。在当晚11：35，骗子成功地获取了修改登录密码的验证码，然后成功地修改了黄先生的密码，可以看到黄先生账户中的余额。在凌晨12：07，骗子在广州登录黄先生的支付宝，通过手机验证码将账户绑定银行卡，修改了支付密码。到凌晨12：25，骗子下单购买一台价值四千多元的iPhone5s手机，就在他输入支付密码准备付钱时，CTU判断这个交易失败，同时对账户进行了功能限制。由于当时是凌晨，客服并没有给用户打电话。天亮后，客服打电话跟用户确认，问他有没有到广州，昨晚这笔交易是不是本人操作的。黄先生说自己没有离开过深圳。这时客服告诉他要将手机恢复出厂设置，因为中了木马，所以登录密码、支付密码都要修改，并对黄先生进行了安全教育。
从黄先生这个案例中可见，CTU会在秒级的时间里判定这个行为是否可信，如果不可信就立即阻止，防止给用户造成更大的损失。要在毫秒的级别内完成判断，这对CTU的计算能力要求很高，其背后是蚂蚁金服在大数据和云计算方面的优势，也是其核心竞争力所在。
除了靠CTU在交易中进行监测之外，蚂蚁金服的风控体系也分布在事前和事后。比如在交易发生之前，风控体系会对账户的风险进行分层，新产品投入市场之前会有产品风险的评审、监控策略的评审和产品风险的应急预案。
如果在使用这些策略之后还有风险发生，那么就涉及事后的风控。风控体系会调整策略，重新部署，在小时级别内做出响应。更进一步，还会有案件的深度分析和串并，以及和警方合作实施专案打击。“我们的目标就是实现效率和风险的平衡，在这个过程中，用数据去决策，用数据来帮助业务的成长。”郑良西说。