sentinel

Sentinel es un sistema de detección de fraude de código abierto y centrado exclusivamente en la defensa para la reutilización de identidades entre comercios. Se dirige a redes de fraude que reciclan el mismo ID de UPI, número de teléfono o huella digital de dispositivo a través de múltiples comercios, donde cada comercio ve individualmente a un cliente nuevo y limpio. El proyecto construye un grafo de vínculos de identidad entre clientes, dispositivos, VPAs, teléfonos y comercios, y luego califica cada evento de pago con un conjunto ponderado determinista de siete características publicadas. Los veredictos son solo recomendaciones: ALLOW, REVIEW o BLOCK_REC, con códigos de motivo y un paquete de evidencia. Una capa de LLM separada, que utiliza AWS Bedrock y gpt-oss-120b, solo convierte la evidencia en una narrativa para el analista y nunca califica; puede omitirse si no está disponible. El repositorio incluye un servicio FastAPI, un almacén de auditoría SQLite de solo anexión y una consola de analista en Next.js llamada watchroom. La consola proporciona una cola clasificada, un grafo de clústeres, una ruta de contaminación, descomposición de señales, narrativa de LLM, un dossier de evaluación y una reproducción de red en vivo. El README reporta métricas de prueba reservadas como precisión 0.833, recall 0.882, F1 0.857, dos de dos redes capturadas, cero fraudes permitidos silenciosamente y un ahorro neto después de falsos positivos y costos de revisión de +₹38,665 por cada 1,000 eventos. También revela que una línea base de GBDT superó ligeramente al conjunto de reglas en F1 y que las redes de tasa lenta pueden evadir los pesos actuales. Las características operativas incluyen ingesta de eventos idempotente, calificación por lotes, endpoints de riesgo de entidad federados, vistas de clúster de grafos con enmascaramiento y acceso no enmascarado solo para administradores, comentarios de analistas de solo anexión, métricas de Prometheus, autenticación JWT por comercio, calificación en sombra de champion/challenger, Docker Compose y una instantánea de demostración estática sin backend. Los comandos de inicio rápido cubren la configuración, verificaciones, evaluación, backfill, servicio de la API, ejecución de la consola, despliegue de contenedores, entrenamiento de challenger, pruebas de carga y generación de instantáneas. Todos los datos son sintéticos; no se utiliza PII real, las claves de AWS se mantienen fuera del código y los archivos env, gitleaks escanea el historial y los veredictos nunca bloquean ni mueven dinero de forma autónoma. La documentación incluye una suite de diseño, modelo de amenazas, runbook, ADRs y un registro de errores. Licencia MIT.