sentinel

Sentinel est un système de détection de fraude open-source, exclusivement défensif, conçu pour lutter contre la réutilisation d'identité entre plusieurs marchands. Il cible les réseaux de fraudeurs qui recyclent le même ID UPI, numéro de téléphone ou empreinte d'appareil chez plusieurs marchands, alors que chaque marchand voit individuellement un nouveau client sans antécédents. Le projet construit un graphe de liens d'identité entre clients, appareils, VPA, téléphones et marchands, puis score chaque événement de paiement via un ensemble pondéré déterministe de sept caractéristiques publiées. Les verdicts sont des recommandations uniquement : ALLOW, REVIEW ou BLOCK_REC, accompagnées de codes de raison et d'un ensemble de preuves. Une couche LLM distincte, utilisant AWS Bedrock et gpt-oss-120b, transforme uniquement les preuves en un récit destiné à l'analyste et ne score jamais ; elle peut être ignorée si elle est indisponible. Le dépôt comprend un service FastAPI, un magasin d'audit SQLite en ajout seul et une console d'analyste Next.js appelée watchroom. La console propose une file d'attente classée, un graphe de clusters, un chemin de contamination, une décomposition du signal, un récit LLM, un dossier d'évaluation et un replay de réseau en direct. Le README rapporte des métriques de test sur des données isolées telles qu'une précision de 0,833, un rappel de 0,882, un F1 de 0,857, deux réseaux sur deux détectés, aucune fraude autorisée silencieusement, et une économie nette après faux positifs et coûts de révision de +38 665 ₹ pour 1 000 événements. Il précise également qu'une base GBDT a légèrement surpassé l'ensemble de règles sur le F1 et que les réseaux à faible taux peuvent échapper aux pondérations actuelles. Les fonctionnalités opérationnelles incluent l'ingestion d'événements idempotente, le scoring par lots, des points de terminaison de risque d'entité fédérés, des vues de clusters de graphes avec masquage et accès non masqué réservé aux administrateurs, des retours d'analystes en ajout seul, des métriques Prometheus, une authentification JWT par marchand, un scoring fantôme champion/challenger, Docker Compose et un instantané de démo statique sans backend. Les commandes de démarrage rapide couvrent la configuration, les vérifications, l'évaluation, le remplissage rétroactif, le service de l'API, l'exécution de la console, le déploiement de conteneurs, l'entraînement du challenger, les tests de charge et la génération d'instantanés. Toutes les données sont synthétiques ; aucune PII réelle n'est utilisée, les clés AWS sont exclues du code et des fichiers env, gitleaks scanne l'historique, et les verdicts ne bloquent jamais et ne déplacent jamais d'argent de manière autonome. La documentation comprend une suite de conception, un modèle de menace, un runbook, des ADR et un journal des erreurs. Licence MIT.