作者：来自 Elastic Adam Vielbaum
美国补充营养援助计划（Supplemental Nutrition Assistance Program - SNAP）在 FY2024 为2,220 万个家庭中的 4,170 万人提供服务，并带动了 1,003 亿美元的联邦支出。从联邦财政年度 2028 年开始，如此规模的支付错误将不再只是合规指标，而会变成预算项目。根据《一项大而美丽的法案》（公共法第 119-21 号），支付错误率达到或超过 6% 的州必须自行承担部分福利成本；达到或超过 10% 时，这一比例将上升至 15%。
FY2025 和 FY2026 的表现决定每个州的初始等级，这使得未来一年半成为关键窗口。对于一个每年在 SNAP 上支出数亿美元的州来说，10% 的错误率每年会从预算中抽走数千万美元，而且这并非假设：全国支付错误率在 FY2024 达到 10.93%，有 44 个州提交了纠正行动计划。Elastic 的解决方案是将检测能力构建到已经用于索引案件数据的同一平台中，而不是再增加一个外挂系统。时间正在流逝。
SNAP 支付错误为何发生：资格认定错误与欺诈
支付错误来自两个不同的方面，而建立在定期批处理审核基础上的资格认定系统只能发现其中一种。
资格认定错误发生在案件工作人员面对时间压力、依据数百页的政策手册进行判断时。漏掉一项收入排除项，在审计报告中看起来与欺诈完全一样，但这实际上是一个搜索问题，而不是诚信问题。
欺诈和滥用则有所不同。一个在受理时正确获批的案件后来发生了变化：收入增长并超过阈值、地址在不同县之间反复变更，或者某个身份出现在多个仍然有效的案件中。没有人在大规模范围内监控这种变化，因为大多数系统只在资格认定时检查资格，而不是持续检查。这不只是一个假设：美国政府问责局（Government Accountability Office）在 2025 年报告称，美国农业部食品与营养服务局尚未全面评估各州究竟采用了哪些防止福利盗窃的措施，因此目前没有经过验证的基线来判断哪些州正在进行监控。
隔夜批处理规则引擎可以在事后发现其中一部分问题：一个案件被标记出来，然后有人最终进行审核。这是必要的，但还不够。它是被动的，而且"规则引擎标记了它"并不总能令人满意地回答"你究竟如何确定这是欺诈？"
Elastic 如何检测 SNAP 欺诈：3 层检测
检测 SNAP 欺诈需要的不只是单一工具，而是分层的方法：规则捕获机构已经知道要寻找的问题，机器学习发现规则遗漏的问题，而对话式调查帮助分析师根据数据发现采取行动。Elastic 在同一个平台上提供这三种能力。
第 1 层：可自定义的检测规则
检测从机构已经理解并能够编码的模式开始，可以根据各自的项目和政策制定基于阈值的规则：收入超过家庭规模对应的阈值、福利金额超过公布的最高额度，或者案件缺少必需的证明文件。对于 SNAP，这包括摄取时的实时丰富：每个案件被索引时，摄取管道都会根据州公布的收入限额表检查收入，并在案件到达案件工作人员之前为其添加标签，每个标记都带有与政策相关的、有文档记录的原因，而不是硬编码的数值。
第 2 层：利用机器学习进行高级检测
规则捕获机构知道要寻找的问题。机器学习发现规则遗漏的问题：不存在固定阈值的行为变化，例如收入随着时间推移超过资格标准、地址在不同县之间反复变更，或者索赔活动相对于某个实体自身的 历史记录 存在统计异常。Elastic 的机器学习同时支持无监督和有监督方式，持续针对案件数据运行，而不是生成定期报告，让分析师拥有单一事实来源，而不是分散在相互独立系统中的单个信号。
第 3 层：对话式调查
规则和机器学习识别模式；调查人员判断这些模式意味着什么。Elastic Agent Builder 为欺诈分析师提供了一个面向案件数据的对话式界面，无需电子表格或复杂查询。调查人员可以询问某个案件为什么被标记，将其与相关记录进行比较，并获得下一步行动建议。它使用经过验证的复合键，而不是单字段匹配，因此针对共享身份的搜索返回的是经过相互印证的匹配，而不是巧合的匹配，最终给出的结论是"这一模式值得审核"，而不是直接指控存在欺诈。
在这三层能力之下，是相同的基础设施：统一访问工资记录、收入验证 数据源 、登记历史和案件备注------这些数据原本从未被设计为共享数据；此外，还有实体解析，可以在做出资格认定之前发现可能重复的家庭。
为什么实时欺诈检测优于批处理检测
大多数欺诈检测工具都是被动的：收集数据、运行任务，然后在数小时或数天后呈现结果。到那时，一笔福利可能已经发放。
而 Elastic 则实时运行全部三层能力。检测规则在案件被索引的瞬间触发，而不是按照批处理计划运行。机器学习持续评估行为变化，而不是在隔夜报告中进行评估。对话式调查让分析师可以立即访问任何标记，而无需等待查询构建完成。
这对于 FY2028 很重要。各州的衡量标准是持续累积的支付错误率，而不是单个年度快照；如果欺诈最终才被发现，但相关福利已经先发放，那么这笔支付仍然会被计入错误。一个能够在每一层进行检测，而不仅仅是在最后一层检测的平台，可以让项目完整性团队始终拥有一个有据可依的答案。
对于正在考虑未来 18 个月应该重点关注什么的机构来说：你们的平台能否在一个错误成为错误率的一部分之前就发现它？希望看到这一能力运行在自身资格数据上的机构，而不是观看通用演示，可以与 Elastic 的公共部门团队展开交流。
常见问题
SNAP 支付错误主要是欺诈问题还是数据问题？
两者都是，但需要不同的解决方法。资格认定错误发生在案件工作人员依据数百页的政策手册进行判断时。欺诈和滥用则发生在一个正确获批的案件随着时间推移发生变化时，例如收入增长或地址变化，而没有人持续监控这些变化。
Elastic 与传统规则引擎相比，是如何检测 SNAP 欺诈的？
Elastic 在相同的案件数据上叠加了三种检测方法：在摄取时自动标记案件的可自定义检测规则；捕获任何固定规则都无法表达的行为变化的机器学习；以及通过 Elastic Agent Builder 提供的对话式调查，让分析师验证数据所显示的情况并采取行动。一些欺诈信号可以在案件写入的瞬间被捕获，而不是等到之后的批处理任务。
摄取时检测能否捕获所有类型的 SNAP 欺诈？
不能。摄取时标记只适用于可以从单个案件自身字段中回答的规则，例如将收入与家庭规模对应的阈值进行比较。跨文档模式以及不存在固定阈值的行为异常，则需要机器学习或对话式调查。
原文：SNAP payment error detection: how Elastic helps US states beat the FY2028 penalty | Elastic Blog