Apple 與 Goldman 把數以千計的爭議弄丟進一個沒人知道存在的狀態，代價 8,900 萬美元。
2020 年 6 月，Apple 在 Apple Card 的爭議處理流程中新增了一份表單。一件小事。在這項變更之前，你只要點按「回報問題」，就會進入一個與 Goldman Sachs 的訊息對話串，你的爭議就此送出。變更之後，一旦第一次提交完成，你還必須填寫第二份表單。
這件小事造成了以下後果。如果你在訊息中回報了問題，卻從未完成第二份表單，系統就會判定你的爭議尚未完成。它從未被送交 Goldman。沒有人調查它。從未寄出任何確認函。而根據 Regulation Z 第 1026.13 條，其中許多第一則訊息都是有效的帳單錯誤通知（Billing Error Notice）——這種通知依法規定債權人必須在 30 天內確認，並在兩個帳單週期內解決。
數以千計的爭議就這樣擱在那裡。已提交，卻無處路由。2024 年 10 月，消費者金融保護局（CFPB）命令 Apple 與 Goldman Sachs 支付 8,900 萬美元，並禁止 Goldman 在沒有可信合規計畫的情況下推出新的信用卡。我職涯中有很長一段時間都在一家發卡機構的爭議營運部門度過，當我讀到那份命令時，我看到的並不是疏失。我看到的是一台狀態機上有一個洞，而這個洞，我所認識的每一家銀行，此刻都在自己的工作流程中某處存在著。
這就是我想在這篇文章中說服你相信的事：你的爭議系統裡有你尚未發現的死狀態，而你之所以還沒發現它們，是因為你一直在為它們做 測試，而不是 證明 它們不可能存在。解方是一項大多數銀行從業者從未被提供過的技術——形式化驗證——這也正是我們圍繞它建立 Veriprajna 的金融合規驗證業務 的原因。
那個 8,900 萬美元的漏洞是一個狀態，而不是一個錯誤
讓我精確說明到底哪裡出了錯，因為這份精確正是重點所在。
Apple-Goldman 的工作流程有一個可到達的狀態，你可以用一行話描述它：爭議處於 FormA_Submitted AND FormB_Pending。從這個狀態出發，沒有任何通往 Investigation_Initiated 的轉換。一個都沒有。一位在第一則訊息之後就停下來的消費者，就會永遠停留在這裡——依法應得到一份確認，但按照系統本身的邏輯卻什麼都不應得。
那些爭議並沒有遺失。它們就精確地待在系統把它們放置的地方。只是從來沒有人告訴系統，「這裡」是一個爭議可能死去的地方。
當我的團隊第一次在白板上把這個過程走一遍時，一位工程師說了很顯而易見的話——這不過是個漏洞，是我們在測試中本該抓到的那種。我問他要怎麼抓。Apple-Goldman 的流程只有 一個 兩個系統之間的整合點。我合作過的大多數大型發卡機構，單一爭議都有 10 到 15 個系統在觸碰它——Visa VROL 入口、Mastercard 的 GCMS、案件管理平台、核心銀行帳本、信函生成系統、信用局資料饋送、臨時信用引擎，以及一大把內部路由佇列。每一次 API 變更、每一個合作夥伴整合、每一項新產品功能，都會在這座迷宮中開闢出新的路徑。
測試檢查的是你想到要寫下來的那些路徑。它按定義就是一張你早已想像過的失敗清單。Apple-Goldman 的死狀態是一個沒有人想像過的失敗，這正是為什麼沒有任何測試涵蓋它。你無法靠測試擺脫一個你無法想像的問題。 那不是流程失敗。那是一道數學上的天花板。
我們為什麼不能乾脆多寫一些測試？
我曾為這場爭論浪費了一整個下午，所以讓我幫你省下那個下午。
那位工程師的反駁很合理：多寫一些測試案例。涵蓋更多路徑。把覆蓋率提高。於是我把它畫了出來。爭議工作流程不是一條線，而是一張圖——依爭議類型分支、依網路分支、依是否已發放臨時信用分支、依適用哪套期限制度分支、依合作夥伴系統是否確認了交接分支。每個分支都會把前一個相乘。一個有幾十個決策點的工作流程，其可到達狀態比你這輩子能寫的測試還要多，而危險的那些正是沒有人會坐下來一一列舉的組合，因為它們在真正發生之前看起來都荒謬得很。
他繼續講了一陣子。然後我畫出了組合爆炸——狀態數量翻倍，接著再翻倍——於是他停了下來。你贏不了一個狀態空間。你的銅板會在狀態用完之前先用光。
就是在這一刻，我開始認真閱讀關於形式化方法的資料，而這裡真正重要的技術有一個樸實的描述。一個 模型檢查器 接收你工作流程的一個模型，以及一個不變式——一項必須永遠成立的性質——然後它會窮舉地探索 每一個可到達的狀態，尋找那個讓該性質失效的狀態。把不變式寫成「每一個已提交的爭議都會在 30 天內到達確認」，把檢查器對準 Apple-Goldman 的流程，它就會在幾秒內回傳那個死狀態，以及把你帶到那裡的、精確到每一步的路徑。像 TLA+ 這樣的工具會為分散式系統做這件事；同樣的邏輯也能乾淨俐落地套用到一個有硬性期限的受監管工作流程上。
測試抽樣你想像過的路徑。模型檢查器造訪你沒想到的那些。
那場沒有人負責的時間軸碰撞
讓爭議管理者夜不能寐的部分，比單一個死狀態更糟。
單單一件雙網路卡的爭議，就可能同時觸發三到四個監管與網路的時鐘。Reg Z 要求在 30 天內給出書面確認，並在兩個帳單週期內解決，上限為 90 天。Reg E 管的是簽帳金融卡與電子轉帳的錯誤，它跑的是一套完全不同的時程——臨時信用與解決要在 10 個營業日內完成，並可延長 45 個日曆天。Visa Claims Resolution 的 Allocation 案件最長跑 70 天，Collaboration 案件最長跑 100 天。Mastercard 的爭議架構 依週期跑 45 到 120 天，而業界形容它的推行比 Visa 的還更難消化。
當這些制度在同一件爭議上碰撞時，合規與否就取決於爭議台上那天早上是誰記得哪個期限管用。我曾親眼看著一位資深分析師把 Reg E 的時程套用在一件 Reg Z 的帳單錯誤上，因為在龐大的處理量下這兩者會糊成一團——而正是這種混淆，是 CFPB 檢查員會盯著找的違規之一。Citizens Bank 就曾被點名指出違規，部分原因是因為缺少一份宣誓書而拒絕帳單錯誤通知。這些期限並不寬鬆。它們是二元的。你要嘛在 30 天內確認了，要嘛就沒有。
而這正是形式化驗證比我所能想到的幾乎任何其他領域都更適合金融合規的那個安靜理由：這些規則本身就已經是數學。 30 天不是一個判斷題。「10 個營業日內給予臨時信用」不是一種感覺。這些是狀態機之上的時序約束，而時序邏輯正是為了證明這種性質而生的——在一件爭議所能走的每一條可能路徑上，沒有任何一個時鐘會被超時。
我一開始做錯了東西
我想跟你談談我們發布過、但行不通的那個版本，因為市場上大多數人賣的仍是那個版本。
我們的第一直覺是監控。打造一套系統，追蹤每一件爭議，盯住期限，並在某件即將違約時亮起紅燈。儀表板。警示。一個臨時信用佇列在倒數計時——9 天、23 小時，走。它的展示效果好極了。我對它很自豪。
然後我把它拿給一家試點銀行的合規主管看，她禮貌地聳了聳肩。我花了幾天才明白那個聳肩的意思。監控告訴你一件爭議正在死去就在它死去的當下。它是一個煙霧警報器。它假設爭議一開始就進入了系統、才好被追蹤——而這正是 Apple-Goldman 所粉碎的那一個假設，因為那些爭議根本從未被追蹤過；它們處於一個追蹤器不知道要去盯的狀態。監控是事後的告解。它是銀行比檢查員早一點點發現自己的失敗。那有點價值，但那不是她需要擺到董事會面前的東西。
監控為你買到的是比檢查員早幾天發現的失敗。它永遠買不到那個不可能發生的失敗。
那個聳肩讓我們付出了重建的代價，而那是這個產品發生過最好的事。市場上滿是我一開始打造的那種東西。FINBOA 追蹤 Reg E 的期限並自動化臨時信用；它做得很好。Quavo 自動化爭議處理並拿出真實數字——某家信用合作社在一個月內就達到了 87% 的自動化率。FIS 透過網路入口處理拒付。它們每一個都自動化或盯住已進入系統的爭議。沒有一個能證明一件爭議在進入之前不會遺失。
還有誰真的在證明任何東西？
重建之後，我去尋找還有誰在證明東西、而不只是盯著它們看，答案是幾乎沒有人。
唯一一個認真的名字是 Imandra。他們在金融服務業做真正的形式化驗證——正確性的數學證明——而他們的客戶就包括 Goldman Sachs 本身。但他們的世界是資本市場：交易所撮合邏輯、交易協定。消費者合規、Reg Z、爭議工作流程——那不是他們對準的方向，而以總計約 500 萬美元的融資，他們也還沒對準那裡。
與此同時，資本正湧入合規領域的 另一個 角落。Bretton AI，前身為 Greenlite，在 2026 年 2 月募得一輪 7,500 萬美元的 B 輪，服務受 OCC 監管的銀行——用於 KYC、反洗錢與客戶開通。SymphonyAI 的 Sensa 平台把一家西班牙銀行制裁篩查的誤報降低了 91.8%。Alloy 在 800 多家機構之間協調身分驗證。真金白銀、真材實料的工程——全都瞄準金融犯罪與客戶開通，沒有一個瞄準你的爭議解決是否可能違反某項法規。
那就是那道缺口，而且它並不狹窄。最接近爭議工作的參與者（FINBOA、Quavo）將它自動化卻不驗證它。唯一的驗證者（Imandra）做的是另一個市場。把這兩者結合起來，你就得到這片場域的一個角落——就我所知，沒有任何人站在裡面：對準消費者爭議合規的形式化驗證。那就是我們走進去的角落。
那句重建了我們簡報說詞的話
最終讓這份價值在我心裡落地的那句話，並不是來自一位工程師。它來自一位我坐下來聊過的前檢查員。
我問她，在一次帳單錯誤審查的房間裡，她真正想要的是什麼。她沒有說「好的儀表板」。她大致上說，她想知道的是這家銀行能證明它的流程 不可能 違反期限——而不是它通常不會。整個姿態就在那一個詞上翻轉了。那張寫著「我們測試過了，而且通過了」的董事會證言投影片，等於承認你只檢查了你想到的那些路徑。 一個證明所說的是某種在本質上更強的東西：在工作流程所允許的每一條路徑上，該不變式都成立。
而監管機構正靜靜地憑自己朝這個方向走去。OCC 通報 2025-26 號 澄清了：任何實質上驅動風險或合規決策的量化方法，都是一個「模型」——而該通報明確指出，AI 或機器學習的精密程度並不能豁免它接受驗證。仔細讀這句：一個自動化爭議路由器現在可作為模型受檢查，而不僅僅作為一個營運工具。而形式化驗證是現存最強的模型驗證。它不抽樣行為。它證明性質。
在大西洋另一端，歐盟 AI 法案 把信貸與信用評估 AI 歸類為高風險，設有一個 2026 年 8 月 2 日 的硬性合規期限，並具有將服務歐盟市場的美國供應商也一併納入的域外效力。高風險分類意味著你必須展示可證明的系統性質——準確性、穩健性、監督。這，再一次，正是一個證明能交付、而一個測試辦不到的。
對一個爭議佇列來說，這不是殺雞用牛刀嗎？
人們不斷用這句話的各種版本問我，所以讓我正面迎向這三個誠實的異議。
第一個是成本。驗證聽起來像個科學實驗，而那個顧問替代方案——一家四大事務所替你重新設計流程——要價 50 萬到數百萬美元，然後交給你一套沒有人做過數學檢查的重新設計流程。把這個對照壞的一面來看。Apple-Goldman 是 8,900 萬美元。Wells Fargo 的同意令，橫跨包括爭議處理在內的多項失敗，高達 37 億美元。你買驗證不是拿它去對比一張 SaaS 授權的成本；你買它是拿它去對比那條尾部風險。
第二個是「我們的量沒問題」。全球拒付預估將在 2026 年達到每年 3.37 億筆，並在 2028 年前攀升 24%，同時還有全新的爭議類型陸續到來——包括來自自主 AI 代理購買了顧客從未核准的東西所產生的爭議。今天那個「處理得了」的人工爭議台，正是同一個爭議台——根據 Wolters Kluwer 2026 年第一季的報告，仍有 42% 的機構在用人工流程跑合規。攀升的量加上人的記憶，就是一個死狀態如何能四年都沒被察覺。
第三個是「我們上一次考核過關了」。想必 Apple 和 Goldman 也過關了，一直到他們不過關為止。通過一次考核，意味著一位檢查員抽樣了你的路徑，而且沒有碰到那條壞掉的。這跟測試是同一個抽樣問題，只是別著一枚不同的徽章。
我現在所相信的
我進入爭議營運時，以為合規是一門勤勉的學問——謹慎的人、好的檢查清單、如期達成的期限。我離開它時，深信勤勉是解決這種形狀問題的錯誤工具。你無法勤勉到足以涵蓋一個每次有人發布功能就翻倍的狀態空間。Apple 和 Goldman 那些謹慎的人並不是因為疏忽而遺失那些爭議。他們是因為一個沒有人畫出來的狀態而遺失了它們。
所以我會向任何經營爭議台的人提出的問題，不是「你的人夠不夠謹慎」。它比那更窄、也更冷：你能不能畫出你下一件被丟失的爭議將會死在其中的那個狀態？如果你畫不出來，你就無法為它做測試，而如果你無法為它做測試，剩下唯一誠實的事，就是證明它不可能存在。那就是那份工作——在檢查員找到你漏掉的那條路徑之前，證明你的爭議工作流程在每一條路徑上都不可能違反 Reg Z、Reg E 與網路的時間軸。如果那正是你真正需要的那份保證，那就是我們所打造的。
Apple 有數以千計的工程師，卻仍然有一個死狀態。工程師從來不是那個缺少的變數。缺的是一個證明。
