2. 反欺诈业务基础与面试高频问题

反欺诈算法工程师的面试，第一轮技术面往往不会直接考模型结构，而是先确认你是否理解业务。面试官最怕招到“只会调参、不懂风险”的候选人。本章围绕欺诈类型、风控链路、黑白灰名单、规则与模型协同、公司侧重点五个高频考点，帮你建立一套可复述、可追问、可落地的业务表达框架。

一、欺诈类型：先分类，再谈模型

面试官问“你了解哪些欺诈类型”，本质是在确认你能否把业务问题翻译成算法问题。常见分类可以按“谁在骗、骗什么、怎么骗”三个维度展开。

• 按主体：第一方欺诈（本人恶意）、第二方欺诈（内外勾结）、第三方欺诈（盗号、伪冒、团伙）。
• 按场景：注册欺诈、登录盗号、营销薅羊毛、交易套现、信贷骗贷、支付盗刷、内容作弊。
• 按形态：个体欺诈、团伙欺诈、机器批量、真人众包。

回答时不要只罗列名词，要补一句“不同欺诈类型对应的标签定义、观察窗口和负样本构造方式完全不同”。例如注册欺诈看设备聚集和IP聚集，骗贷看多头借贷和联系人网络，盗刷看行为序列突变。

二、风控链路：从请求到处置的完整闭环

风控链路是面试必问的“地图题”。一条典型实时链路如下：

请求接入 → 设备指纹/环境检测 → 名单过滤 → 规则引擎 → 模型评分 → 策略决策 → 处置动作 → 日志回流 → 复盘迭代

每个环节都有考点。设备指纹考你对抗改机、模拟器、群控的能力；名单过滤考实时性和覆盖率；规则引擎考可解释和可配置；模型评分考特征时效和模型更新；策略决策考阈值、分层和成本；处置动作考拦截、验证码、人工审核、限额；日志回流考样本闭环。

三、黑白灰名单：最容易被低估的考点

很多候选人觉得名单太简单，结果被追问时答不出维护机制。白名单是可信放行，黑名单是确定拦截，灰名单是观察或加强验证。关键不在定义，而在“来源、时效、冲突、申诉”四件事。

• 来源：历史确认欺诈、外部情报、人工审核、模型高置信输出、用户举报。
• 时效：黑名单要快进快出，灰名单要有观察期，白名单要定期复核。
• 冲突：同一设备既在白名单又在黑名单时，按风险优先还是业务优先，要有明确策略。
• 申诉：误杀必须有通道，否则会积累大量客诉和监管风险。

四、规则与模型协同：不是替代，而是分工

面试高频题：“有了模型为什么还要规则？”标准回答是：规则解决确定性和可解释性，模型解决泛化和未知模式。规则负责硬拦截、监管要求和快速响应；模型负责高维组合、隐蔽团伙和动态对抗。

协同方式通常有三种：

1. 串联：规则先过滤明显风险，模型再对剩余请求打分，节省算力。
2. 并联：规则和模型各自输出，策略层融合，适合高风险场景。
3. 模型辅助规则：模型分数作为规则条件，或模型输出用于规则挖掘。

一个实战案例：某支付场景盗刷上升，规则先拦截“短时间多设备登录”，模型再识别“行为序列异常但设备正常”的盗号。上线后拦截率提升，同时把误杀率控制在可接受范围。复盘时发现规则阈值过严导致部分正常用户被验证码拦截，于是把硬拦截改为二次验证，这就是规则与模型协同的典型迭代。

五、公司侧重点：不同赛道问法不同

同样问反欺诈，银行、支付、电商、信贷、社交的侧重点差异很大。银行重合规和可解释，支付重实时和资损，电商重营销反作弊和账号安全，信贷重骗贷和多头，社交重内容安全和团伙。面试前要研究目标公司的业务形态。

• 银行/消金：强调监管、模型可解释、贷前贷中贷后全链路。
• 支付/钱包：强调实时性、设备指纹、盗刷和套现。
• 电商/本地生活：强调薅羊毛、刷单、黄牛、账号买卖。
• 社交/内容：强调批量注册、引流、诈骗话术和团伙发现。

回答时可以主动说：“我了解到贵司主要做XX场景，我会优先关注XX风险和XX指标。”这句话能迅速建立业务共鸣。

六、复盘与追问路径

面试官常沿着“定义—链路—名单—协同—公司”逐层追问。准备时建议用STAR结构整理一个项目：情境是什么风险，任务是什么指标，行动用了哪些规则和模型，结果提升了多少拦截、降低了多少误杀。最后补一句“如果重做，我会优先优化哪一环”，体现复盘能力。