1. 课程导入

欢迎进入《反欺诈图谱子图特征与风险传播实战》。在正式进入建模与算法之前，我们需要先建立一张“全局认知地图”：反欺诈图谱到底解决什么问题，子图特征为什么比单点特征更有效，风险传播又如何把零散线索转化为可解释、可行动的风险判断。本章不追求公式推导，而是帮助你把后续 29 章的技术点串成一条完整链路。

一、反欺诈图谱的价值：从“孤立记录”到“关系网络”

传统反欺诈模型大多基于单条记录或单个用户的行为特征，例如登录频率、交易金额、设备指纹等。这类方法在规则明确、欺诈模式稳定的场景中有效，但面对团伙化、跨平台、跨账号的欺诈时，往往力不从心。原因在于：欺诈者会刻意让每个账号看起来“正常”，但账号之间的关联关系却暴露了异常结构。

反欺诈图谱的核心价值，是把用户、设备、IP、银行卡、手机号、商户、订单等实体作为节点，把登录、转账、绑定、收货、分享等行为作为边，构建一张可查询、可计算、可推理的关系网络。在这张网络上，我们不仅能看“谁做了什么”，还能看“谁和谁一起做了什么”。

具体而言，反欺诈图谱带来四类直接价值：

• 团伙发现：通过共享设备、共享 IP、资金环路等结构，识别出单个模型无法发现的欺诈团伙。
• 风险传播：当某个节点被确认为高风险后，风险可以沿边传播到邻居节点，实现“由点及面”的预警。
• 可解释性：图谱路径天然可解释，例如“该用户与已知欺诈账户共用同一设备，且存在资金往来”。
• 特征增强：子图统计量、路径特征、社区特征可以作为强特征输入下游模型，显著提升召回率。

二、子图特征：把“局部结构”变成“可计算信号”

子图特征是指围绕目标节点或目标边，抽取其局部邻域结构后计算得到的特征。它不是简单的一阶邻居计数，而是对“邻居的类型、数量、连接方式、时序关系、权重分布”进行结构化刻画。

常见的子图特征可以分为四类：

特征类别	典型示例	欺诈场景含义
邻域统计特征	一度邻居数、二度邻居数、邻居中高风险占比	判断目标节点是否处于高风险社区
结构模式特征	三角形数量、星型度、二部图密度	识别刷单、虚假注册、资金归集等模式
路径特征	到已知黑名单的最短路径、路径数量、路径权重	衡量目标节点与已知风险的“距离”
时序子图特征	时间窗口内新增边数、突发连接、时序路径	捕捉欺诈行为的时间聚集性

为什么子图特征有效？因为欺诈行为往往不是随机分布的，而是呈现出明显的结构规律。例如：

• 刷单团伙常表现为“多个用户节点共享少量设备节点”的星型结构；
• 资金归集常表现为“多张银行卡向同一账户汇聚”的漏斗结构；
• 虚假注册常表现为“同一 IP 在短时间内连接大量新账号”的爆发式结构。

这些结构无法通过单点特征直接表达，但可以通过子图特征量化。下面的伪代码展示了从目标节点出发抽取二跳子图并计算基础统计量的过程：

def extract_subgraph_features(graph, node, max_hop=2):
    subgraph = graph.bfs(node, max_hop)
    features = {
        "degree_1": subgraph.degree(node),
        "degree_2": subgraph.node_count() - 1,
        "high_risk_neighbors": count_high_risk(subgraph.neighbors(node)),
        "triangle_count": subgraph.triangles(node),
        "shortest_path_to_blacklist": subgraph.shortest_path(node, blacklist),
        "edge_time_burst": subgraph.edge_time_std()
    }
    return features

三、风险传播：从“已知黑”到“未知灰”的推理引擎

风险传播是反欺诈图谱中最具“推理感”的环节。它的基本思想是：风险不是孤立存在的，而是会沿着关系边扩散。如果一个节点与多个高风险节点存在强关联，那么它本身的风险概率也会上升。

风险传播通常包含三个核心问题：

1. 传播起点：哪些节点是已知高风险？通常来自黑名单、人工审核确认、历史欺诈案件。
2. 传播规则：风险沿什么边传播？传播强度如何衰减？是否考虑边类型、边权重、时间衰减？
3. 传播终止：传播几跳？何时收敛？如何避免风险无限扩散导致误伤？

一个常见的风险传播评分可以抽象为：

risk_score(v) = alpha * seed_score(v)
              + beta * sum(risk_score(u) * w(u, v) * decay(t))
              for u in neighbors(v)

其中 alpha 和 beta 控制自身风险与邻居风险的权重，w(u, v) 是边权重，decay(t) 是时间衰减因子。通过多轮迭代，风险会从已知黑节点逐步扩散到潜在灰节点。

四、整体学习路径与实战目标

本课程共 30 章，整体遵循“认知—特征—传播—实战”的递进路径。你可以把它理解为一条从数据到决策的完整流水线：

• 第一阶段：图谱基础与子图特征。理解图结构、实体与关系建模、子图抽取方法、特征计算与筛选。
• 第二阶段：风险传播算法。掌握标签传播、随机游走、图神经网络传播、时序传播等核心方法。
• 第三阶段：工程与实战。学习大规模图存储、实时子图查询、特征服务、模型部署与效果评估。
• 第四阶段：案例复盘。通过刷单、盗刷、虚假注册、资金归集等真实场景，串联全部技术点。

完成本课程后，你应该能够独立完成以下实战目标：

1. 针对给定业务场景，设计合理的图谱 Schema，明确节点、边、属性与时序字段。
2. 从目标节点或目标边出发，抽取多跳子图并计算结构、统计、路径、时序四类特征。
3. 实现或调用风险传播算法，输出节点风险分数及可解释传播路径。
4. 将子图特征与传播分数融合进下游模型，并用 AUC、KS、召回率、误伤率等指标评估效果。
5. 识别并规避常见陷阱，如特征穿越、时间泄漏、传播过拟合、图规模爆炸等。

现在，你已经对反欺诈图谱的价值、子图特征的作用、风险传播的逻辑以及整体学习路径有了全局认识。接下来，我们将从图谱的基本概念与数据建模开始，逐步搭建你的反欺诈图谱能力体系。