2. 反欺诈基础
在进入异构图建模之前，必须先建立对欺诈业务本身的清晰认知。很多团队一上来就堆模型、调参数，结果特征与业务脱节，模型指标好看但线上拦截效果差。本节从欺诈类型、黑产链路、传统风控方法三个层面梳理基础，并重点分析传统方法的局限性，为后续引入异构图用户设备商户多关系建模建立问题动机。
一、核心原理：欺诈的本质是“身份与行为的错配”
无论欺诈形式如何变化，其核心都可归结为：攻击者试图以虚假或盗用的身份，通过看似正常的行为，获取本不属于自己的利益。正常用户与欺诈用户在“身份—设备—商户—行为”四要素上存在结构性差异。传统风控依赖单点规则和孤立特征，难以捕捉这种跨实体的关联模式；而异构图方法正是把用户、设备、商户、关系作为节点和边统一建模，从而识别团伙化、隐蔽化的欺诈结构。
关键认知：欺诈不是孤立事件，而是由黑产分工协作产生的“关系网络”。单点识别只能看到冰山一角，关系建模才能看到水面下的团伙结构。
二、常见欺诈类型与黑产链路
从业务场景看，常见欺诈类型包括：
- 注册欺诈：批量注册虚假账号，用于薅羊毛、刷单、引流。
- 登录盗号：通过撞库、钓鱼获取账号，实施盗刷或信息窃取。
- 交易欺诈：虚假交易、信用卡盗刷、退款欺诈、刷单炒信。
- 营销作弊：优惠券套现、拉新奖励伪造、积分刷取。
- 商户欺诈：虚假商户入驻、洗钱、二清跑路。
这些欺诈背后是一条完整的黑产链路，通常分为上游、中游、下游：
| 层级 | 角色 | 典型行为 | 数据痕迹 |
|---|---|---|---|
| 上游 | 信息获取者 | 拖库、撞库、钓鱼、内鬼泄露 | 账号密码、身份证、手机号 |
| 中游 | 工具与资源提供者 | 打码平台、代理IP、设备农场、接码平台 | 设备指纹、IP、手机号池 |
| 下游 | 变现执行者 | 盗刷、薅羊毛、刷单、洗钱 | 交易流水、商户号、收货地址 |
黑产链路的关键特征是分工专业化、资源复用化、行为隐蔽化。同一批设备可能今天用于注册，明天用于登录，后天用于交易；同一个商户可能同时服务多个欺诈团伙。这种复用关系正是异构图建模的价值所在。
三、传统风控方法与局限性
传统风控方法主要分为三类：
- 规则引擎：基于专家经验设定阈值，如“同一IP 1小时内注册超过10个账号即拦截”。
- 黑白名单：维护已知恶意账号、设备、IP、商户名单，直接命中拦截。
- 单点机器学习模型：基于用户或交易的单条记录，使用逻辑回归、GBDT等模型打分。
这些方法在早期有效，但面对现代黑产时暴露出明显局限：
- 规则滞后：黑产会快速试探规则边界，规则更新永远慢半拍。
- 单点视角：只看单个用户或单笔交易，无法识别“设备共用”“商户关联”等团伙特征。
- 特征孤立：用户、设备、商户特征分散在不同系统，难以融合。
- 误伤率高：规则过严会拦截正常用户，过松则漏放欺诈。
- 对抗性弱：黑产通过改设备指纹、换IP、养号等方式绕过单点检测。
常见误区：很多团队认为“加更多规则”就能解决问题。实际上，规则数量增加会带来维护成本上升、冲突增多、误伤累积，最终形成“规则债”。正确方向是从单点规则转向关系建模。
四、案例与复盘：从单点规则到关系识别的必要性
假设某电商平台发现一批异常订单，传统规则引擎只看到：每个账号都是正常注册、正常登录、正常下单，单笔金额也不高。规则无法拦截。但通过关系分析发现：
用户A — 设备D1 — 商户M1
用户B — 设备D1 — 商户M1
用户C — 设备D2 — 商户M1
用户D — 设备D2 — 商户M2
用户E — 设备D1 — 商户M2
设备D1、D2被多个用户共用，商户M1、M2被多个用户关联。这种“设备—用户—商户”交叉复用结构，正是典型团伙欺诈。单点规则看不到，异构图可以自然表达并识别。
复盘结论：传统风控的局限不在于模型不够复杂，而在于视角是孤立的。欺诈的本质是关系网络，识别欺诈也必须用关系网络的方法。异构图用户设备商户多关系建模，正是为了解决“单点看不到团伙”这一根本问题。