1、团伙识别场景概述与图谱特征工程简介
各位好，今天我们聊一个有意思的话题——团伙识别。
说白了，就是把一大群人里，那些有组织、有目的、配合着搞事情的团伙挖出来。你想想看，金融风控里的黑产刷单、骗贷团伙，社交网络里的水军集团，甚至游戏里的脚本工作室，都属于这个范畴。
我最早接触这个方向，是在2018年帮一家头部金融机构做反欺诈。那时候业务方每天愁眉苦脸——光靠单点规则，漏报率居高不下。黑产养了几千张手机卡，分散登录，单看每个账号都像正常人，但放在一起一看，设备、IP、联系人全串联，分明就是同一个团伙。
核心认知： 问题的本质在于——黑产看的是“团伙配合”，而传统方法只看“个体异常”。维度根本不同，这就是图谱要登场的原因。
为什么传统方法搞不定？
以前大家习惯用规则。单设备关联多个账号？封号。单IP登录频率过高？封IP。这些规则简单粗暴，但太容易被绕过了。
我在项目中遇到过这样一个案例：一个团伙用了几百台真机，每台设备只登录两三个账号，IP通过代理池随机切换。单看每个维度，全部命中正常范围。但把他们转账的网络画出来，发现资金的最终流向高度集中于一个归集账户。这种隐藏的关联结构，规则系统根本无能为力。
避坑指南： 千万不要以为多叠加几条规则就能解决问题。黑产是动态对抗的，你今天封了IP段，明天他就换。我曾经在这上面浪费了整整一个季度的迭代周期，才意识到必须上图谱。
团伙识别的核心挑战
把团伙识别问题搬到图谱上，并不意味着万事大吉。你首先要面对三座大山：
| 挑战 | 描述 |
|---|---|
| 隐蔽性 | 团伙会刻意模拟正常行为，通过分散操作、时间错位来隐藏关联。比如凌晨3点集体操作，白天就假装路人。 |
| 对抗性 | 你提取了“共用设备”特征，他就换设备；你关注“共用IP”，他就用动态IP。检测和规避是持续的博弈。 |
| 规模性 | 真实业务场景的图有多大？动辄上亿节点、数十亿边。在这么大的图上提取特征，计算效率就是命门。 |
我的经验： 刚入行的同学容易陷入一个误区——以为把原始图数据直接扔进GNN就完事了。我之前也这么干过，结果模型训练跑了三天直接OOM，而且效果还不如一个简单的“二度邻居覆盖度”特征。记住，好的特征工程，往往比堆模型更管用。
图谱特征工程——破局的关键
图谱特征工程，就是把你手里的原始图结构，转化成机器学习模型能听懂的数值向量。
为什么要专门做这一步？你不能指望原始邻接矩阵直接进模型。一来维度爆炸，二来缺乏语义。我们需要从图里提炼出三类信息：
- 节点的“身份”：这个节点本身有什么属性？（例如注册天数、设备型号）
- 节点的“社交地位”：这个节点在图里处于什么位置？（例如是核心枢纽还是边缘小号）
- 节点的“圈子”：这个节点属于哪个紧密团体？（例如同一社区内的节点往往是团伙）
我建议初学者不要一开始就追求高深算法。先把手边的结构特征算清楚，你会有惊喜。
一个典型的团伙识别图谱构建流程
先建立全局认知。我们的工作流通常长这样：
注意看： 整个流程中，特征工程位于建图和模型之间，起到承上启下的作用。我个人的习惯是，在这个阶段花掉整个项目60%的时间。因为特征的质量，直接决定了模型的上限。
常见图谱特征类型一览
为了让你们有个直观感受，我把日常最常用的几类特征整理了出来：
| 特征类别 | 典型例子 | 在团伙识别中的意义 |
|---|---|---|
| 节点自身属性 | 设备数量、注册时长、历史行为统计 | 快速识别“僵尸号”和“养号”行为 |
| 结构特征 | 度中心性、聚类系数、PageRank | 发现团伙中的“明星”节点或异常紧密的小团体 |
| 社群特征 | 社区标签、模块度、连通分量 | 直接给出候选团伙的划分，这是最接近最终结果的中间特征 |
| 高阶特征 | 结构熵、motif计数、图同构特征 | 捕捉团伙的“套路”，比如标准化的工作流 |
一句话总结： 团伙识别不是玄学。你把图建好，特征算好，模型就是水到渠成的事。别被“深度学习万能论”忽悠了，工业界里，扎实的特征工程才是真正的护城河。
嗯，这一章我们先把场景和概念理清楚。后面每一章，我都会手把手带着你们写代码，把上面这些特征一步步落地。从最基础的建图开始，一路干到模型部署。这门课我想传递的不仅仅是代码，更是一套在实战中摸爬滚打总结出来的思维框架。