2、团伙识别基础概念：团伙定义、图谱构建要素与常见模式
在金融风控、社交网络分析及黑产对抗场景中，团伙识别的核心目标是从海量关联数据中挖掘出具有共同利益、协同作案或组织化特征的群体。本章将系统梳理团伙识别的基础概念，为后续图谱评分模型的构建与 Serving 提供理论支撑。
2.1 团伙定义与业务边界
团伙并非简单的“多人集合”，而是满足以下三个条件的结构化群体：
- 共同目标：成员围绕特定利益（如套现、薅羊毛、刷单、欺诈）行动。
- 关联结构：成员之间存在显式（设备、IP、交易）或隐式（社交、担保）连接。
- 行为协同：在时间、空间或操作序列上呈现一致性或互补性。
业务提示： 在信贷反欺诈场景中，团伙通常表现为“包装团”——由中介组织，使用虚假资料批量申请贷款；在电商场景中，则表现为“刷单团”——通过虚假交易提升店铺评分。
2.2 图谱构建三要素
团伙识别依赖知识图谱作为底层数据结构。图谱由三个核心要素构成：
| 要素 | 定义 | 团伙识别中的典型实例 |
|---|---|---|
| 节点 (Node) | 实体对象，代表参与方或资源 | 用户、手机号、设备ID、银行卡、IP地址、订单 |
| 边 (Edge) | 实体之间的关系或行为 | 登录、转账、同设备、同IP、担保、通话 |
| 属性 (Property) | 节点或边的特征描述 | 节点：注册时间、设备型号、地理位置 边：交易金额、时间戳、频次 |
图谱构建的核心原则是“多维度、高覆盖、低冗余”。节点类型越多，边语义越丰富，团伙的隐蔽结构越容易被暴露。
2.3 常见团伙模式
根据黑产作案手法和业务场景，团伙模式可归纳为以下四种典型结构：
- 星型团伙 (Star)：一个核心节点（如中介、主账号）连接大量外围节点。外围节点之间无直接连接，依赖核心节点进行信息或资金流转。
- 链式团伙 (Chain)：成员呈线性或层级传递关系，常见于洗钱、传销场景。资金或权限沿链条逐级传递。
- 网状团伙 (Mesh)：成员之间高度互联，形成稠密子图。常见于熟人刷单、设备农场场景，内部交互频繁。
- 复合团伙 (Hybrid)：上述模式的组合，包含多个核心节点和子团，结构复杂，隐蔽性强。
实战要点： 在 Serving 阶段，不同团伙模式需要不同的图特征提取策略。例如，星型团伙关注“中心度”和“聚集系数”；链式团伙关注“路径长度”和“环检测”；网状团伙则需计算“密度”和“模块度”。
2.4 团伙模式与图谱特征映射
在模型 Serving 阶段，需要将团伙模式转化为可计算的图特征。下表总结了不同模式对应的关键图指标：
| 团伙模式 | 核心图特征 | 典型算法 | Serving 关注点 |
|---|---|---|---|
| 星型 | 度中心性、中介中心性 | PageRank、HITS | 核心节点实时识别 |
| 链式 | 路径长度、环存在性 | DFS、BFS、环检测 | 资金流向追踪 |
| 网状 | 图密度、聚集系数、模块度 | Louvain、Label Propagation | 社区发现与子图提取 |
| 复合 | 多尺度结构、跨团连接 | GraphSAGE、GAT | 图神经网络推理 |
工程注意： 图谱构建时，边属性（如时间戳、权重）的缺失会导致模式误判。例如，无时间戳的“同设备”边可能将不同时期的正常用户误判为团伙。务必在构建阶段保留关键时序属性。