1. 反欺诈图谱概述
1.1 反欺诈图谱的定义
反欺诈图谱（Anti-Fraud Knowledge Graph）是一种基于图结构的风控知识体系，将用户、设备、IP、手机号、银行卡、地址等实体定义为节点，将注册、登录、交易、转账、申诉等行为定义为边，通过图数据库存储并实时查询实体之间的多跳关联关系，从而识别团伙欺诈、设备农场、养号、洗钱等复杂风险模式。
核心公式： 反欺诈图谱 = 实体节点 + 行为边 + 时序属性 + 图算法（社区发现/路径分析/标签传播）
与传统规则引擎或单点特征不同，反欺诈图谱天然具备关联穿透能力：一个被标记为“恶意”的设备，通过图谱可以快速找到该设备关联的所有账号、手机号、IP，进而发现整个欺诈团伙。
1.2 图谱在风控中的核心价值
| 价值维度 | 传统风控痛点 | 图谱风控优势 |
|---|---|---|
| 关联深度 | 仅能看单点或两跳关系，SQL 多表 JOIN 性能差 | 支持 5~10 跳深度遍历，毫秒级返回关联路径 |
| 团伙识别 | 依赖人工规则圈定，漏报率高 | 社区发现算法自动聚类，识别设备农场、羊毛党 |
| 实时性 | 离线跑批 T+1，无法拦截实时交易 | 图数据库 + 实时计算引擎，百毫秒内完成图查询 |
| 可解释性 | 模型黑盒，难以向业务解释 | 图谱路径可视化，直接展示“A 设备关联 B 黑名单账号” |
| 对抗演进 | 规则写死，欺诈者容易绕过 | 图谱结构动态更新，欺诈者难以完全切断关联 |
实战案例： 某电商平台通过反欺诈图谱发现 2000 个看似独立的账号共享同一批设备指纹和 IP 池，社区发现算法将其归为 3 个设备农场团伙，挽回损失超 500 万元/月。
1.3 实时特征服务的业务场景
实时特征服务（Real-Time Feature Service）是反欺诈图谱在在线风控场景中的核心落地形态。它接收实时事件（如用户注册、登录、下单、提现），在百毫秒内完成图查询并返回特征值，供决策引擎使用。
典型业务场景清单
- 注册环节反作弊： 查询新注册手机号是否关联已标记恶意设备、是否与黑名单 IP 共享同一设备指纹。
- 登录风险检测： 同一账号在短时间内是否从多个地理位置、多个设备登录，图谱路径中是否存在代理 IP。
- 交易团伙识别： 交易对手方是否与当前用户存在多跳关联（如共享手机号、共享银行卡），判断是否为洗钱链路。
- 申诉/解封审核： 申诉用户提供的辅助验证账号是否与黑产团伙存在图谱关联，辅助人工审核决策。
- 营销活动防刷： 参与活动的账号是否属于同一设备农场，图谱社区大小是否超过阈值。
实时性关键指标： 反欺诈图谱实时特征服务通常要求 P99 延迟 < 200ms，QPS 支持 5000+，图查询深度 3~5 跳。超出此范围需引入缓存层或图预计算。
1.4 图谱实时特征 vs 传统特征对比
| 对比维度 | 传统特征（单点/聚合） | 图谱实时特征 |
|---|---|---|
| 数据来源 | 单表字段、简单聚合 | 多跳图遍历、社区属性 |
| 计算方式 | 离线批处理 / 实时简单计算 | 图数据库实时遍历 + 图算法 |
| 特征示例 | 近 1 小时登录次数、设备指纹 | 关联黑产设备数、社区大小、最短路径长度 |
| 对抗难度 | 低（单点伪造容易） | 高（需切断所有关联路径） |
| 存储模型 | 关系型数据库 / HBase | 图数据库（Neo4j / NebulaGraph / JanusGraph） |