1. 反欺诈图谱基础

1.1 知识图谱与反欺诈的关系

在金融风控与业务安全领域，传统的规则引擎与单点特征模型往往只能捕捉到“孤立”的异常行为。而知识图谱通过实体（Entity）与关系（Relation）的网状结构，将用户、设备、IP、手机号、银行卡、地址等离散信息连接成一张关联网络，从而揭示出隐藏在数据背后的团伙欺诈、设备农场、养号刷单等复杂模式。

知识图谱在反欺诈中的核心逻辑可以概括为：“从点检测到网检测”。传统模型关注单个用户的属性异常（如短时间内高频交易），而图谱模型关注的是实体之间的连接密度、路径长度、社区结构等拓扑特征。当多个看似正常的个体通过共享设备、共用IP、循环转账等方式紧密连接时，图谱可以快速识别出这个“异常子图”。

1.2 图谱在风控中的核心价值

知识图谱为风控体系带来的价值可以归纳为以下五个维度：

1.3 常见欺诈模式图谱化表示

将欺诈模式转化为图谱结构，是反欺诈图谱建模的第一步。下面列出三种最常见的欺诈模式及其图谱特征：

模式一：设备农场 / 模拟器集群

• 图谱特征： 一个设备关联大量用户账号，且这些账号之间没有社交关系。
• 图结构： 星型结构，中心节点为设备，叶子节点为用户。
• 检测指标： 设备出度（关联用户数）、用户入度（共用设备数）、设备与用户之间的边权重。

模式二：团伙借贷 / 循环担保

• 图谱特征： 多个用户之间形成闭环转账或担保关系，资金最终回流到少数核心账户。
• 图结构： 环状结构或密集子图（团）。
• 检测指标： 环检测、图密度、PageRank 集中度、双向边比例。

模式三：养号刷单 / 虚假交易

• 图谱特征： 一批买家账号反复与少数卖家交易，且这些买家共用IP或收货地址。
• 图结构： 二分图结构，买家与卖家之间边密集，买家之间通过IP/地址形成共享连接。
• 检测指标： 二分图社区发现、买家-卖家边频次、买家共享IP比例。

下面通过一张内联 SVG 图来直观展示这三种欺诈模式的图谱结构差异：

1.4 图谱构建的实体与关系设计

在反欺诈图谱中，实体和关系的设计直接决定了后续分析的深度。以下是一个通用的反欺诈图谱Schema设计示例：

1.5 图谱特征工程入门

在反欺诈图谱中，除了直接使用图算法（如社区发现、PageRank），我们还可以从图谱中提取图特征用于传统机器学习模型。以下是几个最常用的图特征：

# 示例：使用 NetworkX 提取图特征
import networkx as nx

# 假设 G 是已经构建好的反欺诈图谱
# G 中的节点包含 'type' 属性，边包含 'relation' 属性

def extract_graph_features(G, target_node):
    """
    为指定节点提取图特征
    """
    features = {}
    
    # 1. 度特征
    features['degree'] = G.degree(target_node)
    features['in_degree'] = G.in_degree(target_node)
    features['out_degree'] = G.out_degree(target_node)
    
    # 2. 邻居多样性：邻居中不同实体类型的数量
    neighbor_types = set()
    for neighbor in G.neighbors(target_node):
        neighbor_types.add(G.nodes[neighbor].get('type', 'unknown'))
    features['neighbor_type_count'] = len(neighbor_types)
    
    # 3. 二度邻居数量（用于检测团伙规模）
    two_hop_neighbors = set()
    for neighbor in G.neighbors(target_node):
        for two_hop in G.neighbors(neighbor):
            if two_hop != target_node:
                two_hop_neighbors.add(two_hop)
    features['two_hop_count'] = len(two_hop_neighbors)
    
    # 4. 聚类系数（衡量局部紧密程度）
    features['clustering'] = nx.clustering(G, target_node)
    
    # 5. PageRank 值（衡量节点在图中的重要性/风险传播能力）
    pagerank = nx.pagerank(G, alpha=0.85)
    features['pagerank'] = pagerank.get(target_node, 0)
    
    return features