4. 回放链路业务场景
4.1 什么是回放链路
回放链路（Replay Chain）是指用户在数字广告、营销活动或内容分发场景中，通过重复播放、模拟请求或自动化脚本，对同一资源（如视频广告、落地页、API 接口）进行多次访问或交互所形成的完整请求-响应路径。在反欺诈领域，回放链路特指攻击者利用技术手段绕过频次限制、设备指纹或会话校验，反复触发业务逻辑以获取不当收益的异常行为序列。
核心特征：回放链路与正常用户访问链路的本质区别在于其非人、高频、重复的访问模式，且通常伴随设备参数、IP 地址或时间戳的刻意伪装。
一个典型的回放链路包含以下环节：
- 触发源：脚本、模拟器、群控设备或代理池发起初始请求。
- 请求伪装：伪造 User-Agent、Referer、Cookie 等 HTTP 头部信息。
- 频次绕过：通过 IP 轮换、设备 ID 重置或时间窗口分散规避限流。
- 业务交互：完成点击、播放、下单、领券等目标动作。
- 结果回传：将收益（如积分、优惠券、佣金）归集至攻击者控制的账户。
4.2 典型欺诈模式
回放链路在反欺诈场景中主要对应以下三种高发欺诈模式：
| 欺诈模式 | 定义 | 回放链路特征 | 常见场景 |
|---|---|---|---|
| 刷单 | 通过虚假交易提升商品销量或好评率 | 同一商品短时间内被同一设备/账号反复下单；订单时间间隔极短；收货地址异常集中 | 电商平台、外卖平台、直播带货 |
| 薅羊毛 | 利用活动规则漏洞或自动化工具批量获取优惠 | 同一优惠券被同一设备反复领取；领券时间呈周期性脉冲；设备指纹频繁变化但行为模式固定 | 新用户红包、满减活动、积分兑换 |
| 虚假流量 | 通过机器或脚本模拟用户行为制造虚假曝光/点击 | 广告点击集中在特定 IP 段；点击率远高于行业均值；页面停留时间趋近于零 | 视频广告、信息流推广、搜索竞价 |
注意：三种欺诈模式常混合出现。例如，刷单团伙可能同时使用虚假流量抬高商品热度，再通过薅羊毛手段获取平台补贴。回放链路分析需要同时识别多种模式的叠加特征。
4.3 链路数据特点
回放链路产生的数据具有鲜明的结构特征，这些特点直接影响图神经网络建模时的节点定义、边构建和采样策略：
- 高重复性：相同设备、IP、账号或商品在短时间窗口内反复出现，形成密集的重复边。
- 低多样性：行为序列模式单一，缺乏正常用户浏览、比价、犹豫等自然行为变化。
- 强时序性：请求间隔高度规律（如固定 500ms 一次），或呈现机器特有的脉冲式分布。
- 弱社交性：节点之间缺乏真实社交关系，图谱中多为星型或链式结构，社区结构稀疏。
- 属性伪装：设备参数、地理位置、网络环境等属性存在大量冲突或不合逻辑的组合（如同一设备同时出现在两个城市）。
下表总结了回放链路数据与正常用户数据的核心差异：
| 对比维度 | 正常用户数据 | 回放链路数据 |
|---|---|---|
| 行为熵 | 高（浏览、点击、收藏、购买交替出现） | 低（单一动作重复执行） |
| 时间分布 | 符合泊松分布，有昼夜节律 | 均匀或脉冲式，无自然节律 |
| 设备指纹 | 稳定，长期不变 | 频繁重置或伪造 |
| 图结构密度 | 稀疏，社区结构明显 | 局部密集，全局稀疏 |
| 属性一致性 | 高（IP 与地理位置匹配） | 低（属性冲突常见） |
4.4 回放链路图谱结构示意
下图展示了一个典型的回放链路图谱结构，其中设备节点、IP 节点和商品节点通过重复行为边连接，形成可被 GraphSAGE 聚合的局部子图：
4.5 回放链路检测的图视角
从图神经网络的角度看，回放链路反欺诈的核心任务可以抽象为：在异构图（Heterogeneous Graph）中识别由异常节点和重复边构成的欺诈子图。GraphSAGE 通过采样邻居节点并聚合特征，能够有效捕捉以下关键信号：
- 邻居重复度：某设备节点的邻居（IP、商品）数量远少于正常节点，但边权重极高。
- 属性冲突度：节点属性（如设备型号与操作系统版本）与邻居节点属性存在逻辑矛盾。
- 时序规律度：边的时间戳序列呈现机器生成的周期性或等间隔模式。
- 社区孤立度：欺诈节点在图谱中往往形成孤立的小团体，与正常用户社区连接稀疏。
实践建议：在构建回放链路图谱时，建议将重复边次数作为边权重特征直接输入 GraphSAGE 的聚合函数，这比单纯使用二值边更能区分正常交互与机器回放。