2. 欺诈检测基础
在进入图神经网络建模之前，必须先建立对欺诈检测任务的正确认知。很多初学者一上来就调模型、调超参，结果发现离线指标很高、上线效果很差，根源往往不在模型，而在于对欺诈的业务形态、任务定义和评价口径理解不到位。本节围绕四个基础问题展开：欺诈有哪些类型、节点分类任务如何定义、类别不平衡为什么棘手、以及业务上到底该看哪些指标。
一、欺诈类型：不同形态决定不同的建模假设
欺诈并非单一现象，而是一组具有不同行为模式的异常活动。在课程后续的图建模中，我们主要关注以下几类：
- 账户盗用：攻击者获取真实用户凭证后发起操作，单点行为可能正常，但与设备、IP、收款方形成的关联异常。
- 虚假注册与养号：批量注册账号并模拟正常行为，节点之间常呈现高度同质化，形成密集的“团伙子图”。
- 交易欺诈：包括盗刷、套现、虚假交易等，欺诈者与商户、银行卡、设备之间构成二部图或异构图结构。
- 刷单与营销作弊：通过虚假交易套取补贴，节点间存在异常频繁的互惠关系。
- 洗钱与资金归集：资金在多个账户间快速流转，形成链式或星型拓扑。
这些类型的共同点是：欺诈信号不仅存在于单个节点的属性中，更存在于节点之间的关系结构中。这正是图神经网络相对传统表格模型的优势来源。但不同欺诈类型的图结构差异很大，建模时的邻居采样策略、边类型设计和标签传播方式都需要区别对待。
二、节点分类定义：把欺诈识别转化为可学习任务
在欺诈检测中，最常用的任务形式是节点分类：给定图 G = (V, E, X)，其中 V 是节点集合，E 是边集合，X 是节点特征矩阵，目标是学习一个映射 f: V → {0, 1}，判断每个节点是否为欺诈节点。形式化地，对于节点 v，模型输出预测概率：
ŷ_v = softmax( f_θ( h_v^(L) ) )
其中 h_v^(L) 是第 L 层图神经网络聚合后的节点表示
损失函数：L = - Σ [ y_v log(ŷ_v) + (1 - y_v) log(1 - ŷ_v) ]任务流程通常包括四个阶段：
- 图构建：确定节点类型（用户、设备、商户、卡）与边类型（转账、登录、共用设备），并抽取节点特征。
- 标签准备：从历史案件、人工审核、规则命中结果中获取正样本，从未被举报的样本中采样负样本。
- 模型训练：在训练集上优化节点分类损失，通常采用分层采样或子图采样控制显存。
- 推理与阈值决策：输出欺诈概率后，需要结合业务成本选择判定阈值，而非简单使用 0.5。
需要特别强调的是，欺诈检测中的节点分类往往不是“一次性判定”，而是排序 + 阈值的组合：模型给出风险分数，业务侧根据可承受的审核量确定截断点。这一点直接引出下一节的类别不平衡问题。
三、类别不平衡：欺诈检测的常态而非例外
在真实业务中，欺诈节点占比通常极低。以支付场景为例，欺诈交易占比可能只有 0.1% 到 1%，在极端场景下甚至低于万分之一。这种极端类别不平衡会带来三个直接后果：
- 模型倾向于预测多数类，准确率看似很高但召回率极低。
- 梯度被多数类主导，少数类信号被淹没。
- 验证集上正样本数量太少，指标波动大，难以稳定评估。
常见的应对策略包括：
| 策略 | 做法 | 适用场景 | 注意事项 |
|---|---|---|---|
| 重采样 | 对少数类过采样或对多数类欠采样 | 正样本极少、训练集可调整 | 过采样易过拟合，欠采样易丢信息 |
| 类别权重 | 在损失函数中给正样本更高权重 | 通用，改动小 | 权重过大导致梯度不稳定 |
| Focal Loss | 降低易分样本权重，聚焦难分样本 | 正负样本难度差异大 | 需调 α 与 γ 两个超参 |
| 图结构增强 | 利用邻居标签传播、边采样平衡 | 图方法特有 | 需防止标签泄漏 |
四、业务评价指标：从准确率到成本敏感决策
欺诈检测中，准确率几乎是最没有参考价值的指标。当欺诈占比为 0.5% 时，全部预测为正常的模型准确率可达 99.5%，但没有任何业务价值。真正需要关注的是以下指标：
- 召回率（Recall）：抓到的欺诈占全部欺诈的比例，直接对应资金损失控制能力。
- 精确率（Precision）：预测为欺诈中真正欺诈的比例，对应误伤正常用户的程度。
- F1 分数：精确率与召回率的调和平均，适合两者都重要时使用。
- AUC-ROC：衡量模型整体排序能力，对阈值不敏感。
- AUC-PR：在极端不平衡场景下比 AUC-ROC 更能反映少数类识别能力。
- KS 值：风控领域常用，衡量正负样本累计分布的最大差异。
更进一步，业务上真正关心的是成本敏感指标。假设漏掉一个欺诈造成损失 C_fn，误伤一个正常用户造成损失 C_fp，则总成本可写为：
Total Cost = C_fn × FN + C_fp × FP
最优阈值 t* = argmin_t [ C_fn × FN(t) + C_fp × FP(t) ]这意味着阈值优化不是纯技术问题，而是业务问题。在后续章节中，我们会结合图神经网络输出的概率分布，系统讲解如何通过 PR 曲线和成本曲线确定最优阈值。
总结来看，欺诈检测的四个基础要素相互关联：欺诈类型决定图结构假设，节点分类提供任务形式，类别不平衡影响训练策略，业务指标决定最终决策口径。只有把这四者打通，后续的图神经网络建模和阈值优化才有坚实的落脚点。