1. 课程导入
欢迎进入《GNN链路预测与隐蔽欺诈关系识别实战》。在真实业务中，欺诈往往不是孤立事件，而是通过共享设备、代理IP、转账路径、担保关系、社交邀请等方式形成团伙。传统规则引擎擅长捕捉显式异常，却很难发现“看起来没有直接联系、但行为模式高度一致”的隐蔽关系。本课程的目标，是让你掌握用图神经网络（GNN）做链路预测，并把预测结果转化为可解释、可落地的欺诈关系识别能力。
学习目标
完成本课程后，你应当能够独立完成以下任务：
- 理解链路预测在欺诈识别中的定位：它不是简单的“补全缺失边”，而是对潜在风险关系的概率建模。
- 掌握图数据构建流程：从交易、登录、设备、IP、社交等原始表，抽取节点、边、特征与标签。
- 能够实现并对比典型GNN链路预测模型，包括GCN、GraphSAGE、GAT以及基于节点对编码的SEAL类方法。
- 掌握负采样、时间切分、边掩码、AUC/AP、Recall@K等评估方法，避免离线指标虚高。
- 能够把模型输出的风险边转化为调查线索，并给出可解释路径与业务处置建议。
核心概念：链路预测与隐蔽欺诈关系
链路预测（Link Prediction）的任务是：给定图 \(G=(V,E)\)，预测两个节点之间是否存在边，或估计该边存在的概率。在欺诈场景中，我们更关心“未来可能出现的风险边”或“当前未被观测到的隐蔽边”。例如：两个账户尚未发生直接转账，但它们共享同一设备指纹、同一收货地址，且资金流向在时序上高度同步，那么它们之间可能存在潜在的团伙关系。
隐蔽欺诈关系通常具有三个特征：第一，路径间接，直接边缺失但多跳路径密集；第二，时间同步，节点行为在短时间窗口内高度相关；第三，特征伪装，单节点特征正常，但关系结构异常。GNN的优势在于，它能把节点特征与邻居结构联合编码，从而捕捉这些间接、同步、结构化的风险信号。
关键区分：链路预测输出的是“边存在的概率”，而欺诈识别需要的是“该边是否代表风险关系”。两者之间需要一套映射策略：阈值选择、Top-K排序、业务规则融合与人工复核。课程后续会反复强调这一点。
整体框架：从数据到决策的六步流程
本课程按照工程落地顺序组织，整体框架如下：
- 图构建：定义节点类型（用户、商户、设备、IP、银行卡）与边类型（转账、登录、绑定、邀请），处理时间戳与权重。
- 特征工程：节点特征（统计、嵌入、画像）、边特征（金额、频次、时间差）与全局特征（社区、PageRank）。
- 样本构造：正样本来自已确认风险边，负样本需谨慎采样，避免“简单负样本”导致模型虚高。
- 模型训练：选择GNN编码器，设计边解码器，处理类别不平衡与时间泄漏。
- 评估与调优：使用时间切分、AUC、AP、Recall@K、命中率等指标，结合业务成本调阈值。
- 解释与处置：输出风险边、关键路径、贡献特征，形成调查工单与处置策略。
| 阶段 | 核心输入 | 关键输出 | 常见风险 |
|---|---|---|---|
| 图构建 | 交易、登录、设备、社交表 | 异构图/同构图 | 节点ID冲突、时间戳缺失 |
| 特征工程 | 原始属性与行为日志 | 节点/边特征矩阵 | 特征穿越、维度爆炸 |
| 样本构造 | 风险边标签、候选边 | 训练/验证/测试集 | 负采样偏差、时间泄漏 |
| 模型训练 | 图结构+特征+标签 | 边概率预测模型 | 过平滑、过拟合 |
| 评估调优 | 预测分数与真实标签 | 指标报告与阈值 | 只看AUC忽略业务召回 |
| 解释处置 | 风险边与路径 | 调查线索与工单 | 不可解释、处置误伤 |
案例场景：共享设备背后的隐蔽团伙
假设某平台发现一批账户在两周内集中注册，单账户交易金额正常，但其中部分账户共享同一设备指纹。传统规则只能标记“设备复用”，但无法判断哪些账户之间真正存在资金或行为关联。我们构建以账户为节点、以转账和共享设备为边的图，使用GraphSAGE学习节点表示，再用边解码器预测账户间潜在风险边。模型输出Top-K风险边后，调查人员发现这些边连接了三个看似独立的账户群，最终确认是一个分工明确的欺诈团伙。
这个案例说明：GNN链路预测的价值不在于替代规则，而在于把分散的弱信号聚合成结构化的风险关系，帮助调查人员从“单点异常”走向“团伙发现”。
常见误区与复盘
误区一：把链路预测当成万能补边。链路预测输出的是概率，不是事实。必须结合业务规则、时间窗口和人工复核。
误区二：负采样过于简单。如果负样本随机选取，模型会学到“只要不是明显异常就是负”，导致线上误报率高。应使用难负样本，如结构相似但无风险标签的节点对。
误区三：忽略时间泄漏。用未来边预测过去边，离线指标会虚高。必须按时间切分训练集与测试集。
误区四：只关注AUC。欺诈识别更关心Top-K命中率和召回率。AUC高不代表调查线索有效。
环境与工具准备
课程实战部分使用Python生态。建议提前准备以下环境，后续章节会直接复用：
# 建议环境
python >= 3.9
torch >= 2.0
torch-geometric >= 2.4
pandas, numpy, scikit-learn
networkx, matplotlib
# 快速检查
python -c "import torch, torch_geometric; print(torch.__version__, torch_geometric.__version__)"如果你暂时没有GPU，CPU也可以完成大部分实验，但训练时间会明显增加。课程中的代码会尽量控制图规模，确保可在单机环境复现。
学习建议：每章先理解“为什么需要这一步”，再动手跑代码。链路预测的难点不在模型本身，而在数据构建、负采样和评估设计。把这三件事做对，模型效果会稳定很多。
本章作为导入，已经建立了课程的整体认知：链路预测是手段，隐蔽欺诈关系识别是目标，GNN是连接两者的核心工具。接下来，我们将从图数据构建开始，逐步进入实战。