1. 课程导论：团伙识别场景定义、GraphSAGE 在反欺诈/反黑产中的价值、课程目标与前置知识要求
1.1 团伙识别场景定义
在反欺诈与反黑产领域，团伙识别（Collusion Group Detection / Organized Fraud Detection）是指从海量用户、设备、交易行为数据中，发现由多个实体（账号、设备、IP、手机号等）通过特定关系（注册、转账、同设备登录、同 IP 操作等）构成的、具有共同欺诈或黑产目的的组织化群体。
与单点欺诈不同，团伙欺诈具有以下显著特征：
| 维度 | 单点欺诈 | 团伙欺诈 |
|---|---|---|
| 攻击主体 | 单个账号或设备 | 多个账号、设备、IP 协同 |
| 行为模式 | 高频、异常、孤立 | 低频、分散、关联 |
| 检测难度 | 规则/模型易覆盖 | 需图结构分析 |
| 典型场景 | 盗刷、暴力破解 | 刷单、薅羊毛、养号、洗钱 |
| 损失规模 | 单次损失较小 | 累计损失巨大 |
关键认知：团伙欺诈是当前黑产对抗的主流形态。单个账号可能行为正常，但通过图关系暴露出的聚集性、同源性、协作性才是识别核心。
1.2 GraphSAGE 在反欺诈/反黑产中的价值
传统图算法（如社区发现、规则子图匹配）在团伙识别中存在明显短板：无法泛化到未见节点、无法利用节点自身特征、计算复杂度高。GraphSAGE（Graph Sample and Aggregation）作为归纳式图神经网络，为反欺诈场景带来了三项核心价值：
- 归纳学习能力：不依赖全图结构，可对新增节点（新注册账号、新设备）直接生成嵌入，适合线上实时推理。
- 特征与结构融合：同时聚合节点自身属性（如注册时间、设备指纹）和邻居结构信息，提升团伙判别精度。
- 可扩展性：通过邻居采样控制计算量，支持亿级节点、百亿边的大规模工业图。
实战价值：在头部互联网公司的反黑产体系中，GraphSAGE 相比传统规则召回率提升 30%~50%，且能发现从未见过的“冷启动”团伙。
1.3 课程目标
本课程旨在帮助学员从零到一掌握 GraphSAGE 在团伙识别场景下的完整实战链路。完成本课程后，学员应具备以下能力：
- 理解团伙识别业务逻辑：能独立构建反欺诈/反黑产场景下的图数据模型（节点、边、特征）。
- 掌握 GraphSAGE 算法原理：包括邻居采样、聚合函数（Mean/LSTM/Pooling）、归纳式训练流程。
- 实现端到端工程落地：使用 PyTorch Geometric / DGL 完成数据预处理、模型构建、训练评估与线上推理。
- 具备工业级调优思维：处理样本不平衡、大规模图采样、冷启动节点、可解释性等实际问题。
注意：本课程不侧重图神经网络的理论数学推导，而是聚焦“业务理解 → 图构建 → 模型训练 → 效果评估 → 上线部署”的完整闭环。
1.4 前置知识要求
为保障课程学习效果，建议学员具备以下基础：
| 知识领域 | 具体要求 | 推荐程度 |
|---|---|---|
| Python 编程 | 熟练使用 NumPy、Pandas，了解 PyTorch 基本张量操作 | 必备 |
| 机器学习基础 | 理解监督学习、过拟合、评估指标（Precision/Recall/AUC） | 必备 |
| 图论基础 | 了解节点、边、邻接矩阵、度、连通分量等基本概念 | 推荐 |
| 深度学习基础 | 了解神经网络前向/反向传播、Embedding 概念 | 推荐 |
| 反欺诈业务认知 | 了解刷单、薅羊毛、养号等常见黑产手法 | 加分项 |
学习建议：如果对图神经网络完全陌生，建议先花 1~2 小时阅读 GraphSAGE 原论文（Inductive Representation Learning on Large Graphs）的摘要和引言部分，建立直观印象。
1.5 课程内容概览
本课程共 30 章，按“基础 → 核心 → 进阶 → 实战”四阶段组织：
- 基础篇（第 1~5 章）：团伙识别场景定义、图数据构建、GraphSAGE 算法原理与邻居采样机制。
- 核心篇（第 6~15 章）：聚合函数详解、PyG/DGL 框架实战、二分类/多分类训练流程、评估指标与可视化。
- 进阶篇（第 16~24 章）：大规模图采样优化、冷启动节点处理、样本不平衡、可解释性分析、多图联合训练。
- 实战篇（第 25~30 章）：完整反刷单团伙识别项目、线上推理 Pipeline、A/B 测试与效果监控、模型迭代策略。
课程特色：每章均配有可运行的代码示例（基于 PyTorch Geometric）、真实脱敏数据集片段、以及团伙识别场景的踩坑经验总结。