1. 课程导论与项目背景
1.1 欺诈检测的挑战：传统方法的困境
在金融科技与电商交易高速增长的今天，欺诈行为呈现出隐蔽化、团伙化、实时化的特征。传统的基于规则或浅层模型的检测方法正面临严峻挑战：
| 挑战维度 | 具体表现 | 传统方法瓶颈 |
|---|---|---|
| 数据稀疏性 | 欺诈样本占比通常低于 0.1%，正负样本极度不均衡 | 逻辑回归/决策树容易过拟合少数类，泛化能力差 |
| 关系复杂性 | 欺诈分子通过设备、IP、手机号、社交关系形成复杂网络 | 传统模型只能处理独立特征，无法捕捉关联模式 |
| 概念漂移 | 欺诈手法快速迭代，规则库需要频繁人工更新 | 静态规则滞后于攻击演变，误报率与漏报率双高 |
| 实时性要求 | 交易必须在毫秒级完成风险判定 | 深度模型推理延迟高，难以部署在在线服务中 |
关键数据： 据行业报告，2023 年全球欺诈损失超过 480 亿美元，其中约 62% 的欺诈交易发生在首次交互后的 5 秒内。实时检测窗口的紧迫性不言而喻。
1.2 图神经网络的优势：从关系中发现欺诈
图神经网络（GNN）通过将交易实体建模为节点、交互关系建模为边，能够显式地学习拓扑结构中的异常模式。与传统的特征工程相比，GNN 具备以下核心优势：
- 关系感知： 自动聚合邻居节点的特征，识别团伙欺诈、设备关联、资金传导等复杂模式。
- 归纳学习： 能够对未见过的节点（新用户、新设备）生成嵌入表示，无需全图重训练。
- 端到端训练： 将特征提取与分类任务联合优化，避免人工特征工程的信息损失。
- 抗噪声能力： 通过消息传递机制平滑局部结构噪声，对稀疏图数据具有鲁棒性。
1.3 GraphSAGE 简介：面向工业级实时场景的 GNN
GraphSAGE（Graph Sample and Aggregation）是斯坦福大学提出的归纳式图神经网络框架，专为大规模动态图设计。其核心思想是：不学习每个节点的独立嵌入，而是学习一个聚合函数，该函数能够从节点的局部邻居中采样并聚合特征，从而为任意节点（包括训练时未见过的节点）生成嵌入。
| 特性 | GraphSAGE | 传统 GCN | 优势说明 |
|---|---|---|---|
| 学习范式 | 归纳式（Inductive） | 直推式（Transductive） | GraphSAGE 可泛化到新节点，无需全图重训练 |
| 邻居处理 | 固定大小采样 | 全邻居聚合 | 采样机制控制计算量，适配实时推理 |
| 聚合函数 | Mean / LSTM / Pooling | 均值聚合（固定） | 多种聚合器适应不同图结构 |
| 推理延迟 | 毫秒级（采样+聚合） | 秒级（全图传播） | GraphSAGE 天然适合在线服务 |
为什么选择 GraphSAGE 做实时欺诈评分？ 欺诈场景中，新用户、新设备、新交易不断出现。GraphSAGE 的归纳能力使其无需重新训练即可为这些“新节点”生成嵌入，这是 GCN 等直推式模型无法做到的。
1.4 实时评分接口的需求分析
在金融风控系统中，实时评分接口需要满足以下非功能性需求与业务约束：
- 延迟要求： P99 响应时间 ≤ 100ms，包含图构建、特征提取、模型推理全链路。
- 吞吐量： 支持 ≥ 2000 QPS（每秒查询数），具备水平扩展能力。
- 数据新鲜度： 图数据更新延迟 ≤ 30 秒，确保最近交易关系可被实时利用。
- 模型更新： 支持热加载，模型版本切换不影响在线服务。
- 可观测性： 提供评分分布、特征重要性、推理耗时等监控指标。
架构陷阱提示： 许多团队在实现实时图推理时，忽略了“图构建”环节的延迟。如果每次请求都从数据库拉取全量邻居数据，P99 延迟会轻松超过 500ms。本课程将重点讲解预采样缓存和增量图更新两种优化策略。
1.5 本章小结
本章从欺诈检测的现实挑战出发，论证了图神经网络在关系建模上的不可替代性，并重点介绍了 GraphSAGE 的归纳式学习范式及其在实时场景中的适配性。最后，我们明确了实时评分接口的延迟、吞吐、数据新鲜度、模型更新、可观测性五大核心需求。在接下来的课程中，我们将逐步搭建一个生产级的 GraphSAGE 实时欺诈评分系统，涵盖图数据构建、模型训练、服务化部署与性能调优全流程。