1. 课程导论：团伙识别定义、图神经网络概述、GraphSAGE在反欺诈中的应用场景

1.1 团伙识别：从个体欺诈到群体对抗

传统反欺诈系统通常聚焦于个体异常检测，例如识别单个账户的盗刷、恶意注册或虚假交易。然而，随着黑产技术的演进，欺诈行为已从“单兵作战”演变为有组织、有分工的团伙对抗。团伙识别（Collusion Detection / Group Fraud Detection）旨在从海量用户与行为数据中，发现那些通过复杂关联关系协同作案的欺诈群体。

团伙欺诈的典型特征包括：

• 关系密集性：团伙内部成员之间存在大量异常关联（如共用设备、共用IP、循环转账）。
• 行为同步性：成员在短时间内执行相似操作（如批量注册、集中刷单）。
• 信息隐蔽性：通过多层中介、虚假身份或时间分散来规避规则检测。

1.2 图神经网络概述：为什么需要图结构学习？

传统深度学习模型（CNN、RNN、MLP）处理的是欧几里得数据（图像、文本、表格），要求数据具有规则的空间结构或序列顺序。然而，反欺诈场景中的用户-设备-交易关系天然是非欧几里得图结构：节点数量可变、邻居关系无序、边代表复杂的交互语义。

图神经网络（Graph Neural Network, GNN）正是为处理此类图结构数据而设计的深度学习框架。其核心思想是消息传递（Message Passing）：每个节点通过聚合其邻居节点的特征信息，迭代更新自身的嵌入表示，从而捕获局部图结构中的高阶模式。

主流的 GNN 变体包括：

• GCN（图卷积网络）：基于谱域或空间域的卷积操作，对邻居特征进行归一化聚合。
• GAT（图注意力网络）：引入注意力机制，为不同邻居分配不同的聚合权重。
• GraphSAGE：通过采样邻居并聚合，支持归纳式学习，适合大规模动态图。
• GIN（图同构网络）：理论上表达能力最强的 GNN，可区分不同图结构。

1.3 GraphSAGE：面向大规模图的归纳式学习框架

GraphSAGE（Graph Sample and Aggregation）由 Hamilton 等人于 2017 年提出，是 GNN 家族中极具实用价值的代表模型。与 GCN 等直推式（Transductive）模型不同，GraphSAGE 采用归纳式（Inductive）学习：它不学习每个节点的固定嵌入，而是学习一个聚合函数，使得模型能够泛化到训练阶段从未见过的节点。

这一特性对反欺诈场景至关重要：

• 新用户/新设备不断加入：欺诈团伙会持续注册新账户、更换新设备，归纳式模型无需重新训练即可为新节点生成嵌入。
• 图结构动态变化：交易关系、设备关联随时间演变，GraphSAGE 可基于当前局部邻居实时计算节点表示。
• 大规模图可扩展：通过固定大小的邻居采样，将计算复杂度从 O(|V|) 降低到 O(K·S)，其中 K 为层数，S 为采样邻居数。

1.4 GraphSAGE 在反欺诈中的应用场景

GraphSAGE 在反欺诈领域已展现出强大的实战价值，以下是三个典型应用场景：

1.5 课程路线图与实战目标

本课程将带领你从零构建一个基于 GraphSAGE 的团伙识别系统。整个课程分为四个阶段：

1. 基础篇（第1-8章）：图论基础、PyG 框架入门、GraphSAGE 原理与手写实现。
2. 实战篇（第9-18章）：反欺诈图数据构建、特征工程、模型训练与评估、超参数调优。
3. 进阶篇（第19-25章）：异构图 GraphSAGE、大规模分布式训练、模型可解释性。
4. 部署篇（第26-30章）：模型服务化、实时推理管道、A/B 测试与监控。