1. 课程导论：什么是团伙识别？为什么需要图神经网络？GraphSAGE在反欺诈中的定位
1.1 什么是团伙识别？
团伙识别（Collusion Detection / Organized Fraud Detection）是反欺诈领域中最具挑战性的任务之一。与单个账户的欺诈行为不同，团伙欺诈是由多个实体（账户、设备、IP、手机号等）有组织、有配合地实施欺诈，以绕过传统的单点风控规则。
核心定义：团伙识别旨在从海量实体及其关联关系中，发现具有异常聚集、协同操作或资金闭环特征的群体，并区分其与正常用户群体。
典型的团伙欺诈场景包括：
- 刷单/刷量团伙：多个账户共享设备、IP，对同一商品或内容进行虚假操作。
- 羊毛党团伙：利用批量注册的账户，通过特定路径套取平台补贴。
- 洗钱/跑分团伙：资金在多个账户间快速流转，形成闭环或复杂网络。
- 虚假借贷团伙：多人伪造资料，互相担保或形成资金回流。
1.2 为什么需要图神经网络？
传统反欺诈方法（如规则引擎、XGBoost、逻辑回归）在处理团伙欺诈时存在明显局限：
| 方法 | 核心思路 | 对团伙识别的局限 |
|---|---|---|
| 规则引擎 | 基于阈值和逻辑判断 | 只能识别显式、固定的模式，无法发现隐蔽的团伙结构 |
| 传统机器学习 | 基于独立样本的特征工程 | 忽略实体间的关联关系，无法捕捉“关系”中的异常 |
| 社区发现算法 | 基于图结构的聚类 | 仅利用拓扑结构，无法融合节点属性（如设备指纹、行为序列） |
图神经网络（GNN）的出现解决了上述问题。它能够同时利用图结构信息和节点属性信息，通过消息传递机制学习每个节点的嵌入表示，从而在保留关系语义的前提下进行节点分类、链接预测或图分类。
一句话总结：GNN 让模型“看到”了实体之间的连接，而不仅仅是实体本身。
下图展示了从“独立样本建模”到“图结构建模”的范式转变：
1.3 GraphSAGE 在反欺诈中的定位
GraphSAGE（Graph Sample and Aggregation）是 GNN 家族中一个里程碑式的模型，由 Hamilton 等人于 2017 年提出。它在反欺诈团伙识别中占据核心位置，主要因为以下特性：
- 归纳学习（Inductive Learning）：能够对训练中未见过的节点生成嵌入，适用于动态变化的欺诈网络。
- 邻居采样（Neighbor Sampling）：通过固定大小的邻居采样，解决了大规模图上的计算瓶颈。
- 灵活聚合（Flexible Aggregation）：支持 Mean、LSTM、Pooling 等多种聚合函数，适应不同图结构。
在反欺诈技术栈中，GraphSAGE 通常位于以下位置：
注意：GraphSAGE 并非万能。它擅长处理同构图（单一节点类型和边类型），但在处理异构图（如用户-设备-IP 多类型节点）时，需要配合异构图扩展或元路径设计。本课程后续章节会专门讲解异构图上的 GraphSAGE 改造。
1.4 课程核心目标
通过本课程，你将掌握以下能力：
- 理解团伙识别的问题定义：从业务场景到图建模的映射。
- 掌握 GraphSAGE 原理：采样、聚合、损失函数、训练流程。
- 构建反欺诈图数据：实体对齐、边构建、特征工程。
- 实现 GraphSAGE 模型：基于 PyTorch Geometric 或 DGL 的代码实战。
- 评估与部署：团伙识别的评估指标、模型上线与监控。
预备知识：建议具备基础的 Python 编程能力，了解基本的机器学习概念（分类、特征、过拟合），并对图论基础（节点、边、邻接矩阵）有初步认识。本课程会从零讲解 GraphSAGE，但不会从零讲解 Python 和 PyTorch。