1. 课程导论：反欺诈背景、团伙欺诈现状、GraphSAGE在反欺诈中的优势、课程目标与前置知识
1.1 反欺诈背景：从单点对抗到生态博弈
数字经济的快速发展催生了复杂的欺诈生态。传统的规则引擎与单点检测模型（如逻辑回归、XGBoost）主要依赖用户个体特征（如IP地址、设备指纹、交易频次）进行风险评分。然而，随着黑产团伙的产业化与专业化，欺诈行为已从“单人单卡”演变为“多人协同、设备池化、行为伪装”的群体攻击模式。
当前反欺诈面临三大核心挑战：
- 特征失效：黑产通过代理IP、模拟器、猫池等手段绕过单点特征检测。
- 标签稀疏：真实欺诈样本占比通常低于0.1%，传统监督学习难以收敛。
- 对抗演化：欺诈团伙不断调整策略，模型需要具备对分布漂移的鲁棒性。
关键认知： 反欺诈的本质是一场“攻击者-防御者”的持续博弈。防御方必须从个体特征分析转向群体关系挖掘，才能捕捉到隐蔽的团伙结构。
1.2 团伙欺诈现状：规模、模式与危害
团伙欺诈已成为金融、电商、社交等领域最严重的风险来源之一。根据行业报告，超过60%的重大欺诈损失与有组织团伙相关。其典型特征包括：
| 维度 | 传统单人欺诈 | 团伙欺诈 |
|---|---|---|
| 行为模式 | 独立操作，行为离散 | 协同操作，行为关联 |
| 设备特征 | 单一设备，固定IP | 设备池化，IP轮换 |
| 时间分布 | 随机或低频 | 集中爆发，节奏同步 |
| 检测难度 | 较低，规则可覆盖 | 极高，需图分析 |
| 典型场景 | 盗刷、薅羊毛 | 刷单炒信、骗贷、恶意注册 |
团伙欺诈的常见模式包括：星型辐射（一个核心节点控制多个傀儡账号）、链式传导（资金或信息沿关系链逐级传递）、密集子图（多个节点之间高度互联，形成紧密社区）。这些结构在传统特征空间中几乎不可见，但在图结构中却异常突出。
实战提示： 在反欺诈项目中，如果发现某批账号的注册时间、登录IP、设备型号高度重合，但个体特征均正常，应优先怀疑存在团伙关系。
1.3 GraphSAGE在反欺诈中的优势
GraphSAGE（Graph Sample and AggregatE）是一种归纳式图神经网络，它通过采样邻居节点并聚合其特征来生成目标节点的嵌入表示。相比传统图算法（如GCN、GAT），GraphSAGE在反欺诈场景中具有以下不可替代的优势：
- 归纳学习能力：无需重新训练即可泛化到新节点，适合欺诈团伙不断更换账号的动态环境。
- 可扩展性：通过固定大小的邻居采样，能够处理亿级节点的大规模图数据。
- 多跳关系捕获：通过多层聚合，可以捕获2跳、3跳甚至更远的间接关联，识别隐蔽的团伙层级。
- 特征融合灵活：支持将节点属性（如交易金额、注册时长）与图结构信息无缝融合。
1.4 课程目标与学习路径
本课程旨在帮助学员掌握使用GraphSAGE进行团伙识别与模型漂移应对的完整实战技能。课程结束后，学员将能够：
- 理解图神经网络核心原理：掌握GraphSAGE的采样、聚合、更新机制。
- 构建反欺诈图数据管道：从原始日志中提取实体关系，构建异构图。
- 训练并部署GraphSAGE模型：使用PyTorch Geometric实现端到端训练。
- 检测团伙结构与漂移：利用节点嵌入进行社区发现，并监控特征分布变化。
- 应对对抗性漂移：设计增量学习与模型自适应策略。
1.5 前置知识要求
为了确保学习效果，建议学员具备以下基础：
| 领域 | 具体要求 | 推荐资源 |
|---|---|---|
| Python编程 | 熟练使用NumPy、Pandas、Scikit-learn | Python官方教程 |
| 机器学习基础 | 理解监督学习、过拟合、评估指标 | 《机器学习实战》 |
| 深度学习入门 | 了解神经网络、反向传播、PyTorch基础 | PyTorch官方教程 |
| 图论基础 | 节点、边、邻接矩阵、度、连通分量 | 《图论导引》 |
重要提醒： 如果对PyTorch基础操作不熟悉，建议先花2-3天完成PyTorch官方60分钟入门教程。本课程代码将大量使用torch_geometric库，但不会重复讲解基础张量操作。
学习建议： 课程采用“基础→核心→实战→进阶”的递进结构。建议学员按顺序学习，每章结束后完成配套练习。对于有经验的工程师，可以直接从第4章开始，但务必先阅读第1-3章的导论与前置知识总结。