📚 课程目录第1章课程导论

1. 课程导论：反欺诈场景下的图神经网络需求、GraphSAGE 模型简介、模型漂移监控的重要性

1.1 反欺诈场景下的图神经网络需求

传统反欺诈系统通常基于规则引擎或独立特征（如设备指纹、IP 地址、交易金额）进行评分。然而，欺诈行为正变得越来越复杂，呈现出明显的团伙化、隐蔽化、动态化特征。单一维度的特征难以捕捉欺诈团伙之间的关联关系，导致大量漏报。

图神经网络（GNN）的出现为反欺诈领域带来了革命性的变化。GNN 能够直接对实体（如用户、设备、手机号）之间的交互关系进行建模，从图结构中自动学习欺诈模式。具体需求体现在以下方面：

需求维度	传统方法局限	GNN 解决方案
关系建模	无法利用用户与设备、设备与 IP 之间的关联	通过消息传递机制聚合邻居节点信息，捕获高阶关联
团伙识别	依赖人工规则，难以发现隐蔽的欺诈团伙	自动学习图结构中的异常子图模式，识别团伙性欺诈
冷启动	新用户/新设备缺乏历史行为，特征稀疏	利用邻居节点的信息进行归纳式学习，缓解冷启动问题
特征工程	需要大量人工特征提取，维护成本高	端到端学习，自动生成节点嵌入向量，减少人工干预

  💡 核心洞察： 在反欺诈场景中，关系即特征。一个用户连接了 10 个被标记为欺诈的设备，其风险远高于孤立用户。GNN 正是利用这种拓扑信息来提升欺诈识别率。

1.2 GraphSAGE 模型简介

GraphSAGE（Graph SAmple and aggreGatE）是一种经典的归纳式图神经网络模型，由 Hamilton 等人于 2017 年提出。与直推式模型（如 GCN）不同，GraphSAGE 不要求训练时看到所有节点，而是通过采样和聚合邻居节点的特征来生成目标节点的嵌入向量。这一特性使其非常适合反欺诈场景中不断有新用户、新设备加入的动态图环境。

核心思想

邻居采样： 对每个节点的邻居进行固定大小的采样（如采样 2 跳邻居，每跳采样 10 个节点），控制计算复杂度。
特征聚合： 使用聚合函数（Mean、LSTM、Pooling）将采样到的邻居特征聚合为一个向量。
节点更新： 将聚合后的邻居特征与当前节点特征拼接，通过全连接层更新节点表示。

GraphSAGE 与 GCN 对比

对比维度	GCN（图卷积网络）	GraphSAGE
学习方式	直推式（Transductive）	归纳式（Inductive）
邻居使用	使用全部邻居	采样固定数量邻居
泛化能力	无法泛化到新节点	可泛化到未见节点
计算复杂度	随图规模增大而剧增	可控，适合大规模图
反欺诈适用性	适合静态图分析	适合动态图、冷启动场景

📌 为什么反欺诈选择 GraphSAGE？ 欺诈图是高度动态的——每天都有新用户注册、新设备接入。GraphSAGE 的归纳式学习能力使其能够为这些新节点生成有意义的嵌入，无需重新训练整个模型，极大降低了运维成本。

1.3 模型漂移监控的重要性

在反欺诈场景中，模型部署上线后并非一劳永逸。欺诈模式会随着时间推移而演变：新的欺诈手法出现、用户行为习惯变化、数据分布发生偏移。这些变化会导致模型性能逐渐下降，即发生模型漂移。如果不加以监控，轻则造成大量误报（影响用户体验），重则导致大规模欺诈漏报（造成直接经济损失）。

模型漂移的三种主要类型

概念漂移（Concept Drift）： 欺诈的定义或模式发生变化。例如，过去欺诈交易多为大额转账，现在变为小额高频交易。
数据漂移（Data Drift）： 输入特征的分布发生变化。例如，用户年龄分布从 25-35 岁变为 18-25 岁，导致模型失效。
图结构漂移（Graph Drift）： 图拓扑结构发生变化。例如，欺诈团伙从星型结构变为链式结构，GraphSAGE 聚合的邻居信息不再有效。

⚠️ 反欺诈场景的特殊性： 欺诈分子会主动探测模型边界，并针对性地调整攻击策略。这意味着模型漂移在反欺诈领域发生得更快、更隐蔽。传统的月度或季度重训策略往往滞后，需要建立实时或近实时的漂移监控机制。

漂移监控的核心指标

监控维度	常用指标	告警阈值示例
模型性能	准确率、召回率、F1 分数、AUC	AUC 下降 > 0.05
特征分布	PSI（群体稳定性指标）、KS 统计量	PSI > 0.2
图结构	平均度、聚类系数、连通分量数量	平均度变化 > 30%
预测分布	预测分数均值、标准差、分位数	均值偏移 > 2 个标准差
业务反馈	人工审核通过率、投诉率	通过率上升 > 10%

  🔍 本课程聚焦： 我们将重点讲解如何针对 GraphSAGE 模型构建专门的漂移监控体系，包括图结构漂移的检测方法、嵌入空间分布的变化监控，以及基于 MLOps 的自动化告警与模型回滚机制。