2. 图神经网络基础：图的基本概念与GNN区别
在反欺诈场景中，交易网络、社交关系、设备指纹天然构成图结构。理解图的基本概念以及图神经网络（GNN）与传统神经网络的差异，是掌握GraphSAGE模型漂移监控的前提。
2.1 图的基本概念
图由节点（Vertex/Node）和边（Edge）组成，记为 \( G = (V, E) \)。在反欺诈中：
- 节点：用户、设备、IP地址、银行卡、订单等实体。
- 边：交易关系、设备登录关系、共用IP关系、亲属关系等。
- 邻接矩阵（Adjacency Matrix）：\( A \in \mathbb{R}^{n \times n} \)，\( A_{ij}=1 \) 表示节点 \( i \) 与 \( j \) 有边相连，否则为0。
反欺诈示例： 一个设备关联5个不同用户、3张银行卡，该设备节点在邻接矩阵中对应多行非零值，是团伙欺诈的典型信号。
2.2 图的核心属性
| 属性 | 定义 | 反欺诈含义 |
|---|---|---|
| 度（Degree） | 节点连接的边数 | 高出入度节点可能是中介或洗钱账户 |
| 路径（Path） | 节点间经过的边序列 | 短路径表示强关联，如共用设备 |
| 连通分量 | 节点间可达的最大子图 | 大分量可能对应欺诈团伙 |
| 邻域（Neighborhood） | 节点一跳或k跳范围内的邻居 | GraphSAGE采样邻域做聚合 |
2.3 图神经网络 vs 普通神经网络
普通神经网络（如MLP、CNN）假设输入数据是独立同分布的欧氏空间数据（向量、网格）。图神经网络则处理非欧氏空间的图数据，核心差异在于：
| 对比维度 | 普通神经网络（MLP/CNN） | 图神经网络（GNN） |
|---|---|---|
| 输入结构 | 固定维度向量或网格 | 节点特征 + 邻接矩阵（可变拓扑） |
| 参数共享 | 全连接层或卷积核 | 聚合函数参数在节点间共享 |
| 邻居依赖 | 无（样本独立） | 节点更新依赖邻居信息 |
| 排列不变性 | 输入顺序敏感 | 聚合函数对邻居顺序不敏感 |
| 适用场景 | 图像、文本、表格 | 社交网络、交易图、分子结构 |
关键理解： GNN 的核心思想是消息传递（Message Passing）——每个节点聚合邻居的特征来更新自身表示。GraphSAGE 正是通过采样邻居并聚合来生成节点嵌入，适用于大规模反欺诈图。
2.4 为什么反欺诈需要图神经网络
- 关系挖掘：欺诈行为常表现为团伙、共用设备、循环交易，图结构天然捕获这些关联。
- 特征增强：节点特征（如交易金额）结合邻居特征（如关联设备数）可大幅提升识别能力。
- 归纳学习：GraphSAGE 可对未见节点生成嵌入，适应动态变化的欺诈网络。
- 漂移感知：图结构的变化（如新节点加入、边密度突变）本身就是模型漂移的早期信号。
注意： 图神经网络并非万能。当图过于稀疏或噪声边过多时，消息传递可能引入干扰。在反欺诈中，需结合业务规则做边过滤和采样策略。
2.5 从图到GraphSAGE的桥梁
GraphSAGE（Graph Sample and Aggregation）是GNN的一种变体，核心步骤：
1. 采样：对目标节点，固定采样k跳邻居（如k=2，每跳采样3个邻居）
2. 聚合：使用Mean/LSTM/Pooling聚合邻居特征
3. 更新：将聚合结果与自身特征拼接，经非线性变换得到新嵌入
4. 迭代：重复上述步骤，得到最终节点表示