1. 课程导论：团伙识别业务背景、回放链路概念、GraphSAGE在反欺诈中的价值

1.1 团伙识别：反欺诈的“深水区”

在金融、电商、社交等业务场景中，欺诈行为早已从单点个体攻击演变为有组织、有分工的团伙作案。单点欺诈（如盗号、薅羊毛）依赖规则引擎或单样本模型即可有效拦截；而团伙欺诈利用多个账户、设备、IP之间的隐蔽关联，通过“养号”、“刷单”、“洗钱”等复杂链路绕过传统风控。

团伙识别的核心挑战在于：

• 关联隐蔽性：团伙成员通过设备农场、代理IP、虚拟身份制造“正常”表象，关联关系稀疏且动态变化。
• 行为同步性：同一团伙的账户在时间、操作序列上呈现高度同步，但单账户行为特征可能完全正常。
• 标签稀疏性：已确认的欺诈团伙标签极少，大量未知节点需要从图结构中推断。

1.2 回放链路：让图模型“看见”时间

传统图神经网络（GNN）通常基于静态快照建模，忽略了欺诈行为在时间轴上的演化过程。例如，一个“养号”团伙会先批量注册、再缓慢增加社交关系、最后集中发起攻击。静态图无法捕捉这种“先潜伏、后爆发”的时序模式。

回放链路（Replay Link）是一种将时间信息显式注入图结构的建模方法：

1. 时间切片：将连续时间划分为等长窗口（如小时/天）。
2. 链路构建：在每个时间窗口内，根据节点交互行为生成“回放边”，边属性包含时间戳、交互频次、操作类型。
3. 序列化采样：对目标节点，沿时间轴反向采样其历史回放边，形成时序邻居序列。

回放链路的核心价值在于：将“何时与谁交互”转化为图结构特征，使模型能够区分“正常社交”与“团伙协作”在时间模式上的本质差异。

1.3 GraphSAGE：面向大规模图的归纳式学习

GraphSAGE（Graph Sample and AggregatE）是 Hamilton 等人于 2017 年提出的归纳式图神经网络框架。与 Transductive 方法（如 GCN）不同，GraphSAGE 不学习每个节点的独立嵌入，而是学习一个邻居采样与聚合函数，使得模型能够泛化到未见过的节点。

在反欺诈场景中，GraphSAGE 的三大优势：

• 可扩展性：通过固定大小邻居采样，将计算复杂度从 O(N²) 降至 O(N×K)，支持亿级节点图。
• 归纳能力：新注册账户或新设备加入图时，无需重新训练即可生成嵌入，适合实时风控。
• 聚合灵活性：支持 Mean、LSTM、Pooling 等多种聚合器，可适配不同团伙行为模式。

1.4 GraphSAGE 在反欺诈中的价值矩阵

结合回放链路，GraphSAGE 在团伙识别中实现了三个层面的提升：

1.5 课程实践路线图

本课程将按照“数据构建 → 模型设计 → 训练优化 → 部署监控”的完整链路，带你从零实现一个基于回放链路的 GraphSAGE 团伙识别系统。后续章节将依次覆盖：

• 第 2-4 章：图数据构建与回放链路生成（含大规模图存储方案）
• 第 5-7 章：GraphSAGE 模型实现与聚合器选择（Mean/LSTM/Pooling）
• 第 8-10 章：训练策略（负采样、标签传播、损失函数设计）
• 第 11-13 章：模型评估与可解释性（回放边归因、子图可视化）
• 第 14-15 章：在线部署与实时推理（特征存储、模型服务化）