团伙识别回放链路GraphSAGE实践 - 第2节
2.1 图的基本概念
图（Graph）是描述实体之间关系的数学结构，也是图神经网络处理的核心数据对象。在反欺诈场景中，用户、设备、交易记录天然构成一张复杂的异构图。
2.1.1 节点（Node / Vertex）
节点是图中的基本单元，代表现实世界中的实体。在团伙识别任务中，节点可以是：
- 用户节点：注册账号、手机号、身份证号
- 设备节点：IMEI、MAC地址、设备指纹
- 行为节点：交易记录、登录事件、申请单
2.1.2 边（Edge）
边表示节点之间的关联关系。根据方向性可分为：
- 无向边：关系对称，如“同一设备登录过两个账号”
- 有向边：关系有方向，如“A向B转账”
在反欺诈图谱中，边通常携带权重（如交易金额、登录频次）和时间戳，构成时序边特征。
2.1.3 邻接矩阵（Adjacency Matrix）
邻接矩阵是图的代数表示，大小为 \( N \times N \)（N为节点数）。矩阵元素 \( A_{ij} \) 表示节点i与节点j之间是否存在边：
- 无权图：\( A_{ij} \in \{0, 1\} \)
- 有权图：\( A_{ij} \) 为边权重值
| 节点 | 用户A | 用户B | 设备X |
|---|---|---|---|
| 用户A | 0 | 1（转账） | 1（登录） |
| 用户B | 1（转账） | 0 | 0 |
| 设备X | 1（登录） | 0 | 0 |
实战要点：在团伙识别中，邻接矩阵通常非常稀疏（<1%非零元素），直接存储会浪费大量内存。实际工程中采用邻接表或COO格式（坐标列表）存储。
2.2 图神经网络发展简史
图神经网络从早期图论工具发展到深度学习核心范式，经历了四个关键阶段：
| 阶段 | 时间 | 代表性工作 | 核心贡献 |
|---|---|---|---|
| 图论与嵌入 | 2000s–2013 | PageRank、DeepWalk、Node2Vec | 将图结构转化为低维向量，但无法泛化到未见节点 |
| GNN奠基 | 2014–2016 | GCN (Kipf & Welling)、GraphSAGE (Hamilton) | 引入卷积操作和邻域采样，支持归纳式学习 |
| 注意力与门控 | 2017–2019 | GAT、GGNN、MPNN | 注意力机制加权邻居、消息传递框架统一范式 |
| 大规模与预训练 | 2020–至今 | GraphBERT、GPT-GNN、RevGNN | 自监督预训练、百亿级节点训练、可逆GNN节省显存 |
2.2.1 为什么选择GraphSAGE？
在团伙识别回放链路场景中，GraphSAGE相比其他GNN模型具有三个不可替代的优势：
- 归纳式学习（Inductive）：可以处理新出现的节点（如新注册用户、新设备），无需重新训练全图
- 邻域采样（Neighborhood Sampling）：固定采样邻居数量，控制计算复杂度，适合回放链路的高吞吐需求
- 聚合器可插拔（Aggregator）：支持Mean、LSTM、Pooling等多种聚合方式，适配不同关系类型
关键洞察：GraphSAGE的“采样-聚合”机制天然适配反欺诈回放链路——每次回放只需采样目标节点周围的局部子图，无需加载全图，使得在线推理延迟控制在毫秒级。
2.3 本章小结
- 图结构三要素：节点（实体）、边（关系）、邻接矩阵（代数表示）
- GNN发展四阶段：图嵌入 → GNN奠基 → 注意力机制 → 大规模预训练
- GraphSAGE核心优势：归纳式学习、邻域采样、聚合器可插拔，完美适配回放链路场景
常见误区：初学者容易将“图嵌入”（如Node2Vec）与“图神经网络”混为一谈。前者是静态浅层模型，无法泛化到新节点；后者是深度模型，支持归纳式推理。在团伙识别中，每天都有新用户注册，必须使用GNN而非静态嵌入。