3. GraphSAGE 原理：采样与聚合思想、Inductive Learning vs Transductive Learning

在团伙识别场景中，图数据往往以亿级节点、百亿级边为常态，且新用户、新设备、新账户会持续加入。传统的图神经网络（如 GCN）采用 直推式学习（Transductive Learning），要求训练时所有节点（包括未知节点）都出现在图中，无法泛化到未见节点。GraphSAGE 通过 采样（Sample） 与 聚合（Aggregate） 机制，实现了 归纳式学习（Inductive Learning），成为工业级团伙识别回放链路的首选模型。

3.1 核心思想：从全图卷积到局部邻域聚合

GraphSAGE 不再为每个节点学习独立的嵌入向量，而是学习一个 聚合函数（Aggregator），该函数能够从节点的局部邻域中采样并聚合特征，从而生成目标节点的表示。这一过程使得模型可以泛化到训练阶段从未见过的节点。

3.2 采样策略：固定大小的邻域采样

GraphSAGE 对每个节点的邻居进行 均匀采样，固定采样数量为 S。若节点度大于 S，则无放回采样；若小于 S，则有放回采样至 S 个。这种策略将计算复杂度从 O(|V|) 降低到 O(S^K)，使得模型能够在大规模图上进行 mini-batch 训练。

3.3 聚合函数：三种核心算子

GraphSAGE 提出了三种可学习的聚合函数，用于将邻居节点的特征信息融合到目标节点。不同的聚合函数对团伙结构特征的捕获能力存在差异。

• Mean Aggregator： 对邻居特征逐元素取平均，再与目标节点特征拼接后经过非线性变换。计算高效，适合同质性较强的团伙（如所有成员共用同一设备指纹）。
• Pool Aggregator： 对每个邻居特征经过全连接层后，进行逐元素 max-pooling。能够捕获邻居集合中的最显著特征，适合识别团伙中的“核心节点”或“异常行为”。
• LSTM Aggregator： 将邻居节点按随机顺序输入 LSTM，取最后隐藏状态作为聚合结果。表达能力最强，但计算开销大，且对邻居顺序不敏感（随机顺序训练）。

3.4 Inductive Learning vs Transductive Learning

这是 GraphSAGE 与传统图神经网络（如 GCN、GAT）最本质的区别。理解这一差异，对于设计团伙识别回放链路中的模型选型至关重要。

3.5 团伙识别场景下的实践要点

1. 采样数量与团伙规模匹配： 黑产团伙通常呈现“小世界”特性（平均度 5-20），建议 S₁=10、S₂=5。若采样数量过大，会引入大量无关节点（噪声）；过小则无法捕获团伙全貌。
2. 聚合函数选择： 在回放链路中，推荐使用 Pool Aggregator。团伙识别任务中，往往需要关注“最异常”的邻居（如共用黑产设备、高频交易账号），max-pooling 能够突出这些关键信号。
3. 特征拼接策略： GraphSAGE 在每层聚合后，会将目标节点当前层的表示与聚合后的邻居表示进行拼接（concat），再经过全连接层。这种“跳跃连接”设计有效缓解了过平滑问题，保留了节点自身的原始特征。
4. Mini-batch 训练： 利用 PyTorch Geometric 或 DGL 框架，对每个 batch 中的节点进行“子图采样”，确保 GPU 显存可控。在回放链路中，推理阶段同样采用 mini-batch 方式，避免全图计算。

# GraphSAGE 单层聚合伪代码（PyTorch 风格）
def graphsage_layer(h_self, h_neighbor, aggregator, W, b):
    # 1. 聚合邻居特征
    h_neighbor_agg = aggregator(h_neighbor)  # e.g., mean / max / lstm
    # 2. 拼接自身特征与聚合后的邻居特征
    h_concat = torch.cat([h_self, h_neighbor_agg], dim=-1)
    # 3. 线性变换 + 非线性激活
    h_out = torch.relu(torch.mm(h_concat, W) + b)
    # 4. L2 归一化（可选，稳定训练）
    h_out = torch.nn.functional.normalize(h_out, p=2, dim=-1)
    return h_out