1. 课程导论：反欺诈背景、回放链路定义、图谱构建在反欺诈中的价值、课程目标与学习路径

1.1 反欺诈背景：黑产攻防进入“链路对抗”时代

数字经济的快速发展催生了庞大的黑灰产产业链。传统的单点规则（如IP频次、设备指纹、登录地异常）在对抗有组织的、工具化的欺诈行为时，已显露出明显的滞后性。黑产不再依赖单一账号或设备，而是通过“养号—引流—刷单—变现”的完整链路实施攻击。

当前反欺诈面临的核心挑战包括：

• 特征孤岛：单点特征容易被绕过，黑产通过代理池、设备农场、真人众包等手段稀释单点风险。
• 时序隐匿：欺诈行为在时间轴上分散，传统窗口聚合难以捕捉长周期、低密度的异常模式。
• 团伙化：黑产以社群、工作室形式协作，个体行为看似正常，群体关系却呈现高度聚集性。

1.2 回放链路定义：从“单点事件”到“行为序列图谱”

“回放链路”是本课程的核心概念。它并非简单的日志回放，而是指：将用户或设备在特定时间窗口内的行为序列，按照业务逻辑与实体关系，构建成一条带时序、带属性、带上下文的图路径。

回放链路的三个核心要素：

一条典型的回放链路示例：用户A(注册) → 设备D1(登录) → IP池P1(领券) → 订单O1(支付0.01元) → 商户M1。这条链路中，如果多个用户共享同一设备D1且支付金额均为0.01元，则构成典型的“薅羊毛”团伙模式。

1.3 图谱构建在反欺诈中的价值

将回放链路转化为图结构，为反欺诈带来了三个层面的价值提升：

1. 关系穿透：通过图的多跳路径，发现看似无关的实体间的隐藏关联。例如，两个不同用户通过共享设备、共享IP、共享收货地址形成“三角闭合”，风险置信度大幅提升。
2. 时序融合：图结构天然支持将时间戳作为边属性，GraphSAGE的LSTM聚合器可以学习行为序列的时序模式，区分“正常浏览→下单”与“快速注册→批量下单”的链路差异。
3. 归纳泛化：GraphSAGE的归纳式学习能力，使其能对未在训练集中出现的新节点（新设备、新IP）生成嵌入向量，解决了传统直推式图模型（如GCN）无法处理冷启动问题的痛点。

1.4 课程目标与学习路径

本课程旨在培养学员具备以下能力：

• 理解：回放链路图谱的建模原理与反欺诈业务逻辑的映射关系。
• 掌握：使用Python（NetworkX、PyTorch Geometric）构建回放链路图，并实现GraphSAGE模型。
• 实战：在真实风控数据集上完成从图构建、模型训练到链路异常检测的全流程。

课程学习路径分为四个阶段：

下图展示了本课程的核心技术架构与数据流向：

上图清晰地展示了从原始业务数据到最终反欺诈决策的完整链路。本课程将逐一拆解每个环节的实现细节，确保学员能够独立复现整个系统。

1.5 预备知识与环境要求

学习本课程需要具备以下基础：

• Python编程：熟悉NumPy、Pandas、Scikit-learn基础操作。
• 深度学习基础：了解神经网络、梯度下降、Embedding概念。
• 图论基础：理解节点、边、邻接矩阵、度等基本概念（课程会快速回顾）。

推荐环境配置：

# 核心依赖（建议使用Python 3.8+）
torch==2.0.1
torch-geometric==2.3.1
networkx==3.1
pandas==2.0.3
numpy==1.24.3
scikit-learn==1.3.0
matplotlib==3.7.2