Live graph neural network framework for fraud detection

Abstract

System and method for providing a live graph neural network framework, the method comprises: providing, in response to a trigger event, a subgraph including a set of nodes connected together by a set of edges based on a first dataset, the set of nodes including a seed node associated with the trigger event, each node including one or more attributes representative of characteristics of the data of the first dataset; providing an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset; providing a set of embeddings including node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset; and applying a neural network model to the set of embeddings wherein the neural network model is configured to determine a likelihood of node connections in the subgraph.

Description

LIVE GRAPH NEURAL NETWORK FRAMEWORK FOR FRAUD DETECTIONFIELD

[0001] The present disclosure relates to the field of graph neural networks. More particularly, to a live graph neural network framework for feature representation capabilities in applications such as, for example, fraud detection.BACKGROUND

[0002] A graph model is typically utilized to represent relationships between data points through nodes and edges. Each node represents a data point of a dataset such as, for example, an entity. Each edge connects nodes together and represents the relationship between the nodes. Based on the arrangements of the nodes and edges of a graph model, the graph topology can be leveraged for different applications including, for example, social networks, financial transactions, or knowledge graphs, to identify patterns within the data. Accordingly, graph models can be utilized to learn pattern and make predictions even in large datasets. For example, a graph model can be utilized to identify anomalous electronic activity in a system by an entity.BRIEF DESCRIPTION OF THE DRAWINGS

[0003] Some embodiments of the disclosure are herein described, by way of example only, with reference to the accompanying drawings. With specific reference now to the drawings in detail, it is stressed that the embodiments shown are by way of example and for purposes of illustrative discussion of embodiments of the disclosure. In this regard, the description taken with the drawings makes apparent to those skilled in the art how embodiments of the disclosure may be practiced.

[0004] FIG. 1 is a block diagram of an example system for providing a live graph neural network (GNN) model, according to some embodiments.

[0005] FIG. 2 is a flow diagram of an example method for providing the live GNN model, according to some embodiments.

[0006] FIG. 3 is a block diagram of an example system for providing the live GNN model, according to some embodiments.

[0007] FIG. 4 is a flow diagram of an example method for providing sets of features utilized in providing the live GNN model, according to some embodiments.

[0008] FIG. 5 is a block diagram of an example system for providing sets of features utilized in providing the live GNN model, according to some embodiments.

[0009] FIG. 6 is a flow diagram of an example method for providing model scores utilized in providing the live GNN model, according to some embodiments.

[0010] FIG. 7 is a block diagram of an example system for providing model scores utilized in providing the live GNN model, according to some embodiments.

[0011] FIG. 8 is a flow diagram of an example method for providing embeddings utilized in providing the live GNN model, according to some embodiments.

[0012] FIG. 9 is a block diagram of an example system for providing embeddings utilized in providing the live GNN model, according to some embodiments.

[0013] FIG. 10 is a block diagram of an example computing system, according to some embodiments.DETAILED DESCRIPTION

[0014] Electronic fraud attacks can pose a significant threat to a computing system or networked computing system of an entity. The fraud attack can potentially expose a user’s sensitive personal data or can be used to perform fraudulent electronic transactions by a compromised user account in the computing system of the entity, which can lead to financial losses by the entity, or by a valid user associated with the user account. Accordingly, electronic activity at the computing system of the entity can be monitored to detect potential fraud attacks by previously unidentified malicious actors. Such electronic activity can include, for example, electronic transactions between user computing devices in a transaction processing system, data generated from login attempts to users accounts by user computing devices. The early detection of fraud attacks in the computing system can provide a substantial benefit by limiting the adverse impact from potential fraud attacks. The electronic activity can also be monitored by the entity for various other purposes such as, for example and without limitation, to identify patterns in user behavior, to identify anomalous activity, to identify purchase trends for particular goods or services offered by a merchant to users, or other purposes where complex relationships in data including in large dataset are analyzed to identify patterns.

[0015] Various embodiments of the present disclosure relate to systems and methods that includes a live Graph Neural Network (GNN) framework that performs deep learning on graphs (e.g., subgraphs) generated from live data to provide graph topology and feature representation capabilities in near real-time (NRT) , real-time (RT) , or both. The graph includes nodes and edges connecting the nodes together based on live data of a computing system or networked computing system of an entity. For example, the live data can be generated from electronic transactions performed using a transaction processing system associated with the computing system of the entity. Each node in the graph can represent, for example, a user, object, location, or some other feature of the data. Each edge connects two nodes in the graph together and represents a relationship between the nodes.

[0016] Each of the nodes and edges in the graph can include attributes that represent characteristics of the nodes and edges based on data from the dataset. The node attributes can represent characteristics of data generated based on electronic activities associated with user accounts in the computing system of the entity. The attributes associated with a node can represent, for example and without limitation, account data, personal data, device data, behavioral data, external account data, or other data associated with a particular user account. The account data can include, for example and without limitation, the user or entity name, location data, language preference data, login (e.g., password) data, or other user account data associated with the user. The node attributes can represent, for example, electronic activity associated with login attempts into a user account by one or more user computing devices. The edge attributes can represent characteristics of a relationship between two nodes (e.g., between two entities) that provides information beyond the existence of the relationship itself. The edge attributes can represent, for example and without limitation, a weight, color, direction, or any other relevant data depending on a context of the graph. The weight can represent, for example, a relationship between two nodes such that a higher weight value represents a stronger relationship between the two nodes compared to a lower weight value.

[0017] In the context of fraud attacks, new or improved security measures are regularly implemented in the computing systems of entities to address potential vulnerabilities and when new fraud attack patterns are identified. In response, the approach that is employed by malicious actors to perpetrate fraud attacks also evolves to adapt to these improvements implemented in the targeted computing system. The embodiments of the present disclosure provide a GNN framework that can provide graph model (s) generated based on live data in the computing system of the entity that accurately reflects changes in the data in NRT or RT, which is of significant importance for early identification of patterns indicative of evolving fraud attacks utilizing the graph model and based on the data. To accurately reflect changes in the live data, the GNN can utilize message passing and aggregation techniques to iteratively update the node attributes and the edge attributes in the graph according to the characteristics of the live data. The message passing can include updating the attributes of a given node in the graph based on attributes of neighboring nodes connected to the given node. The aggregation can include combining or summarizing data from multiple attributes associated with a node in the graph into a single, consolidated value based on applying an aggregation function such as, for example, sum, average, minimum, or maximum functions. The GNN thereby leverages the graph topology and the attributes associated with the nodes and edges to learn and to accurately make predictions based on the live data.

[0018] The instant disclosure provides a live GNN framework that offers lower latency and improved performance over other known GNNs by utilizing one or more deep learning technique as further described herein to provide a graph (e.g., subgraph) model that accurately reflects changes from live data generated based on electronic activity in the computing system of the entity, analyze the provided graph model based on the attributes of the nodes and edges using a model, and provide a model score indicative of how well the model predicts the relationship between nodes in a graph, which is indicative of the likelihood or strength of a connection between two nodes based on the model’s analysis of the input dataset. This enables evaluation of the performance of graph models and to compare different graph models to each other. Accordingly, based on the model score associated with the graph, the graph can be utilized to identify patterns in data, identify anomalous patterns in the data, and provide determinations of risk assessments (e.g., identify fraud attacks) in RT in response to live data, or the model score determined for the graph model based on the graph embeddings extracted from the graph can be utilized in a live downstream model to provide the above functionality in NRT in response to live data. For example, a live downstream graph model can update the attributes of the nodes and edges using one or more deep learning techniques to identify fraud detection patterns based on live data generated from electronic activity in the computing system of the entity. Other known GNNs cannot accurately provide determinations from live data in NRT or RT because other known GNNs typically operate in batch mode and the graph model that is provided is not generated from live data. Instead, other known GNNs implement a pipeline that receives batch data at a fixed frequency, such as weekly, daily, intra-day, or less frequently, and provides a graph model having attributes based on the batch data, which results in relatively high latency in identifying new or evolving patterns from anomalous activity and limits accurate identification of new or evolving patterns based on the activity. These other known GNNs face these limitations due to the stringent runtime requirements for model inferencing on large subgraphs that contain high dimensional and edge features. However, due to the rapidly evolving nature of fraud attacks, these other known GNNs face significant limitations in accurate identification of anomalous activity.

[0019] Moreover, the live GNN framework of the present disclosure improves upon other known GNNs by being capable of effectively scaling to large homogeneous or heterogenous subgraphs with more hops while imposing fewer degree limitations and accommodating high-dimensional features on the nodes and edges. The live GNN framework also improves upon other known GNNs by being capable of enriching the graph information by incorporating attributes from external feature databases to further enhance model performance. Further, the live GNN framework can be applied to various node or graph level tasks such as, for example and without limitation, node / graph classification, while also supporting additional features input beyond node or graph embeddings, as well as provide multiple outputs based on a RT multi-task model.

[0020] Among those benefits and improvements that have been disclosed, other objects and advantages of this disclosure will become apparent from the following description taken in conjunction with the accompanying figures. Detailed embodiments of the present disclosure are disclosed herein; however, it is to be understood that the disclosed embodiments are merely illustrative of the disclosure that may be embodied in various forms. In addition, each of the examples given regarding the various embodiments of the disclosure which are intended to be illustrative, and not restrictive.

[0021] FIG. 1 is a block diagram of an example system 100 for providing a live graph neural network (GNN) model, according to some embodiments.

[0022] The system 100 includes a live Graph Neural Network (GNN) system 102, a data store 104, a data processing system 106, a plurality of user devices 108 (two such user devices 108a, 108b are shown) , and one or more merchant devices 110. The plurality of user devices 108 and the one or more merchant devices 110 may be computing systems or computing devices in electronic communication with the data processing system 106 and with each other over a network 112 of the system 100 or some other network. The GNN system 102, data store 104, and data processing system 106 may also be in electronic communication with each other via the network 112 or another network.

[0023] The GNN system 102 includes a processor 116 and a non-transitory, computer-readable medium 118 (e.g., memory) stored thereon instructions that, when executed by the processor 116, cause the GNN system 102 to perform one or more steps, processes, methods, operations, etc., described herein with respect to the GNN system 102. The GNN system 102 includes one or more functional modules embodied in the memory. The functional modules can include a graph query module 120, a transform module 122, an embedding module 124, an model score module 126, and a model output module 128.

[0024] The graph query module 120 can obtain as input data from a database such as, for example, data store 104. The data obtained from the database by the graph query module 120 can have characteristics representative of electronic activity in system 100. In some embodiments, the data obtained by the graph query module 120 from the database can include data generated in response to a triggering event. For example, the obtained data can have characteristics representative of a failed login attempt into a user account by a computing device having an IP address that is not associated with the user account being accessed. Accordingly, the obtained data can have characteristics representative of the triggering event (e.g., electronic activity) , which can be utilized to update the nodes and edges of a graph model. In some embodiments, the data obtained by the graph query module 120 from the database can include data generated from before the triggering event. For example, the obtained data can include data having characteristics representative of electronic activity associated with a user account from a time period before the triggering event. In some embodiments, the obtained data can include other types of data including, but not limited to, account data, personal data, location data, device data, language data, behavioral data, historical data, other types of data associated with a user or the user’s account, or any combination thereof. For example, the account data can include the user’s login data. For example, the behavioral data can include electronic transactions associated with a user that have been initiated by the user or some other user.

[0025] The graph query module 120 can provide a graph (or subgraph) model including nodes and edges connecting the nodes together defining a graph topology based on the data obtained from the database. The graph model can be referred to herein as a graph or subgraph. The graph model can include a seed node based on the triggering event. For example, the triggering event can be based on electronic activity associated with a user account, and the seed node can be representative of the user account. Each node can have one or more attributes representative of the characteristics of the obtained data. Each edge can have one or more attributes representative of the relationship between the nodes. In some embodiments, the obtained data can include live data from the triggering event and can be utilized to generate a new node and edges connecting the node to other nodes in the graph, or a portion of the graph (i.e., subgraph) . In addition, the attributes of the nodes and edges in the graph, or subgraph, can then be updated using one or more techniques including message passing and aggregation to provide a new iteration of the graph model including node and edge having updated attributes based on the triggering event. In some embodiments, the obtained data can include live data from the triggering event and data from before the triggering event and can be utilized by the graph query module 120 to provide a graph model, the graph model including nodes and edges having attributes representative of the obtained data including the triggering event.

[0026] The graph query module 120 thereby can provide a graph model including nodes and edges having attributes that are representative of the characteristics of the data of the database, and which can include data generated based on electronic activity in the data processing system 106 (e.g., the triggering event) . In some embodiments, the graph model can be generated by some other functional module of GNN system 102 or some other system of system 100 external to GNN system 102, and the graph query module 120 can obtain the graph model from this other source in response to the triggering event at data processing system 106. The graph model can be utilized by one or more other functional modules of GNN system 102 such that the GNN system 102 can provide the determinations of risk assessments based on patterns in the data in accordance with the present disclosure in near real-time (NRT) or real-time (RT) . In some embodiments, the database can be a graph database having stored thereon graph-structured data having characteristics representative of the electronic activity in system 100, and the graph query module 120 can obtain the graph model generated from the graph-structured data of the database. In some embodiments, the data stored in the database can include any of a plurality of other types of data, and the graph query module 120 can retrieve the data from the database in response to the triggering event and feed the obtained data into a functional model configured to provide a graph model based on the data.

[0027] According to some embodiments, the triggering event can cause generation of the graph according to one or more rules. In some embodiments, the rules can be predefined rules corresponding to certain types of electronic activity that occurs in GNN system 102, data processing system 106, another system associated with system 100, or any combination thereof. For example, the triggering event can be an account access attempt by one of the plurality of user devices 108. For example, the triggering event can be an unsuccessful account access attempt by one of the plurality of user devices 108. In some embodiments, the triggering event can include one or more triggering events that exceed a threshold. For example, the triggering event can be when one of the plurality of user devices 108 unsuccessfully attempts to access a particular user account a number of times that exceeds a threshold limit. For example, the triggering event can be when the number of unsuccessful account access attempts by the plurality of user devices 108 exceeds a threshold limit.

[0028] The data can be representative of electronic activity associated with a particular service provider, a particular network, a particular electronic activity processor, etc. In some embodiments, the graph query module 120 can extract the data associated with the electronic activity from the database and the graph query module 120 can generate the graph, or subgraph, according to the extracted data. In some embodiments, the graph data can be representative of electronic activity in system 100. In some embodiments, the graph data can be representative of electronic activity in data processing system 106. In some embodiments, the graph data can be representative of electronic activity between the plurality of user devices 108 and the one or more merchants 110. For example, the electronic activity can be an electronic transaction between one of the plurality of user devices 108 and one of the one or more merchants 110.

[0029] According to some embodiments, in the graph model, a node can have attributes based on data from one or more databases. In some embodiments, the node can include attributes based on data from the database such as, for example, data store 104 that stores data generated based on electronic activity at data processing system 106. In some embodiments, the node can include attributes based on data from another database. For example, the node can have attributes representative of data of another database, the data being generated based on complaints from users about potentially fraudulent activity in the data processing system 106. In some embodiments, the data store 104 can include one or more databases including a database that stores the electronic activity in data processing system 106 and at least one other database that stores other information associated with the electronic activity in data processing system 106 or in system 100. In some embodiments, the other database can be external to data store 104. For example, the external database can be associated with another application associated with system 100. In some embodiments, the external database can be external to system 100. For example, the external database can be associated with a financial institution associated with an external entity that has identified the electronic transaction as fraudulent.

[0030] According to some embodiments, the graph query module 120 can obtain data from the one or more databases, and the graph model provided to the other functional modules of GNN system 102 can include nodes having attributes representative of characteristics of data from the one or more databases and edges connecting the nodes together and having attributes representative of the relationship between the nodes.

[0031] The transform module 122 can obtained the graph model from graph query module 120 and can transform the graph model into an input dataset based on the graph topology and the attributes of the nodes and edges. In some embodiments, the input dataset can include a matrix. In some embodiments, the input dataset can include one or more matrices. In some embodiments, the input dataset can include a node matrix and an edge matrix. In some embodiments, the input dataset can include one or more node matrices and one or more edge matrices. In some embodiments, the input dataset can include an edge list. In some embodiments, the input dataset can include one or more edge lists.

[0032] According to some embodiments, the transform module 122 can apply the data of the graph model to a neural network model to transform the graph model to the input dataset using a transformation algorithm. In some embodiments, the transform module 122 can apply a portion of the neural network model to the graph model to transform the data of the graph model into the input dataset utilizing one or more transformation algorithms. In some embodiments, the graph query module 120 can provide a graph model by applying a first portion of the neural network model to the data obtained from the database using a graph traversal algorithm, and the transform module 122 can provide the input dataset by applying a second portion of the neural network model to transform the data obtained by the graph query module 120 using a transformational algorithm.

[0033] According to some embodiments, the input dataset can include a node matrix. The node matrix can be a data structure representative of the attributes of the nodes in the graph model. In some embodiments, each data point of the node matrix can represent two different nodes. In some embodiments, each data point can represent how two different nodes are connected to each other, or each data point can represent the data that is coded to each node to provide insight into the overlap between the attributes of each node. In some embodiments, the input dataset can include one or more node matrices.

[0034] According to some embodiments, the input dataset can include an edge matrix. The edge matrix can be a data structure where each data point is representative of connections between the nodes in the graph model. Each data point in the edge matrix can indicate where an edge exists between two specific nodes. For example, the edge matrix can indicate where an edge exists between two nodes with a “1” value, and the edge matrix can indicate where an edge does not exist between two nodes with a “0” value. It is to be appreciated that the edge list is not limited to utilizing values of “0” and “1” to indicate the existence of edges between nodes in the graph and can include any of a plurality of other distinct values to indicate the existence of an edge between two nodes. In some embodiments, the input dataset can include one or more edge matrices. For example, the input dataset provided by the transform module 122 can include a node matrix and a corresponding edge matrix for each subgraph of the graph model.

[0035] According to some embodiments, the first dataset can be an edge list representing the graph structure. The edge list can be a data structure that represents a graph as a list of edges to show how the nodes (i.e., vertices) in the graph are connected by the edges. In some embodiments, each edge of the edge list can be represented by node pairs, which identifies the two nodes that an edge connects. The edge list can therefore be an array or list including a plurality of node pairs that represents the graph or subgraph. For example, the edge list can represent the graph. For example, the edge list can represent a subgraph of the overall graph model.

[0036] According to some embodiments, the graph model can be a directed graph model or an undirected graph model. The directed graph model (e.g., Bayesian network) allows for conditional probabilities. The edge list for a directed graph model can include a first node of the node pair represents a starting node, and a second node of the node pair represents an ending node. The nodes and edges in the undirected graph model can have no direction, meaning the relationship between nodes can be bidirectional and the edges represent causal relationships.

[0037] The embedding module 124 can obtain the input dataset from the transform module 122. The embedding module 124 can provide a set of embeddings inferenced from the data of input dataset. The embedding module 124 determines the embeddings by learning a mapping of the graph to a lower-dimensional vector space using one or more mapping techniques applied to the input dataset, where the embeddings represent the structure and relationships of the nodes and edges of the graph according to the attributes of the nodes edges. Each embedding can include one or more embedding vectors representative of the graph model, or representative of one of the nodes and edges of the graph. For example, each embedding can have a vector value representative of an attribute of the node or the edge of the graph. In some embodiments, the input dataset can include a node matrix, and the embedding module 124 can provide a set of node embeddings determined based on the node matrix. In some embodiments, the input dataset can include an edge matrix, and the embedding module 124 can provide a set of edge embeddings determined based on the edge matrix. In some embodiments, the input dataset can include an edge list, and the embedding model 124 can provide the set of edge embeddings based on the edge list. In some embodiments, the embedding model 124 can provide the set of edge embeddings based on the edge matrix and the edge list. In some embodiments, the embedding module 124 can provide the set of node embeddings based on the node matrix and the edge list.

[0038] According to some embodiments, the embedding module 124 provides the set of embeddings based on applying the neural network model to the input dataset to inference the set of embeddings using a mapping algorithm. In some embodiments, the embedding module 124 provides the set of embeddings based on applying a portion of the neural network model to the input dataset to inference the set of embeddings using one or more mapping algorithms.

[0039] According to some embodiments, the embedding module 124 can store the set of embeddings representative of the graph model and inferenced from the input dataset in a data store. In some embodiments, the GNN system 102 can include a data store and the set of embeddings can be stored in the data store. For example, the set of embeddings can be stored in a data store of computer-readable medium 118. In some embodiments, the system 100 includes a data store external to GNN system 102 and the set of embeddings can be stored in the data store external to GNN system 102. For example, the data store 104 can include a first data store that includes data generated from electronic activity in data processing system 106 and a second data store that includes data provided by the embedding module 124 that is inferenced from the input dataset from the transformed graph model.

[0040] According to some embodiments, the embedding module 124 can obtain data from another data source, and the embedding module 124 can inference a set of embeddings based on this data from the other data source. For example, the data can have characteristics (i.e., features) representative of one or more events occurring after the triggering event such as data generated from electronic transactions occurring after the account access attempt. In addition, in some embodiments, the embedding module 124 can combine the set of embeddings from the other data source with the set of embeddings inferenced from the input dataset.

[0041] The model score module 126 can obtain the set of embeddings representative of the graph model from the embedding module 124, and the model score module 126 can provide a model score based on applying the neural network model to the set of embeddings. In some embodiments, the model score module 126 can provide the model score based on applying a portion of the neural network model to the set of embeddings. In some embodiments, the model score module 126 can provide the model score based on applying a lightweight model to the set of embeddings, the model being different from the model that transforms the graph model into the input dataset and inferences the set of embeddings from the input dataset. In some embodiments, the lightweight model for providing the model score can be a different model from the model that transforms the graph model into the input dataset, and the model that inferences the set of embeddings from the input dataset can be different from the model that transforms the graph model into the input dataset. In some embodiments, set of embeddings obtained by the model score module 126 can include at least a set of node embeddings and a set of edge embeddings determined based on the input dataset.

[0042] The model score can have a value indicative of how well the model predicts the relationship between nodes in the graph model, which is indicative of a likelihood or strength of a connection between the nodes of the graph determined by the model’s based on the set of embeddings. For example, the model applied to the set of embeddings by the model score module 126 can provide a higher model score to indicate a stronger relative relationship or connection between the nodes of the graph and can provide a lower model score to indicate a lower relative relationship or connection between the nodes of the graph. In some embodiments, the model score module 126 can provide a model score indicative of the likelihood or strength of a connection between two nodes of the graph based on the set of embeddings, the model score module 126 thereby providing a model score for each pair of nodes connected by an edge in the graph. For example, the model score module 126 can provide a higher model score to indicate a stronger relative relationship between two nodes of the graph and can provide a lower model score to indicate a weaker relative relationship between two nodes of the graph. In some embodiments, the model score module 126 can aggregate the model scores indicative of the likelihood or strength of the connection between each of the two connected nodes of the graph and the model score module 126 can provide a model score having a value based on the aggregated model scores. For example, the model score can be a mean value of all the aggregated model scores of the graph. In some embodiments, the model score can be representative of the relationship between a group of nodes, or a cluster of nodes, of the graph. In some embodiments, the model score can be representative of the relationship between all the nodes in the graph.

[0043] The model output module 128 can provide a neural network model configured to be applied to live data to provide the system 100 with risk assessment capabilities by determining whether the electronic activities of a user in data processing system 106, or some other system of system 100, is indicative of anomalous user activities. For example, the model can be configured to predict whether the electronic activity of the user is indicative of a fraud attack to access a user account by an unauthorized user based on live data. The live data can include data generated at data processing system 106 based on the electronic activities of one or more users in data processing system 106. In some embodiments, the model output module 128 can update the neural network model utilizing the embeddings stored in the feature database, the embeddings utilized to update the model being selected based on the model score associated with the embeddings. For example, the set of embeddings provided by the embedding module 124 can be utilized in an updated neural network model provided by the model output module 128 based on the model score provided by the neural network model utilized by the model score module 126. In some embodiments, the model output module 128 can output a graph neural network model configured to provide the system with risk assessment capabilities based on classification of live data from electronic activities of users as being anomalous activities, and the model output module 128 can update the graph neural network model utilizing the embeddings stored in the feature database based on the model score associated with each set of embeddings. For example, the graph neural network model can be updated with the embeddings from the feature database having a model score that exceeds a certain threshold limit.

[0044] It is to be appreciated that the neural network model that is applied to live downstream data to classify electronic activities is not intended to be limited to graph neural network models and can include other types of neural network models that can be trained based on the embeddings stored in the feature database. In some embodiments, the updated neural network model can include any of plurality of different types of classification models trained using the embeddings determined by the embedding module 124 from the queried graph model and based on the model score associated with the embeddings as determined by the model score module 126 including, but not limited to, recurrent neural network (RNN) models, long short-term memory (LSTM) network model, convolutional neural network (CNN) models, autoencoders, multilayer perceptrons (MLPs) , graph neural network (GNN) models, or any combination thereof. In some embodiments, the model can be a graph neural network model. In some embodiments, the graph neural network model can include one or more subgraphs of nodes and edges, each of the subgraphs configured to identify a certain type of anomalous activity based on a context of the live data. In some embodiments, the model can be a classifier model. In some embodiments, the model can be a RNN model. In some embodiments, the model can be a LSTM network model. In some embodiments, the model can be a CNN model.

[0045] In the context of graph neural network models utilized to provide the risk assessment capabilities, the model output module 128 can update the graph model based on the graph model (or subgraph) provided by the graph query module 120 in response to the graph query, and from which the set of embeddings are determined by the embedding module 124. The model output module 128 can output the graph model based on a plurality of embeddings from the feature database, the plurality of embeddings including one or more sets of embeddings identified based on associated model scores. For example, each set of embeddings of the graph model can be selected based on having a highest associated model score relative other sets of embeddings in the feature database. In some embodiments, the graph model can include one or more subgraphs, each subgraph can be provided based on at least one set of embeddings, and the at least one set of embeddings utilized for the subgraph can be selected based on the model score associated with the at least one set of embeddings as determined by the neural network model utilized by model score module 126.

[0046] The model output module 128 can also be utilized at GNN system 102 to train the neural network model to improve the accuracy of the model scores representative of the likelihood of the relationship between connected nodes in the subgraph that is provided by the trained neural network model. Accordingly, the graph model that is utilized to perform risk assessments of live data in RT can exhibit improved risk assessment capabilities to determine whether live data from the electronic activities of a user in data processing system 106 is indicative of anomalous electronic activities. For example, the updated graph model output by the model output module 128 can be utilized to accurately predict evolving methods for fraud attacks being perpetrated by malicious actors in data processing system 106 based on the live downstream data that previous iteration or iterations of the model may not be capable of accurately identifying. The live downstream data can include data generated at data processing system 106 based on the electronic activities of one or more users in data processing system 106. In some embodiments, the live downstream data can include data occurring after a time period of the live data that was utilized to generate the graph model or subgraph by the graph query module 120 and which can be utilized to update the model by model output module 128. In some embodiments, the training dataset can include a plurality of embeddings based on the associated model scores, and the plurality of embeddings can include the set of embeddings inferenced from the input dataset by the embedding module 124 based on the model score determined by the neural network model of model score module 126. In some embodiments, the training dataset can include the model score associated with the set of embeddings. In some embodiments, the training dataset can include one or more sets of embeddings and one or more model scores associated with one or more corresponding graph models.

[0047] According to some embodiments, the GNN system 102 can operate in a first mode or a second mode to update the nodes of a graph. In some embodiments, the first mode can be an asynchronous mode and the second mode can be a synchronous mode.

[0048] In some embodiments, in the first mode, a live graph query can cause a graph model to be asynchronously triggered from the live data such that the one or more functional modules 120, 122, 124, 126, 128 of GNN system 102 can determine the embeddings based on the data of the graph model. In some embodiments, in the first mode, a second neural network model can be determined from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event. For example, each graph model provided by the graph query module 120 based on a graph query can include a seed node having updated information based on a single trigger event, such that the input dataset includes data representative of the updated information of the seed node of the graph, and the set of embeddings inferenced from the input dataset includes embeddings representative of the updated information of the seed node of the graph. In some embodiments, the GNN system 102 can utilize one or more of the functional modules 120, 122, 124 to provide the embeddings representative of the nodes of the graph that are asynchronous triggered from the live data in NRT.

[0049] In some embodiments, in the second mode, live graph queries can be synchronously triggered such that the one or more of the functional modules 120, 122, 124, 126, 128 of GNN system 102 updates the nodes of the graph, provided that the second mode can meet a runtime requirement of the GNN system 102, and the live graph queries are not configured to be asynchronously triggered from the live data. In some embodiments, in the second mode, the second neural network model is determined from a set of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events. For example, each graph model provided by the graph query module 120 based on a graph query can include one or more seed nodes having updated information based on one or more trigger events, such that the input dataset includes data representative of the updated information of the one or more seed node of the graph, and the set of embeddings inferenced from the input dataset includes embeddings representative of the updated information of the seed node of the graph. In some embodiments, the GNN system 102 can utilize one or more of the functional modules 120, 122, 124, 126, 128 to provide the embeddings representative of the nodes of the graph that are synchronously triggered from the live data and to provide an updated graph model for performing risk assessment predictions using live downstream data in RT.

[0050] The embodiments of the present disclosure refer to users, accounts, transactions, and other electronic activities. Such accounts can be accounts common to a particular service provider, a particular network, a particular electronic activity processor, etc. For example, the accounts can be users accounts performing transactions on data processing system 106 using the user devices 108. The electronic transactions and other activity may be transactions processed by, or other activity in or through, the transaction processing system 106, and / or transactions and activity outside of the transaction processing system 106. For example, the electronic activities can include account access attempts by the plurality of user devices 108.

[0051] Although this disclosure refers to transactions as context for the novel methods and systems, it should be understood that such methods and systems can be applied to or in the context of a wide variety of computing actions, some of which may not be considered transactions. For example, where electronic activities are considered herein, account access attempts are considered. For example, where electronic activities are considered herein, interactions between the plurality of user devices 108 and the one or more merchants 110 can be considered. For example, where past transactions are considered herein, past computing actions may more broadly be considered. Similarly, where present transactions are responded to herein, present computing actions may more broadly be responded to.

[0052] Various embodiments herein can employ artificial-intelligence, neural network models, deep learning neural network models, deep q-learning neural network models, and / or machine learning systems and techniques to facilitate training the models from scratch, training the models using audit data, training the models using reinforcement learning for continual learning, determining decisions as output predictions based on applying the input data to the models, other processes, or any combination thereof. Although the one or more embodiments are described in the present disclosure in the context of determining decisions by services at a domain in response to the context of electronic activity or electronic transactions, it is to be appreciated that the various embodiments can be utilized in a networked system such as, for example, system 100 for any of a plurality of purposes including, but not limited to, fulfilling transactions, authentications, content recommendations, managing threats including identifying suspicious or fraudulent transactions, learning user behavior, context-based scenarios, preferences, etc. in order to facilitate the system 100 taking automated action with high degrees of confidence for the computing devices performing transactions on the network 112. Utility-based analysis can be utilized to factor benefit of taking an action against cost of taking an incorrect action. Probabilistic or statistical-based analyses can be employed in connection with the foregoing and / or the following.

[0053] It is noted that systems and / or associated controllers, servers, or M.L. components herein such as discussed above in context of graph query module 120, transform module 122, embedding module 124, model score module 126, model output module 128, and one or more other functional modules of GNN system 102 in FIG. 1 can include artificial intelligence component (s) which can employ an artificial intelligence (AI) model, a neural network or a neural network model, or a M.L. or a M.L. model, that can learn to perform the above or below described functions (e.g., via training data and / or feedback data) . In some embodiments, the GNN system 102 can include a neural network model configured to utilize one or more techniques or algorithms to determine a context of electronic activity generated in the system 100 or data processing system 106 according to the activity of the plurality of user devices 108, generate a graph or subgraph having nodes and edges with features representative of the electronic activity based on properties of data, provide an input dataset according to a transformation of the node features and the edge features from the graph, provide a set of embeddings inferenced according to the input dataset, provide model scores indicative of a quality of the relationship between the nodes in the graph, or any combination thereof. In other embodiments, the GNN system 102 can include a machine learning model configured to utilize one or more techniques to enable the one or more functional modules 120, 122, 124, 126, 128 of GNN system 102 to perform their respective operations.

[0054] In some embodiments, the system 100 and / or the GNN system 102 can include an M.L. module including an A. I. and / or M.L. model that can be trained (e.g., via supervised and / or unsupervised techniques) to perform one or more of the above or below-described functions using training data including various context conditions that correspond to various management operations. In one example, an A. I. and / or M.L. model can further learn (e.g., via supervised and / or unsupervised techniques) to perform the above or below-described functions using training data including feedback data, where such feedback data can be collected and / or stored (e.g., in computer-readable medium 118 or data store 104) by one or more functional modules 120, 122, 124, 126, 128 of GNN system 102 or by an M.L. component of GNN system 102. In this example, such feedback data can include the various instructions described above / below that can be input, for instance, to a system herein, over time in response to observed / stored context-based information.

[0055] A.I.  / M.L. components herein can initiate an operation (s) associated with the one or more functional modules 120, 122, 124, 126, 128 of GNN system 102 based on a defined level of confidence determined using information (e.g., feedback data) . For example, based on learning to perform such functions described above using feedback data, performance information, and / or past performance information herein, an M.L. model herein can initiate an operation associated with providing decisions as output predictions based on the graph obtained according to the data from the database including, but not limited to, user data, account data, device data, historical data, inventory data, user behavior data, sequence data, other types of data at GNN system 102 or data processing system 106, or any combination thereof. In another example, based on learning to perform such functions described above using feedback data, an M.L. model can be trained from scratch, trained using reinforcement learning, trained using continual learning, or trained using data based on the activity of the services at the domain.

[0056] In an embodiment, the M.L. model can perform a utility-based analysis that factors cost of initiating the above-described operations versus benefit. In this embodiment, an artificial intelligence component can use one or more additional context conditions to determine an appropriate distance threshold or context information, or to determine an update for a tuning model.

[0057] To facilitate the above-described functions, an M.L. model herein can perform classifications, correlations, inferences, and / or expressions associated with principles of artificial intelligence. For instance, an M.L. model can employ an automatic classification system and / or an automatic classification. In one example, the M.L. model can employ a probabilistic and / or statistical-based analysis (e.g., factoring into the analysis utilities and costs) to learn and / or generate inferences. The M.L. model can employ any suitable machine-learning based techniques, statistical-based techniques and / or probabilistic-based techniques. For example, the M.L. model can employ expert systems, fuzzy logic, support vector machines (SVMs) , Hidden Markov Models (HMMs) , greedy search algorithms, rule-based systems, Bayesian models (e.g., Bayesian networks) , neural networks, other non-linear training techniques, data fusion, utility-based analytical systems, systems employing Bayesian models, and / or the like. In another example, the M.L. model can perform a set of machine-learning computations. For instance, the M.L. model can perform a set of clustering machine learning computations, a set of logistic regression machine learning computations, a set of decision tree machine learning computations, a set of random forest machine learning computations, a set of regression tree machine learning computations, a set of least square machine learning computations, a set of instance-based machine learning computations, a set of regression machine learning computations, a set of support vector regression machine learning computations, a set of k-means machine learning computations, a set of spectral clustering machine learning computations, a set of rule learning machine learning computations, a set of Bayesian machine learning computations, a set of deep Boltzmann machine computations, a set of deep belief network computations, and / or a set of different machine learning computations.

[0058] In some embodiments, the M.L. model can utilize one or more clustering techniques including, but not limited to, density-based clustering, distribution-based clustering, centroid-based clustering, hierarchical based clustering, or any combinations thereof. In addition, the one or more models can apply one or more clustering algorithms including, but not limited to, k-means clustering algorithms, density-based clustering algorithms, Gaussian mixture model algorithms, balanced iterative reducing and clustering using hierarchies (BIRCH) algorithms, propagation clustering algorithms, mean-shift clustering algorithms, order point clustering, agglomerative hierarchy clustering algorithms, other algorithms, or any combinations thereof. For example, the model can apply the one or more centroid-based clustering models to determine clusters using k-means clustering algorithms.

[0059] FIG. 2 is a flow diagram of an example method 200 for providing the live GNN model, according to some embodiments. The method 200, or one or more portions of the method 200, can be performed by the GNN system 102 of FIG. 1 in conjunction with the data processing system 106, and thus can be computer-implemented. FIG. 3 is a block diagram of an example system 300 for providing the live GNN model, according to some embodiments. In some embodiments, the system 300 can be an embodiment of the GNN system 102 of FIG. 1. The method 200 will be described in conjunction with the system 300.

[0060] At 202, the method 200 can include providing, in response to a trigger event, a subgraph including a set of nodes connected together by a set of edges based on a first dataset. For example, a node can be representative of a user account, and the node can include attributes representative of characteristics of data of the first dataset associated with the user account. For example, the node attributes can be representative of a location of the computing device associated with the electronic activity. The set of nodes can include a seed node determined based on the trigger event and one or more other nodes having a relationship with the seed node as represented by the edges connecting the seed node to the one or more other nodes. For example, the subgraph can include the seed node and those nodes having a relationship with the seed node within 1 hop. For example, the subgraph can include the seed node and those nodes having a relationship with the seed node within 2 hops. For example, the subgraph can include the seed node and those nodes having a relationship with the seed node within 3 hops. In FIG. 3, the subgraph is shown as graph 310, the set of nodes is shown as nodes N1, N2, N3, …, Nn, and the first dataset is shown as being from database 312.

[0061] According to some embodiments, the database can be a graph feature database, and the method 200 can include providing the graph according to graph data obtained from the graph feature database. In some embodiments, the method 200 can include generating the subgraph according to the data obtained from the database. In FIG. 3, the subgraph is shown as graph 310 and the database is shown as database 312. In FIG. 3, the seed node is shown as node N1 and the node features are shown as features 314 (e.g., 3141, 3142, …314n) .

[0062] At 204, the method 200 can include providing an input dataset based on transforming the set of nodes and the set of edges of the subgraph. In some embodiments, the input dataset can include a matrix. In some embodiments, the input dataset can include one or more matrices. In some embodiments, the one or more matrices can include a first matrix. The first matrix can be a node matrix having a data structure where each data point is representative of a node attributes. In some embodiments, each data point can be representative of a common attributes of two nodes in the subgraph. In some embodiments, the one or more matrices can include a second matrix. The second matrix can be an edge matrix having a data structure where each element is representative of a connection between two nodes. In some embodiments, the first dataset can include one or more first matrices. In some embodiments, the first dataset can further include one or more second matrices. In FIG. 3, the input dataset is shown as dataset 320, the first matrix is shown as matrix 322 and the second matrix is shown as matrix 324.

[0063] According to some embodiments, the input dataset can further include an edge list determined from the transformed subgraph. The edge list can include a data structure representative of the connected node pairs of the subgraph. In some embodiments, the first dataset can include one or more edge lists. For example, the subgraph can include a plurality of seed nodes associated with a plurality of trigger events, and the one or more nodes connected to each seed node by up a certain number of hops can be transformed into a respective input dataset. In FIG. 3, the edge list is shown as edge list 326.

[0064] At 206, the method 200 can include providing a set of embeddings including node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset. In some embodiments, the set of embeddings can be determined by learning a mapping from the high dimensionality data of the input dataset representative of the subgraph to a lower dimensional space (i.e., vector space) using one or more mapping techniques, where the node embeddings and edge embeddings have vector values that represent the structure and relationships of the subgraph. In some embodiments, the node embeddings are inferenced from the first matrix. In some embodiments, the edge embeddings are inferenced from the second matrix. In some embodiments, the edge embeddings are inferenced from the second matrix and the edge list. In some embodiments, the set of embeddings includes one or more embeddings inferenced from the edge list. In FIG. 3, the set of embeddings is shown as embeddings 330, the node embeddings is shown as embeddings 332, and the edge embeddings is shown as embeddings 334. In some embodiments, the method 200 can further include storing the set of embeddings in a feature database for use by one or more downstream models. In FIG. 3, the feature database is shown as database 336.

[0065] According to some embodiments, the providing of the live GNN model can be performed in a computing system associated with an entity, and the method 200 can further include operating the computing system in a first mode or a second mode. The system of method 200 can correspond to the GNN system 102 as described with regards to FIG. 1. In some embodiments, in the first mode, the method 200 can further include determining the second neural network model from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event. In some embodiments, in the second mode, the method 200 can further include determining the second neural network model from one or more sets of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events.

[0066] FIG. 4 is a flow diagram of an example method 400 for providing sets of features utilized in providing the live GNN model, according to some embodiments. The method 400, or one or more portions of the method 400, can be performed by the GNN system 102 in conjunction with the data processing system 106, and thus can be computer-implemented. The method 400 can be an embodiment of operation 204 of method 200 of FIG. 2. FIG. 5 is a block diagram of an example system 500 for providing sets of features utilized in providing the live GNN model, according to some embodiments. The system 500 can be an embodiment of the system 100 of FIG. 1. The system 500 can be an embodiment of system 300 of FIG. 3. The method 400 will be described in conjunction with the system 500.

[0067] At 402, the method 400 can include obtaining a first set of features representative of characteristics of data from the first dataset based on the trigger event. In FIG. 5, the first dataset is shown in database 512 and each of the first set of features is shown as feature 516a.

[0068] At 404, the method 400 can include obtaining a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event. In FIG. 3, the second dataset is shown in database 514 and each of the second set of features is shown as feature 516b.

[0069] In some embodiments, the set of nodes of the provided subgraph can have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset. In some embodiments, each of the set of nodes of the provided subgraph can have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset. In some embodiments, one or more of the set of nodes of the provided subgraph can have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset. In FIG. 3, the provided subgraph is shown as graph 510.

[0070] FIG. 6 is a flow diagram of an example method 600 for providing model scores utilized in providing the live GNN model, according to some embodiments. The method 600, or one or more portions of the method 600, can be performed by the GNN system 102 in conjunction with the data processing system 106, and thus can be computer-implemented. The method 600 can be an embodiment of operations 206 of method 200 of FIG. 2. FIG. 7 is a block diagram of an example system 700 for providing model scores utilized in providing the live GNN model, according to some embodiments. The system 700 can be an embodiment of system 100 of FIG. 1. The system 700 can be an embodiment of system 300 of FIG. 3. The system 700 can be an embodiment of system 500 of FIG. 5. The method 600 will be described in conjunction with system 700.

[0071] At 602, the method 600 can include storing the set of embeddings inferenced from the input dataset in a feature database. The feature database can be a live feature database storing embeddings inferenced from respective subgraph models provided in response to trigger events in the electronic activity. In some embodiments, the set of embeddings stored in the feature database can include the node embeddings and the edge embeddings inferenced from the set of nodes connected by the set of edges of the subgraph. In some embodiments, the feature database can include one or more sets of embeddings, and each set of embeddings can be inferenced from a respective subgraph model provided in response to one or more trigger events. In FIG. 7, the input dataset is shown as dataset 702, the inferencing is shown at block 710, the set of embeddings is shown as embeddings 712, the feature database is shown as database 720, which includes a plurality of embeddings shown as embeddings 722a, 722b, 722c, …722n, and in which the embeddings 712 is stored in the database 720 as embeddings 722a.

[0072] At 604, the method 600 can include providing, by the neural network model, a model score indicative of a likelihood of a prediction by the neural network model of a relationship between the set of nodes connected by the set of edges based on the set of embeddings. In some embodiments, the model score can have a value in a certain range limit. In some embodiments, the model score can be determined based on the likelihood of the prediction by the neural network model of a relationship between all the set of nodes connected by the set of edges of the subgraph as determined based on the set of embeddings. In some embodiments, the neural network model can provide a plurality of model scores, each model score determined based on a likelihood of the prediction by the neural network model of a relationship between two nodes of the set of nodes connected by an edge of the set of edges of the subgraph as determined based on the set of embeddings. In FIG. 7, the model score is shown as model score 716, the feature database includes model scores associated with the embeddings stored therein shown as model score 724a, 724b, 724c, …724n, and in which the model score 716 is associated with embeddings 722a as model score 724a in database 720.

[0073] At 606, the method 600 can include providing a graph model generated using a plurality of embeddings based on associated model scores exceeding a certain threshold limit, the graph model including the set of embeddings based on the model score exceeding the certain threshold limit. In some embodiments, the set of embeddings from operation 206 of method 200 can be for a subgraph of the graph model, and the subgraph of the graph model can be updated using the set of embeddings from operation 206 of method 200 based on the model score associated with the set of embeddings that is determined by the neural network model in operation 604 exceeds the certain threshold limit. In some embodiments, the model output module 128 can update the graph model with the set of embeddings from operation 206 of method 200 in response to the model score exceeding the threshold limit, which is then provided as output by model output module 128 to be applied to live downstream data to provide improved risk assessment capabilities based on the set of embeddings utilized in the updated graph model. In some embodiments, the plurality of embeddings of the graph model can include one or more sets of embeddings, which can be stored in the feature database. In addition, in some embodiments, providing the updated graph model can include selecting each of the one or more sets of embeddings of the plurality of embeddings based on the model scores associated with each set of embeddings, the plurality of embeddings of the updated graph model including, for example, the set of embeddings of operation 206 of method 200 based on the model score associated with the set of embeddings. In FIG. 7, the updated graph model is shown as model output 730.

[0074] According to some embodiments, the updated graph model can be provided in a second mode from synchronously triggered events, such that the system of the entity can provide the updated graph model in RT if it meets runtime requirements, provided that the live graph query is triggered synchronously rather than relying on asynchronous triggered events for the graph model.

[0075] At 608, the method 600 can include training, based on the model score, a neural network model using a training dataset to provide a trained neural network model. The trained neural network model can be utilized to improve the determination of the likelihood of the relationship between connected nodes of a graph model. In some embodiments, the trained neural network model can be applied to the set of embeddings to provide model scores with improved accuracy, such that the embeddings that are utilized to provide the updated graph model has an improved relative likelihood of accurately identifying anomalous activities such as, for example, evolving fraud attacks in a data processing system based on the live downstream data. In FIG. 7, the model training is shown at block 740 and the trained model is shown at reference number 742.

[0076] FIG. 8 is a flow diagram of an example method 800 for providing embeddings utilized in providing the live GNN model, according to some embodiments. The method 800, or one or more portions of the method 800, can be performed by the GNN system 102 in conjunction with the data processing system 106, and thus can be computer-implemented. The method 800 can be an embodiment of operation 206 of method 200 of FIG. 2. The method 800 can be an embodiment of operations 602, 604 of method 600 of FIG. 6. FIG. 9 is a block diagram of an example system 900 for providing embeddings utilized in providing the live GNN model, according to some embodiments. The system 900 can be an embodiment of system 100 of FIG. 1. The system 900 can be an embodiment of system 300 of FIG. 3. The system 900 can be an embodiment of system 500 of FIG. 5. The system 900 can be an embodiment of system 700 of FIG. 7. The method 800 will be described in conjunction with system 900.

[0077] At 802, the method 800 can include obtaining a first set of embeddings representative of the subgraph. The first set of embeddings can include node embeddings and edge embeddings representative of the subgraph from the trigger event. In FIG. 9, the input dataset is shown as dataset 902 and the first set of embeddings is shown as embeddings 912. In some embodiments, the first set of embeddings can be obtained from the feature database. In FIG. 9, the feature database is shown as database 920.

[0078] At 804, the method 800 can include obtaining a second set of embeddings representative of one or more events occurring after the trigger event. In some embodiments, the second set of embeddings can be from graph structured data. In some embodiments, the graph structured data can include node embeddings and edge embeddings representative of the one or more events occurring after the trigger event. In some embodiments, the second set of embeddings can be obtained from another database other than the feature database. In some embodiments, the other database can be external to the feature database. In some embodiments, the other database can be external to a system of the entity. In FIG. 9, the other database is shown as database 906 and the second set of embeddings is shown as embeddings 908.

[0079] In some embodiments, the model score provided by the neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings using the neural network model. In FIG. 9, the neural network model is shown as model 914, the model score is shown as model score 916. In some embodiments, the graph model provided as output can be updated utilizing the set of embeddings based on the model score determined by the neural network model exceeding a certain threshold limit, and the set of embeddings can include the first set of embeddings and the second set of embeddings based on the model score determined by the neural network model for the first set of embeddings and the second set of embeddings exceeding the threshold limit.

[0080] FIG. 10 is a block diagram of an example computing system 1000, according to some embodiments.

[0081] The computing system 1000 can be, for example, a desktop computer, laptop, smartphone, tablet, or any other such device having the ability to execute instructions, such as those stored within a non-transient, computer-readable medium. Furthermore, while described and illustrated in the context of a single computing system 1000, those skilled in the art will also appreciate that the various tasks described hereinafter can be practiced in a distributed environment having multiple computing systems 1000 linked via a local or wide-area network in which the executable instructions can be associated with and / or executed by one or more of multiple computing systems 1000.

[0082] In its most basic configuration, computing system environment 1000 typically includes at least one processing unit 1002 and at least one memory 1004, which can be linked via a bus 1006. Depending on the exact configuration and type of computing system environment, memory 1004 can be volatile (such as RAM 1010) , non-volatile (such as ROM 1008, flash memory, etc. ) or some combination of the two. Computing system environment 1000 can have additional features and / or functionality. For example, computing system environment 1000 can also include additional storage (removable and / or non-removable) including, but not limited to, magnetic or optical disks, tape drives and / or flash drives. Such additional memory devices can be made accessible to the computing system environment 1000 by means of, for example, a hard disk drive interface 1012, a magnetic disk drive interface 1014, and / or an optical disk drive interface 1016. As will be understood, these devices, which would be linked to the system bus 1006, respectively, allow for reading from and writing to a hard disk 1018, reading from or writing to a removable magnetic disk 1020, and / or for reading from or writing to a removable optical disk 1022, such as a CD / DVD ROM or other optical media. The drive interfaces and their associated computer-readable media allow for the nonvolatile storage of computer readable instructions, data structures, program modules and other data for the computing system environment 1000. Those skilled in the art will further appreciate that other types of computer readable media that can store data can be used for this same purpose. Examples of such media devices include, but are not limited to, magnetic cassettes, flash memory cards, digital videodisks, Bernoulli cartridges, random access memories, nano-drives, memory sticks, other read / write and / or read-only memories and / or any other method or technology for storage of information such as computer readable instructions, data structures, program modules or other data. Any such computer storage media can be part of computing system environment 1000.

[0083] A number of program modules can be stored in one or more of the memory / media devices. For example, a basic input / output system (BIOS) 1024, containing the basic routines that help to transfer information between elements within the computing system environment 1000, such as during start-up, can be stored in ROM 1008. Similarly, RAM 1010, hard drive 1018, and / or peripheral memory devices can be used to store computer executable instructions comprising an operating system 1026, one or more applications programs 1028, other program modules 1030, and / or program data 1032. Still further, computer-executable instructions can be downloaded to the computing environment 1000 as needed, for example, via a network connection. The applications programs 1028 can include, for example, a browser, including a particular browser application and version, which browser application and version can be relevant to determinations of correspondence between communications and user URL requests, as described herein. Similarly, the operating system 1026 and its version can be relevant to determinations of correspondence between communications and user URL requests, as described herein.

[0084] An end-user can enter commands and information into the computing system environment 1000 through input devices such as a keyboard 1034 and / or a pointing device 1036. While not illustrated, other input devices can include a microphone, a joystick, a game pad, a scanner, etc. These and other input devices would typically be connected to the processing unit 1002 by means of a peripheral interface 1038 which, in turn, would be coupled to bus 1006. Input devices can be directly or indirectly connected to processor 1002 via interfaces such as, for example, a parallel port, game port, firewire, or a universal serial bus (USB) . To view information from the computing system environment 1000, a monitor 1040 or other type of display device can also be connected to bus 1006 via an interface, such as via video adapter 1033. In addition to the monitor 1040, the computing system environment 1000 can also include other peripheral output devices, not shown, such as speakers and printers.

[0085] The computing system environment 1000 can also utilize logical connections to one or more computing system environments. Communications between the computing system environment 1000 and the remote computing system environment can be exchanged via a further processing device, such a network router 1048, that is responsible for network routing. Communications with the network router 1048 can be performed via a network interface component 1044. Thus, within such a networked environment, e.g., the Internet, World Wide Web, LAN, or other like type of wired or wireless network, it will be appreciated that program modules depicted relative to the computing system environment 1000, or portions thereof, can be stored in the memory storage device (s) of the computing system environment 1000.

[0086] The computing system environment 1000 can also include localization hardware 1046 for determining a location of the computing system environment 1000. In embodiments, the localization hardware 1046 can include, for example only, a GPS antenna, an RFID chip or reader, a WiFi antenna, or other computing hardware that can be used to capture or transmit signals that can be used to determine the location of the computing system environment 1000. Data from the localization hardware 1046 can be included in a callback request or other user computing device metadata in the methods of this disclosure.

[0087] The computing system, or one or more portions thereof, can embody a user computing device 108, in some embodiments. Additionally, or alternatively, some components of the computing system 1000 can embody the GNN system 102 and / or data processing system 106. For example, one or more of the functional modules 120, 122, 124, 126, 128 can be embodied as program modules 1030. For example, the transform module 122 can be embodied as program modules 1030. In another example, the embedding module 124 can be embodied as program modules 1030. Some components of the computing system 1000 can embody system 100, 300, 500, 700, 900. For example, the inference 710 can be embodied as program modules 1030.

[0088] In some embodiments, a computer-implemented method for performing fraud risk assessments on data includes providing, in response to a trigger event, a subgraph including a set of nodes connected together by a set of edges based on a first dataset. In some embodiments, the set of nodes includes a seed node associated with the trigger event. In some embodiments, each node includes one or more attributes representative of characteristics of the data of the first dataset. In some embodiments, the method includes providing an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset, and providing a set of embeddings including node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset. In some embodiments, a neural network model is configured to determine a likelihood of node connections in the subgraph by applying the neural network model to the set of embeddings.

[0089] In some embodiments, the method further includes obtaining a first set of features representative of characteristics of data from the first dataset based on the trigger event, and obtaining a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event. In some embodiments, in the provided subgraph, the set of nodes have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset.

[0090] In some embodiments, the method further includes storing the set of embeddings inferenced from the input dataset in a feature database; providing, by the neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings; providing a graph model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit, the graph model including the set of embeddings based on the model score exceeding the certain threshold limit, and training the neural network model using a training dataset to provide a trained neural network model. In some embodiments, the training dataset includes the set of embeddings.

[0091] In some embodiments, providing the set of embeddings further includes obtaining a first set of embeddings including node embeddings and edge embeddings representative of the subgraph, and obtaining a second set of embeddings including node embeddings and edge embeddings representative of an event occurring after the trigger event. In some embodiments, the model score provided by the neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings using the neural network model.

[0092] In some embodiments, the input dataset includes a first matrix representative of attributes associated with the set of nodes in the subgraph, and a second matrix representative of attributes associated with the set of edges in the subgraph.

[0093] In some embodiments, the first dataset includes an edge list. In some embodiments, the edge list includes node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs.

[0094] In some embodiments, a system includes a processor, and a non-transitory computer readable medium having stored thereon instructions that are executable by the processor to enable the system to perform operations including obtain a first set of features representative of characteristics of data from a first dataset based on a trigger event, obtain a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event, provide, in response to the trigger event, a subgraph including a set of nodes connected together by a set of edges based on the first set of features and the second set of features. In some embodiments, the set of nodes includes a seed node associated with the trigger event. In some embodiments, each node includes one or more attributes representative of characteristics of the first dataset and the second dataset. In some embodiments, the operations further include provide an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset, and provide a set of embeddings including node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset. In some embodiments, the system is configured to determine a likelihood of node connections in the subgraph by applying a first neural network model to the set of embeddings.

[0095] In some embodiments, the operations further includes store the set of embeddings inferenced from the input dataset in a feature database, provide, by the first neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings using the first neural network model, provide a second neural network model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit. In some embodiments, the second neural network model includes the set of embeddings based on the model score exceeding the certain threshold limit. In some embodiments, the operations further include train the neural network model using a training dataset to provide a trained first neural network model. In some embodiments, the training dataset includes the set of embeddings and the model score.

[0096] In some embodiments, providing the set of embeddings further includes obtain a first set of embeddings including node embeddings and edge embeddings representative of the subgraph, and obtain a second set of embeddings including node embeddings and edge embeddings representative of one or more events occurring after the trigger event. In some embodiments, the model score provided by the first neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings using the first neural network model.

[0097] In some embodiments, the system operates in a first mode or a second mode.

[0098] In some embodiments, in the first mode, the second neural network model is determined from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event, and, in the second mode, the second neural network model is determined from one or more sets of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events.

[0099] In some embodiments, the input dataset includes a first matrix representative of attributes associated with the set of nodes in the subgraph, and a second matrix representative of attributes associated with the set of edges in the subgraph.

[0100] In some embodiments, the input dataset further includes an edge list includes node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs of the subgraph.

[0101] In some embodiments, a non-transitory computer readable media having stored thereon instructions executable by a processor to enable a computing device to perform operations that include provide, in response to a trigger event, a subgraph including a set of nodes connected together by a set of edges based on a first dataset. In some embodiments, the set of nodes includes a seed node associated with the trigger event. In some embodiments, each node includes one or more attributes representative of characteristics of data of the first dataset. In some embodiments, the operations further include provide an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset, provide a set of embeddings including node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset, provide, by a first neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings using the first neural network model, and provide a second neural network model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit. In some embodiments, the second neural network model including the set of embeddings based on the model score exceeding the certain threshold limit. In some embodiments, a first neural network model is configured to determine a likelihood of node connections in the subgraph by applying the first neural network model to the set of embeddings.

[0102] In some embodiments, the operations further include obtain a first set of features representative of characteristics of data from the first dataset based on the trigger event, and obtain a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event. In some embodiments, in the provided subgraph, the set of nodes have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset.

[0103] In some embodiments, providing the set of embeddings further includes obtain a first set of embeddings including node embeddings and edge embeddings representative of the subgraph, obtain a second set of embeddings including node embeddings and edge embeddings representative of an event occurring after the trigger event, and train the first neural network model using a training dataset to provide a trained first neural network model. In some embodiments, the training dataset includes the first set of embeddings and the second set of embeddings. In some embodiments, the model score is provided by the trained first neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings.

[0104] In some embodiments, the input dataset includes a first matrix representative of attributes associated with the set of nodes in the subgraph, and a second matrix representative of attributes associated with the set of edges in the subgraph.

[0105] In some embodiments, the first dataset includes an edge list. In some embodiments, the edge list includes node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs.

[0106] In some embodiments, the computing device operates in a first mode or a second mode.

[0107] In some embodiments, in the first mode, the second neural network model is determined from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event. In some embodiments, in the second mode, the second neural network model is determined from one or more sets of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events.

[0108] All prior patents and publications referenced herein are incorporated by reference in their entireties.

[0109] Throughout the specification and claims, the following terms take the meanings explicitly associated herein, unless the context clearly dictates otherwise. The phrases "in one embodiment, " “in an embodiment, ” and "in some embodiments" as used herein do not necessarily refer to the same embodiment (s) , though it may. Furthermore, the phrases "in another embodiment" and "in some other embodiments" as used herein do not necessarily refer to a different embodiment, although it may. All embodiments of the disclosure are intended to be combinable without departing from the scope or spirit of the disclosure.

[0110] As used herein, the term “asynchronous mode” refers to a method where each of the nodes of a graph (or subgraph) updates their information individually and at different times from neighboring nodes according to the trigger events rather than all nodes updating simultaneously.

[0111] As used herein, the term “synchronous mode” refers to a method where all nodes of a graph (or subgraph) update their information simultaneously at each iteration, such that every node of the graph (or subgraph) receives information from its neighboring nodes and performs its calculations before moving to the next iteration.

[0112] As used herein, the term "based on" is not exclusive and allows for being based on additional factors not described, unless the context clearly dictates otherwise. In addition, throughout the specification, the meaning of "a, " "an, " and "the" include plural references. The meaning of "in" includes "in" and "on. "

[0113] Some portions of the detailed descriptions of this disclosure have been presented in terms of procedures, logic blocks, processing, and other symbolic representations of operations on data bits within a computer or digital system memory. These descriptions and representations are the means used by those skilled in the data processing arts to most effectively convey the substance of their work to others skilled in the art. A procedure, logic block, process, etc., is herein, and generally, conceived to be a self-consistent sequence of steps or instructions leading to a desired result. The steps are those requiring physical manipulations of physical quantities. Usually, though not necessarily, these physical manipulations take the form of electrical or magnetic data capable of being stored, transferred, combined, compared, and otherwise manipulated in a computer system or similar electronic computing device. For reasons of convenience, and with reference to common usage, such data is referred to as bits, values, elements, symbols, characters, terms, numbers, or the like, with reference to various presently disclosed embodiments. It should be borne in mind, however, that these terms are to be interpreted as referencing physical manipulations and quantities and are merely convenient labels that should be interpreted further in view of terms commonly used in the art. Unless specifically stated otherwise, as apparent from the discussion herein, it is understood that throughout discussions of the present embodiment, discussions utilizing terms such as “determining” or “outputting” or “transmitting” or “recording” or “locating” or “storing” or “displaying” or “receiving” or “recognizing” or “utilizing” or “generating” or “providing” or “accessing” or “checking” or “notifying” or “delivering” or the like, refer to the action and processes of a computer system, or similar electronic computing device, that manipulates and transforms data. The data is represented as physical (electronic) quantities within the computer system’s registers and memories and is transformed into other data similarly represented as physical quantities within the computer system memories or registers, or other such information storage, transmission, or display devices as described herein or otherwise understood to one of ordinary skill in the art.

[0114] It is to be understood that changes may be made in detail, especially in matters of the construction materials employed and the shape, size, and arrangement of parts without departing from the scope of the present disclosure. This Specification and the embodiments described are examples, with the true scope and spirit of the disclosure being indicated by the claims that follow.

[0115] ASPECTS

[0116] Various Aspects are described below. It is to be understood that any one or more of the features recited in the following Aspect (s) can be combined with any one or more other Aspect (s) .

[0117] Aspect 1. A computer-implemented method for performing fraud risk assessments on data, the method comprising: providing, in response to a trigger event, a subgraph comprising a set of nodes connected together by a set of edges based on a first dataset, wherein the set of nodes includes a seed node associated with the trigger event, wherein each node comprises one or more attributes representative of characteristics of the data of the first dataset; providing an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset; and providing a set of embeddings comprising node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset, wherein a neural network model is configured to determine a likelihood of node connections in the subgraph by applying the neural network model to the set of embeddings.

[0118] Aspect 2. The computer-implemented method according to aspect 1, wherein the method further comprises: obtaining a first set of features representative of characteristics of data from the first dataset based on the trigger event; and obtaining a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event, wherein, in the provided subgraph, the set of nodes have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset.

[0119] Aspect 3. The computer-implemented method according to any of the preceding aspects, wherein the method further comprises: storing the set of embeddings inferenced from the input dataset in a feature database; providing, by the neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings; providing a graph model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit, the graph model including the set of embeddings based on the model score exceeding the certain threshold limit, and training the neural network model using a training dataset to provide a trained neural network model, wherein the training dataset comprises the set of embeddings.

[0120] Aspect 4. The computer-implemented method according to any of the preceding aspects, wherein providing the set of embeddings further comprises: obtaining a first set of embeddings comprising node embeddings and edge embeddings representative of the subgraph; and obtaining a second set of embeddings comprising node embeddings and edge embeddings representative of an event occurring after the trigger event, wherein the model score provided by the neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings using the neural network model.

[0121] Aspect 5. The computer-implemented method according to any of the preceding aspects, wherein the input dataset comprises: a first matrix representative of attributes associated with the set of nodes in the subgraph; and a second matrix representative of attributes associated with the set of edges in the subgraph.

[0122] Aspect 6. The computer-implemented method according to any of the preceding aspects, wherein the first dataset comprises: an edge list comprises node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs.

[0123] Aspect 7. A system comprising: a processor; and a non-transitory computer readable medium having stored thereon instructions that are executable by the processor to enable the system to perform operations comprising: obtain a first set of features representative of characteristics of data from a first dataset based on a trigger event; obtain a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event; provide, in response to the trigger event, a subgraph comprising a set of nodes connected together by a set of edges based on the first set of features and the second set of features, wherein the set of nodes includes a seed node associated with the trigger event, wherein each node comprises one or more attributes representative of characteristics of the first dataset and the second dataset; provide an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset; and provide a set of embeddings comprising node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset, wherein the system is configured to determine a likelihood of node connections in the subgraph by applying a first neural network model to the set of embeddings.

[0124] Aspect 8. The system according to aspect 7, wherein the operations further comprises: store the set of embeddings inferenced from the input dataset in a feature database; provide, by the first neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings using the first neural network model; provide a second neural network model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit, the second neural network model including the set of embeddings based on the model score exceeding the certain threshold limit; and train the neural network model using a training dataset to provide a trained first neural network model, wherein the training dataset comprises the set of embeddings and the model score.

[0125] Aspect 9. The system according to aspects 7, 8, or 9, wherein providing the set of embeddings further comprises: obtain a first set of embeddings comprising node embeddings and edge embeddings representative of the subgraph; and obtain a second set of embeddings comprising node embeddings and edge embeddings representative of one or more events occurring after the trigger event, wherein the model score provided by the first neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings using the first neural network model.

[0126] Aspect 10. The system according to aspects 7, 8, or 9, wherein the system operates in a first mode or a second mode.

[0127] Aspect 11. The system according to aspect 10, wherein: in the first mode, the second neural network model is determined from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event, and in the second mode, the second neural network model is determined from one or more sets of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events.

[0128] Aspect 12. The system according to aspects 7, 8, 9, 10, or 11, wherein the input dataset comprises: a first matrix representative of attributes associated with the set of nodes in the subgraph; and a second matrix representative of attributes associated with the set of edges in the subgraph.

[0129] Aspect 13. The system according to aspects 7, 8, 9, 10, 11, or 12, wherein the input dataset further comprises: an edge list comprises node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs of the subgraph.

[0130] Aspect 14. A non-transitory computer readable media having stored thereon instructions executable by a processor to enable a computing device to perform operations comprising: provide, in response to a trigger event, a subgraph comprising a set of nodes connected together by a set of edges based on a first dataset, wherein the set of nodes includes a seed node associated with the trigger event, wherein each node comprises one or more attributes representative of characteristics of data of the first dataset; provide an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset; provide a set of embeddings comprising node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset; provide, by a first neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings using the first neural network model; and provide a second neural network model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit, the second neural network model including the set of embeddings based on the model score exceeding the certain threshold limit, wherein a first neural network model is configured to determine a likelihood of node connections in the subgraph by applying the first neural network model to the set of embeddings.

[0131] Aspect 15. The non-transitory computer readable media according to aspect 14, wherein the operations further comprises: obtain a first set of features representative of characteristics of data from the first dataset based on the trigger event; and obtain a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event, wherein, in the provided subgraph, the set of nodes have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset.

[0132] Aspect 16. The non-transitory computer readable media according to aspects 14 or 15, wherein providing the set of embeddings further comprises: obtain a first set of embeddings comprising node embeddings and edge embeddings representative of the subgraph; obtain a second set of embeddings comprising node embeddings and edge embeddings representative of an event occurring after the trigger event; and train the first neural network model using a training dataset to provide a trained first neural network model, wherein the training dataset comprises the first set of embeddings and the second set of embeddings; wherein the model score is provided by the trained first neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings.

[0133] Aspect 17. The non-transitory computer readable media according to aspects 14, 15, or 16, wherein the input dataset comprises: a first matrix representative of attributes associated with the set of nodes in the subgraph; and a second matrix representative of attributes associated with the set of edges in the subgraph.

[0134] Aspect 18. The non-transitory computer readable media according to aspects 14, 15, 16, or 17, wherein the first dataset comprises: an edge list comprises node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs.

[0135] Aspect 19. The non-transitory computer readable media according to aspects 14, 15, 16, 17, or 18, wherein the computing device operates in a first mode or a second mode.

[0136] Aspect 20. The non-transitory computer readable media according to aspect 19, wherein: in the first mode, the second neural network model is determined from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event, and in the second mode, the second neural network model is determined from one or more sets of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events.

[0137] It is to be understood that changes may be made in detail, especially in matters of the construction materials employed and the shape, size, and arrangement of parts without departing from the scope of the present disclosure. This Specification and the embodiments described are examples, with the true scope and spirit of the disclosure being indicated by the claims that follow.

Claims

A computer-implemented method for performing fraud risk assessments on data, the method comprising:providing, in response to a trigger event, a subgraph comprising a set of nodes connected together by a set of edges based on a first dataset, wherein the set of nodes includes a seed node associated with the trigger event, wherein each node comprises one or more attributes representative of characteristics of the data of the first dataset;providing an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset; andproviding a set of embeddings comprising node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset,wherein a neural network model is configured to determine a likelihood of node connections in the subgraph by applying the neural network model to the set of embeddings.The computer-implemented method of claim 1, wherein the method further comprises:obtaining a first set of features representative of characteristics of data from the first dataset based on the trigger event; andobtaining a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event,wherein, in the provided subgraph, the set of nodes have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset.The computer-implemented method of claim 1, wherein the method further comprises:storing the set of embeddings inferenced from the input dataset in a feature database;providing, by the neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings;providing a graph model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit, the graph model including the set of embeddings based on the model score exceeding the certain threshold limit, andtraining the neural network model using a training dataset to provide a trained neural network model,wherein the training dataset comprises the set of embeddings.The computer-implemented method of claim 3, wherein providing the set of embeddings further comprises:obtaining a first set of embeddings comprising node embeddings and edge embeddings representative of the subgraph; andobtaining a second set of embeddings comprising node embeddings and edge embeddings representative of an event occurring after the trigger event,wherein the model score provided by the neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings using the neural network model.The computer-implemented method of claim 1, wherein the input dataset comprises:a first matrix representative of attributes associated with the set of nodes in the subgraph; anda second matrix representative of attributes associated with the set of edges in the subgraph.The computer-implemented method of claim 5, wherein the first dataset comprises:an edge list comprises node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs.A system comprising:a processor; anda non-transitory computer readable medium having stored thereon instructions that are executable by the processor to enable the system to perform operations comprising:obtain a first set of features representative of characteristics of data from a first dataset based on a trigger event;obtain a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event;provide, in response to the trigger event, a subgraph comprising a set of nodes connected together by a set of edges based on the first set of features and the second set of features, wherein the set of nodes includes a seed node associated with the trigger event, wherein each node comprises one or more attributes representative of characteristics of the first dataset and the second dataset;provide an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset; andprovide a set of embeddings comprising node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset,wherein the system is configured to determine a likelihood of node connections in the subgraph by applying a first neural network model to the set of embeddings.The system of claim 7, wherein the operations further comprises:store the set of embeddings inferenced from the input dataset in a feature database;provide, by the first neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings using the first neural network model;provide a second neural network model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit, the second neural network model including the set of embeddings based on the model score exceeding the certain threshold limit; andtrain the neural network model using a training dataset to provide a trained first neural network model, wherein the training dataset comprises the set of embeddings and the model score.The system of claim 8, wherein providing the set of embeddings further comprises:obtain a first set of embeddings comprising node embeddings and edge embeddings representative of the subgraph; andobtain a second set of embeddings comprising node embeddings and edge embeddings representative of one or more events occurring after the trigger event,wherein the model score provided by the first neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings using the first neural network model.The system of claim 8, wherein the system operates in a first mode or a second mode.The system of claim 10, wherein:in the first mode, the second neural network model is determined from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event, andin the second mode, the second neural network model is determined from one or more sets of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events.The system of claim 7, wherein the input dataset comprises:a first matrix representative of attributes associated with the set of nodes in the subgraph; anda second matrix representative of attributes associated with the set of edges in the subgraph.The system of claim 12, wherein the input dataset further comprises:an edge list comprises node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs of the subgraph.A non-transitory computer readable media having stored thereon instructions executable by a processor to enable a computing device to perform operations comprising:provide, in response to a trigger event, a subgraph comprising a set of nodes connected together by a set of edges based on a first dataset, wherein the set of nodes includes a seed node associated with the trigger event, wherein each node comprises one or more attributes representative of characteristics of data of the first dataset;provide an input dataset based on transforming the set of nodes and the set of edges of the subgraph into the input dataset;provide a set of embeddings comprising node embeddings and edge embeddings representative of the subgraph inferenced from the input dataset;provide, by a first neural network model, a model score indicative of a likelihood of a prediction of a relationship between the set of nodes connected by the set of edges based on the set of embeddings using the first neural network model; andprovide a second neural network model generated using a plurality of embeddings based on an associated model scores exceeding a certain threshold limit, the second neural network model including the set of embeddings based on the model score exceeding the certain threshold limit,wherein a first neural network model is configured to determine a likelihood of node connections in the subgraph by applying the first neural network model to the set of embeddings.The non-transitory computer readable media of claim 14, wherein the operations further comprises:obtain a first set of features representative of characteristics of data from the first dataset based on the trigger event; andobtain a second set of features representative of characteristics of data from a second dataset according to a context of the trigger event,wherein, in the provided subgraph, the set of nodes have attributes representative of the first set of features from the first dataset and the second set of features from the second dataset.The non-transitory computer readable media of claim 14, wherein providing the set of embeddings further comprises:obtain a first set of embeddings comprising node embeddings and edge embeddings representative of the subgraph;obtain a second set of embeddings comprising node embeddings and edge embeddings representative of an event occurring after the trigger event; andtrain the first neural network model using a training dataset to provide a trained first neural network model, wherein the training dataset comprises the first set of embeddings and the second set of embeddings;wherein the model score is provided by the trained first neural network model is indicative of the likelihood of the prediction of the relationship between the set of nodes connected by the set of edges based on the first set of embeddings and the second set of embeddings.The non-transitory computer readable media of claim 14, wherein the input dataset comprises:a first matrix representative of attributes associated with the set of nodes in the subgraph; anda second matrix representative of attributes associated with the set of edges in the subgraph.The non-transitory computer readable media of claim 17, wherein the first dataset comprises:an edge list comprises node pairs representative of the set of nodes and the set of edges representative of relationships between the node pairs.The non-transitory computer readable media of claim 14, wherein the computing device operates in a first mode or a second mode.The non-transitory computer readable media of claim 19, wherein:in the first mode, the second neural network model is determined from the set of embeddings inferenced according to the subgraph provided in response to an asynchronously triggered event, andin the second mode, the second neural network model is determined from one or more sets of embeddings inferenced according to the subgraph provided in response to one or more synchronously triggered events.

Images