机器越来越像人，平台还能识别出来吗？我们用8台设备做了一次实验

你抢不到的演唱会门票、刚开售就秒空的限量商品，甚至一些看起来正在正常浏览、点赞、聊天的账号，背后执行操作的，未必是真人。

过去，自动化作弊更多让人想到手机里的脚本、群控软件或者自动点击工具。但在实际调研中，我们发现，自动化操作正在出现另一种形态：软件可以不装在手机里，操作却依然能够自动完成。

为验证这一问题，威胁猎人研究团队测试了8台不同类型的自动化设备，并将软件脚本与真人操作作为对照，累计采集超过7.5万条操作数据，从压力、接触面积、速度、轨迹和设备运动等9个维度进行比较。

本轮实验得到三个主要结论：

第一，机器已经能够在部分单一指标上接近真人。如机械臂可以真实触碰屏幕，产生压力、接触面积、速度变化和曲线轨迹，“有真实触屏”“轨迹有弯曲”等特征已经不能直接等同于真人。

第二，不同自动化方式仍然会留下不同的行为模式。软件脚本往往过度稳定，HID和鼠标缺少真实触屏特征，物理滑屏设备可能出现明显机械波动，机械臂则在多个维度上介于传统脚本与真人之间。

第三，多维行为组合比单一指标更有识别价值。在测试中，接触面积和滑动的轨迹区分度最高，压力相关指标同样具有较高价值；轨迹、曲率和设备传感器更适合作为辅助证据。机器可以针对某一个特征进行模仿，但同时复制多个彼此关联的人体行为，难度更高。

01

自动化操作已从软件脚本延伸到外部硬件

传统自动化识别往往首先关注手机环境，例如设备是否Root、是否开启异常无障碍能力、是否运行在虚拟环境中，或者是否存在明显的自动化脚本。但外部硬件的出现正在改变问题。

本次研究购买的8台自动化设备，价格从18.3元到1535元不等，从操作原理来看，这些设备大致可以分成三类。

第一类完全不需要真正触碰屏幕，例如HID、鼠标点击器等，通过系统支持的输入协议向手机发送点击和滑动事件。手机可以正常响应，但屏幕上并不存在真实手指接触。

第二类会真实作用于屏幕，例如电容点击器和滑屏器，通过电容触头或机械结构重复完成点击和滑动。

第三类则进一步具备了“看屏幕再操作”的能力。本次实验中的机械臂可以通过摄像头读取手机页面，再结合图像识别判断操作位置，最后通过机械结构完成真实点击和滑动。其配套软件中还存在“AI识别聊天”相关功能，能够根据页面内容决定下一步操作，而不只是重复固定坐标。

因此，面对这类自动化方式，仅判断手机有没有Root、虚拟机、异常无障碍等环境特征已经不够。即使手机本身完全正常，屏幕甚至发生了真实物理触摸，当前操作仍然可能来自机器。研究对象由此从“设备有没有异常”，进一步延伸到“操作行为本身是不是真实”。

02

自动化硬件已能覆盖高频点击、持续滑动和动态页面操作

不同设备所具备的自动化能力，对应的业务动作并不完全相同。

第一类是高频点击类场景，例如抢票、抢购、营销活动、优惠权益领取等。自动化设备可以通过高频、稳定点击提高操作效率。

第二类是持续滑动和互动类场景，例如内容刷量、短视频自动浏览、点赞、收藏等。滑屏器、自动滑屏点赞器等设备可以持续重复动作。

第三类是需要根据页面变化继续操作的场景。传统固定坐标设备能力有限，但带视觉识别的机械臂已经可以先读取屏幕，再决定下一步点击的位置，甚至可以用于聊天等需要动态页面交互的操作。

需要说明的是，本次研究主要验证的是这些设备本身能够完成的操作能力，并不意味着每一类设备已经被实际用于所有上述业务场景。

03

7.5万+实验数据，从9个维度比较真人与自动化操作

3.1 实验对象

本次研究将操作方式分为三组：真人操作、软件自动化和硬件自动化。

软件侧包括代码脚本、屏幕录制、无障碍等自动化方式；硬件侧包括HID、鼠标点击器、电容点击器、物理滑屏器、自动滑屏点赞器和机械臂等。

覆盖多轮次，不同场景的测试。并设置桌面平放、支架、手持、行走等不同操作状态，测试点击、滑动、长按及组合操作。

3.2 数据采集

威胁猎人研究团队开发了专门的行为数据采集程序，在操作过程中记录触摸坐标、时间、压力、接触面积、轨迹点、速度、加速度和曲率等数据，同时获取加速度计、陀螺仪等设备传感器信息，采样间隔约为10—20毫秒。

实验阶段累计采集超过7.5万条操作数据。最终重点选择9个维度进行横向分析：压力强度、压力波动、接触面积、滑动平均速度、滑动速度波动、路径冗余率、平均曲率、线性加速度、陀螺仪。

这9个指标大致可以回答三个问题：

一是屏幕有没有发生真实物理接触，主要由接触面积和压力体现；

二是操作过程是否符合自然人体动作，主要观察速度、速度波动、轨迹和曲率；

三是触摸行为与手机当前物理状态是否匹配，主要结合线性加速度和陀螺仪分析。

04

不同自动化方式，会留下不同的行为特征

4.1 软件脚本的突出特征是“过于稳定”

软件脚本最明显的特征是过于稳定。部分代码脚本和屏幕录制类自动化在压力、速度和轨迹上都表现出较高一致性。真人滑动通常会经历自然的加速、峰值和减速过程，而部分软件自动化的速度和压力变化更加固定，大量重复操作也更容易形成高度一致的模式。

（真人与软件脚本滑动速度曲线对比）

4.2 HID和鼠标可以产生输入事件，但缺少真实触屏特征

接触面积是区分部分外部输入设备的重要特征。

真人手指触摸屏幕时会形成真实接触区域，而且接触面积会随着力度、角度及动作变化。实验中，真人整体接触面积最大、分布范围更宽；机械臂、电容点击器、刷屏器等真实作用于屏幕的设备同样存在接触面积，但分布更加集中。

而HID、鼠标点击器等没有直接产生真实屏幕接触的方式，在测试中接触面积表现为0。

（真人、机械臂、HID、鼠标接触面积分布）

4.3 机械臂已经能够在部分单一指标上接近真人

机械臂是本次实验中最值得关注的一类设备。

与软件脚本不同，机械臂真实作用于屏幕，因此能够产生接触面积和压力；机械结构本身还会带来速度变化和轨迹弯曲。从单一指标观察，它已经可以表现出不少传统意义上的“真人特征”。

4.4 接触面积和滑动的轨迹，是本轮实验区分度最高的两个指标

首先是接触面积，主要反映操作是否发生了真实物理触碰。 真人手指触摸屏幕时会形成明显的接触区域，而且随着力度、角度和动作发生变化；HID、鼠标等非真实触屏方式在实验中则缺少正常的接触面积。机械臂、电容点击器等虽然同样能够产生真实接触，但其分布模式与真人仍存在差异。

其次是滑动的轨迹。主要反映不同操作方式在路径形态和重复程度上的差异。

真人呈现出较为明显的分散情况。起点、终点、弯曲程度均呈现出随机分布；而机械臂呈现出较为明显的分散情况，但较真人呈现出一定的聚集情况；

鼠标点击器的起点和终点虽然存在变化，但滑动路径基本保持为直线，轨迹形态相对单一。其余5款自动化工具的轨迹均为高度统一的直线或曲线。

05

单一指标容易被模仿，多维组合更具有识别价值

本次实验中，多项结果都说明单一规则存在明显边界。

接触面积不为0不一定是真人，机械臂和电容设备同样会真实触屏；轨迹形成曲线不一定是真人，机械结构同样能够制造曲线；速度波动较大也不一定是真人，部分机械设备甚至高于真人；手机发生晃动同样不能直接证明操作来自真人。

本次研究沉淀了9个行为分析维度、不同自动化方式的典型特征和初步多维识别规则，为行为真实性识别提供了进一步验证基础。

研究结论及开源说明

本次实验表明，在当前测试条件下，真人、软件脚本和多类自动化硬件在接触面积、压力、速度、轨迹及设备运动等多个维度上存在可观察差异。

机器可以模仿某一个参数，也可以模仿一次操作，但同时复制压力、接触、速度、轨迹和设备运动之间属于真人的自然关联，难度更高。自动化识别由此可以在设备环境检测基础上，进一步增加对行为真实性的研究和判断。

威胁猎人研究团队已初步沉淀三类研究成果，并将本次研究的相关实验数据、分析方法及识别程序已正式开源。

一是行为分析维度。形成了压力、接触面积、速度、轨迹和设备传感器等9个重点分析维度，并评估了不同指标在本轮实验中的区分价值。

二是自动化设备行为特征。梳理了软件脚本、HID、鼠标、滑屏器、机械臂等不同自动化方式的典型行为模式。

三是多维识别思路。基于实验结果形成了初步规则引擎，用于验证多维行为特征在真人与自动化操作识别中的可行性。

https://github.com/threathunterX/gesture-fingerprint

开源内容包括本次实验涉及的行为数据、分析方法及相关识别程序，供安全、风控及研究人员进一步测试、验证和完善。我们也希望通过开放实验成果，让更多研究者共同探索真人操作与自动化行为之间的差异，以及多维行为特征在自动化识别中的实际价值。

*如需获取该测试报告完整版或业务咨询，请联系威胁猎人。

威胁猎人（Threat Hunter）成立于 2017 年，核心团队来自腾讯安全，拥有超 10 年黑产攻防实战经验。围绕企业业务安全场景，构建了覆盖风险数据画像、反欺诈情报、数据泄露监测、钓鱼仿冒监测、业务安全蓝军、API 安全等多个产品与服务体系，帮助企业提前识别潜在风险，减少欺诈损失。

威胁猎人产品体系全景图

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

感谢阅读