行为建模与轨迹检测:人是有结构的随机过程

人机之辨那一篇里，「物理自洽」和「不可压缩约束」两道检验只给了骨架。这一篇专攻其中最微妙的一维——行为：手指怎么滑、键怎么敲、鼠标怎么移动。它值得单开一篇，因为它最容易被误解为「玄学」，实则是全篇里数学结构最扎实的一块。

（说明：本篇讲的是运动控制律，对手指与鼠标通用——它们都是神经-运动系统驱动的指向运动。但要记住一件事：移动端手指还多出一整条 PC 鼠标根本没有的物理管线——触控 IC 采样、vsync 打包、coalesced events、力/面/角，使移动端的对抗难度高出几个数量级。那一层见移动端触摸。）

先立一个反直觉的命题，它是本篇的主线：

人的行为看起来「随机、难以捉摸」，其实是一个有精确结构的随机过程。它既不是确定性的（那太规整），也不是纯随机的（那太混乱）——它是带结构的随机，而这个结构，由神经与肌肉的控制律写死。

由此得到一个极其有用的推论：机器伪造行为的失败，几乎总是倒向两端之一——要么太规整（确定性脚本：固定间隔、直线、匀速），要么太混乱（纯随机注入：白噪声、均匀分布、无视物理）。真人落在两者之间一条很窄的带里。检测行为，本质就是判断一个样本落在这条窄带内，还是坍向了某一端。

一、行为是「带结构的随机」

这条窄带的两条边，各由一样东西定义：

「随机」这条边，由生物变异定义——没有两次手势完全相同，人手有生理性抖动、有注意力波动、有情绪与疲劳。缺了它（每次都一模一样），就是确定性脚本。
「结构」这条边，由物理与神经控制律定义——运动受力学约束、时序受神经延迟约束。缺了它（纯随机乱走），就违反了人体能做出的动作。

真人同时被这两条边夹住。所以建模人类行为，就是同时刻画它的结构（下面第二、三节：空间的运动律、时间的到达过程）和它的随机质地（第四节：高阶矩与自相关）。机器要过关，得两者都对——而它们分属伪造难度三级台阶里越来越高的层级。

二、空间的结构：运动的控制律

人移动一个指针或手指，轨迹和速度不是随意的，而是遵循几条可写成公式的运动控制律。这些律是运动神经科学几十年的成果，也是检测方建模「人手」的地基。

Fitts 定律——移动时间随「难度」对数增长。指向一个距离 $D$ 、宽度 $W$ 的目标，所需时间为：

MT = a + b\,\log_2\!\Big(\frac{2D}{W}\Big)

其中 $\log_2(2D/W)$ 是难度指数（ID）。目标越远越小，耗时越长，且是对数关系。一个瞬间跳到目标、或以恒定速度直线抵达的脚本，根本不产生这条关系——它的「移动时间」与难度无关，一眼就非人。

极小急动模型——速度剖面是平滑的钟形。人做点到点运动时，神经系统倾向于最小化急动（jerk，即加速度的变化率），于是速度曲线呈一条光滑的、近似对称的钟形：慢起、加速、峰值、减速、慢停。人手不会让加速度突变。

2/3 幂律——转弯必减速，且减速量被曲率精确决定。人手划曲线时，移动速度与轨迹曲率之间存在一个稳定的幂律关系：曲率越大（弯越急），速度越慢，二者遵循

v \;\propto\; \kappa^{-1/3}\qquad(\text{等价地，角速度 } \omega \propto \kappa^{2/3})

这是一条极深、极难伪造的律——它不是「转弯慢一点」的模糊直觉，而是速度与曲率之间一个定量的、可检验的关系。脚本生成的轨迹几乎不可能自然满足它。

这些律联合起来，把「人手能做出的运动」限制在一个很小的可行流形上。人机之辨里提到的落屏冻结、微颤、曲线漂移，本质都是这些律在细节上的体现。脚本要么忽略它们（落在流形外＝物理不可能），要么只近似其中一两条（在其余律上露馅）。

三、时间的结构：到达过程与不可压缩下界

行为在时间轴上也不是均匀铺开的，它是一个点过程（point process）——一串带随机间隔的事件（击键、点击、移动）。关键在于，它不是泊松过程。

泊松过程意味着「无记忆」：事件间隔服从指数分布，下一次事件何时来与刚才无关。但人不是这样——人有不应期（刚敲完一键，手指需要时间复位）、有节奏、有预备。所以人类事件间隔更接近一个更新过程（renewal process），其间隔分布是右偏的对数正态，而非指数、更非均匀：

t_{\text{间隔}} \sim \mathrm{Lognormal}(\mu,\sigma)

均匀间隔（每次都一样）暴露的是「太规整」；指数间隔（真无记忆）暴露的是「太混乱」——真人两者都不是。

时间维度还有两条硬约束：

Hick 定律——选择反应时间随选项数对数增长： $RT = a + b\,\log_2(n+1)$ 。面对更多选择，人要更长时间决定。这给「决策类」行为（在候选里选一个、在多个链接里点一个）加了一条可检验的时间下界。
不可压缩的神经-运动延迟——察觉、决定、运动准备各有生理下界（量级数百毫秒），连续操作还受系统层的物理速率上限约束（比如按键重复的最小间隔）。脚本要么跳过这些延迟（时间上人类来不及＝穿帮），要么精确复现每一处（极难）。这一条人机之辨已经展开过。

还有一条统计规律常被忽略：速度-精度权衡。人打字越快，出错率越高（肌肉记忆抢在视觉确认之前，邻键误触上升）；且快手更常「延迟发现」错误（打了几个字才回头改）。一个零错误、或错误率与速度无关的序列，恰恰不像人。

四、随机的「质地」：高阶矩、自相关与 1/f 噪声

到这里，结构讲完了。但光有正确的结构还不够——随机的质地也必须对。这是最容易被粗糙伪造糊弄过去、也是检测方最后的杀手锏。

一个常见的伪造思路是：「我把均值和方差都调得和真人一样，不就行了？」不行。因为人类行为的信息，藏在更高阶的矩和时间相关结构里：

统计量	刻画什么	伪造难度
一阶（均值）	中心位置	低
二阶（方差）	离散程度	中
三阶（偏度）	不对称（如对数正态的右偏、力的早峰衰减）	高
四阶（峰度）	尖锐 / 厚尾	高
自相关 $\rho(\tau)$	时间上的「记忆」	很高
功率谱 $S(f)$	波动的频率结构	很高

最深的一条，是长程时间相关。人类的行为时序既不是无记忆的白噪声（自相关≈0），也不是死板的周期（强规则相关），而是介于两者之间的 $1/f$ 噪声（粉红噪声）——功率谱大致满足

S(f) \;\propto\; \frac{1}{f^{\beta}},\qquad \beta \approx 1

这是认知与运动科学里一个惊人普适的发现：人的反应时间、节奏、姿态微调，都带着 $1/f$ 的长程相关结构。它介于「完全随机」与「完全规则」之间，恰恰对应本篇的主线——带结构的随机。

五、群体的视角：行为也有自然合法群

最后，把浏览器指纹篇那条群体密度的暗线，正式延伸到行为。

行为参数也不是均匀散布的。真实用户在行为空间里自然聚成簇：有「一指禅」的慢节奏人群、有主流用户、有打字飞快的少数快手——每一类是一个自然合法群，落在由前面那些控制律划定的可行流形上。检测方同样可以对全体行为做分桶分群，问一个待检序列：你落在某个真实人群的簇里，还是落在无人共享的空白区（孤立点）、乃至控制律禁止的不可能区（违反 Fitts、违反 2/3 律）？

这里有一个尤其精彩、也尤其反直觉的陷阱：

一个想「显得普通」的脚本，很自然会把每个行为参数都取全体用户的平均值——平均速度、平均停顿、平均错误率。结果却是灾难：各维平均值的组合，往往对应一个现实中根本不存在的人。

因为真人是分簇的：慢手错得少、快手错得多；平均速度配上平均错误率，可能落在两个簇之间的空白地带——谁都不是。这和浏览器指纹篇的孤立点是同一个道理：安全不是「做一个平均人」，而是「完整地做某一类真实的人」。 边缘各自合理（每个参数都取了合理的平均），联合起来却落在零密度区——又一个内部「合理」、群体「孤立」的破绽。

于是，可信的行为不是「参数都调到合理范围」拼出来的，而必须是某一类真实人群的完整节奏——速度、停顿、错误、修正、 $1/f$ 质地，成套地来自同一个真实簇。这与全站反复出现的判断一脉相承：边缘的合理是廉价的，联合的真实是昂贵的。

六、这对反爬与行为验证意味着什么

把上面落到实践：

行为验证码，本质是在采样你的运动控制律。 让你拖一下滑块、画一段轨迹、做几次点击——它要的不是「你拖对了」，而是这段行为的速度剖面、时间结构、 $1/f$ 质地，是否落在人类的可行流形与自然簇里。理解了这一点，就明白为什么「轨迹看起来很像」还是会挂：像的是形状（低阶），挂的是质地与结构（高阶、控制律）。

对抗行为检测的两个方向，难度天差地别。 回放真实采集的行为（落在真实簇里、自带全部律与 $1/f$ 质地）远比凭空生成行为稳——后者极易在某条控制律、某阶矩、或群体密度上露馅。这又回到那句贯穿全站的话：结构可以被观测，却极难被凭空制造。

小结

人的行为是一个有结构的随机过程：结构来自运动控制律（Fitts 定律的对数难度、极小急动的平滑速度剖面、2/3 幂律的速度-曲率关系、Hick 定律的选择反应时间、不可压缩的神经延迟），随机来自生物变异，而二者之间的质地是 $1/f$ 长程相关——既非白噪声的混乱，也非周期的规整。机器伪造行为的失败总倒向两端：太规整（缺随机）或太混乱（缺结构）。再叠加群体视角——行为也分自然合法群，「平均人」恰恰是谁都不像的孤立点——可信行为必须是某一类真实人群的完整节奏，成套地来自同一个真实簇。边缘合理是廉价的，联合真实是昂贵的；这，就是仅凭行为把人和机器分开的第一性原理。