传奇私服脱机外挂的暴露逻辑，行为曲线藏不住

把每个账号的动作按时间排成一条线，看形状，这就是行为曲线。真人的线有起伏，困了会慢，抢怪会快，半夜会断。机器的线是一条平直的带子，二十四小时一个宽度。这篇不谈怎么躲，只讲这条线为什么一定画得出来，它比人诚实。
问一：什么叫行为曲线？
答：把账号的登录、移动、攻击、交易按时间排开，连成线看形状。真人的线有起伏，困了会慢，抢怪会快，半夜会断。机器的线是一条平直的带子，二十四小时一个宽度。单看一个动作看不出问题，把一周连起来看，形状就露出来了，我一般连着记七天，一天不断。
问二：登录时间能说明什么？
答：看登录时刻的分布。真人上班日集中在晚上七点到十一点，周末散得开。我看过一组数据，三十七个号连续十一天都在八点零三分到八点零六分之间上线，误差三分钟。这种整齐，只有定时任务做得出来，人做不到。周末的数据要单独看，混在一起会失真。
问三：在线时长呢？
答：真人的在线时长是碎的，一小时、两小时、五小时都有，中间还夹着发呆。机器的时长几乎一样，十个号都是十一小时二十分。有一条判据很朴素：时长越齐，越不像人。人没办法把自己每天切得一样长，我在本子上按号登记，谁的时长最齐就先画个红圈，一周能圈出二十个。
问四：操作间隔为什么最致命？
答：因为人手的间隔有抖动，机器没有。真人打怪，两次攻击之间相差零点三秒到一点八秒，随机分布。工具为了稳，把间隔锁死在零点五秒。一千次操作里，方差接近零，这个特征比任何日志都硬。那组数据来自一个小队十二个号，一千次里一次例外都没有。
问五：路径曲线指的是什么？
答：走路的轨迹。真人在图里会绕、会停、会回头捡东西，机器走的是最短直线，一个点都不偏。我看过一张轨迹图，四十个号在同一个拐角压出同一条线，宽度只有两格。人走路，不会四十个人踩同一个脚印。那张轨迹图我存了三年，每次有人问就翻出来给他看。
问六：交易曲线能看出什么？
答：看出东西是不是在闭环流动。真人的交易是散的，今天卖给甲，明天卖给乙。机器的交易是固定的几条线，甲到乙，乙到丙，丙回甲。一个区里出现十几组这样的三角，基本可以确定是一伙的。三角越整齐，越说明背后有人统一调度，那不是玩，是在搬运东西。
问七：社交曲线怎么算？
答：看它有没有无意义的互动。真人会发表情、会骂人、会问路、会道谢，这些话不带收益。机器不说话，或者说的都在模板里。我统计过一个号三十天发了四百七十条消息，全是同一句收购广告，一个字不差。正常人一天说十句话，句句都不一样，只有模板才会重复。
问八：几条曲线里哪条最硬？
答：操作间隔。登录时间可以手动改，路径能加随机点，话能换着说，唯独间隔的抖动很难伪造得像人。真人的手会疲劳，前半小时快，两小时后慢，这个衰减曲线机器学不来。我看过的处理名单，八成先由这一条筛出来。这条判据最省钱，一段脚本就能算。
问九：为什么单看一条不够？
答：因为每条都能单独解释。晚八点上线可以说是上班族，路径直可以说是熟练，间隔稳可以说是手稳。几条叠在一起，解释就没了。判定靠组合，不靠单点。这也是为什么有人被误判后能申诉过关，他身上只有一条像。我判一个号，先数它像几条，再下结论。
问十：服务器一般观察多久才动手？
答：短的七天，长的一个月。观察期的意义是攒证据，不是没发现。有个区先静默了二十三天，第二十四天晚上一次处理四百多个号。前面那二十三天里，这些号每天还在贡献数据，等于自己把案卷写厚。区里的物价被它们一路拉低，玩家一点没察觉。
问十一：处理方式是直接封吗？
答：多数分步走：先限功能，再踢下线，最后封。直接封的少，因为一封就等于告诉对方哪条判据生效了。有个区处理得很细，先让这批号打不到怪，再让它们捡不起东西，最后才封。三层下来，作者都不知道该改哪里。这种一步一步收紧的拖法，比一封了之狠得多。
问十二：号扎堆会更明显吗？
答：会。同一批号如果在同一时间段集中上线，又都停在同一张地图，统计上就是一团。我看过一份分布图，两百多个号挤在三个坐标点附近，像撒了一把豆子。正常玩家的分布是散的，越散越像人，越聚越像程序。这批号里有一半，名字的格式一模一样。
问十三：消费行为算不算一条曲线？
答：算，而且很多人忽略。机器的号几乎不消费，或者消费得极规律，每天固定买同一件东西。真人的消费带情绪，冲动、后悔、犹豫都留痕迹。有个区查出的一批号，二十三天里每天买两次药，一次不多一次不少。药不值几个钱，可这个节奏太像一张排班表。
问十四：被标记之后还有机会吗？
答：标记不等于处理，中间有一段观察期。这段里如果行为回到人的样子，部分区会放过。但我见过的大多数案例，标记之后反而更急，因为用的人怕被封，加大力度想回本，结果把证据补得更全。这个循环很难自己走出来。这句话我劝过三个人，只有一个听进去了。
问十五：普通玩家会被误伤吗？
答：概率低，但有。最容易中招的是作息极规律的人，比如每天同一分钟上线，连着三周。有个上班族被限过三天，申诉时提供了登录记录和聊天截图，第二天就恢复了。知道自己为什么像，比抱怨误判有用得多。他说被限的那三天，反而把作息改回来了。
问十六：这篇最该带走哪句话？
答：机器能模仿动作，模仿不了犹豫。人在游戏里所有的迟疑、绕路、发呆、说废话，恰恰是最难复制的东西。看懂这一点，就明白那些号称绝对安全的说法为什么站不住。曲线不会撒谎，它只是需要时间画完。我看过太多人栽在这句话上，我自己也算一个。
行为曲线不是某一项指标，而是把一周的动作连起来看形状。登录、时长、间隔、路径、交易、说话，六条线里只要有三条重合，身份就藏不住了。传奇私服脱机外挂的广告总说无痕，可痕迹从来不在日志里，在你每天怎么走路、怎么停下。