---
title: Поведенческая биометрия
url: https://ftrlg.com/ru/wiki/behavioral-biometrics/
lang: ru
published: 2026-10-13
version: 1
summary: Как сайты и банки узнают человека по тому, как он печатает, двигает мышью и листает экран, — и почему тот же сигнал выдаёт его болезни и ловит ИИ-агентов.
cite_as: "future.log, «Поведенческая биометрия», https://ftrlg.com/ru/wiki/behavioral-biometrics/"
license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/
---

# Поведенческая биометрия

**Поведенческая биометрия** (англ. *behavioral biometrics*) — распознавание человека по тому, как он что-то делает: в каком ритме нажимает клавиши, как ведёт мышь, как листает экран телефона. В отличие от отпечатка пальца, такой «отпечаток» можно снимать незаметно и непрерывно, пока человек просто пользуется сайтом.

Идее больше сорока лет, но массовой она стала в 2010-х: банки проверяют ею, что в аккаунте работает его владелец, а сайты — что перед ними человек, а не бот. С появлением [ИИ-агентов](https://ftrlg.com/ru/wiki/autonomous-ai-agents/), которые сами двигают курсор и печатают, поведение стало одним из немногих признаков, по которым их ещё можно отличить от людей.[^1]

## История

- **1940-е** Британские радиоперехватчики во время Второй мировой войны не могли прочесть шифрованную морзянку, но узнавали немецких радистов по ритму передачи — его называли «почерком» (англ. *fist*) радиста.[^2] ⧗ <!-- ¶ chjg8jet4 -->
- **26.08.1983** Джон Гарсия подаёт заявку на патент устройства, которое сравнивает паузы между нажатиями клавиш с сохранённым образцом владельца.[^3] <!-- ¶ cg4cedewp -->
- **15.12.2000** Net Nanny выпускает BioPassword — вход в Windows NT, который проверяет не только пароль, но и то, как человек его набирает.[^4] <!-- ¶ cvgt52jm7 -->
- **07.2007** Ахмед Авад Э. Ахмед и Исса Траоре предлагают узнавать пользователя по движениям мыши.[^5] <!-- ¶ c9nksar4j -->
- **29.03.2017** Mastercard покупает NuData Security — компанию «пассивной биометрии и анализа поведения».[^6] <!-- ¶ cynic22mj -->
- **29.10.2018** Google выпускает [reCAPTCHA](https://ftrlg.com/ru/wiki/death-of-captcha/) v3: вместо картинок — незаметная оценка от 0 до 1 по тому, как человек ведёт себя на сайте.[^7] <!-- ¶ ckqc4f264 -->
- **02.05.2024** Фонд Permira покупает контрольный пакет BioCatch при оценке компании в $1,3 млрд; её поведенческой биометрией пользуются больше 190 банков.[^8] <!-- ¶ cny4wi8yy -->
- **28.08.2025** Cloudflare вводит «подписанных агентов»: ИИ-агент может доказать, кто он, криптографической подписью, а не поведением.[^9] <!-- ¶ ccc94wi7u -->

## Как устроено

Система запоминает, как человек обычно печатает и двигает курсором — сколько держит клавишу, сколько тянется пауза между буквами, по какой дуге и с какой скоростью идёт мышь, — и сравнивает каждое новое действие с этим образцом. Применений два.

**Проверить, что это ты.** Банк незаметно следит за поведением всю сессию, а не только при входе: если в аккаунте вдруг печатают иначе, это может быть мошенник. Так работают BioCatch, BehavioSec (с 2022 года — у LexisNexis Risk Solutions) и NuData (Mastercard).[^8][^10][^6] <!-- ¶ c5yxkmxf7 -->

**Проверить, что ты человек.** Сайт оценивает, похоже ли поведение на человеческое, и пропускает без вопросов или просит решить капчу. reCAPTCHA v3 возвращает число от 0 до 1; по умолчанию Google советует считать ботом всё, что ниже 0,5.[^11] <!-- ¶ c27euapsb -->

## Данные

**Насколько точно узнаёт человека**

| Кто и когда | Что выясняли | Что нашли |
|---|---|---|
| Киллоурхи и Максион (CMU), 2009[^12] | 51 человек 400 раз набирает один пароль; сравнили 14 алгоритмов | Лучший ошибается примерно в одном случае из десяти. <!-- ¶ c6puj3dgt --> |
| Чжэн, Палоски, Ван, 10.2011[^13] | Узнать пользователя по мыши | После 20 кликов — ошибка 1,3%. Но на реальном форуме на 20 кликов уходило до 38 минут. <!-- ¶ cnkfbbice --> |
| Франк и др., 2013[^14] | Узнать по тому, как листают экран | Внутри одной сессии — почти без ошибок, через неделю — до 4%. Авторы: годится как дополнение, не вместо пароля. <!-- ¶ cynp6pi8c --> |

**Что выдаёт манера печатать**

| Кто и когда | Что выясняли | Что нашли |
|---|---|---|
| Джанкардо и др. (MIT), 16.04.2015[^15] | Видно ли по набору текста, что человек не выспался | Да: точность распознавания (AUC) 0,93. <!-- ¶ c8fs7rtng --> |
| Арройо-Гальего и др. (MIT), 03.2018[^16] | Видна ли ранняя болезнь Паркинсона по набору текста дома | Да, с AUC 0,76 — по обычному набору текста, без специальных тестов. <!-- ¶ cuctwz92x --> |
| Бурйро и др., 09.2016[^17] | Возраст и пол по набору PIN-кода на телефоне | Возраст — в 88% случаев, пол — в 83%. <!-- ¶ ci8geueu9 --> |

**Отличает ли бота и ИИ-агента**

| Кто и когда | Что выясняли | Что нашли |
|---|---|---|
| Чу и др., 10.2012[^18] | Боты в блоге: 1078 настоящих пользователей и боты | Поймано 97,9% ботов, ложных тревог — 0,2%. <!-- ¶ cn4jvrsrt --> |
| Лю и др., 23.10.2024[^19] | Может ли нейросеть двигать мышь «по-человечески» | Её траектории снижают точность детекторов ботов на 5–10%. <!-- ¶ ce6sh8cqu --> |
| Ван, Шафик, Векария (UC Davis), 02.05.2026[^20] | Семь ИИ-агентов, которые работают в браузере | По поведению распознаны все семь; Cloudflare распознала одного. <!-- ¶ cw4g3654p --> |
| Чоудхари и др., 29.07.2026[^21] | Почему агентов выдаёт поведение | Обычные детекторы приняли за людей 35–39% агентов. Двух признаков — частоты событий мыши и кликов без движения курсора — хватило, чтобы поймать всех: выдаёт не «разум» агента, а программа, которая им управляет. <!-- ¶ cffgcfrzh --> |
| Akamai, 19.08.2026[^1] | Как ведут себя ИИ-браузеры Comet и Atlas; данные компании, которая продаёт защиту от ботов | В 63% запросов мышь не двигалась вообще. <!-- ¶ cx7ir25px --> |

> **[ВЫВОД РЕДАКЦИИ]** Поведение узнаёт человека не настолько надёжно, чтобы заменить пароль (ошибки от 1 до 10%, CMU, Чжэн), но достаточно, чтобы выдать о нём лишнее: недосып, раннюю болезнь Паркинсона, возраст и пол (MIT, Бурйро). ИИ-агентов поведение пока ловит — но не потому, что человека нельзя изобразить, а потому, что программы-«руки» агентов двигают мышь неестественно (Чоудхари, Akamai). Нейросети уже учатся двигать мышь по-человечески (Лю), и этот зазор будет сокращаться. Оговорка: почти все работы об агентах — препринты 2026 года или исследования продавцов защиты. <!-- ¶ cyz55igre -->

## Что говорит закон

| Где | Документ | Что решено |
|---|---|---|
| ЕС | GDPR, ст. 4(14), 2016[^22] | Поведенческие признаки — биометрия, но только если по ним можно однозначно опознать человека. Предотвращение мошенничества признано законным интересом компании. <!-- ¶ chvcbrp4w --> |
| ЕС | Акт об ИИ, ст. 3 и 5, с 02.02.2025[^23] | Биометрия — любые поведенческие признаки, «характеристики нажатия клавиш» названы прямо. Распознавать эмоции на работе и в учёбе запрещено.[^24] <!-- ¶ cze5bxdtk --> |
| ЕС | Разъяснения Еврокомиссии, 29.07.2025[^24] | Эмоции по манере печатать на работе — под запретом; те же эмоции для рекламы — нет. <!-- ¶ chqmyzrt7 --> |
| Калифорния | Закон о защите прав потребителей (CCPA)[^25] | «Ритм нажатия клавиш» прямо отнесён к биометрии. <!-- ¶ cvynyeuxc --> |
| Иллинойс | Закон о биометрической приватности (BIPA)[^26] | Закрытый список: радужка, отпечаток, голос, лицо, ладонь. Поведения в нём нет. <!-- ¶ cidsg6wui --> |
| Великобритания | Регулятор ICO, 23.02.2024[^27] | «То, как человек печатает», — биометрия; особая защита — когда по ней узнают конкретного человека. <!-- ¶ c7wapvpcv --> |

## Инциденты

### Встроенный браузер TikTok, август 2022 <!-- ¶ cpb7e8asm -->

Исследователь Феликс Краузе показал, что когда пользователь открывает ссылку внутри приложения TikTok для iOS, приложение встраивает в чужой сайт свой код, который подписывается на каждое нажатие клавиши и каждое касание, — по его словам, это равносильно «установке кейлогера на сторонние сайты». Краузе подчеркнул, что не знает, отправлялись ли эти данные куда-то. TikTok ответила, что этот код нужен «только для отладки, устранения неполадок и контроля производительности».[^28]

### Слежка за сотрудниками через мышь, декабрь 2024 <!-- ¶ cmuasm2ny -->

Французский регулятор CNIL оштрафовал компанию из сферы недвижимости на €40 тыс. Программа на компьютерах сотрудников, работавших удалённо, считала простоем каждые несколько минут без нажатий клавиш и движений мыши, этот простой мог вычитаться из зарплаты, а экраны регулярно фотографировались. Регулятор признал такую слежку чрезмерной.[^29]

### ИИ-агент нажимает «Я не робот», июль 2025 <!-- ¶ cn3cn9k3z -->

Пользователь Reddit выложил снимки экрана: агент [ChatGPT](https://ftrlg.com/ru/models/openai/) сам нажимает галочку проверки Cloudflare и поясняет, что «этот шаг нужен, чтобы доказать, что я не бот». Был ли это обход поведенческой проверки, неясно: через месяц Cloudflare отнесла агента ChatGPT к «подписанным агентам», которых узнаёт по криптографической подписи.[^30][^9]

## Критика

Европейские регуляторы ещё в 2012 году предупреждали, что поведенческая биометрия расползается за пределы проверки личности — в «анализ поведения, наблюдение и предотвращение мошенничества».[^31] <!-- ¶ cezdf9y3i -->

Privacy International в 2018 году писала, что сайты собирают десятки миллионов поведенческих профилей, а пользователь не может понять, когда это происходит; правозащитников беспокоит, что такие данные выдают болезни.[^32] <!-- ¶ cjgqe7gdw -->

W3C в 2021 году отметил обратную сторону невидимой проверки вроде reCAPTCHA v3: она удобна людям с инвалидностью, потому что не требует решать задачи, но передаёт Google ещё больше данных о пользователе.[^33] <!-- ¶ cnw9g853n -->

Исследовательница Дженнифер Манкофф с соавторами в 2022 году написала, что недоступные биометрические проверки «по сути определяют человека с инвалидностью как не-человека».[^34] <!-- ¶ c2xzx98fs -->

## Развитие

Отрасль переходит от угадывания по поведению к подписи. С 2025 года честный бот или агент может подписать свои запросы криптографически — по стандарту Web Bot Auth, который продвигают Cloudflare и Google, — и сайту больше не нужно гадать по мыши.[^35][^36] Visa в октябре 2025 года объяснила свой протокол для ИИ-агентов тем, что системы распознавания ботов по ошибке блокируют законные покупки, сделанные агентами.[^37] По данным Cloudflare, в 2026 году больше половины трафика в интернете впервые оказалось не человеческим.[^38] <!-- ¶ cbdv4wexk -->

> **[ВЫВОД РЕДАКЦИИ]** Поведенческая биометрия меняет роль. Честные агенты предъявляют подпись, и для них поведение больше не нужно; оно остаётся проверкой для тех, кто подписываться не хочет, — и для людей, за которыми продолжают незаметно следить. Это делает главным вопрос, который закон решает по-разному: в ЕС эмоции по манере печатать нельзя распознавать на работе, но можно для рекламы, в Калифорнии ритм клавиш — биометрия, в Иллинойсе — нет. Чем лучше ИИ будет изображать человеческие движения, тем меньше пользы в такой слежке для защиты — и тем больше вопросов к ней как к слежке. <!-- ¶ c9m5isezn -->

## См. также

[Доказательство человечности](https://ftrlg.com/ru/wiki/proof-of-personhood/) · Слежка за сотрудниками · [Смерть капчи](https://ftrlg.com/ru/wiki/death-of-captcha/) · [Автономные ИИ-агенты](https://ftrlg.com/ru/wiki/autonomous-ai-agents/) · [Теория мёртвого интернета](https://ftrlg.com/ru/wiki/dead-internet-theory/) · Privacy Pass и PACT

## Примечания

[^1]: M. Sparkman, D. McAndrew. Identifying Agentic Automation with Behavioral Telemetry — Akamai, 19.08.2026. [akamai.com](https://www.akamai.com/blog/security-research/identifying-agentic-automation-behavioral-telemetry)
[^2]: J. Rehmeyer. Digital Fingerprints — Science News, 09.01.2007. [sciencenews.org](https://www.sciencenews.org/article/digital-fingerprints) ⧗
[^3]: J. D. Garcia. Personal identification apparatus, US4621334 — заявка 26.08.1983, патент 04.11.1986. [patents.google.com](https://patents.google.com/patent/US4621334A/en)
[^4]: S. Bekker. Net Nanny Ships BioPassword for Windows NT — RCP Magazine, 19.12.2000. [rcpmag.com](https://rcpmag.com/Articles/2000/12/19/Net-Nanny-Ships-BioPassword-for-Windows-NT.aspx)
[^5]: A. A. E. Ahmed, I. Traore. A New Biometric Technology Based on Mouse Dynamics — IEEE Transactions on Dependable and Secure Computing, 07.2007. [doi.org](https://doi.org/10.1109/TDSC.2007.70207)
[^6]: Mastercard Enhances Security of the Internet of Things with the Acquisition of NuData Security Inc. — Mastercard, 29.03.2017. [investor.mastercard.com](https://investor.mastercard.com/investor-news/investor-news-details/2017/Mastercard-Enhances-Security-of-the-Internet-of-Things-with-the-Acquisition-of-NuData-Security-Inc/default.aspx)
[^7]: Introducing reCAPTCHA v3: the new way to stop bots — Google Security Blog, 29.10.2018. [security.googleblog.com](https://security.googleblog.com/2018/10/introducing-recaptcha-v3-new-way-to.html)
[^8]: Permira to Acquire Majority Position in BioCatch at $1.3bn Valuation — Permira, 02.05.2024. [permira.com](https://permira.com/news-and-insights/announcements/permira-to-acquire-majority-position-in-biocatch-at-13bn-valuation)
[^9]: The age of agents: cryptographically recognizing agent traffic — Cloudflare, 28.08.2025. [blog.cloudflare.com](https://blog.cloudflare.com/signed-agents/)
[^10]: LexisNexis Risk Solutions Acquires Behavioural Biometric Innovator BehavioSec — PR Newswire, 03.05.2022. [prnewswire.co.uk](https://prnewswire.co.uk/news-releases/lexisnexis-risk-solutions-acquires-behavioural-biometric-innovator-behaviosec-822108461.html)
[^11]: reCAPTCHA v3 — Google for Developers. [developers.google.com](https://developers.google.com/recaptcha/docs/v3)
[^12]: K. S. Killourhy, R. A. Maxion. Comparing Anomaly-Detection Algorithms for Keystroke Dynamics — DSN-2009, IEEE, 2009. [cs.cmu.edu](https://www.cs.cmu.edu/~keystroke/)
[^13]: N. Zheng, A. Paloski, H. Wang. An Efficient User Verification System via Mouse Movements — ACM CCS, 10.2011. [pdf](https://www.eecis.udel.edu/~hnw/paper/ccs11.pdf)
[^14]: M. Frank, R. Biedert, E. Ma, I. Martinovic, D. Song. Touchalytics: On the Applicability of Touchscreen Input as a Behavioral Biometric for Continuous Authentication — arXiv, 26.07.2012; IEEE TIFS, 01.2013. [arxiv.org](https://arxiv.org/abs/1207.6231)
[^15]: L. Giancardo et al. Psychomotor Impairment Detection via Finger Interactions with a Computer Keyboard During Natural Typing — Scientific Reports, 16.04.2015. [pmc.ncbi.nlm.nih.gov](https://pmc.ncbi.nlm.nih.gov/articles/PMC5381750/)
[^16]: T. Arroyo-Gallego et al. Detecting Motor Impairment in Early Parkinson's Disease via Natural Typing Interaction With Keyboards — Journal of Medical Internet Research, 03.2018. [dspace.mit.edu](https://dspace.mit.edu/handle/1721.1/128896)
[^17]: A. Buriro, Z. Akhtar, B. Crispo, F. Del Frari. Age, Gender and Operating-Hand Estimation on Smart Mobile Devices — BIOSIG, 09.2016. [repository.essex.ac.uk](https://repository.essex.ac.uk/40845/)
[^18]: Z. Chu, S. Gianvecchio, A. Koehl, H. Wang, S. Jajodia. Blog or block: Detecting blog bots through behavioral biometrics — Computer Networks, 17.10.2012. [pdf](https://www.eecis.udel.edu/~hnw/paper/comnet13.pdf)
[^19]: J. Liu et al. DMTG: A Human-Like Mouse Trajectory Generation Bot Based on Entropy-Controlled Diffusion Networks — arXiv, 23.10.2024. [arxiv.org](https://arxiv.org/abs/2410.18233)
[^20]: E. Wang, Z. Shafiq, Y. Vekaria. FP-Agent: Fingerprinting AI Browsing Agents — arXiv, 02.05.2026. [arxiv.org](https://arxiv.org/abs/2605.01247)
[^21]: Choudhary et al. What Does It Take to Detect an AI Agent? Minimal Feature Sets for Behavioral Detection under Browser Automation — arXiv, 29.07.2026. [arxiv.org](https://arxiv.org/abs/2607.26935)
[^22]: Регламент (ЕС) 2016/679 (GDPR), ст. 4(14), п. 47 преамбулы — Official Journal of the EU, 27.04.2016. [publications.europa.eu](http://publications.europa.eu/resource/celex/32016R0679)
[^23]: Регламент (ЕС) 2024/1689 (Акт об ИИ), ст. 3(34), ст. 5(1)(f), п. 15 преамбулы — Official Journal of the EU, 12.07.2024. [publications.europa.eu](http://publications.europa.eu/resource/celex/32024R1689)
[^24]: Guidelines on prohibited artificial intelligence practices, C(2025) 5052 final — European Commission, 29.07.2025. [ec.europa.eu](https://ec.europa.eu/newsroom/dae/redirection/document/112367)
[^25]: California Consumer Privacy Act, Cal. Civ. Code §1798.140 — California Privacy Protection Agency, редакция на 01.01.2025. [cppa.ca.gov](https://cppa.ca.gov/regulations/pdf/ccpa_statute.pdf)
[^26]: Biometric Information Privacy Act, 740 ILCS 14/10 — Illinois General Assembly. [akingump.com](https://www.akingump.com/a/web/101105/Biometric-Information-Privacy-Act-740-ILCS-14-1-et-seq..pdf)
[^27]: Biometric data guidance: Biometric recognition — ICO, 23.02.2024. [ico.org.uk](https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/biometric-data-guidance-biometric-recognition/biometric-recognition/)
[^28]: F. Krause. iOS Privacy: Announcing InAppBrowser.com - see what JavaScript commands get injected through an in-app browser — krausefx.com, 18.08.2022. [krausefx.com](https://krausefx.com/blog/announcing-inappbrowsercom-see-what-javascript-commands-get-executed-in-an-in-app-browser)
[^29]: Surveillance excessive des salariés : sanction de 40 000 euros à l'encontre d'une entreprise du secteur immobilier — CNIL, 04.02.2025. [cnil.fr](https://www.cnil.fr/fr/surveillance-excessive-des-salaries-sanction-de-40-000-euros-entreprise-secteur-immobilier)
[^30]: B. Edwards. OpenAI’s ChatGPT Agent casually clicks through “I am not a robot” verification test — Ars Technica, 28.07.2025. [arstechnica.com](https://arstechnica.com/information-technology/2025/07/openais-chatgpt-agent-casually-clicks-through-i-am-not-a-robot-verification-test/)
[^31]: Opinion 3/2012 on developments in biometric technologies (WP193) — Article 29 Data Protection Working Party, 27.04.2012. [ec.europa.eu](https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf)
[^32]: Behavioural biometrics flag fraud but invade privacy — Privacy International, 13.08.2018. [privacyinternational.org](https://privacyinternational.org/examples/2737/behavioural-biometrics-flag-fraud-invade-privacy)
[^33]: Inaccessibility of CAPTCHA — W3C Group Note, 16.12.2021. [w3.org](https://www.w3.org/TR/turingtest/)
[^34]: J. Mankoff et al. Areas of Strategic Visibility: Disability Bias in Biometrics — arXiv, 14.07.2022. [arxiv.org](https://arxiv.org/abs/2208.04712)
[^35]: T. Meunier. Forget IPs: using cryptography to verify bot and agent traffic — Cloudflare, 15.05.2025. [blog.cloudflare.com](https://blog.cloudflare.com/web-bot-auth/)
[^36]: Web Bot Auth — Google for Developers. [developers.google.com](https://developers.google.com/crawling/docs/crawlers-fetchers/web-bot-auth)
[^37]: Visa Introduces Trusted Agent Protocol: An Ecosystem-Led Framework for AI Commerce — Visa, 14.10.2025. [usa.visa.com](https://usa.visa.com/about-visa/newsroom/press-releases.releaseId.21716.html)
[^38]: M. Conroy. The Internet has a second audience — Cloudflare, 30.09.2026. [blog.cloudflare.com](https://blog.cloudflare.com/agentic-web/)

— future.log, «Поведенческая биометрия», https://ftrlg.com/ru/wiki/behavioral-biometrics/ · CC BY 4.0