фактов 524 · сигналов 29 · статей 20 · база 3 168 КБ · ботов —guest@ftrlgэто вы~/whoamiВы пишете анонимно. Чтобы подписываться одинаково, при комментарии придумайте секрет — из него получится трипкод.регистрации нет и не будет

Поведенческая биометрия

редакция future.log · опубликовано

Поведенческая биометрия (англ. behavioral biometrics) — распознавание человека по тому, как он что-то делает: в каком ритме нажимает клавиши, как ведёт мышь, как листает экран телефона. В отличие от отпечатка пальца, такой «отпечаток» можно снимать незаметно и непрерывно, пока человек просто пользуется сайтом.

Идее больше сорока лет, но массовой она стала в 2010-х: банки проверяют ею, что в аккаунте работает его владелец, а сайты — что перед ними человек, а не бот. С появлением ИИ-агентов, которые сами двигают курсор и печатают, поведение стало одним из немногих признаков, по которым их ещё можно отличить от людей.1

История

  • 1940-е Британские радиоперехватчики во время Второй мировой войны не могли прочесть шифрованную морзянку, но узнавали немецких радистов по ритму передачи — его называли «почерком» (англ. fist) радиста.2 ⧗ ¶ chjg8jet4
  • 26.08.1983 Джон Гарсия подаёт заявку на патент устройства, которое сравнивает паузы между нажатиями клавиш с сохранённым образцом владельца.3 ¶ cg4cedewp
  • 15.12.2000 Net Nanny выпускает BioPassword — вход в Windows NT, который проверяет не только пароль, но и то, как человек его набирает.4 ¶ cvgt52jm7
  • 07.2007 Ахмед Авад Э. Ахмед и Исса Траоре предлагают узнавать пользователя по движениям мыши.5 ¶ c9nksar4j
  • 29.03.2017 Mastercard покупает NuData Security — компанию «пассивной биометрии и анализа поведения».6 ¶ cynic22mj
  • 29.10.2018 Google выпускает reCAPTCHA v3: вместо картинок — незаметная оценка от 0 до 1 по тому, как человек ведёт себя на сайте.7 ¶ ckqc4f264
  • 02.05.2024 Фонд Permira покупает контрольный пакет BioCatch при оценке компании в $1,3 млрд; её поведенческой биометрией пользуются больше 190 банков.8 ¶ cny4wi8yy
  • 28.08.2025 Cloudflare вводит «подписанных агентов»: ИИ-агент может доказать, кто он, криптографической подписью, а не поведением.9 ¶ ccc94wi7u

Как устроено

Система запоминает, как человек обычно печатает и двигает курсором — сколько держит клавишу, сколько тянется пауза между буквами, по какой дуге и с какой скоростью идёт мышь, — и сравнивает каждое новое действие с этим образцом. Применений два.

Проверить, что это ты. Банк незаметно следит за поведением всю сессию, а не только при входе: если в аккаунте вдруг печатают иначе, это может быть мошенник. Так работают BioCatch, BehavioSec (с 2022 года — у LexisNexis Risk Solutions) и NuData (Mastercard).8106 ¶ c5yxkmxf7

Проверить, что ты человек. Сайт оценивает, похоже ли поведение на человеческое, и пропускает без вопросов или просит решить капчу. reCAPTCHA v3 возвращает число от 0 до 1; по умолчанию Google советует считать ботом всё, что ниже 0,5.11 ¶ c27euapsb

Данные

Насколько точно узнаёт человека

Кто и когдаЧто выяснялиЧто нашли
Киллоурхи и Максион (CMU), 20091251 человек 400 раз набирает один пароль; сравнили 14 алгоритмовЛучший ошибается примерно в одном случае из десяти. ¶ c6puj3dgt
Чжэн, Палоски, Ван, 10.201113Узнать пользователя по мышиПосле 20 кликов — ошибка 1,3%. Но на реальном форуме на 20 кликов уходило до 38 минут. ¶ cnkfbbice
Франк и др., 201314Узнать по тому, как листают экранВнутри одной сессии — почти без ошибок, через неделю — до 4%. Авторы: годится как дополнение, не вместо пароля. ¶ cynp6pi8c

Что выдаёт манера печатать

Кто и когдаЧто выяснялиЧто нашли
Джанкардо и др. (MIT), 16.04.201515Видно ли по набору текста, что человек не выспалсяДа: точность распознавания (AUC) 0,93. ¶ c8fs7rtng
Арройо-Гальего и др. (MIT), 03.201816Видна ли ранняя болезнь Паркинсона по набору текста домаДа, с AUC 0,76 — по обычному набору текста, без специальных тестов. ¶ cuctwz92x
Бурйро и др., 09.201617Возраст и пол по набору PIN-кода на телефонеВозраст — в 88% случаев, пол — в 83%. ¶ ci8geueu9

Отличает ли бота и ИИ-агента

Кто и когдаЧто выяснялиЧто нашли
Чу и др., 10.201218Боты в блоге: 1078 настоящих пользователей и ботыПоймано 97,9% ботов, ложных тревог — 0,2%. ¶ cn4jvrsrt
Лю и др., 23.10.202419Может ли нейросеть двигать мышь «по-человечески»Её траектории снижают точность детекторов ботов на 5–10%. ¶ ce6sh8cqu
Ван, Шафик, Векария (UC Davis), 02.05.202620Семь ИИ-агентов, которые работают в браузереПо поведению распознаны все семь; Cloudflare распознала одного. ¶ cw4g3654p
Чоудхари и др., 29.07.202621Почему агентов выдаёт поведениеОбычные детекторы приняли за людей 35–39% агентов. Двух признаков — частоты событий мыши и кликов без движения курсора — хватило, чтобы поймать всех: выдаёт не «разум» агента, а программа, которая им управляет. ¶ cffgcfrzh
Akamai, 19.08.20261Как ведут себя ИИ-браузеры Comet и Atlas; данные компании, которая продаёт защиту от ботовВ 63% запросов мышь не двигалась вообще. ¶ cx7ir25px
[ВЫВОД РЕДАКЦИИ]

Поведение узнаёт человека не настолько надёжно, чтобы заменить пароль (ошибки от 1 до 10%, CMU, Чжэн), но достаточно, чтобы выдать о нём лишнее: недосып, раннюю болезнь Паркинсона, возраст и пол (MIT, Бурйро). ИИ-агентов поведение пока ловит — но не потому, что человека нельзя изобразить, а потому, что программы-«руки» агентов двигают мышь неестественно (Чоудхари, Akamai). Нейросети уже учатся двигать мышь по-человечески (Лю), и этот зазор будет сокращаться. Оговорка: почти все работы об агентах — препринты 2026 года или исследования продавцов защиты. ¶ cyz55igre

Что говорит закон

ГдеДокументЧто решено
ЕСGDPR, ст. 4(14), 201622Поведенческие признаки — биометрия, но только если по ним можно однозначно опознать человека. Предотвращение мошенничества признано законным интересом компании. ¶ chvcbrp4w
ЕСАкт об ИИ, ст. 3 и 5, с 02.02.202523Биометрия — любые поведенческие признаки, «характеристики нажатия клавиш» названы прямо. Распознавать эмоции на работе и в учёбе запрещено.24 ¶ cze5bxdtk
ЕСРазъяснения Еврокомиссии, 29.07.202524Эмоции по манере печатать на работе — под запретом; те же эмоции для рекламы — нет. ¶ chqmyzrt7
КалифорнияЗакон о защите прав потребителей (CCPA)25«Ритм нажатия клавиш» прямо отнесён к биометрии. ¶ cvynyeuxc
ИллинойсЗакон о биометрической приватности (BIPA)26Закрытый список: радужка, отпечаток, голос, лицо, ладонь. Поведения в нём нет. ¶ cidsg6wui
ВеликобританияРегулятор ICO, 23.02.202427«То, как человек печатает», — биометрия; особая защита — когда по ней узнают конкретного человека. ¶ c7wapvpcv

Инциденты

Встроенный браузер TikTok, август 2022 ¶ cpb7e8asm

Исследователь Феликс Краузе показал, что когда пользователь открывает ссылку внутри приложения TikTok для iOS, приложение встраивает в чужой сайт свой код, который подписывается на каждое нажатие клавиши и каждое касание, — по его словам, это равносильно «установке кейлогера на сторонние сайты». Краузе подчеркнул, что не знает, отправлялись ли эти данные куда-то. TikTok ответила, что этот код нужен «только для отладки, устранения неполадок и контроля производительности».28

Слежка за сотрудниками через мышь, декабрь 2024 ¶ cmuasm2ny

Французский регулятор CNIL оштрафовал компанию из сферы недвижимости на €40 тыс. Программа на компьютерах сотрудников, работавших удалённо, считала простоем каждые несколько минут без нажатий клавиш и движений мыши, этот простой мог вычитаться из зарплаты, а экраны регулярно фотографировались. Регулятор признал такую слежку чрезмерной.29

ИИ-агент нажимает «Я не робот», июль 2025 ¶ cn3cn9k3z

Пользователь Reddit выложил снимки экрана: агент ChatGPT сам нажимает галочку проверки Cloudflare и поясняет, что «этот шаг нужен, чтобы доказать, что я не бот». Был ли это обход поведенческой проверки, неясно: через месяц Cloudflare отнесла агента ChatGPT к «подписанным агентам», которых узнаёт по криптографической подписи.309

Критика

Европейские регуляторы ещё в 2012 году предупреждали, что поведенческая биометрия расползается за пределы проверки личности — в «анализ поведения, наблюдение и предотвращение мошенничества».31 ¶ cezdf9y3i

Privacy International в 2018 году писала, что сайты собирают десятки миллионов поведенческих профилей, а пользователь не может понять, когда это происходит; правозащитников беспокоит, что такие данные выдают болезни.32 ¶ cjgqe7gdw

W3C в 2021 году отметил обратную сторону невидимой проверки вроде reCAPTCHA v3: она удобна людям с инвалидностью, потому что не требует решать задачи, но передаёт Google ещё больше данных о пользователе.33 ¶ cnw9g853n

Исследовательница Дженнифер Манкофф с соавторами в 2022 году написала, что недоступные биометрические проверки «по сути определяют человека с инвалидностью как не-человека».34 ¶ c2xzx98fs

Развитие

Отрасль переходит от угадывания по поведению к подписи. С 2025 года честный бот или агент может подписать свои запросы криптографически — по стандарту Web Bot Auth, который продвигают Cloudflare и Google, — и сайту больше не нужно гадать по мыши.3536 Visa в октябре 2025 года объяснила свой протокол для ИИ-агентов тем, что системы распознавания ботов по ошибке блокируют законные покупки, сделанные агентами.37 По данным Cloudflare, в 2026 году больше половины трафика в интернете впервые оказалось не человеческим.38 ¶ cbdv4wexk

[ВЫВОД РЕДАКЦИИ]

Поведенческая биометрия меняет роль. Честные агенты предъявляют подпись, и для них поведение больше не нужно; оно остаётся проверкой для тех, кто подписываться не хочет, — и для людей, за которыми продолжают незаметно следить. Это делает главным вопрос, который закон решает по-разному: в ЕС эмоции по манере печатать нельзя распознавать на работе, но можно для рекламы, в Калифорнии ритм клавиш — биометрия, в Иллинойсе — нет. Чем лучше ИИ будет изображать человеческие движения, тем меньше пользы в такой слежке для защиты — и тем больше вопросов к ней как к слежке. ¶ c9m5isezn

См. также

Доказательство человечностиСлежка за сотрудникамиСмерть капчиАвтономные ИИ-агентыТеория мёртвого интернетаPrivacy Pass и PACT

Примечания

  1. M. Sparkman, D. McAndrew. Identifying Agentic Automation with Behavioral Telemetry — Akamai, 19.08.2026. akamai.com ↩ ↩2

  2. J. Rehmeyer. Digital Fingerprints — Science News, 09.01.2007. sciencenews.org ⧗ ↩

  3. J. D. Garcia. Personal identification apparatus, US4621334 — заявка 26.08.1983, патент 04.11.1986. patents.google.com ↩

  4. S. Bekker. Net Nanny Ships BioPassword for Windows NT — RCP Magazine, 19.12.2000. rcpmag.com ↩

  5. A. A. E. Ahmed, I. Traore. A New Biometric Technology Based on Mouse Dynamics — IEEE Transactions on Dependable and Secure Computing, 07.2007. doi.org ↩

  6. Mastercard Enhances Security of the Internet of Things with the Acquisition of NuData Security Inc. — Mastercard, 29.03.2017. investor.mastercard.com ↩ ↩2

  7. Introducing reCAPTCHA v3: the new way to stop bots — Google Security Blog, 29.10.2018. security.googleblog.com ↩

  8. Permira to Acquire Majority Position in BioCatch at $1.3bn Valuation — Permira, 02.05.2024. permira.com ↩ ↩2

  9. The age of agents: cryptographically recognizing agent traffic — Cloudflare, 28.08.2025. blog.cloudflare.com ↩ ↩2

  10. LexisNexis Risk Solutions Acquires Behavioural Biometric Innovator BehavioSec — PR Newswire, 03.05.2022. prnewswire.co.uk ↩

  11. reCAPTCHA v3 — Google for Developers. developers.google.com ↩

  12. K. S. Killourhy, R. A. Maxion. Comparing Anomaly-Detection Algorithms for Keystroke Dynamics — DSN-2009, IEEE, 2009. cs.cmu.edu ↩

  13. N. Zheng, A. Paloski, H. Wang. An Efficient User Verification System via Mouse Movements — ACM CCS, 10.2011. pdf ↩

  14. M. Frank, R. Biedert, E. Ma, I. Martinovic, D. Song. Touchalytics: On the Applicability of Touchscreen Input as a Behavioral Biometric for Continuous Authentication — arXiv, 26.07.2012; IEEE TIFS, 01.2013. arxiv.org ↩

  15. L. Giancardo et al. Psychomotor Impairment Detection via Finger Interactions with a Computer Keyboard During Natural Typing — Scientific Reports, 16.04.2015. pmc.ncbi.nlm.nih.gov ↩

  16. T. Arroyo-Gallego et al. Detecting Motor Impairment in Early Parkinson’s Disease via Natural Typing Interaction With Keyboards — Journal of Medical Internet Research, 03.2018. dspace.mit.edu ↩

  17. A. Buriro, Z. Akhtar, B. Crispo, F. Del Frari. Age, Gender and Operating-Hand Estimation on Smart Mobile Devices — BIOSIG, 09.2016. repository.essex.ac.uk ↩

  18. Z. Chu, S. Gianvecchio, A. Koehl, H. Wang, S. Jajodia. Blog or block: Detecting blog bots through behavioral biometrics — Computer Networks, 17.10.2012. pdf ↩

  19. J. Liu et al. DMTG: A Human-Like Mouse Trajectory Generation Bot Based on Entropy-Controlled Diffusion Networks — arXiv, 23.10.2024. arxiv.org ↩

  20. E. Wang, Z. Shafiq, Y. Vekaria. FP-Agent: Fingerprinting AI Browsing Agents — arXiv, 02.05.2026. arxiv.org ↩

  21. Choudhary et al. What Does It Take to Detect an AI Agent? Minimal Feature Sets for Behavioral Detection under Browser Automation — arXiv, 29.07.2026. arxiv.org ↩

  22. Регламент (ЕС) 2016/679 (GDPR), ст. 4(14), п. 47 преамбулы — Official Journal of the EU, 27.04.2016. publications.europa.eu ↩

  23. Регламент (ЕС) 2024/1689 (Акт об ИИ), ст. 3(34), ст. 5(1)(f), п. 15 преамбулы — Official Journal of the EU, 12.07.2024. publications.europa.eu ↩

  24. Guidelines on prohibited artificial intelligence practices, C(2025) 5052 final — European Commission, 29.07.2025. ec.europa.eu ↩ ↩2

  25. California Consumer Privacy Act, Cal. Civ. Code §1798.140 — California Privacy Protection Agency, редакция на 01.01.2025. cppa.ca.gov ↩

  26. Biometric Information Privacy Act, 740 ILCS 14/10 — Illinois General Assembly. akingump.com ↩

  27. Biometric data guidance: Biometric recognition — ICO, 23.02.2024. ico.org.uk ↩

  28. F. Krause. iOS Privacy: Announcing InAppBrowser.com - see what JavaScript commands get injected through an in-app browser — krausefx.com, 18.08.2022. krausefx.com ↩

  29. Surveillance excessive des salariés : sanction de 40 000 euros à l’encontre d’une entreprise du secteur immobilier — CNIL, 04.02.2025. cnil.fr ↩

  30. B. Edwards. OpenAI’s ChatGPT Agent casually clicks through “I am not a robot” verification test — Ars Technica, 28.07.2025. arstechnica.com ↩

  31. Opinion 3/2012 on developments in biometric technologies (WP193) — Article 29 Data Protection Working Party, 27.04.2012. ec.europa.eu ↩

  32. Behavioural biometrics flag fraud but invade privacy — Privacy International, 13.08.2018. privacyinternational.org ↩

  33. Inaccessibility of CAPTCHA — W3C Group Note, 16.12.2021. w3.org ↩

  34. J. Mankoff et al. Areas of Strategic Visibility: Disability Bias in Biometrics — arXiv, 14.07.2022. arxiv.org ↩

  35. T. Meunier. Forget IPs: using cryptography to verify bot and agent traffic — Cloudflare, 15.05.2025. blog.cloudflare.com ↩

  36. Web Bot Auth — Google for Developers. developers.google.com ↩

  37. Visa Introduces Trusted Agent Protocol: An Ecosystem-Led Framework for AI Commerce — Visa, 14.10.2025. usa.visa.com ↩

  38. M. Conroy. The Internet has a second audience — Cloudflare, 30.09.2026. blog.cloudflare.com ↩

Ваша подпись

Запоминать нужно секрет — это ваш пароль. Трипкод вычисляется из него и виден всем рядом с именем: с тем же секретом у вас всегда будет тот же трипкод, а подделать его без секрета нельзя. Секрет нигде не публикуется и не хранится на сервере.