游戏搬砖，一天五百。
打金工作室疯狂捞钱的背后是对游戏公平的挑战，本文将介绍一套成熟的数据驱动的游戏安全解决方案，向游戏打金工作室说不！
01 打金工作室是个啥？
打金工作室一般是指通过多设备、多开器、云平台等实现大批量角色同时在线，利用按键脚本或群控软件（如同步器）等第三方辅助重复刷取游戏内游戏币资源获利的团伙。打金工作室在mmo类游戏或者含开放游戏币交易类玩法的游戏中尤为常见，目前已经演变成了一个庞大的产业。例如，网易暴雪曾多次联合警方打击《魔兽世界》外挂工作室，单次涉案金额均上千万。
可怕的是，打金工作室一直在不断的进化发展，例如：
- 行为拟人化。外挂制作者渐渐在脚本、作弊软件中添加随机因素干扰，同时不降低其脚本牟利效率，行为上与正常玩家愈发相似。这要求对抗上需要另辟蹊径，从更加细致的角度进行分析和识别。
- 设备拟人化。原始的打金工作室群体所使用的黑产设备往往是简陋或者是“不合理”的，比如一个设备 ID 上登录几十个上百个账号，非常明显。但是随着黑产设备的进化，客户端获取到的设备信息愈发趋近于正常用户的设备信息，依靠传统硬件信息进行识别的方案逐渐失效。
- 打不死的小强。打金工作室打通了黑卡商、黑设备的链路，在账号被封禁之后，可以在极短时间内再次起号，对游戏造成危害，打之不绝。因此对抗也必须在非常有限的时间和游戏行为中快速识别出黑产账号，才能有效形成压制。
通过上述程序，打金工作室严重破坏了游戏生态，导致玩家流失，服务器消亡。游戏方为了提高游戏生命周期，只好不断开新服，但同时打金工作室会不断涌入新服，如此形成恶性循环，无法从根本上解决利益流失的问题。
02 传统方案失灵，AI 下场对抗
基于与打金工作室对抗的海量数据，游戏 AI 形成了一套成熟的、数据驱动的解决方案。这些方案能够有效地填补传统方案对业务数据利用率的不足，也可以避免游戏额外接入 SDK，保证跨端的方案通用性。
检测方案可以从不同维度进行划分，按照作弊的生命周期和检测方案介入的时间顺序，将方案分为事前、事中、事后 3 种类型。
- 在事前例如账号注册阶段，通过加固防破解、防调试等功能可以有效拦截作弊者获取设备信息的行为。
- 在事中和事后环节，数据驱动的方案发挥作用。在上游数据处理中，采用 kafka 接收游戏的消息，并写入 HDFS/HBase 集群，下游会部署小时或日级别的离线数据 ETL 流程，完成数据写入 hive/impala 数仓用于满足离线的业务分析或完成特定用户某时间范围内的全量数据快速查询需求。
在 MMO 游戏中，作弊者在事中环节会进行自动采集/刷怪、自动完成任务/副本等工作，如下方案可以解决：
- 基于游戏的日志数据：构造了玩家在游戏中的行为序列，并利用表征学习和聚类算法识别高嫌疑的簇群，从而完成异常工作室群体的检测。
- 基于角色的轨迹类数据：采用时序算法来挖掘具有明显模式和规律性的异常数据。
部分前中期的方案缺乏足够的数据累计，或数据中所包含的信息力度不足以支撑证据，事后方案能作为良好补充，这也使整体方案更加完整。例如 MMO 游戏中的真金交易（RMT）问题，在事后能观察到更完整的牟利链路。从作弊者的角度考虑，他们始终面临被处罚的风险，为了规避风险会倾向于阶段性的变现。事后的方案能够有效地防止后续的游戏损失，同时增加作弊者的账号养成成本。
03 不同数据类型的防控方案
日志/行为序列方案
通过行为序列处理逻辑，筛选游戏原始日志中的大量噪声（例如主动/被动，玩家信息/玩家动作，系统环境，自动/手动等），从而对玩家的真实行为进行统一描述。
我推荐采用where-what-how-when 的思路来表达一个玩家的行为，例如在 MMO 游戏上玩家的行为可以表达为（map_id, action_id, detail_id, ts）这样的四元组序列。随后序列数据会进行分段、采样等数据增强处理并存储，供下游服务访问。
在处理序列数据上，Transformer 和 RNN 都是适合的工具，尤其是前者，它是基于自注意力机制的神经网络架构，对于序列数据建模有着优异的效果，广泛用于 NLP 等深度学习领域中，近期大火的 ChatGPT 等大规模语言模型，都是基于 Transformer 架构的。
采用 Transformer 的 Encoder 部分，对玩家的行为序列进行表征建模，捕捉角色在游戏中的事件信息、时间信息、顺序和上下文信息。
训练建模表征的过程通常伴随着业务经验，可以极大地优化无监督和自监督训练得到的表征向量质量，采用基于 Transfromer 的模型融合玩家事件和时间信息。在玩家表征的基础上进行密度聚类和关联性分析，得到疑似玩家群体，同时结合游戏运营经验对疑似玩家群体进行分级和筛选。
游戏客户对分级和筛选的标准各不相同，有的客户对于群体画像明显的疑似玩家群体，足以支持心中的判断标准，那么群体画像即可作为输出依据；有的客户认为群体画像不够，或者游戏数据不支持更丰富的画像生成，那就会提供群体本身「人力不可达」的特性。
方案在经过线上初步验证并运行一段时间后，用户的反馈会作为监督信息回传给模型。这些正确和误判样例对于预训练模型而言，能作显式的样本指导模型，更好地理解日志的语义信息。对于下游分类任务而言，处罚样例能作为标签指导监督模型的训练，以提高方案的准确性和泛化性。
轨迹检测方案（鼠标、位置轨迹）
游戏中含有丰富的轨迹类数据，如鼠标操作轨迹、角色在游戏世界中的移动位置轨迹等。轨迹数据可以统一抽象成坐标点和时间戳的关系，如下表所示。轨迹数据具备高度的时空特性，能够反映玩家的潜在操作模式，打金工作室因为使用了自动作弊软件工具来替代人为的操作，使得他们的轨迹数据与正常玩家的轨迹差异性很大。
基本假设是，正常的轨迹是杂乱无序的，而作弊玩家通过外挂软件或模拟器等多开设备，使得角色间和角色内的轨迹呈现出明显的模式。他们的目标是实现利益收集最大化，因此即使外挂增加了随机性进行干扰，其总体的轨迹仍然能够被发现与正常玩家存在不同。
轨迹数据非常适合可视化出来进行查看，因此具备较好的可解释性和易于说明性，正常玩家和异常玩家的轨迹数据差异性表现得非常明显。
一个具有玩家证据轨迹数据的通用框架可以检测 MMORPG 中的使用自动外挂的作弊玩家。整体流程如上图所示，该框架由 5 个模块组成：
- Data Recording 数据记录模块，该模块部署在玩家客户端上，负责记录玩家轨迹数据，并发送给服务端的日志服务器；
- Data Collecting 数据收集模块，该模块部署在服务端上，接收客户端发送来的轨迹数据，并进行排序、对齐等初步的处理；
- Preprocessing and Feature Engineering 预处理和特征工程模块，该模块处理轨迹数据，生成特征文件，作为模型的输入；
- Labeling and Model Training 标记和模型训练模块，该模型离线部署，负责进行样本标记和模型训练，得到的模型文件进入下一步模块进行处理；
- Periodic Prediction and Result Processing 定期预测和结果处理，该模块部署在线上，对外挂玩家的轨迹进行预测，并将结果输出到画像平台上进行展示；
为了避免昂贵的手动特征工程，可以使用 AutoML 自动查找特征来减少工作量，还设计了一种自动迭代机制，以确保线上效果不会随时间衰减。
传感器方案
传感器数据本质上也是一种轨迹数据，其所适用的平台一般都是移动端设备，且数据内容和含义相比于普通的轨迹数据更加丰富，例如在「xy 坐标」和「时间戳」的基础上，还增加了「触摸类型」、「触摸压力」、「触摸索引」。
- 触摸类型：如 MOVE、DOWN、UP、CANCEL。
- 触摸压力：（可选），设备屏幕支持压力计的情况下，根据实际采集到的压力值大小进行记录。
- 触摸索引：用于区分多指操作，比如缩放操作需要两根手指，那么其中一根手指的索引为 0，另一根为 1。
在传感器数据上可以开展多种多样的检测方案，比如模拟点击。
基于传感器数据的异常玩家可以识别分成 2 个大类：个体检测和群体检测。
- 个体检测指对单条传感器数据样本进行检测，优点在于检测效率高，可实时对流数据进行检测，同时模型可部署到端侧减少数据传输和被屏蔽的情况。
- 群体检测指对批量样本进行检测，优点是可以发现样本间的关联性，增强异常结果的证据性，因为群体检测方案可以从横向与纵向两个角度进行，不仅检测玩家历史多条轨迹，也能检测玩家间的相似异常轨迹。
在个体样本检测中，采用 LSTM 分别对轨迹事件和轨迹坐标进行建模，最后使用一个全连接层融合多维度数据，输出预测结果。在群体检测中，轨迹数据已经入了数仓，从数仓中提取批量轨迹样本，进行数据预处理后采用熵卷积和 Transformer 等模型提取轨迹特征向量，将轨迹特征向量存储下来后进行最近邻查询，或 HDBSCAN 密度聚类，得到多个疑似簇并按照游戏客户的不同标准进行分级和排序，从排序结果中发现异常的关联性样本，再通过人工归纳外挂模式，可以轻易地发现新型外挂。
关系图谱方案
打金工作室通过游戏资产交易进行变现，那么游戏资产的交易链路是可察觉的。除了资源交易之外，打金工作室和正常玩家必定会在游戏中与其他角色发生例如组队、好友、共享硬件等交互行为，可以根据这些行为构建大规模社交图谱，挖掘其中不符合正常玩家的行为模式。
打金工作室往往具有群体性，即一个小群体（工作室）内的角色通常会互相发生许多价值不对等的交易来转移财产。这些异常交易参与者可以划分为三个群体：“打金者（farmer）”、“汇集者（banker）”、“买家（buyer）”。打金者就像挖金矿的工人，数量庞大，在游戏中是开外挂自动刷副本的角色；汇集者就像一个包工头，收集打金者们打到的游戏资源，再把其卖给买家；买家就是从汇集者处买金的消费者。而外挂的存在会贯穿整条产销线，支撑着不计其数的、不知疲倦的、并且效率极高的机器人采集资源，这种行为显然扰乱了市场秩序。
在构图方式上对游戏内的道具物品进行估值，将玩家间的交易图统一转换成价值转移图，每个玩家角色作为图中的一个节点。图嵌入（Network Embedding）、图神经网络（Graph Neural Networks）等技术受到了学术界广泛的关注和深入的研究。这些方法通常将网络中的节点投影到低维空间中的向量，从而完成非结构化数据到结构化数据的转化。在此基础上，形成了一个融合多种关系图谱数据的半监督模型 MVAN（Multi-View Attention Network），来对玩家进行检测和识别。
04 如何保障 AI 取证的合规性？
数据方案的检测相比传统的手段在证据问题上尤为特殊。传统方案往往不需要对结果进行过多的解释，例如是否修改内存，签名是否改变等都是非此即彼、毋庸置疑的问题。
在数据方案中，开发者通常采用机器学习或深度学习的模型将业务转化成一个概率问题。但由于处罚标签的来源多样化、中间过程包含大量的逻辑推导、数据上不可观测等因素，这种做法仅仅是片面的学习了数据到结果的映射关系，没有思考判定过程是否合理、是否与专家经验一致以及数据本身是否能支撑起违规的结论。缺少这样的“过程正义”会令整个方案落入证据问题的陷阱。
根据我以往的业务经历，可以通过 2 种手段来解决上述问题。
首先是通过引入额外的流程来避免陷入证据的死结。对于部分存在丰富自由度的游戏场景，与游戏方联合设计较为独立的取证模块作为最后一块拼图来填补方案的缺陷。这些取证模块的运行过程具有强证据、高准确率、高成本等特性，例如以交互式的方式来验证是否为真人、以采集更细粒度数据的方式来辅助结果判定等。
在拥有独立取证模块后，机器学习模型能更纯粹的仅仅作为该流程的前置条件来提供概率意义，其优化的目标是提升取证模块的成功率，降低不必要的成本损耗或对正常玩家游戏体验的干扰。
除了引入额外流程，还可以根据具体问题来针对性的设计模型来保证过程正义。
例如在 RMT 问题中，部分游戏的潜规则不允许玩家之间的线下交易，尤其是以打金工作室为表象的线下交易。但因为游戏外数据的不可观测，对该现象的判定完全依赖游戏运营的主观经验。这些经验本质上是基于对游戏深刻理解后对玩家行为的公平性裁决，那么游戏运营心中一定存在这样一杆秤，能够衡量两个不同行为的严重程度。模型的设计就要求和这些公平性判断做对齐。
相比于近期 AIGC 上的部分工作使用 RL 来引入人类的偏好，该方案将公平性解读为特征与结果之间符合偏序关系。在实际应用中，使用特征扰动、diffusion 等数据增强的方式来构造对比学习的损失。
此外，还有解释模型或构建可视化平台等方式，可以帮助数据和过程的透明。
05 结语
如今的作弊手段更加高明，机器拟人效果也更加逼真，以数据驱动的检测不再是简单的 2 分类问题。所谓“道高一尺，魔高一丈”，我们不仅要精准识别工作室群体，也要提供多维度、可视化的证据和分析，运用大数据+AI 的治理方案，让异常群体无处遁逃，让游戏重回公平！#反外挂##游戏反作弊#
本文数据均来自网易智企旗下网易易盾对外发布的相关报告