VERIQ
Бот, собранный, чтобы сойти за человека, и показать, что мониторинг активности меряет не то.
Мониторинг сотрудников стоит на одном допущении: активность равна работе. Мышь двигалась, клавиши нажимались, таймшит зелёный. VERIQ - контраргумент, собранный, а не проговорённый: бот, чей ввод статистически неотличим от человеческого, направленный на реальные трекеры, чтобы выяснить, где именно ломается иллюзия.
- Год
- 2026
- Роль
- Исследование, системный дизайн, визуализация данных
- Тип
- Самоинициированное, адверсариальное
- Стек
- Python · pyautogui · SVG
- Предмет
- Мониторинг активности и прокторинг
Проблема
Это допущение тривиально дёшево подделать, и контррынок уже продаёт эту ложь: программные джигглеры, USB-HID устройства, механические качалки, всё открыто на Amazon. В 2024 году Wells Fargo уволил сотрудников за симуляцию клавиатурной активности. Если десятиминутный скрипт сходит за полный рабочий день, вопрос в том, что мониторинг вообще измеряет.
Чтоясделал
Индустрия на миллиарды на одном допущении
Исследование начинается с оценки того, что на нём стоит: рынок мониторинга и прокторинга на $4.5B+, три класса обхода уже в продаже и десять минут на первый работающий фейкер с нуля. Вместо того чтобы верить маркетингу, я собрал противника и направил его на реальные трекеры. Бот не продукт, а инструмент: из него выходит карта того, где сдаётся каждая защита.
Улика в движении
Синтетический путь жёсткий и прямоугольный, человеческий блуждает, дрожит и никогда не повторяется. На одной сырой форме движения разница очевидна - первое, за что хватается любой детектор. И первое, что стирает достаточно хорошая модель, - с чего весь проект и начинается.
Инженерия правдоподобного человека
Наивный бот выдаёт себя мгновенно: идеальные линии, часовой механизм таймингов, ноль усталости. Работу сделали четыре модели. Движение следует закону Фиттса: время достижения растёт с логарифмом расстояния. Паузы лог-нормальные, а не равномерные, потому что люди работают вспышками и затем дрейфуют, а плоский случайный интервал - отпечаток автоматизации. Циркадная кривая даёт дню утренний пик, обеденный провал и вечернюю усталость, потому что бот, работающий восемь часов ровно, сам по себе аномалия. Под всем этим - физиологический тремор 10 Гц вместо неестественной гладкости машины. Сложенные вместе с суб-движениями Безье, на одной статистике движения, они прошли.
Самый дешёвый сигнал, классифицированный на уровне ОС
Ниже статистики сидит один бит, которому не нужна никакая модель. Операционная система помечает каждое событие ввода как физическое или инжектированное, и бот класса pyautogui спотыкается об это в момент первого движения, кривой путь или нет. Это самый дешёвый и самый жестокий сигнал, и он умирает, как только атакующий спускается к драйверу или железке, которая шлёт события как настоящая мышь.
Три слоя, и только один не обходится
Детекция складывается в три яруса. Операционная система флажит синтетические события: один бит, мгновенный и жестокий, бесполезный в момент, когда атакующий спускается к драйверу или физическому устройству. Статистика движения и таймингов ловит вылизанный программный бот и проигрывает достаточно хорошей модели. Корреляция активности с реальными артефактами, коммитами, тикетами и документами, - единственный сигнал, который идеальный фейкер ввода не может удовлетворить, не сделав работу.
Что каждый слой реально ловит
Разложенная матрицей, планка очевидна. Программный джигглер ловится всем. Человекоподобный бот из этого проекта ловится флагом инжекции и обыгрывается на статистике. USB-HID донгл невидим для флага. Механическая качалка, физически толкающая мышь, невидима для обоих слоёв ввода. Каждый из четырёх ловится корреляцией результата, и ничто другое не ловит все четыре.
Проверка рынка, убившая идею продукта
Прежде чем проектировать детектор, я проверил, купит ли его кто-нибудь. Детекция фальшивой активности уже идёт в комплекте внутри Teramind, ActivTrak, Monitask, CurrentWare, Time Doctor и Kickidler. Это фича, а не продукт. Это перевернуло работу: возможность не в ещё одном дашборде, а в адверсариальном аудите - доказать вендору, как именно обманывается его собственная детекция и где потолок слоя ввода оставляет его открытым.
Как выглядит серьёзный детектор
Не зависит от конкретного трекера по построению: слушает слоем ниже инструмента мониторинга, на потоке ввода операционной системы. Коллектор снимает ввод и помечает каждое событие, инжектированное или физическое, извлекая признаки движения и таймингов. Скорер сплавляет флаг, статистику и корреляцию результата в одну вероятность. Дашборд докладывает итог. Весь смысл в том, где он сидит: под трекером, а не внутри него.
Дашборд, который судят по ложным срабатываниям
Концепт оценивает сессию, а не событие: число подозрения со шлейфом улик за ним, сессии отсортированы по риску, помеченная несёт причину, по которой помечена. Число на экране не ценность. Ценность - доля ложных срабатываний под ним, потому что у инструмента, обвиняющего людей, неверный вызов - это иск, а не баг.
Подкапотом
Лучшая подделка сходится к выполнению работы
Каждый побеждённый слой толкал бота ближе к производству настоящего результата. Идеальный фейкер в итоге работает - это и естественный потолок атаки, и сильнейшая доступная защита. Ради этого вывода весь проект и существует.
Исследование бьёт демо
Десятиминутного бота хватило, чтобы доказать тезис. Ценность никогда не была в инструменте - она в карте того, где ломается каждая защита, и превратить флаги инжекции, рывок и лог-нормальные хвосты в то, что менеджер читает за тридцать секунд, - вот настоящий результат.
Зачем публиковать атаку
Смысл не в джигглере получше. А в том, что метрика, которую так легко удовлетворить, не может быть свидетельством работы, и индустрия, её продающая, уже знает, что контррынок существует. Назвать провал полезнее, чем притворяться, что измерение здорово.
Рамки и этика
Проведено как авторизованное, самоинициированное исследование безопасности на собственных машинах. Ни одна боевая система мониторинга не атакована, никакие инструменты обхода не опубликованы и не распространяются. Намерение защитное: понять целостность активности достаточно хорошо, чтобы мерить её честно.