Resemble AI Agent Detection 瞄准伪装成人类的智能体

Resemble AI 于 10 月 29 日推出 Agent Detection，针对那些使用网站时看似人类访客的 AI 智能体。Resemble AI Agent Detection 要解决一个棘手的区分问题：自动化访客可能代表合法客户，同时又隐藏了该客户账户的运作方式。识别出自动化行为能帮助网站理解这类活动，但并不能说明该活动就应获得许可。

这种张力令此次发布不同于常规的机器人拦截产品上线。AI 智能体，即为实现目标而选择行动的软件，可以替他人浏览商品、填写表单和尝试购买。网站必须决定是欢迎这种委托行为、限制特定操作，还是拒绝该会话。

Cloudflare 和 HUMAN Security 已提供识别或衡量智能体流量的方法，这使 Resemble 面临成熟竞争对手和互补技术。Resemble 的具体主张针对的是掩饰自动化行为的智能体。其公开结果值得关注，但其披露的人类流量误判也应得到同等重视。

Resemble AI Agent Detection 在拦截决策前增加标签

该产品带来的直接变化，是让自动化访问变得可见，而非自动决定拒绝其访问。

在其发布分析中，Resemble 表示，其内部测试识别出了至少 98.8% 的伪装智能体访问。该公司称，六款对比工具在这一类别中的识别率介于 3.1% 至 14.8%。

这些数据描述的是供应商自行运行的基准测试，而不是在全网范围内独立确立的性能。对比对象包括 Cloudflare Turnstile、BotD、F5、Google reCAPTCHA、Akamai 和 Vercel BotID。Resemble 表示，当自动化行为留下可识别痕迹时，所有产品表现都不错。

这一差异很重要，因为该公司最突出的结果针对的是隐蔽自动化，而非所有类型的自动化流量。已经能捕获明显脚本的网站，需要证据证明额外的检测器能发现其现有控制措施遗漏的有意义活动。

同一公告还报告称，在默认设置下，其误报率——即被错误标记为智能体的人类访问比例——约为 5% 至 6%。其仅针对智能体的对比并未衡量这一错误。Resemble 对基准范围的描述也不一致，既提到 12 个网站技术栈，也提到八个。

这些披露缩小了读者能够得出的结论范围。此次发布支持对特定检测方法进行研究，但并不能证明网站应信任每一项返回的分类结果，或替换其现有防御措施。

对企业而言，仅观察的部署方式可以将这些问题分开。检测器可以为访问打标签，而网站继续正常运行。工作人员随后可检查被怀疑为智能体的访问，是否遵循可识别的客户旅程，或是否与已确认的滥用行为相关。

这一过程也会暴露系统之间的分歧。现有安全服务可能接受某个会话，而新检测器会将其标记为自动化。单凭任何一种判断，都无法说明访客是想购买商品、获取信息，还是滥用账户。

因此，有用的变化是为网站理解流量增加一个类别。即使由软件执行，先前可接受的活动仍可保持可接受。先前可疑的活动，无论是否看似由人类控制浏览器，仍需要调查。

Resemble 的公告将这种区分置于其商业主张的核心。检测到智能体会产生网站可利用的信息。其价值取决于运营方能否从该信息中负责任地作出推断。

客户访问让检测成为商业决策

承受压力的是那些既要防止滥用、又要让客户完成任务的团队。

设想一个示例性结账会话。一名客户要求助手寻找替换用的办公显示器，并在获批限额内完成订单。由此产生的浏览器活动是自动化的，但这笔购买仍可能代表真实需求。

再设想攻击者利用自动化手段测试盗取的账户凭据。这两种会话都可能包含导航、输入以及与常见表单的重复交互。即使检测器为它们贴上相同的宽泛智能体标签，其商业含义也不同。

这正是 AI 智能体识别成为政策问题的地方。安全人员需要有关可疑行为的证据。商业团队需要客户完成交易。支持团队则需要在有人报告助手遇到意外限制时给出解释。

一刀切的拒绝规则通过牺牲合法自动化访问来解决分类问题。无限制接受规则则保留访问权限，同时让敏感操作暴露于风险之中。两种做法都没有非常谨慎地使用这些额外信息。

更可辩护的区分在于会话试图执行什么操作。阅读公开产品说明与更改账户恢复地址，后果不同。同一访客在这些操作中合理地可能遇到不同要求。

这一分析也适用于零售以外的场景。工作场所助手可能收集参考资料、提交服务请求或更新共享记录。即使委托工作的人保持不变，每项操作都有自身后果。

对于知识工作者而言，实际关注点是连续性。能成功收集信息却在提交环节失败的助手，会留下不完整的工作流。用户需要知道哪些操作已经发生，哪些仍需自己关注。

这使得可追溯性与检测同样有用。维护可搜索知识库的团队，可以在审查被中断的工作流时保留源材料和决策。这些记录与判断谁控制了浏览器服务于不同目的。

因此，企业买家应将流量分类与交易问责区分开来。检测器可以为自动化行为提供证据，但仅凭分类，无法确定客户指令的范围，也无法裁定错误操作的责任归属。

组织层面的挑战在于明确谁负责应对。如果安全团队更改访问规则，商业和支持团队需要理解其后果。否则，一次技术上成功的检测可能造成无人准备解决的客户问题。

Resemble 的机会在于让这一对话更具体。可衡量的智能体类别为团队提供了调查对象，也迫使他们说明实际打算支持哪些自动化客户活动。

当浏览器身份不足以判断时，行为可提供证据

Resemble 的技术主张是，即使浏览器呈现普通身份，交互模式仍会揭示自动化行为。

产品背后的模型 RAD-S1 将行为分析与额外浏览器信号相结合。根据 Resemble 的行为检测模型技术说明，它会检查移动、点击、滚动和输入模式。

该公司称，其约 25 KB 的采集脚本每 1.2 秒发送一批数据。初步检查会在约五次操作或 50 次指针移动后进行。评分在 Resemble 的服务器上运行。

Resemble 报告称，服务器检查的中位响应时间约为 120 毫秒，95% 的响应在 200 毫秒内完成。这些数字针对证据收集后的单次检查，不应被理解为从页面到达到获得可用分类结果的总时间。

这种时间差异对具有重要后果的操作至关重要。网站不能假设访客提交表单前，证据总会及时到达。其访问政策需要考虑分类结果仍不可用的时段。

RAD-S1 detection 也改变了网站对访客作出主张的类型。浏览器身份描述的是客户端自称为何种身份。行为分类估计的是似乎正在操作它的行为者类型。

两种类别都不能证明意图。类人行为可能伴随滥用会话，而明显自动化的行为也可能伴随合法购买。当网站将这些问题分开时，就会获得更坚实的调查基础。

独立研究支持对多种信号进行调查，但并未验证 Resemble 的具体结果。在一篇 6 月预印本中，Iliana Fayolle 及其同事利用网络、请求和浏览器证据研究了六种网页智能体。他们的多层指纹识别研究发现，部分智能体绕过了被评估的防御措施，但仍可通过组合信号加以区分。

研究人员还发现，隐蔽技术有时会提高可检测性。这一发现使“伪装浏览器会对常规检查完全隐形”的简单说法变得复杂。隐藏某个常见线索，可能会引入另一个线索。

这给买家一个理由，应该在自己的流量中比较不同方法。相关问题在于，行为证据是否在现有信号之外增添了有用信息。单独很高的检测分数并不能回答这一增量问题。

同样的推理也限制了对整个竞争对手平台的结论。针对某个具名挑战或检测产品的基准测试，评估的是所测试的配置。它并不会自动描述该供应商在其他场景中提供的每一项能力。

对于开发者而言，这一机制在证据收集与受保护操作之间建立了依赖关系。被动浏览会留出观察访客的时间。会话初期的敏感操作则会带来不同问题。

更广泛的含义是，浏览器外观已成为决定访问权限时不完整的依据。Resemble 提出了另一种证据来源。买家仍需确定这些证据何时到达、帮助效果是否稳定，以及能支持哪些决策。

声明身份与行为检测解决的是不同问题

竞争分野在于网站如何建立身份与权限，而不是它们是否欢迎自动化。

Cloudflare 记录了 Web Bot Auth，这是一种利用加密签名验证自动化请求的方法。加密签名提供了可验证的证据，证明请求来自某一特定签名密钥的持有者。

这种方法处理的是声明的自动化。它让合作客户端能够通过比可编辑浏览器描述更强的证据来表明自身身份。行为检测处理的是另一种情形：访客并未提供可信的身份信息。

这些方法可以相互补充。网站可以验证已声明代理的来源，同时单独检查会话行为是否处于可接受范围内。它也可以调查未提供经验证身份的自动化活动。

身份验证仍然留下了权限问题。知道某项服务发送了请求，并不能证明客户授权了所请求的每一项操作。网站必须另行决定该已认证服务在账户中可以执行什么操作。

这正是 AI 代理识别的核心局限。来源、自动化、客户同意和获准操作描述的是相关但不同的事实。将它们压缩为单一的“可信或不可信”标签，会掩盖决策实际所需的证据。

HUMAN Security 通过代理可见性切入市场，强调分类以及对代理旅程的衡量。其材料描述了如何区分人类、机器人和代理互动，包括自动化旅程在哪些环节完成转化或中止。

这一定位与 Resemble 关于理解流量的商业逻辑存在重叠。它也表明，代理可见性已超出简单的拦截分类。供应商正围绕网站应如何解读自动化客户活动展开竞争。

现有产品描述并不能建立这些公司之间中立的性能排名。它们所宣称的能力、部署场景和评估方法各不相同。在将某一供应商的说法视为对另一供应商的裁决前，买方需要具备可比条件下的证据。

因此，企业比较应从尚未解决的任务开始。难以识别合作型代理的网站，面临的缺口不同于调查隐蔽自动化的网站。试图衡量辅助购买行为的网站，则面临另一种问题。

这种区别也会影响成功的定义。更好的身份验证可以减少对操作者身份的不确定性。更好的行为检测可以揭示隐蔽控制。更好的旅程衡量可以解释为何合法的自动化客户放弃任务。

Resemble 凭借一项具体的行为主张进入这一市场，而非宣称拥有整个代理访问问题的解决方案。当该证据能够填补可观察到的缺口时，它的机会最强。现有身份和权限系统对于后续决策仍然相关。

对客户而言，理想结果是可预测的委托。助手应在支持的情况下表明自身身份，获得易于理解的限制，并清楚说明实际发生了什么。当检测有助于实现这种可预测的体验时，它才会变得有用。

误报与最终判定界定了局限

检测器的实用性取决于其错误的后果，包括落在主要基准之外的错误。

Resemble 的集成文档描述了人类、代理和复核判定。文档还称，互动不足的访问可能在未得出判定的情况下结束。因此，缺失证据应与证明访客是人类的证据加以区分。

文档称，一旦判定成为最终结果，该次访问的数据收集便会停止。这引出了一个关于控制权后续变化的评估问题。买方应询问产品的会话边界和最终分类如何与人类向代理的交接相互作用。

这一问题并不证明存在漏洞，也不与该公司的测试相矛盾。它指出，在网站于重要客户旅程中依赖早期分类之前，有一种行为值得获得清晰解释。

Resemble 还警告，意志坚定的攻击者可以伪造由浏览器提供的信号。其文档将该系统描述为建议性工具。这一限定明确限制了将返回分类解读为确凿证明的方式。

隐私带来了另一重边界。Resemble 表示，它记录关键类别而非输入文本，在存储前对访客 IP 地址进行哈希处理，并保留选定的事件流。这些是公司对收集实践的描述，而非独立的隐私评估。

买方仍需了解部署目的和保留选择。行为数据并不会仅因排除消息内容就与隐私无关。组织应评估其收集什么，以及为何需要收集。

披露的人类误差率尤其值得在面向客户的决策中关注。错误的分析标签可能扭曲报告。若同样错误的标签被用于自动账户限制，则可能阻止某人完成必要工作。

这正是评估精确率为何重要。精确率衡量被标记的会话中，实际属于所标记类别的比例。它不同于召回率；召回率衡量检测器捕获了多少真实代理会话。

代理流量的比例会影响这些指标之间的关系。当人类访问远多于代理访问时，对人类的错误可能主导复核队列。检测器可以捕获大多数代理，同时仍产生需要大量核查的标签。

这一观察并不能自动得出部署估计。买方需要自己的流量分布和独立建立的标签。关键在于，仅凭较高的代理捕获率，无法预测执法工作量或对客户的影响。

覆盖率同样重要。仅对互动密集型会话进行分类的检测器，与评估绝大多数访问的检测器留下的缺口不同。报告应让未分类流量可见，而不是悄然将其排除在分母之外。

无障碍性也值得审慎评估。买方应测试受支持的输入方式，以及客户行为的正常变化。已审阅的资料并未证明存在特定的无障碍缺陷，但也未能确定这些条件下的性能表现。

这些问题使 RAD-S1 检测成为一项运营评估，而不是围绕单一百分比的竞赛。实用阈值取决于采取的操作、可获得的佐证证据，以及判断错误的代价。

关注验证、客户结果与委托访问

下一步证据应展示 Resemble 的标签是否能在真实客户条件下改善决策。

第一个值得关注的信号，是一项同时涵盖人类和代理的可复现评估。它应披露测试配置、误差率、未分类访问，以及此前未见自动化活动上的表现。可比条件比更高的宣传分数更重要。

如果优势能在匹配测试中持续存在，这种评估将强化此次发布的竞争主张。若在新条件下出现显著下降，该主张将被限定在模型已证明具有实用结果的环境中。

独立测试还应区分检测速度与决策覆盖率。足够活动后的快速响应，并不保证会在每项敏感操作之前完成分类。买方需要与其实际工作流时间节点相匹配的证据。

第二个信号是客户结果报告。有用的部署应展示，对代理流量的标记是否帮助运营者了解已完成任务、中断、支持联系和已确认滥用。仅有检测数量并不能证明商业价值。

在引入限制前，纯观察模式的部署提供了一种研究这些关系的方法。运营者可以检查分歧、复核疑似错误，并识别哪些操作中额外证据能改善判断。所得结论应决定是否扩大执法范围。

有害交易减少且未造成不必要客户中断的证据，将增强采用该方案的理由。支持投诉增加或无法解释的放弃行为，则会挑战所选择的响应政策，即使底层检测器仍持续捕获代理。

第三个信号，是网站与代理提供商之间更清晰的委托访问机制。经过验证的来源解决了问题的一部分。明确且受限的客户授权解决了另一部分。进展要求网站说明已识别代理被允许执行什么操作。

这并不要求每个网站采用相同的商业安排。它要求更清楚地区分助手的身份与其权限。客户要求研究某件商品，不应意味着对账户拥有不受限制的访问权。

如果合作得到改善，更少的合法代理将需要伪装成普通人类流量来完成受支持的任务。行为检测仍将在调查未声明或欺骗性活动中发挥作用。其角色将更加具体，也更易于评估。

Resemble AI Agent Detection 通过将隐蔽浏览器自动化视为可衡量类别，为这场讨论作出了具体贡献。现有证据支持审视这一方法，同时应关注其基准局限和已披露的人类误判。

在扩大代理对您的账户或业务工作流的访问权限之前，请先了解网站实际识别的是什么。它知道操作者是谁、客户授予了什么权限，还是只知道互动看起来是自动化的？保留所请求任务的记录，并核查助手实际完成了什么。对于正在评估此次发布的买方，应要求提供与自身流量相似的证据，包括人类误判和未决访问。理想结果是就访问权限作出更清晰的决定，并由与后果相匹配的证据提供支持。贵组织已委托给软件的工作流中，这一决策的哪一部分仍未解决？下一项限制生效前，将由谁进行复核？