检测AI Agent需要什么？浏览器自动化下行为检测的最小特征集

一篇arXiv论文提出三分类检测框架（人、机器人、AI agent），发现传统二分类器结构上无法区分AI agent：MLP误将39.1%的AI agent识别为人，SAINT transformer误识别34.5%；加入agent类别后30次试验F1均为1.000。通过构建五级逃避阶梯（2299个躲避会话）验证，两个行为特征（鼠标事件速率、teleport_click_ratio）即实现100% agent召回率和0.994精确率。检测信号源于Playwright等自动化工具缺失物理输入设备产生的原始指针移动和滚轮增量流。

此前bot检测器仅区分人与机器人，无法识别AI agent，导致大量agent流量被误判为人类，造成安全漏洞。该论文首次给出了可部署的三分类方案，仅需两个特征即可零遗漏检测，且对多种逃避手段鲁棒。

AI agent通过Playwright等工具操作浏览器时，不会产生物理鼠标的原始移动和滚轮增量信号，这一缺失痕迹难以通过GAN生成轨迹或人类数据回放掩盖，从而形成稳定区分特征。论文从9401个特征组合中筛选出最优双特征集，确保了检测可解释性与低计算成本。

依赖传统bot检测的网站需重新评估防护体系，建议引入三分类模型或集成论文发现的两个行为特征，可低成本拦截AI agent爬取或自动化操作；浏览器自动化框架开发者需警惕该检测信号，可能影响合规使用场景。

• 基于鼠标事件速率和teleport_click_ratio开发轻量级浏览器插件或CDN热补丁，实时标记AI agent会话
• 为网站后台安全仪表板添加AI agent流量分类视图，区分人类、机器人、agent三类行为
• 面向自动化测试工具提供合规提示，指导如何避免触发检测特征（如模拟鼠标原始轨迹）

• 该双特征方案在真实生产环境大规模流量下的误报率与延迟表现如何？
• 攻击者能否通过修改Playwright源码或插入虚假原始事件绕过检测？
• 不同浏览器自动化工具（如Selenium）是否产生相同的缺失痕迹？
• 三分类模型对非浏览器场景（如API调用）的AI agent是否有效？