🤖 AI

On the Insecurity of Keystroke-Based AI Authorship Detection: Timing-Forgery Attacks Against Motor-Signal Verification

本文表明，依赖于键间间隔变异性的基于击键的 AI 作者身份检测在本质上是不安全的，因为人类对 AI 文本的转录以及自动化的计时伪造攻击都能实现近乎完美的规避率，这证明了仅凭运动信号无法验证内容的语义来源。

原作者： David Condrey

发布于 2026-01-27

📖 1 分钟阅读☕ 轻松阅读

原作者： David Condrey

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一位在图书馆门口值守的保安。他的职责是确保拿着书的人确实是作者本人，而不是从电脑屏幕上抄录的。

一段时间以来，专家们认为他们有一个聪明的办法可以做到这一点，那就是利用打字速度。其理论是：“如果你自然地打字，你的手指会停顿、加速和减速，呈现出一种凌乱的人类节奏。如果是一个机器人或脚本在打字，它会显得过于完美且过快。”因此，他们开发了探测器，通过观察你打字的“心跳”来判断你是否为人类。

这篇名为**《论基于按键输入的 AI 作者身份检测的不安全性》（On the Insecurity of Keystroke-Based AI Authorship Detection）**的论文指出，这个保安被骗了。作者 David Condrey 表明，这些探测器观察的方向错了。它们可以分辨出是否有一个“身体”在按键，但无法分辨是否有一个“大脑”在思考文字。

以下是使用简单类比对该论文研究结果的拆解：

1. “复制-粘贴”诡计（复制打字攻击）

该安全系统最大的漏洞是作者称之为**“复制打字攻击”（Copy-Type Attack）**的手段。

场景： 一名学生使用 AI（如 ChatGPT）写了一篇论文。然后，他在手机上打开这篇论文，看着它，然后在学校的电脑上逐字逐句地将其打出来。
缺陷： 安全探测器看到了打字过程。它看到了停顿、加速和“凌乱”的节奏。它说：“啊哈！这是一个人类在打字！”
现实： 这个人并没有构思这些想法；他只是充当了一个“生物打印机”。因为探测器只观察手指而不观察大脑，所以它被骗了。这就像保镖检查你的身份证件以确认你是一个真人，却没检查你开的那辆车是否真的属于你。

2. “伪造节奏”诡计（时序伪造攻击）

即使学生没有亲自动手打字，论文也表明黑客可以使用软件来伪造打字节奏。

类比： 想象一位知道爵士鼓手如何演奏的音乐家。他们可以编写程序，让机器人敲击鼓点的方式具有与人类完全相同的“摇摆感”和“停顿”。
结果： 研究人员构建了三种不同类型的“伪造节奏”机器人。他们将这些机器人应用于探测器进行测试，结果发现这些机器人99.8% 的时间都能骗过系统。探测器误以为这些伪造的节奏是真实的人类。

3. “两个不同工作”的混淆

论文认为，开发这些探测器的人犯了一个范畴错误。他们混淆了两个截然不同的任务：

任务 A：身份验证。 “是特定的某个人（比如约翰）在打字吗？”（这很有效。你的打字风格就像指纹一样具有唯一性）。
任务 B：作者身份验证。 “这个人是否构思了这个故事？”（这才是探测器试图做的事情，但它们失败了）。

论文指出：“我们可以确认有一个人类操作了键盘，但无法确认该人类是否是文本的原创者。”

4. “并不存在的差距”

研究人员承认，在“打字输入自己的想法”和“打字输入他人的文字”之间确实存在微小的差异。

类比： 当你写自己的故事时，你可能会停下来思考：“嗯，下一个词该用什么？”当你抄袭别人的故事时，你可能会停下来阅读下一行。
问题： 论文显示，这种差异在统计学上极其微小，以至于无法用于安全检测。如果要捕捉到这些“抄袭者”，你就必须将探测器的灵敏度设置得极高，以至于它也会误判 16% 的诚实学生（他们只是在苦思冥想）。这会导致过多的误报，从而失去实用价值。

5. 解决方案：改变游戏规则

论文得出结论，仅仅通过让打字探测器变得更“聪明”是无法解决问题的。你无法通过更好地理解节奏来解决问题，因为节奏并不能告诉你思想的来源。

相反，我们需要完全不同的工具：

修订历史： 作者是删除并重写句子（像真正的思考者），还是仅仅顺着打下去（像抄袭者）？
挑战性提问： 在写作过程中询问作者：“你为什么选择这个例子？”如果他们只是在抄袭，他们将无法回答。
语义绑定： 将打字过程与词汇的含义联系起来，而不仅仅是时序。

核心结论

论文警告说，依靠“打字节奏”来抓捕 AI 作弊行为的学校和公司，是在沙堆上建造城堡。学生可以轻松通过打出 AI 生成的文本来绕过检测，或者黑客可以完全伪造这种节奏。

总结： 这些系统可以证明有一个人类在场，但无法证明该人类是作者。要了解谁真正写了那篇论文，我们需要观察内容和思考过程，而不是手指的速度。

技术摘要：论基于按键输入的 AI 作者身份检测的不安全性

问题陈述

近期关于检测 AI 生成文本的提议已从分析语言输出（困惑度、文体学）转向分析过程层面的行为信号，特别是按键时序动态。诸如 Kundu 等人 [1] 和 Mehta 等人 [2] 提出的系统依赖于这样一个前提：人类的运动信号（其特征是可变的键间间隔（IKI）和特定的时间模式，如“思考停顿”）与自动化机器人均匀、快速的文本注入是截然不同的。

本文指出这些方法存在一个根本性的范畴错误：它们将运动存在性（即一个人类身体在操作键盘）与内容溯源性（即一个人类在认知上原创了文本）混为一谈。作者认为，当前的威胁模型未能考虑到一种理性的对手，该对手可以通过大语言模型（LLM）生成内容，然后通过物理方式逐字符地进行转录。这种“复制-打字”（copy-type）攻击产生的运动信号是真实的，在本质上与真正的构思创作无法区分，从而使得仅凭时序的检测器在验证作者身份方面变得不安全。此外，本文证明，即使是自动化的“时序伪造”攻击（通过合成基于人类分布的按键间隔），也能绕过这些系统。

研究方法

威胁模型与攻击定义

本研究评估了运动信号验证系统（MSVS），该系统接受一份文档及其按键轨迹，以将输出分类为 HUMAN（人类）或 AI（人工智能）。作者定义了两种主要的攻击向量：

复制-打字攻击（Copy-Type Attack）： 对手使用 LLM 生成文本，并将其物理打字输入到受监测的平台中。由此产生的运动信号在构造上是真实的。
时序伪造攻击（Timing-Forgery Attacks）： 自动化代理通过从经验人类分布中采样键间间隔来生成合成轨迹。作者实现了三种变体：
- 直方图采样（Histogram Sampling）： 从人类数据的经验累积分布函数（CDF）中独立采样 IKI。
- 统计模仿（Statistical Impersonation）： 匹配目标人群 IKI 分布的一阶和二阶矩（均值和方差），并针对双字母组合（digraph）特定的延迟进行调整。
- 生成式 LSTM（Generative LSTM）： 一个经过训练的 2 层 LSTM 网络，利用真实的按键序列来建模给定字符历史条件下 IKI 的条件分布。

实验设置

数据集： 评估使用了来自斯托尼布鲁克大学（SBU）按键语料库的 13,000 个人类打字会话，并补充了 5,000 个自动化注入会话和 2,000 个攻击会话（包括 1,000 个直方图、500 个统计、500 个 LSTM 攻击）。通过另外 11 个公共语料库（总计超过 150,000 个会话）进行验证，以确保泛化能力。
特征： 研究评估了一个包含 7 个特征的向量，涵盖了先前研究 [1], [2] 中提出的所有特征：
- $\delta$ : IKI 的变异系数 (CV)。
- $\bar{t}$ : 平均 IKI。
- $\sigma^2_{IKI}$ : IKI 方差。
- $\rho$ : 停顿密度（IKI > 500ms 的比例）。
- $\beta$ : 平均爆发长度。
- $H$ : IKI 分布的香农熵。
- $\gamma$ : 双字母组合（digraph）变异性。
分类器： 使用 5 折分层交叉验证训练了五种分类器（逻辑回归、随机森林、梯度提升、SVM-RBF、MLP）。

关键结果

1. 攻击有效性

复制-打字攻击： 在使用 IIITD-BU 数据集（34 个转录会话）和汇总语料库（879 个会话）的实证验证中，复制-打字攻击在检测阈值（ $T = 0.269$ ）下实现了 100% 的绕过率。转录过程的平均 $\delta$ 为 $0.991$，远高于阈值，且在自由文本条件下，构思创作与转录之间的 Cohen's $d$ 仅为 $0.14$。
时序伪造攻击： 所有三种自动化变体对五种分类器均实现了 $\ge 99.8\%$ 的逃逸率。
- 直方图和 LSTM 攻击实现了 100% 逃逸。
- 统计攻击实现了 99.8% 逃逸。
- 攻击样本被分类为人类的平均置信度 $\ge 0.993$ 。

2. 分类器性能与权衡

基准分离： 当区分真实的真人打字与完全自动化的（粘贴/API）注入时，分类器达到了 1.000 的曲线下面积（AUC）。这证实了系统能正确检测出运动信号的缺失。
运行失效： 当面对人类运动信号（无论是真实的还是伪造的）时，系统无法区分来源。
- 若要将 LSTM 攻击的通过率降低到 50% 以下，必须将检测阈值提高到 $T > 0.80$ 。
- 在此阈值下，合法人类用户的**错误拒绝率（FRR）**上升至 16.3%。
- 当 $T = 0.90$ 时（FRR = 32.6%），LSTM 攻击仍保持 44% 的通过率。
特征消融： 没有单一特征能可靠地将所有攻击变体与真人打字区分开来。虽然 $\delta$ 和熵等特征能有效区分人类与机器人，但它们无法区分“人类在构思文本”与“人类在转录文本”。

3. 理论界限

作者形式化了一个不可识别性结果（定理 1）。在假设检测器仅观察按键时序（ $\tau$ ）而非认知状态的条件下，特征与内容来源之间的互信息为零：
$I(f(\tau); \text{Provenance} | s, M_u) = 0$
即使放宽理想化假设（即认知状态不影响运动执行，经验 $d \approx 1.28$ ），所得出的贝叶斯误差仍为 26.1%，这在操作层面不足以用于安全决策。

意义与主张

本文断言，目前架构下的基于按键的 AI 作者身份检测系统在面对理性对手时是根本不安全的。

范畴错误： 这些系统验证的是运动真实性（即是否有人在场），但无法验证内容溯源性（即该人是否原创了内容）。“复制-打字”攻击利用了这一差距，通过人类自身的运动系统来为 AI 生成的内容进行“洗白”。
结构性局限： 这种脆弱性不是算法性的，而是结构性的。由于区分变量（内容来源）是一个在特征空间中无法观测到的潜在混淆变量，因此任何程度的特征工程或分类器优化都无法克服构思创作与转录之间存在的分布重叠。
虚假保证： 以打字模式作为“无 AI”认证的系统提供了虚假的保证。它们可以确认人类操作了键盘，但无法确定该人类是否为作者。
防御启示： 保护内容溯源性需要从根本上改变架构，将观察到的写作过程与语义内容绑定。作者提出了以下可行方向：
- 修订历史连贯性： 分析非单调的编辑模式（删除、改写），这类模式在转录过程中极少出现。
- 挑战-响应机制： 在构思过程中强制要求对文本进行实时理解。
- 语义绑定： 集成自然语言处理（NLP）技术，以区分运动错误与语义修正。

作者总结道，在部署此类内容绑定机制之前，按键时序应仅用于确认人类的存在，而非作者身份。