技术深度解析
行为指纹的核心洞察在于LLM推理中确定性与概率性的双重本质。当浏览器代理被要求点击一个按钮时，模型并非执行随机移动；它会生成一系列描述动作的token，然后由代理框架解析为具体的UI命令。这一过程引入了多个层次的独特模式。
指纹的架构：
1. Token级时序： LLM以离散的token步骤处理输入并生成输出。token生成之间的时间受模型大小、量化和硬件影响。例如，在A100 GPU上运行的70B参数模型，与在消费级RTX 4090上运行的7B模型相比，会产生不同的时序特征。这些时序差异体现在鼠标移动或按键的间隔中。
2. 动作序列化： 代理的决策管道——通常涉及“感知-行动循环”——会创建可预测的模式。大多数框架（例如Microsoft的TaskWeaver、AutoGPT或开源项目browser-use）遵循一个循环：观察屏幕状态 → 推理下一步动作 → 执行动作 → 观察结果。每个阶段的持续时间，尤其是推理步骤，对于给定的模型和提示模板而言高度一致。
3. 鼠标移动动力学： 人类的鼠标移动遵循平滑的弹道轨迹，伴有加速和减速。然而，LLM代理通常生成离散的坐标跳跃式移动，或者即使经过平滑处理，产生的曲线在数学上也过于完美。开源仓库browser-use（目前在GitHub上拥有18k+星标）实现了一个“类人”鼠标移动模块，添加了抖动和贝塞尔曲线，但研究人员发现，这些抖动模式本身具有重复性且特定于模型。
4. 滚动行为： 人类以可变速度滚动，经常在滚动中暂停阅读。LLM代理倾向于以均匀增量或与模型上下文窗口大小相关的突发方式滚动。一项比较GPT-4o代理与人类用户的研究发现，代理的滚动速度比人类滚动速度一致性高出3.2倍（标准差更低）。
基准数据：
| 模型 | 代理框架 | 鼠标移动一致性 (CV) | 滚动突发间隔 (ms) | 表单填写停顿模式 | 检测准确率 (由训练分类器) |
|---|---|---|---|---|---|
| GPT-4o | AutoGPT | 0.08 | 450 ± 30 | 均匀200ms停顿 | 94.2% |
| Claude 3.5 Sonnet | TaskWeaver | 0.11 | 520 ± 45 | 双峰 (150ms/350ms) | 91.7% |
| Llama 3 70B | browser-use | 0.15 | 600 ± 60 | 随机但模型特定 | 88.3% |
| 人类基线 | N/A | 0.42 | 1200 ± 400 | 可变 (50-800ms) | — |
数据要点： LLM代理的鼠标移动一致性变异系数（CV）比人类低3-5倍，使其成为高度可靠的检测指标。即使browser-use中最好的“人性化”技术，也只能将检测准确率降低约5个百分点，这表明行为指纹是一种基本属性，而非表面伪影。
值得关注的GitHub仓库：
- browser-use (18k+星标)：最流行的LLM浏览器代理开源框架。最近的提交显示其试图添加行为随机化，但核心指纹仍然可检测。
- Agent-Fingerprint (新，2k+星标)：一个专用的检测工具包，从浏览器代理日志中提取行为特征。它使用轻量级SVM分类器，在5个不同的代理框架上实现了93%的准确率。
- Humanize-AI (1.5k星标)：一个专门旨在为代理动作添加类人噪声的项目。早期结果显示，它仅将检测准确率降低了3-4%，证实了指纹的深度。
关键参与者与案例研究
行为指纹的发现对构建和部署AI代理的公司，以及试图检测它们的公司，都具有重大影响。
代理开发者：
- OpenAI： 其基于GPT-4o的Operator代理专为自主网络任务设计。该公司尚未公开回应行为指纹问题，但内部研究很可能在探索这一领域。其竞争优势在于模型质量，但如果平台开始屏蔽Operator，指纹问题可能限制企业采用。
- Anthropic： Claude 3.5 Sonnet的Computer Use功能明确设计用于GUI自动化。Anthropic已发布关于代理行为的安全研究，但未专门针对指纹。其代理显示出第二好的检测规避能力（检测率91.7%），表明其架构引入了更多自然变异性。
- Microsoft： 其开源代理框架TaskWeaver广泛应用于企业自动化。Microsoft的Azure AI平台可以将指纹检测集成作为一项安全功能，从而创造一种双重用途技术：既支持自动化，又检测自动化。
检测与安全