• “可用”设备多样：电脑和手机都可以植入模拟点击相关脚本；

• “涉及”场景多样：外挂脚本可以用来PC端打游戏、跳过广告等；手机端可以用来自动抢红包、抢购商品等；

• “实现”技术多样：从技术的角度，存在多种实现方法；

1. 人赃并获，及时止损：业务实践场景需要更灵敏的黑灰产防控时效，比如领券核销场景，事后防控不能挽回损失。黑灰产的模拟点击防控讲究“人赃并获，及时止损”。

2. 对事不对人：黑灰产用户可能也会有正常的操作，不宜“一棒子打死”，管控的粒度应为用户的操作，而非用户本身，“对事不对人”。

1. 针对链路：

1. 分布式计算：每个设备可以计算自己的风险，没有云端大批量实时计算的压力；

2. 计算前置：设备上可以自定义风控触发逻辑，可以在黑产行为发生的时候就分析计算，把分析结果实时传回给中央服务器；

2. 针对防控效果：

1. 行为丰富：设备终端拥有最详细的用户行为操作、环境等数据；

2.1.1. 游戏外挂

2.1.2. 自动聊天

2.1.3. 抢红包

2.1.4. 风险类自动转账

2.1.5. 商品抢购类

2.1.6. 广告流量场景恶意流量

2.2.1. 风险外在表现

2.2.2. 风险防控方向归类

1. 设备风险：针对手机进行的“非法”操作

1. 常见的是否root等，都会在设备上留下黑灰产痕迹；

2. 行为风险：

1. 离线行为：不关注单次操作的风险，而在离线统计总体行为的异常；

2. 在线行为：关注黑产行为的风险；

1. 低级伪装：针对端上特征行为的“露出马脚”的显性异常；

2. 高级伪装：一些黑灰产“高手”在特征上没有暴露显性异常，需要从更加细致的角度去发现伪装的隐性异常；

1. 基础风险能力：针对设备风险标签和离线的风险行为；

2. 端上实时能力：

1. 端上策略规则：针对“低级伪装”的在线行为防控；

2. 通用端上算法：针对“高级伪装”的在线行为防控；

3. 端云结合：端云各取所长，联合建模；

3.2.1. 引入

3.2.2. 建模

3.3.1. 端云特征结合

3.3.2. 综合建模

• 隐形特征交叉（DNN网络）

• 显性特征较差特征交叉（CIN+FM）

• 黑产异常行为识别（TextCNN+TF）

3.3.3. 实验结果

• focal loss，降低过拟合风险；

• 调大手势识别网络的权重，减慢收敛，降低过拟合风险；