Анатомия детекта: по каким паттернам TGStat вычисляет ботов без магии

Анатомия детекта: по каким паттернам TGStat вычисляет ботов без магии

Давайте снимем розовые очки и посмотрим на сырые логи. TGStat не “видит бота” по одному сигналу — он собирает профиль из слабых аномалий: взрывной прирост без внешнего шума, одинаковые окна активности, нулевой хвост реакций, слишком ровные интервалы между заходами. Один паттерн ещё терпим. Связка из трёх — уже кандидат на мусорный трафик.

Классика детекта — поведенческий фантом. Аккаунты живут короткими сессиями, читают одни и те же каналы, не строят граф переходов, не оставляют нормальный ретеншн. У живого пользователя есть дрожание: паузы, возвраты, пересечения по тематикам, сдвиги по часам. У бота — прямой, как шнур питания, маршрут. Алгоритму этого хватает, чтобы поднять риск-скор.

Вторая группа сигналов — техническая одинаковость: одинаковые фингерпринты, схожие юзер-агенты, повторяющиеся пулы IP/MTProto-прокси, однотипная гео-распределённость. Когда входы выглядят как один кластер с плохо замаскированной ротацией, система начинает резать доверие не к аккаунтам, а к источнику трафика целиком. Алгоритмы пишут люди, а значит, у любой защиты есть свой порог чувствительности.

Что делать без иллюзий: не гнать трафик пачкой из одного источника, не держать одинаковые тайминги, не смешивать “мертвые” аккаунты в один прогон. Смотрите не на число подписок, а на поведенческий след: удержание, глубину чтения, распределение по времени и совпадение технических отпечатков. Если профиль выглядит слишком стерильно — его уже читают как аномалию.