Анатомия детекта: по каким паттернам TGStat вычисляет ботов без лишнего шума

Анатомия детекта: по каким паттернам TGStat вычисляет ботов без лишнего шума

Давайте снимем розовые очки и посмотрим на сырые логи. TGStat не ищет «бота» по одному признаку — он собирает профиль из повторяющихся аномалий: одинаковые интервалы активности, линейный рост без естественных провалов, синхронные подписки/отписки и пустые хвосты по удержанию. Один шумный аккаунт погоды не делает. Пачка одинаковых — уже сигнал.

Главный маркер — не сама накрутка, а ее форма. Алгоритм любит ловить:
— кластеры входов с одного пула IP/ASN;
— одинаковые user-agent и device fingerprint;
— неестественную гео-распределёнку;
— короткий жизненный цикл: вошёл, проголосовал, исчез;
— повторяемый тайминг действий, как у скрипта с плохим джиттером.

TGStat всё видит, но дьявол, как всегда, кроется в таймингах. Если прирост выглядит как ступенька без естественной инерции, а затем канал быстро теряет «аудиторию», система поднимает риск-профиль. Особенно палятся связки, где просмотры, реакции и подписки идут в одном темпе: живой трафик так не ходит. У людей есть паузы, у ботов — расписание.

Что делать на стороне поля: дробить пулы, менять фингерпринты, размазывать действия по времени, не смешивать одинаковые сценарии на одном кластере. И да, ретеншн важнее голой цифры подписчиков — если ядро не держится, любой детект потом складывает математику без эмоций.

Вывод простой: алгоритмы пишут люди, а значит, у любой защиты есть порог чувствительности. Не кормите систему одинаковыми паттернами — она именно их и ждёт.