黑产永不眠。
文/九莲宝灯
今年，与游戏黑产有关的话题正不断摆到厂商们面前。从上海多家头部游戏公司组建反黑产联盟，到黑客组织ACCN不断劫持中小厂商使其蒙受巨大损失，再到今年8月18日国内独立游戏厂商联合发表《国产独立游戏反淘宝盗版联合声明》，愈发猖獗的黑产，正威胁到越来越多游戏厂商的生存。
而在11月3日召开的腾讯数字生态大会上，腾讯也向外界发布了全新的游戏安全品牌Anti-Cheat Expert，游戏安全团队还根据腾讯游戏的大盘数据，首次推出了《2021游戏安全白皮书》，让更多游戏厂商了解到当前游戏面临的安全威胁的现状，并揭示游戏安全行业面临的问题。
作为最大的游戏厂商之一，腾讯面临的黑产挑战或许更多。游戏安全对抗是动态变化的，在常年与黑产攻防攒下的经验中，他们也收获了不少值得参考的经验和见解。葡萄君借此机会，联系到了腾讯游戏业务安全总监李长江，听他分享了腾讯在与黑产的实战中总结的知识。葡萄君希望通过这次访谈，让更多游戏厂商拥有游戏安全意识，并获得一些启发。
以下是采访实录：
01
游戏厂商和外挂团队，
是一种不平等对抗
葡萄君：在你们看来，现在游戏安全行业面临的问题有怎样的变化？
李长江：首先从趋势来看，这几年游戏黑产的规模每年都在倍增。以往我们认为只有中国游戏黑产的规模最突出，但现在，全球游戏黑产都在爆发。
从大概的优先级来说，首先是外挂。它已经成为了全球性的产业，作为产业基础的能力、运维方法、组织形式都非常专业，同时，它获得的非法利益也是天文数字。
其次是信息安全，也就是我们常说的UGC安全。随着国内政策监管的趋严，包括未成年人保护等措施的推行，这个问题也越来越需要被重视。
第三是经济黑产。这方面以打金工作室、点券商以及博彩等在游戏内攫取经济利益的黑产为代表。
当然，现在也衍生出一些其他安全问题，比如游戏内玩家的恶意行为，MOBA游戏中的“演员”，消极比赛等；此外，还有像陪玩、代练这些灰色产业的兴起等等。
图片摘选自《2021游戏安全白皮书》
葡萄君：那我们先来聊聊外挂。现在外挂的利益空间有多大？
李长江：因为外挂是黑色产业，所以它具体的规模很难估计。我们在年初打掉并公开的一个外挂团伙鸡腿挂，涉案金额以亿为单位，而这也只是众多外挂团伙中的一个典型。团伙在国外，但是他们在国内有很多代理商。像其中有个代理商，其实他平时是一个月收入两三千左右的普通职员，但他代理外挂的收入以千万计。所以对于外挂产业的单个从业人员，特别是水平比较高的团伙来说，人均收益绝对是极高的。
图片摘选自《2021游戏安全白皮书》
葡萄君：外挂是如何与游戏厂商对抗的？
李长江：互联网产品安全永远都出于每天对抗升级的状态，技术在理论上是无极限的。
大致来说，外挂防止自己被检测到的思路分两种。一种是躲避，避免自身位于可被检测到的范围。
另一种更恶劣的更有技术性的是直接对抗安全系统，比如在客户端对安全数据做针对性屏蔽上报，敌我双方需要不断地研发新技术来比拼。
图片摘选自《2021游戏安全白皮书》
葡萄君：在技术上对抗外挂团队有多难？
李长江：和外挂对抗需要几个能力。一个是高效，能不能实时监控到新出来每个外挂，又能不能在极短时间内研发策略上线检测，高效的闭环周期可能要求到1小时内；一个是稳定，我们不能发布一个新的策略或功能，结果导致某些玩家游戏崩了，这个挑战其实非常大，因为面对的是海量复杂的用户设备环境；还有就是准确，不能有误判，需要强大稳定的风控系统和运营流程体系。这些都考验一个团队从技术到运营体系的完整性，还有能不能一直保持最高战斗力。
从另一个维度来说，我们游戏厂商和外挂团队其实是一种不平等对抗。
首先，现在外挂黑产已经成为全球性的组织，组织之间信息和技术的互通效率非常高，每出现一种新的攻击手段，很快就会在所有重要游戏的外挂上体现。
而我们各个游戏公司作为商业组织，承担各自职责，不可能实现技术无障碍实时共享，这不仅是技术保密性的要求，同时也没有那个精力。
另外，我们和他们在技术难度上也是不对等的。我们作为安全防护体系，一定是大而全的，除了技术方案的研发，为了游戏的稳定，我们研发周期也会比外挂更长。从技术权限上来说，我们不能要求用户越狱或root给我们移动系统底层权限，而外挂黑产可以向用户索要更多权限，研发出的新技术都可以立刻去尝试。同时他们面对的用户量更小，偶尔出现崩溃问题，作弊用户也能接受。他们只要抓住我们一个漏洞就算成功，而我们需要百密无一疏。
图片摘选自《2021游戏安全白皮书》
葡萄君：那Anti-Cheat Expert团队对抗外挂黑产的思路是什么？
李长江：我们游戏安全团队最早刚刚成立的时候，主要是面对端游，在客户端上做加固，包括驱动级的防护，用数据和代码加密提升外挂逆向游戏逻辑实现作弊的门槛。但到了《地下城与勇士》、《穿越火线》这些热门游戏上线的时候，我们与黑产就进入了强对抗阶段，只靠客户端防护方案是守不住的。
所以我们现在开始往后端走，让客户端在强化防护的同时，也动态上报一些基于安全需要的游戏行为关键性数据，在服务器综合做分析和制定判定策略模型，实现实时计算判定后给出相应处罚打击。当然具体每个点上，我们会随着外挂黑产的变化实时更新提升。
图片摘选自《2021游戏安全白皮书》
02
玩家发出的内容，也有可能是黑产
葡萄君：那刚刚说的信息安全，又具体指什么？
李长江：这就是我们平时说的UGC，包括游戏内玩家发送的文字发言、语音、图片、链接，还有玩家的名字等等。既然是玩家自行发出的内容，那有可能会涉及两个维度的违规。一个是国家政策上不允许的违法违规内容；另一个是游戏行业普遍认为会对其他正常玩家产生影响的内容，比如色情、诈骗、辱骂等等不健康内容。这些我们统称非法信息。
图片摘选自《2021游戏安全白皮书》
葡萄君：这些非法信息，有多大规模？
李长江：就恶意内容而言，去年一年，我们检测的游戏内文本量有28045亿条，拦截掉303亿条恶意文本信息；图片也审核了大约909亿张，打击了728万张恶意图片。
我们去年还在腾讯10多款游戏里上线了语音审核功能，一共审核了61亿条语音数据，处罚了1.6亿条非法语音。今年上半年，我们的语音审核量达到了164亿条，处罚量超过2020年全年，有3.5亿条。
我们对这些非法信息的处理方式，主要分两类。一类是在用户发出来之前就进行判断和前置拦截。例如最普遍的文字类，我们有全面的屏蔽词库以及丰富的技术方案和模型，同时基于账号、信用、内容，还有一些行为，进行机器自动扫描和人工二次复核，对这些非法UGC内容进行预防。
因为它也是黑产，会不断变化，所以这也有一个对抗过程。我们最终可能还有一些没有检测到，那就只能另一类处理方式，也就是事后去补，对违规用户进行禁言或者是其他一些处理。
葡萄君：这种黑产的利益来自哪里？
李长江：主要是诈骗。比如说有些非法信息表面是色情，但它最终还是为了诱惑用户去一些网址链接，最终诈骗用户。
除了诈骗，非法信息类黑产还有可能存在博彩、广告或者引流。引流用户去其他APP，特别是其他游戏，这是近几年产生的一个新问题。有一些公司会委托专门的商业组织，在竞品游戏中拉拢客户，从行业角度来说，这么做是违规的。而且这些人诱导玩家去玩的那些游戏，可能并不是正经游戏，最终还是会回到诈骗。只有低俗谩骂这块，一般和黑产关系不太大，主要是个人行为。
03
打击经济黑产，不是简单的事
葡萄君：你们怎么看打金工作室这类经济黑产？
李长江：一个打金工作室通常会有多台设备，或者多个账号，或者使用脚本等工具，来提高他们资源收集的效率。
但同时也会有个人用户用这些方式刷资源自己用，因为他们造成的影响比较小，我们不太想去覆盖打击这些用户。如果我们想要避开他们，会从规模上进行识别。
我们还会从时间维度识别，看对方刷资源是不是一个长期行为。我们现在有一个叫腾讯游戏信用分的概念，在腾讯游戏账号体系下的账号都有自己的信用分。我们会根据用户多年的行为特征来判断用户，如果用户曾对多个游戏进行这种类似黑色组织的行为，那未来在新游戏发布的时候，我们对这些用户就会专门关注。
图片摘选自《2021游戏安全白皮书》
除了工作室，现在经济黑产的场景还有很多。比如在手游发展的初期，他们会用一些非法渠道来源的信用卡来购买游戏内道具并转卖，还有就是利用各国之间的汇率差来赚取利益。这些形式随着近两年政策的缩紧和渠道商的改进，逐渐少了一些。
现在还有一些点券商，利用游戏营销的规则，去充值低成本的点券，再转移给有需要的玩家，赚其中的差价。还有就是恶意退款，这是指那些在苹果渠道充值购买道具，然后再借口说是误充，要求苹果退款的。这些都是新的经济黑产形式。
葡萄君：像代练这种灰色产业，你们会怎么处理？
李长江：代练通常不需要安全系统的数据来上报，游戏本身一些玩家的数据、行为就可以判断，比方说设备、IP，或者是玩家的成绩。
传统情况下，用户找代练往往是因为他们的游戏水平高。但是代练发展到今天，已经变成了一个商业行为，这些代练为了节省时间成本，就会开始用外挂，甚至购买一些更专业的定制外挂，那就会对整个游戏安全产生更加不利的影响。所以打击代练也不是一件简单的事。
图片摘选自《2021游戏安全白皮书》
葡萄君：还有哪些黑产形式是你们关注的？
李长江：现在大家最关注的一种黑产，是对游戏进行网络攻击来敲诈勒索的，今年有好几个案例。
做这些恶意攻击的黑产会找游戏系统的漏洞进行攻击，或者更传统一些的做法是DDoS攻击，让你的服务器无法承载直到崩溃。这些会极大地损害用户体验，直接让游戏厂商受损失。
除了这些敲诈勒索的，还有一种是竞争对手雇佣黑产入侵你的服务器，窃取你的机密，或者抢你的代码去卖，这种情况非常恶劣，但是门槛比较高，所以相对也会少一些。
这个方面，是腾讯云的腾讯安全DDoS防护团队在做，他们在整个互联网行业的服务器安全这方面，应该是最顶级的。我们为游戏项目负责，但是像他们这样的部门会在背后支撑我们，去为游戏提供服务。
04
“一个像指挥官一样的安全服务体系”
葡萄君：黑产形态这么复杂，那你们Anti-Cheat Expert团队如何分工？
李长江：其实我们团队组织的核心模式，可以从两个维度来诠释。
一个是我们会分出很多职能团队。比如说产品经理团队，他们会跟游戏项目实时沟通协作，在我们内部组织完成一些技术研发或者进行对抗；测试团队，他们负责审计，保证过程质量；我们还有客户端技术方案研发、后台策略、数据存储、模型技术，甚至情报等各种团队。
从另一个维度来说，我们也可以被理解为一种虚拟项目制。因为我们面对的最终都是游戏，当有游戏需要服务的时候，我们会从各个职能团队中抽调一部分人组成这个游戏的虚拟项目团队，为这个游戏群策群力，给出从客户端到服务端全流程的技术方案，在游戏上用相应的运营进行实时对抗。
当然针对不同种类的黑产形式，比如信息安全、经济黑产这类，我们也会有专门的团队。但不同的项目面临的黑产类型和规模都是不同的，最终还是要根据项目来决定。
葡萄君：目前 Anti-Cheat Expert 团队为腾讯游戏提供的安全服务，整体效果如何？
李长江：在全球游戏行业里，我们在安全方面的能力应该是公认顶级的。像端游的《DNF》、《CF》等，这都是外挂风险极高的游戏。如果没有专业团队的防护，它们几乎很难运营下来。
像手游的《和平精英》等，不管外挂挑战的难度多大，我们都能保证安全能力达到同品类最高水平，保护它们平稳运营，不会让外挂对游戏产生致命影响。
不光是国内，现在海外顶尖的游戏公司，如果游戏面临的外挂威胁比较严重，只要他们和腾讯有关联，那他们最期望的就是由我们来支持保护它。
我们也确实保护了很多海外游戏。比如我们不仅防护了《PUBGM》，还有蓝洞自己运营的端游《PUBG》。蓝洞有自己的安全团队，同时还用了一些第三方的能力，但后来面对越来越严重的情况，他们从去年开始，也寻求我们安全方案的保护。
葡萄君：所以Anti-Cheat Expert团队也对外提供技术支持？
李长江：对，我们一直在把安全技术、能力和解决方案梳理整合，将一些偏基础的、通用的能力产品化打磨后对外开放，比如客户端的加挂防护、和一些基础通用的反外挂能力。我们会和我们的生态伙伴“共融”，让他们多获得一些“腾讯级”的安全能力。
任何行业的安全都是系统性的工程。我们和米哈游、心动、三七互娱、巨人、电魂、Garena等企业合作的时候也能看到，大家的需求都从单点防护转变成服务闭环。游戏厂商现在不仅看重我们的防护能力、接适配能力，也更注重稳定性和完整性。他们希望获取的是一个像指挥官一样的安全服务体系。
05
黑产永不眠，扭转环境的难度依然很大
葡萄君：黑产有办法超前应对吗？
李长江：全部都超前预防是不可能的，但是在局部，我们可以尽量做一些预防。我们团队在对抗过程中，不仅会被动应对一些已经出现的问题，也会主动去考虑大概率会出现的问题，提前做一些预案，甚至提前去弥补。我们也有专门的同学做漏洞挖掘。
对于未来的游戏形式，比如云游戏、元宇宙，我们也会提前做考虑。不管是PC端还是移动端的云游戏，我们都会和专门的团队合作，提供提前性的方案，甚至满足他们防护的需求。
葡萄君：其他厂商如果想要远离黑产的骚扰，你有什么建议？
李长江：在腾讯游戏内部，我们有一个专门的研发流程，在游戏正式上线之前进行几次阶段性的评审。在产品立项初期，安全就是一个重要的模块，我们会利用自己的经验和能力，评估游戏的安全性，对项目提出一些要求或建议，让游戏在研发期就尽量去完善。
我们对于游戏行业其他伙伴的建议也是一样，在进行玩法设计的时候，团队就需要去关注网络数据交互的安全性。厂商在保证玩家体验的同时，要尽量多地在服务端进行相应的校验、数据复盘，甚至直接运算。如果有资源的情况下，还可以配一些安全相关的测试，实时挖掘游戏的安全漏洞，提前填补。
葡萄君：其他厂商能做到像你们团队一样的能力吗？
李长江：如果现在一个新厂商想投入大规模的人力来做安全团队，达到我们这个效果，可以说几乎是不可能实现的——这不仅仅是你自己愿意投入多少资源，有多少耐心，可以承受多少压力去建设的事。
安全有一个最大的特点，它是动态和对抗的。动态代表着每天都在变化，变化来源于对抗的经验，而对抗的基础是战场，如果没有大体量高安全挑战的游戏让你对抗提升实战经验，那你的安全技术也提升不了。
同时全面稳定的运营支撑体系和平台也非常关键，不是一朝一夕可以建设完成，特别是高质量支持实时的安全对抗那就更难了。
我们团队这十几年走来，技术方案不仅非常全，而且在每个平台都非常强，还有一整套闭环的运营体系和方法。这是因为我们一直都在最有难度的战场上锻炼，随着对手的不断提升而提升。
葡萄君：黑产现在既然越来越复杂，规模越来越大，那我们还有没有可能扭转这种局势，甚至消灭它？
李长江：理论上当然存在可能，但这不是仅依靠游戏厂商就能完成的，它也需要国家针对这些黑产的法律法规更加明确和健全。如果只靠厂商的技术对抗，目前来看想要扭转环境的难度比较大。
葡萄君：在团队看来，以后黑产还会往什么方向发展？
李长江：一方面，黑产还会延续现在的形式。
未来，外挂应该还是游戏安全的核心问题，但是使用方法会变得更隐晦，比如“坐挂车”。用户不是直接拿外挂工具作弊，而是花钱让别人用外挂带自己，把使用外挂的风险交给别人承担。
再就是信息安全。因为政策法律在这方面一定会趋严，所以对于游戏的厂商来说，一定会越来越有压力。这可能也不仅仅发生在中国，在全球信息安全都会越来越受重视。
然后是经济黑产。目前手游的形态越来越开放，黑产拓展的空间也会随之扩张。不光是现在流行的开放世界，只要有经济交互，哪怕是元宇宙都仍然有可能存在经济黑产。
另一方面，新的黑灰产也在不断衍生，游戏安全也在面临其他黑产的场景和类型。比如直播，现在有一部分直播会用定制外挂；还有游戏陪玩，可能衍生其他一些“擦边球”。
总的来说，游戏黑产会跟随多种因素的变化而变化。比如游戏平台的变化，游戏类型的变化等等。
黑产永不眠。他们在全球有非常大的规模，也非常具有技术能力。随着游戏行业的发展，他们已经是非常成熟的产业了，巨大的利益促使他们不断提升能力，不断挖掘新的可以攫取利益的空间。黑产的这些变化，也需要我们自驱性地提升技术和运营的能力。
