Heads up-:- dieses ist für die Nerds-.-Es ist ein tiefer technischer Sprung in StyloBot.''s adaptives Lernsystem.(.EWMA-Updates.,. Hystereseschwellen.MSC6. Urteil Caching, ,. Varianz Watchdogs. mit echtem Code aus Mostlylucid.BotDetection und Zeiger auf die äquivalente Maschine.--learning constructs so ML Leser haben einen Einstiegspunkt, wenn Sie wollen, dass der Aufzug pitch-,-Lesen Sie die früheren Release Posts..-Wenn Sie wissen möchten, wie der Vier---Tier-Speicher repeat Verkehr in Sub---Millisekunden Entscheidungen verwandelt, während immer noch von falschen Positiven zurückgewinnt...,-Lesen auf .-

ENTWURF

Dies ist ein Arbeitsentwurf in der StyloBot Release Series..-Nummern. ,-Knopfe und Namensgebung kann sich noch vor dem finalen Release ändern.

StyloBot Release Series

1. Verhalten nicht Identität Warum StyloBot die Kunden verhaltensmäßig modelliert
2. Verhalten Bewusst WERDEN Die Oberfläche des Servers wurde über dieses Erkennungsergebnis gespiegelt.
3. Ungebundenes Wachstum in langen --Diensten finden und beheben Die Zuverlässigkeitsdisziplin, die den Motor in der Produktion langweilig hält
4. Verhalten--Bewusstsein TypScript UI Komponenten von , und Browsern
5. Die Sidecar-Architektur Wie der Detektions-Engine mit Nicht--.-NET-Stacks verbunden wird
6. Schneller lernen Das adaptive Lernsystem (MSK) und der Urteilscache
7. Testen der Sache, die Won-' sitt Still Eine BDF-Datei treibt Regression an.
8. StyloExtrahieren Sie einen lokalen HTML zu Markdown Konverter Die HTML-Markdown-Schicht, die sich mit dem Detektor verbindet, hat den Walker Bug lucidVIEW gefangen und die Hundefutterschleife, die es ehrlich machte.

Das Verhaltensmodell ist in Verhalten nicht IdentitätDie Zuverlässigkeitsdisziplin in Ungebundenes Wachstum finden und fixierenQuelle: github-.-com./-scottgal./-stylobot.

Warum StyloBot sich damit beschäftigt

StyloBot-'s ganze Aufgabe ist es, den Menschen von Bots zu erzählen und die Art und Weise, wie es tut, dass auf der grundlegendsten Ebene ein Bild davon erstellt wird, wie ein durchschnittlicher Bot aussieht und wie ein durchschnittlicher Mensch aussieht, nicht festgelegte Regeln, nicht ein Regex über User.-.Agentische Strings, :. Verhaltenale Zentrioiden in einem ?130+?-dimensionalen Vektorraum, einen pro Cluster von Clients, die sich gleichermaßen bewegen, bestätigt jede Beobachtung entweder eine bestehende Zentriot oder Nudges seinen Standort.MSC9. Je besser diese Zentroide erhalten, desto genauer kann ein neuer Besucher gegen einen von ihnen platziert werden. - ,. Die Genauigkeit verbessert die Latenz als Folge Die Cluster-Seite davon ist abgedeckt in Verhalten nicht IdentitätDieser Beitrag ist über das, was mit den Zentrioiden passiert, sobald Sie sie haben.

Dieser Mechanismus ist auch das, was StyloBot in dämlich verschiedenen Orten einsetzbar macht.:. ein persönlicher Blog bei 50. requests.../.minute,. eine Marketing-Website, die während der Produktstarts platzt, ,. ein SPA, wo der meiste Verkehr API Anrufe ist.MSC5. ein e--.Commerce Checkout, wo man falsch positiv auf einen zahlenden Kunden ist wirklich verlorenes Geld ?,. ein Content-Portal, in dem 70%. des Verkehrs automatisiert wird, aber die Menschen brauchen immer noch einen sauberen Weg durch .. Derselbe Motor endet mit unterschiedlichen Zentrioiden an verschiedenen Standorten, weil es verschiedene Traffic sieht.;. die Art und Weise, wie er sie baut, ist überall gleich.MS K12.

Ein Detektor, der die vollständige Pipeline auf jeder Anfrage läuft ist gründlich, aber unökonomisch...Ein Detektoren, der blind Caches Urteile ist schnell, aber spröde...StyloBot sitzt zwischen diesen beiden ?: ? der Cache ist der gemeinsame Fall ..., ? die komplette Rohrleitung ist der Recovery-Pfad.

Für Kontext gegen die vertrauteren Namen in diesem Raum

Üblicherweise werden die Kosten für die Beschaffung von |, was Sie zurück erhalten, auf |, |---|---|---|---| Cloudflare Bot-Management – |Cedge – (Cidge – ihre CDN, )Cdge – Sub--Millisekunde am Rand – |CD-Block Herausforderung – MSC8Codge – erlauben, bevor Ihre Herkunft es sieht. Weitere Informationen: http://europa.eu.int/comm/index_de.htm StyloBot im --Prozess oder lokalen gRPC-Seitenwagen ~10-50, μs Erwärmt über Skip-, 400-900, μs für ein vollständiges schnelles, schnelles und schnelles Pipeline-LaufenBotProbability, Confidence, RiskBand, ThreatScoreDirekt in Ihrem Handler

Die Kantenprodukte sind groß bei -"-Block vor dem Ursprung, -";-, was sie nicht tun können, ist Ihre Anwendung eine per---Anfrage Wahrscheinlichkeit und lassen Sie Ihre Checkout-Seite entscheiden, was mit ihm zu tun, - .-Die API-Produkte tun, dass, ,-, aber Sie zahlen ein Netzwerk Hop pro Anfrage, - .-StyloBot ist der Fall, wo das Urteil ist in ---Prozess, -,-, das Netzwerk Hop doesns...'-, und der warme Weg ist schneller als entweder durch eine Reihenfolge von Magnitude ..-

Der Hebel, der den Cache sicher macht ist politik--per---OberflächeDer Urteilscache wird von einem SignatureCacheOptions aufzeichnen, dass ein Admin-Endpunkt das Konfidenzniveau und ein frisches Fenster mit einer Sekunde verlangen kann, während ein Inhaltspfad das Vertrauen von 0.7 über eine Stunde akzeptiert. ASP-.-NET-Mittelware,,- als gRPC SeitenwagenEin Caddy-Plug-in oder in einem --Prozess

Der Rest dieses Postens ist die Maschinerie, die den Cache sicher macht.:-EWMA-Updates,-Hysterese Schwellen,-Urteil Caching,-Refresh-Sampling,- und Varianz-WatchdogsMSC5-Die Überschrift Nummer ist Latenz.-Das eigentliche Designproblem ist das Lernen ohne alte Fehler dauerhaft zu machen.

Der metastabile Fingerabdruck

Alles unten verankert, um den Fingerabdruck zu verankern, so dass es sich lohnt, präzise darüber zu sein, was das hier bedeutet... In StyloBot ist ein Fingerabsatz kein einzelnes Feld. Verhalten nicht Identität,-Zeichnung auf TLS-,-Header-Ordnung,-Timing,-Pfadsequenz,-JS-Verhalten und die Signale, die aus allen 50-Detektoren herauskommen, .-Eine gedrehte IP bewegt sie kaum..-Ein rotierter User---Agent verschiebt sie kaum, was sie bewegt Verhalten eine andere Pfadfolge eine andere Kadenz eine neue Art und Weise des Versagens der Checks

Das macht den Fingerabdruck metastabilSo stabil, dass ein Schauspieler über kurze Zeit wiedererkennbar bleibt.-.term identity churn.MS K2. sich so entwickelnd, dass echte Verhaltensänderungen als Bewegung des Punktes auftauchen... Keine feste Identität, nicht zufälliges Rauschen..... Eine langsam bewegende Signatur mit Struktur.

Dies ist die Eigenschaft, auf der das gesamte Lernsystem ruht, wenn Fingerabdrücke laut waren -(Jede Anfrage landete irgendwo zufällig -) durchschnittlich würde nichts schärfen und der Cache wäre immer falsch - . , wenn sie starr wären , ( ,die Position nie verschoben ,) , es gäbe keine Drift zu verfolgen und der Watchdog hätte nichts zu beobachten für - . , Metastability ist genau das, was beide Enden Arbeit macht .: , nachhaltige Beobachtungen können ein Zentrioid verfeinern, weil das zugrunde liegende Signal stabil genug ist, um zu schärfen , , , und Drift kann erkannt werden, weil sich echte Veränderung als Bewegung gegen einen sonst stabilen Hintergrund zeigt.

Das strukturelle Argument dafür, warum diese Eigenschaft hält -( humans laut, aber konsistent in der Struktur -,. Bots konsequent, aber falsch in der Konstruktion - ) ist die Last Verhalten nicht IdentitätUnd wenn eine der Geometrie hier unklar ist, dass dies der Artikel zuerst zu lesen ist, ist alles, was in diesem Beitrag folgt, was Sie tun können einmal dass der Anspruch in der Hand ist

Die Thesen-:-Erkennung sollte besser und billiger werden, je mehr Sie sehen

Jede Beobachtung tut zwei Dinge, die es schärft den Zentrioid dieser Fingerabdruck gehört zu . . ( .Genauigkeit .), . und es erhöht das System .. ' . das Vertrauen, dass dieser Fingerprint verhält sich wie der Zentriid . ( .placement . , , die Geschwindigkeit ermöglicht .). . Der harte Teil eines adaptiven Detektor macht beides ohne alte Fehler dauerhaft werden lassen .

Ein Bot-Detektor wird die gleiche teure Frage Millionen von Malen pro Tag gestellt ist dieser Schauspieler immer noch benehmen wie die Sache, die wir bereits gelernt haben es war Für die überwiegende Mehrheit dieser Anfragen hat das System bereits eine Meinung ,. , Es sah die gleiche TLS Fingerabdruck , , , die gleiche Header-Ordnung , , , der gleiche User ,- , Agent Rotation Muster , das gleiche IP Viertel vor zehn Minuten , und geschlossen bot, 0.93Es gibt keinen Grund, die vollständige Detektor-Pipeline wieder auf dem gleichen Schauspieler laufen zu lassen, es sei denn, etwas an diesem Schauspieler hat sichtlich verändert.

Die Pipeline läuft in voller Höhe, wenn es zu muss, um , und jeder komplette Rohrleitung laufen ist, was baut und verfeinert die Zentrioide in erster Linie, wenn die Pipeline nicht ausgeführt wird, wird die vorherige Platzierung unter kontrollierten Bedingungen wiederverwendet.

ML beiseite Das ist adaptive Berechnung in neuronalen Netzwerken Frühzeitige --Exit-Netzwerke- von - Experten gating-:® billige Klassifikator zuerst ,® teure Klassifizierer nur, wenn das billige Vertrauen von ' niedrig ist .® Die Detektor-Pipeline ist der kostspielige Inferenzpfad ;® der per.-®fingerabdruckcache ist der billige "® did wir bereits diesen ?"® Pfad lernen

Vier Ebenen des Speichers

Das Lernen in StyloBot ist geschichtet, so dass jede Stufe einer anderen Lebenszeit entspricht.

1. Fast---Pfad-Reputation - (-Instant-).- Eine kurze Liste der Muster, die als ConfirmedBad in der PatternReputation Eine Anfrage, die mit einer dieser Pipeline auf Priorität abgebrochen wird, bevor ein anderer Detektor läuft, erfordert eine Bewertung von ≥.0.9. und Unterstützung von MSC6.(. mehr über die folgenden Nummern: )..
2. Intra---Anfragen an Tafeln Detektoren schreiben Signale zu einem gemeinsamen BlackboardState.Signals Senke während der Anfrage ,; , spätere Detektoren lesen jene Signale ,. , Dies ist , ' , nicht lange .- ,term memory , ; , it , wie die ,49 , Detektor innerhalb einer Anfrage koordinieren, ohne dass jeder Funktionen die anderen bereits extrahiert rekomputieren muss ,mesK7 ,
3. Inter---Request Reputation - ( Minuten zu Tagen Muster des Speichers auf der --Ebene InMemoryPatternReputationCache Tracks per-- pattern Bot punktet mit Online EWMA Updates und Zeitverfall.. , Jedes Muster trägt ein ReputationState (Neutral → Suspect → ConfirmedBadL 347 vom 20.12.2013, S. 671. ConfirmedGood, ManuallyBlocked, ManuallyAllowedMit asymmetrischen Förder- und Demotionsschwellen
4. Per---Fingerabdruck Urteil Cache - ( Minuten Per.-.actor Speicher das Live-Schiebefenster in SignatureCoordinator trägt jeden beobachteten Fingerabdruck , ' , der hintere ,, , Sample count , , , last .- , seenn time , , , neuestes Risikoband , und die neueste Bedrohung Score SignatureVerdictGate.DecideAsync liest dies auf jeder Anfrage

Tier 1-Short--circuits die Pipeline.- Tier Koordinaten in ihr ist der lange Speicher, der über Tage überlebt..- Tier ist das kurze Gedächtnis, das den wiederholten Verkehr vollständig überspringen lässt..-

flowchart LR
    classDef input fill:none,stroke:#3b82f6,stroke-width:2px
    classDef fast fill:none,stroke:#22c55e,stroke-width:2px
    classDef async fill:none,stroke:#a855f7,stroke-width:2px
    classDef store fill:none,stroke:#f59e0b,stroke-width:2px

    REQ["Incoming request<br\>(TLS fingerprint, headers, IP)"]:::input
    T1["Tier 1 · Fast-path reputation<br\>ConfirmedBad list<br\>priority 3, pre-pipeline"]:::fast
    T2["Tier 2 · Intra-request blackboard<br\>BlackboardState.Signals<br\>lifetime: one request"]:::async
    T3[("Tier 3 · PatternReputation<br\>EWMA + state machine<br\>lifetime: minutes to days")]:::store
    T4[("Tier 4 · SignatureCoordinator<br\>sliding window<br\>lifetime: minutes")]:::store
    PIPE["Detector pipeline<br\>(BlackboardOrchestrator)"]:::async
    OUT["Verdict"]:::fast

    REQ --> T1
    T1 -->|match| OUT
    T1 -->|no match| T4
    T4 -->|Skip| OUT
    T4 -->|Miss / Bias / Watchdog| PIPE
    PIPE <--> T2
    PIPE <--> T3
    PIPE --> T4
    PIPE --> OUT

Wie das System es vergisst

Jeder numerische Speicher im System verwendet die gleiche Update-Regel. Helpers/Ewma.cs:

public static class Ewma
{
    /// <summary>new = (1 - alpha) * previous + alpha * observation</summary>

    public static double Update(double previous, double observation, double alpha)
        => (1.0 - alpha) * previous + alpha * observation;
}

Dass... die ganze Sache... alpha ist das Gewicht auf der neuen Beobachtung 1 - alpha ist die Trägheit von der Vergangenheit ,. , Höhere Alpha- , = , schnellere Reaktion zu der neuesten Beobachtung , ; , alpha , = , und das Einfrieren von ; , Alpha-, MSC6 , ersetzt . ,

Muster Reputation verwendet es direkt PatternReputationUpdater.ApplyEvidence:

// EMA update: alpha clamped to [0,1] preserves EMA semantics (alpha > 1 inverts
// the old score contribution).
var alpha = Math.Min(_options.LearningRate * evidenceWeight, 1.0);
var newScore = Ewma.Update(decayed.BotScore, label, alpha);

LearningRate Standardwerte zu -0.1, , so dass eine einzelne Beobachtung verschiebt die Punktzahl von -10% , der Lücke zu dieser Beobachtung - . , die andere ist, was auch immer dieses Muster historisch tat

ML beiseite EWMA Der Klassiker exponentieller gleitender Durchschnitt die sich in Adam (, die β₁, β₂ Impuls- und Varianzakkumulatoren Polyak-MittelwertIm Batch-Norm läuft die mittlere /-Varianz in Aktualisierungen des TD-(0)-Wertes (V ← V + α(r + γV' - V)). α = 0.1 Hier befindet sich im gleichen Bereich, den du für Impulspuffer sehen kannst.:. Langsam genug, dass eine schlechte Beobachtung den laufenden Wert schnell genug verschieben kann, damit der laufende Wert einen nachhaltigen Wandel verfolgt.

Wir wählten dieses Update über die offensichtliche, aber falsche Alternative des Speicherns der maximalen Wahrscheinlichkeit je beobachtete, ein max.-.Of-.History Store würde einen einzelnen 0.95. Spike Pin ein Muster bei 0.95 für immer anbringen lassen, egal wie es sich danach benahm ?..Der EWMA-Store hat die entgegengesetzte Eigenschaft ?:.Ahm0.95.Spitze gefolgt von Hunderten von gutartigen Beobachtungen zerfällt reibungslos zurück in Richtung gutartige ..Falsche Positive sind wiederherstellbar

Der Zerfall erstreckt sich bis zu den Mustern selbst ReputationOptions Fehler aus dem Code

public double ScoreDecayTauHours { get; set; } = 3;             // generic
public double SupportDecayTauHours { get; set; } = 6;
public double ConfirmedBadScoreDecayTauHours { get; set; } = 12; // ConfirmedBad
public double ConfirmedBadSupportDecayTauHours { get; set; } = 24;
public int GcEligibleDays { get; set; } = 90;

Ein Muster, das an einem Tag gesehen wurde, hat den größten Teil seiner Unterstützung vergossen. Neutral ist Müll, der gesammelt wird, ConfirmedBad Muster erhalten ein längeres tau (-Sie verdienten ihren Status durch starke Beweise und sollten nicht verlieren es auf einer einzigen ruhigen Stunde MS K2-Speicher, der nicht '-T Zerfall driftet weg von der Realität

ML beiseite Der Score-Score---decay---towards-MSC2-Prior-Schritt ist der erste order-Mittelwert von --Reversion Ornstein-–-Uhlenbeck Form, ohne neue Evidenz, die Punktzahl zieht sich zurück in Richtung der vorherigen Rate 1/τ.

Hysterese wird in die Zustandsmaschine eingebaut. ReputationOptions:

stateDiagram-v2
    direction LR
    [*] --> Neutral
    Neutral --> Suspect : score &ge; 0.6<br/>support &ge; 10
    Suspect --> ConfirmedBad : score &ge; 0.9<br/>support &ge; 50
    Suspect --> Neutral : score &le; 0.4
    ConfirmedBad --> Suspect : score &le; 0.5<br/>(support &ge; 100 OR<br/>support &lt; 50)
    Neutral --> ConfirmedGood : score &le; 0.1<br/>support &ge; 100
    ConfirmedBad --> [*] : 90 days unseen<br/>+ neutral + low support
    Neutral --> [*] : 90 days unseen<br/>+ low support

    note left of ConfirmedBad
        Fast-path eligible
        (Tier 1 short-circuit)
    end note
    note right of Neutral
        Promote at score 0.9 / sup 50
        Demote at score 0.5 / sup 100
        Wider gap = oscillation-resistant
    end note

Der Punktabstand zwischen der Förderschwelle und dem Degrade-Schwellenwert für ConfirmedBad ist absichtlich ,: , es ist ' , eine Oszillation , - , Suppressionsband , . , alles was zwischen ,0.6 , und , 0.8 , bleibt ein SuspectNur erhaltene Beweise in einer Richtung überqueren die Grenze.

ML beiseite Das ist ein Schmitt-TriggerDas ML-Analog ist der diskrete --Decision Wrapper um jeden kontinuierlichen Klassifikator, bei dem Sie nicht wollen, dass Etiketten jedes Batch drehen.:. Denken Sie an die Art und Weise, wie Ensemblestimmen in der Regel mit einer Margenanforderung verglichen werden oder wie Alarmsysteme nur Seite debounce, wenn Bedingung für N Minuten hält ?").. Es ist auch, warum Betriebspunkte in einer Präzision abgestimmt werden-.

Das Urteil cache-:-Geschwindigkeit, die Sie verdienen müssen

Das Per---Fingerabdruck Schiebefenster ist die Schicht, die der Anfrage heißer Pfad jetzt direkt anhört. SignatureVerdictGate.DecideAsync ist die ganze Entscheidung und es small

public async Task<GateDecision> DecideAsync(
    string? signature, SignatureCacheOptions options, CancellationToken ct = default)
{
    if (!options.Enabled || string.IsNullOrEmpty(signature))
        return new GateDecision(GateAction.Miss, null);

    var verdict = await _coordinator.TryGetVerdictAsync(signature, ct);
    if (verdict is null)
        return new GateDecision(GateAction.Miss, null);

    if (verdict.Confidence < options.BiasMinConfidence)
        return new GateDecision(GateAction.Miss, verdict);          // too noisy

    var ageSeconds = (DateTime.UtcNow - verdict.LastSeenUtc).TotalSeconds;

    var skipEligible =
        verdict.Confidence >= options.SkipMinConfidence
        && ageSeconds <= options.SkipMaxAgeSeconds;

    if (skipEligible && !ShouldRefresh(signature, options.SkipSamplingRate))
        return new GateDecision(GateAction.Skip, verdict);          // cache hit

    var biasEligible = ageSeconds <= options.BiasMaxAgeSeconds;
    return new GateDecision(biasEligible ? GateAction.Bias : GateAction.Miss, verdict);
}

Die politischen Schwellen von SignatureCacheOptions Ausgestellte Standardabweichungen

public double SkipMinConfidence { get; init; } = 0.85;
public int    SkipMaxAgeSeconds { get; init; } = 300;        // 5 min
public double BiasMinConfidence { get; init; } = 0.30;
public int    BiasMaxAgeSeconds { get; init; } = 86_400;     // 24 h
public double SkipSamplingRate  { get; init; } = 0.05;       // 5 %

Das Vertrauen selbst wird in SignatureCoordinator.TryGetVerdictAsync aus der Probengröße mit voller Konfidenz bei Beobachtungen und einer linearen Rampe unterhalb von :

var confidence = Math.Min(1.0, behavior.RequestCount / 10.0);

Und? SkipMinConfidence = 0.85 bedeutet ein Fingerabdruck benötigt Beobachtungen im aktuellen Fenster, bevor es Skip-- ligible sein kann.

Die vier Aktionen

• Vermisst Kein verwendbarer Datensatz für diesen Fingerabdruck oder einen älteren als BiasMaxAgeSecondsDie vollständige Detektor-Pipeline läuft. Das Ergebnis füttert das Schiebefenster für das nächste Mal.
• Bias-.- Ein Rekord existiert mit mäßigem Vertrauen, , oder es.' ist etwas veraltet. Die Pipeline läuft, aber das zwischengespeicherte Urteil wird injiziert als ein Wave--0... vorheriger Beitrag... Das Hinterbein wird nach dem vorherigen im Verhältnis zum vorherigen Vertrauen und einem linearen Alter Zerfall gezogen.
• Überspringen Der Rekord ist neu und zuversichtlich genug, dass der Pipeline-Beitrag marginal sein würde... Das zwischengespeicherte Urteil wird vollstreckt... der Orchestrator wird übersprungen... die Anfrage wird in Mikrosekunden serviert....
• Wachhund, -, Streifen, MSSK1 Skip---eligible cache hit -,-aber die Varianz Watchdog entdeckt etwas atypisch ,.- Das gecached Urteil ist für diese Anfrage ungültig .;-die Pipeline läuft frisch

flowchart TD
    classDef input fill:none,stroke:#3b82f6,stroke-width:2px
    classDef decision fill:none,stroke:#f59e0b,stroke-width:2px
    classDef fast fill:none,stroke:#22c55e,stroke-width:2px
    classDef slow fill:none,stroke:#a855f7,stroke-width:2px
    classDef trip fill:none,stroke:#ef4444,stroke-width:2px

    REQ["Request arrives"]:::input --> LOOKUP{"TryGetVerdictAsync<br\>(sliding window<br\>+ family fallback)"}:::decision
    LOOKUP -->|"null OR low-conf OR stale"| MISS["MISS<br\>full pipeline"]:::slow
    LOOKUP -->|"record found"| CONF{"conf ≥ 0.85<br\>+ age ≤ 300s?"}:::decision
    CONF -->|"no"| BIAS["BIAS<br\>pipeline + prior contribution"]:::slow
    CONF -->|"yes"| REFRESH{"In 5% refresh<br\>(hash bucket)?"}:::decision
    REFRESH -->|"yes"| BIAS
    REFRESH -->|"no"| WD{"VarianceWatchdog<br\>OK?"}:::decision
    WD -->|"tripped"| TRIP["WATCHDOG-TRIP<br\>X-StyloBot-VerdictSource = pipeline<br\>X-StyloBot-WatchdogTrip = reason"]:::trip
    WD -->|"ok"| SKIP["SKIP<br\>X-StyloBot-VerdictSource = cache<br\>orchestrator bypassed"]:::fast

    MISS --> UPDATE[("Update sliding window<br\>+ RecordObservation")]:::slow
    BIAS --> UPDATE
    TRIP --> UPDATE
    SKIP --> UPDATE

Die Middleware sendet X-StyloBot-VerdictSource (cache oder pipelineL 347 vom 20.12.2013, S. 671. X-StyloBot-WatchdogTrip Auf die Antwort, damit Operatoren live sehen können, welchen Pfad jede Anfrage genommen hat.

Skip is what happens when there is nothing new to learn- -.- Sobald ein Fingerabdruck mit genügend Vertrauen in beide Richtungen gesehen wurde, ist das Gate direction---agnostisch,- so sicher,--human und sicher, --Bot sind gleichermaßen berechtigt .),- jede nachfolgende Anfrage kostet nur das Tor nach oben ?,- einen Beobachtungsrekord und die Politik Durchsetzung ? .-Auf dem Benchmark-Box . (-M-MSC11- MacBook Air-,- . 32-GB-)-, dass ...'-s .~10-50-,-versus 400-900-μs für eine vollständige schnelle ?--Pfad Pipeline Pass ?;-Überspringen ist ungefähr eine Größenordnung schneller als der billige Vollpass und viele Aufträge schneller als alles, was ein Netzwerk beinhaltet

Der Urteilscache als Beitrag nicht eine Entscheidung.

Bevor man in die Recovery-Mechanik kommt, ist das Rahmenbild, das sie kohärent macht, nicht das zwischengespeicherte Urteil eine gespeicherte Antwort, die das System blind wieder verwendet. BeitragGewichtet nach Vertrauen und Alter FingerprintPriorContributor.ContributeAsync ist der gesamte Mechaniker

var horizon = AgeDecayHorizon;                                 // default 86,400s
var decay = horizon > 0.0 ? Math.Max(0.0, 1.0 - age / horizon) : 1.0;
var effectiveWeight = conf * WeightMultiplier * decay;

if (effectiveWeight <= 0.0) return _emptyResult;

var delta = 2.0 * (prob - 0.5);   // map [0,1] probability to [-1,+1] confidence delta

var contribution = new DetectionContribution
{
    DetectorName = DetectorName,
    Category = DetectorName,
    ConfidenceDelta = delta,
    Weight = effectiveWeight,
    Reason = $"Cached fingerprint verdict (prob={prob:F2}, conf={conf:F2}, age={age:F0}s)"
};

Ein ausdauerndes Urteil mit Vertrauen verankert das posterior starke Gewicht von (.

ML beiseite Das ist wirklich BayesischVorbemerkung des Urteils des Gerichts erster Instanz (MSK) decay = 1 - age/horizon der Begriff spielt die gleiche Rolle wie ein vergessender Faktor in rekursive Bayesische SchätzungAlte Vorstrafen verlieren an Stärke, so dass die Wahrscheinlichkeit vorherrscht, wie das vorherige Alter, es ist auch der Grund, warum das Dashboard zeigt RequestContributionDelta Die Änderung dieser Anforderung, die an das laufende posteriore gemacht wurde, ist eher als die rohe Per-- delta ist der Teil, der wirklich neue Informationen bildet

Wie falsche Positive don-'-Verbindung

Bis zu diesem Punkt klingt das System gefährlich cache---schwere, also ist dieser Abschnitt der wichtige eins, :-, wie das Design davon ausgeht, dass zwischengespeicherte Urteile sind schließlich falsch, und wie billig es bemerkt und erholt sich, wenn sie sind, .-Sechs unabhängige Mechanismen Schicht auf einander so jeder einzelne besiegt noch fünf hinterlässt zwischen dem Cache und einem permanenten falschen Urteil

flowchart TD
    classDef store fill:none,stroke:#f59e0b,stroke-width:2px
    classDef defense fill:none,stroke:#22c55e,stroke-width:2px
    classDef recover fill:none,stroke:#a855f7,stroke-width:2px

    CACHE[("Cached verdict<br\>(EWMA posterior + sample count)")]:::store

    D1["Direction-agnostic confidence<br\>caches confident verdicts,<br\>not just bot verdicts"]:::defense
    D2["EWMA, not MAX<br\>one spike contributes 10%,<br\>not 100%"]:::defense
    D3["Sample-size gating<br\>full trust at 10 samples,<br\>Bias below that"]:::defense
    D4["Variance watchdog<br\>IP rotation, rate spike,<br\>path divergence"]:::defense
    D5["Skip-path observation<br\>cache hits still record,<br\>history stays whole"]:::recover
    D6["Refresh sampling<br\>5% of Skips downgraded<br\>to Bias by signature hash"]:::recover

    D1 --> CACHE
    D2 --> CACHE
    D3 --> CACHE
    D4 --> CACHE
    D5 --> CACHE
    D6 --> CACHE

Richtung: --agnostisches Vertrauen: SkipMinConfidence wird gegen verdict.ConfidenceNicht gegen verdict.BotProbabilityEin sicheres --Bot-Urteil und ein sicheres--humanes Urteil sind gleichermaßen berechtigt, zu überspringen.. Dass ' den Unterschied zwischen ".We Cache Bot-Ururteilen".(.a System voreingenommen in Richtung falscher Positive). und ". zuversichtlich Urteile" (ein System voreingenommen in welcher Weise auch immer die Beweise darauf hinwiesen

WETTBEWERBSFÄHIGKEIT Eine einzelne High---Probability-Beobachtung bewegt die laufende Punktzahl durch α = 0.1 von der Lücke zu jener Beobachtung.... Ein echter Angreifer sammelt Beweise schnell, weil jedes Beobachtung ist feindselig... Ein legitimer Besucher, der zufällig wie ein Schaber für eine Anfrage aussieht, zerfällt zurück in Richtung gutartig auf nachfolgende Beobachtungen....

Beispiel: Größe des Gitters confidence = min(1, request_count / 10)Weitere Informationen zu Bias finden Sie hier.Die Entscheidung, dem Cache voll und ganz vertrauen zu können, ist auf die Bedeutung der EWMA beschränkt.

ML beiseite Das ist ein Schrumpfung vor:, bis genügend Beweise angesammelt haben, ,, das hintere doesns. ', erhalten, um mit Vertrauen zu handeln ., der gleiche Grund UCB-Banditen schließen eine Probe ein.-.concount term nBreites Konfidenzintervall (MSK)

Varianz-Beobachter Selbst bei einem selbstbewussten, frisch gecacheten Urteil kann das Skip Veto pro Anfrage eingelegt werden. VarianceWatchdog.Check führt drei unabhängige Tests gegen VarianceWatchdogOptions Fehlerbehebungen

public int    IpRotationWindowSeconds { get; init; } = 300;   // same fingerprint, new /24
public double RateSpikeMultiplier     { get; init; } = 10.0;  // last minute vs rolling 5
public bool   CheckPathCentroid       { get; init; } = true;  // never-seen path family

Die path---Divergenz-Kontrolle benötigt mindestens verschiedene Pfadfamilien auf Rekord, bevor sie so warm feuern kann -up Anfragen don-'.t Reise selbst

if (options.CheckPathCentroid && hist.PathFamilyCount >= PathFamilyBaseline)
{
    var family = PathFamily(ctx.Request.Path.Value);
    if (family is not null && !ContainsFamily(hist, family))
        return new WatchdogResult(true, $"path-divergence:{family}");
}

Jede Reise und die Pipeline läuft frisch die Antwort trägt X-StyloBot-WatchdogTrip: ip-rotation:1.2.3.0->5.6.7.0 So sehen die Operatoren den Grund.

ML beiseite Der Wachhund ist Konzept---Dritterkennung für einen Fingerabdruck Die klassischen Analoga sind ADWIN, Seite–-HinkleyL 347 vom 20.12.2013, S. 671. DDMAlle diese erkennen, dass sich eine Online-Stream-Distribution von ' genug verschoben hat, dass das bestehende Modell nicht mehr vertrauenswürdig ist.." Die drei Kontrollen hier sind Domänen--"spezifische Driftsignale: Netzwerkidentitätsdrift ( IP])," Volumendrift), Verhaltensdrifte "MSC9" Pfadzentroid ).

Überspringen von --Pfadbeobachtungen Selbst wenn das Gate die Pipeline überspringt , die Middleware registriert immer noch die Anfrage

_watchdog.RecordObservation(precomputedSig, clientIp, pathStr);
_ = _signatureCoordinator.NotifyObservationAsync(
    precomputedSig, pathStr, v.BotProbability, context.RequestAborted);

Die Tatsache, dass die Detektion übersprungen wurde, erzeugt ein Loch in der per---Fingerabdruckgeschichte............ und das Dashboard.... ..-... Fingerabdruckstatistiken sehen jede Anforderung, ob die Pipeline gerannt ist.

Probenentnahme neu auffrischen ShouldRefresh deterministisch abbaut einen konfigurierbaren Bruchteil der an Bias teilnahmeberechtigten Anfragen, so dass die Pipeline läuft und das Live-Rekord auffrischt... Der Signaturhash entscheidet, welche Anfragen aktualisiert werden.DeterministicBucket.ShouldFireSo retries aus dem gleichen Kundenland identisch mit der Zeit jeder Fingerabdruck erhält eine periodische vollständige Re-Auswertung

ML beiseite Dies ist eine deterministische Version von Exploration von Getreide von der Verstärkung lernen – die meiste Zeit nutzen Sie die aktuelle Politik ,( ,Skip , ), , einige der Zeit zahlen die Kosten für das Erkunden , ( , Bias , und so bleibt das Modell kalibriert ,. , Determinismus durch Hash macht es idempotent , was zählt, wenn derselbe Kunde retries -. ,

RECHTSTRÄGLICHKEIT Wenn ein Fingerabdruck rotiert und seine neue Identität hat kein zwischengespeichertes Urteil von seinem eigenen das Tor fällt durch die Familie die kanonische Signatur Anker des Leiden-Clusters aus dem Verhaltensmodell TryGetVerdictAsync:

if (!_signatureCache.TryGet(signatureId, out var atom) || atom == null)
{
    if (!_signatureToFamily.TryGetValue(signatureId, out var familyId) ||
        !_families.TryGetValue(familyId, out var family) ||
        ...
        !_signatureCache.TryGet(family.CanonicalSignature, out atom) || atom == null)
    {
        return null;
    }
}

Ein Bot, der zu einer Familie verschmolzen wurde, weil sein Verhaltensvektor einem bekannten Geschwister entspricht, erbt das sibling-Urteil von ' anstatt vom Scratch-Anfang an zu beginnen, aber nur, wenn sich der Familienanker selbst noch im Schiebefenster befindet... Kalte Familienanker verschwinden natürlich...;.Split-Ereignisse lassen die Familienmappings fallen Es gibt keinen separaten ungültigen Kanal, da das Schiebefenster '.s TTL der Ungültigkeitskanal ist.

Wie das in der Laufzeit aussieht

Die Zahlen unten sind von der M .5 . MacBook Air . . (32 . GB . ) . Benchmark-Setup Die Live-Pipeline Verteilung setzt sich in ein Muster wie .

Der Pfad /, Modus |, Per-,Request kostet |, was läuft |, |---|---|---| ,| , Urteil , - , Cache-Hit , , ( , Skip , ) , und | , ~10-50, μs Unterschrift nach oben ,, dann Bypass ;, keine Detektoren Schneller Pfad , wärmend , single-client 400-600, μs Alle schnellen -Path-Detektoren Schnellweg ,, kalt (, erster Treffer), schneller Schritt| ~900, μs Erste Zuweisungen von -ouch für die vollständige Pipeline Schnellweg ,Ausgangspunkt 60Ausstieg VU 50, MS PH50, /, M s134 und MsPH99 Die Latenz ist Anfrage-Warteschlange. Slow-Pfad ProjektHoneypot DNS lookup ~100-Ms Eine DNS-Runde-Auslauf;Ausgang nur auf Signalauslöser Eskalation der LLM-Inszenierung von (Ollama-, ,1-5- s Voreingestelltes Ausschalten von ;, nie auf dem Request-Gewinde

Das gesamte Live-Spektrum auf einem einzigen Client ist Mikrosekunden für Skip., sub.MS K1 millisekunde für eine vollständige schnelle - path Pipeline Pass- und , ms nur dann, wenn ein Detektor explizit zu einer entfernten Signalquelle gelangt.. s Die Ms-Nummern von / s sind nicht detektionskostenpflichtig.MSC9 smK10 sember, was bei p.MSSK11 sp.99 s zeigt, wenn virtuelle Benutzer um den gleichen Handler kämpfen, , s und sie würden dasselbe mit Detektion deaktiviert aussehen ?.

Wo funktioniert das schnelle --Path Budget tatsächlich go .? . Summed CPU Arbeit für ein volles Fast ?- .path Pass ist ungefähr . 15-25 . μs über alle 19 .; . die restlichen ~400-600 .μs der Wandzeit ist Orchestrierung ,, . signal . - .sink schreibt das SQLite Anhängsel, und die ASP-. .NET Response Pipeline .. .

Tier/Tier/Tiefe |---|---|---| ns135 n s, s145 ss| sd ](< ns .1 ? μs ?) ? | ?200 ? n s ,-1 ?μs | ? FastPathReputation ?308 ?ns - , ? Header ? 496 ?- s-, ? Ip ?T537 ? - AiScraper ?"572 ? Ns , ? UserAgent ®( ?Googlebot ?mesK17 ? (1-5, mittelmäßig, ), |, mksk4, μs, mssenk5, cacheBehavior 1.3, ,, haxxor a1.3, mska9, behavioral, 1.4, msko11, intent 2.3, mski13, heuristisch, 3.4-4.3, mšsk15,

Dass ,' , warum Skip ist so wertvoll , : , die Detektoren selbst kosten , ~25 , μs von CPU , aber die umgebende Orchestrierung Kosten ist , dass ,. , Skip überspringt beides .. ,

Das CLI-Dashboard liest die Response-Header direkt, also Cache vs Pipeline vs watchdog, -, Trip ist pro Reihe sichtbar.., Die obere Fingerabdrücke Seitenleiste zeigt jeden Fingerabdruck, ', EWMA, -, geglättete hintere Seite, das stabile Urteil...),, nicht auf welche Weise auch immer die letzte Anfrage passierte, um zu schwingen.., Per--, Request score is information about the request, MSC9, the actor, 's score moves langsam on purpose - .,

Warum es gebaut wurde

Das ganze System ist ein Mechanismus mit zwei Folgen.Der Mechanismus ist... jede Beobachtung schärft entweder einen Zentrioid oder bewegt einen Fingerabdruck relativ zu einem... Die erste Folge ist, dass der Motor bekommt besser bei Bots von den Menschen sagen, je mehr Verkehr es sieht, ;, die Sekunde ist, dass einmal ein Fingerabdruck sicher platziert wird, ,, hat die volle Pipeline nichts mehr für sie zu tun

Skip is what happens when it's nothing new to learn-.-Bias ist, was passiert, wenn die Pipeline ausgeführt werden sollte, aber das vorherige ist immer noch informativ.

Das EWMA-Update für jeden Speicher – die asymmetrische Hysterese in der Zustandsmaschine – das Sample- size gate on confidence – das deterministische Refresh-Sampling – das path-- family memory – das , und die Familie – das - canonical fallback existieren alle aus dem gleichen Grund – das System kann sich über einen Fingerabdruck irren und immer noch auf eigene Faust erholen, ohne dass ein Bediener in die . tritt.

Die Latenzzahl ist die einfache Schlagzeile.Die Genauigkeit mit dem Verkehr zu verbessern, ist das tatsächliche Produkt. Ein Detektor, der lernt auch un...