游戏中的外挂预测方法和装置、电子设备和存储介质与流程

1.本发明涉及游戏外挂检测技术领域，特别是指一种游戏中的外挂预测方法和装置、电子设备和存储介质。


背景技术：

2.游戏外挂是指针对某一款游戏设计的、修改游戏中部分程序的程序，通过内存、封包、模拟键盘鼠标事件等各种方式来代替真实的玩家操作，从游戏中牟利。游戏外挂可以快速完成游戏目标，破坏游戏公平性。
3.目前，大多是通过游戏客服线上核实玩家的举报信息，从而实时对单点的外挂帐号予以核查，进而作出外挂判断和处理。完全依赖玩家举报外挂，核查人工成本高、精确度低，无法对外挂形成有效的打击措施。也有采用机器学习算法来识别外挂，主要是对原始数据先通过复杂的特征工程进行特征提取和分析，再将提取和分析的特征，采用基于决策树判别模型发现作弊行为的方法或基于人工设定的作弊规则识别作弊行为的方法进行训练，基于训练的模型进行异常行为检测。
4.对于基于决策树判别模型发现作弊行为的方法，可以利用决策树判别模型根据用户特征识别用户是否存在作弊行为。但是，其需要利用标注样本对决策树判别模型进行训练，而构建大量标注样本需要花费较高的成本，构建少量标注样本又难以保证决策树判别模型的模型精度，即难以在训练成本和模型精度之间取得平衡。并且，玩家行为数据中，单一的行为数据无法标记出该样本的真正标签，因此存在大量的人工核实之前无法给定是否为外挂的无标签样本数据，为了避免模型的误判，无标签样本无法作为训练集用来学习，这些数据没有得到实际的运用而处于闲置状态，属于资源浪费。
5.在基于人工设定的作弊规则识别作弊行为的方法中，需要结合具体应用场景的特点将作弊可能采取的所有措施都列举出来，进而基于此梳理作弊规则，利用梳理出的作弊规则对作弊行为进行反制。其通常需要引入相关领域的专家和先验知识梳理作弊规则，该作弊规则灵活性较低、不易扩展，对于复杂多变的线上场景，往往经过一段时间后作弊规则的覆盖率就会显著降低。
6.另外，在网络游戏领域，基于对用户的保护，必须疑罪从无。所以除非有明确的第三方工具信息、工作室特征，否则无法对玩家做出外挂的判断，进而予以处罚。因此，目前还缺少一套以大量数据作为支撑、可解释性强的模型作为基础，对网络游戏的外挂做出精确判断。


技术实现要素：

7.本发明的主要目的在于克服现有外挂检测方法中，未充分运用无标签样本造成资源浪费，模型精度不高的缺陷，提出一种游戏中的外挂预测方法和装置、电子设备和存储介质。
8.本发明采用如下技术方案：
9.一种游戏中的外挂预测方法，其特征在于：包括如下步骤：
10.1)从当前游戏日志中获取所有玩家数据，进行处理后得到外挂样本、正常玩家样本和无标签样本，将无标签样本的权重进行降权并与正常玩家样本作为负类样本，将外挂样本的权重进行加权作为正类样本；
11.2)将正类样本和负类样本输入预先构建的外挂预测模型进行预测，得到外挂名单和特征解释图；
12.3)根据外挂名单更新正类样本和负类样本作为下一次预测的样本。
13.步骤1)中，所述玩家数据为游戏日志中的预设时间长度内的所有玩家数据，将玩家数据进行特征工程处理得到多维特征的样本，包括充值、消费、硬件统计、行为数据、交易倾向和金钱流向。
14.步骤1)中，将所述无标签样本标注为正常玩家样本并进行降权，再将降权的正常玩家样本与未降权的正常玩家样本作为所述负类样本。
15.步骤2)中，所述特征解释图用于对样本的特征的权重分布进行解释，该特征包括有充值、消费、硬件统计、行为数据、交易倾向和金钱流向。
16.步骤2)中，所述外挂预测模型采用catboost模型并结合shap值作为所述特征解释性图。
17.步骤3)中，根据外挂名单更新正类样本和/或负类样本，具体包括如下：
18.若所述外挂名单中有降权的无标签样本，则将无标签样本标注为外挂样本，并进行加权后更新为正类样本；
19.若所述外挂名单中有正常玩家样本，则将正常玩家样本标注为外挂样本，并进行加权后更新为正类样本。
20.一种游戏中的外挂预测装置，其特征在于：包括如下
21.数据获取模块，用于从当前游戏日志中获取所有玩家数据，进行处理后得到外挂样本、正常玩家样本和无标签样本；
22.样本模块，用于将无标签样本的权重进行降权并与正常玩家样本作为负类样本，将外挂样本的权重进行加权作为正类样本；
23.外挂预测模块，用于输入正类样本和负类样本进行预测，并输出外挂名单和特征解释图；
24.更新模块，根据外挂名单更新正类样本和负类样本作为下一次预测的样本。
25.一种电子设备，包括处理器和存储器，该存储器用于存储可执行指令，其特征在于：该处理器配置为运行可执行指令时，实现所述的一种游戏中的外挂预测方法。
26.一种计算机可读存储介质，存储有可执行指令，其特征在于，所述可执行指令在被处理器执行时实现所述的一种游戏中的外挂预测方法。
27.由上述对本发明的描述可知，与现有技术相比，本发明具有如下有益效果：
28.1、本发明中，从将无标签样本的权重进行降权并与正常玩家样本作为负类样本，将外挂样本的权重进行加权作为正类样本，即通过调整样本权重来训练一个初始模型用于预测外挂名单并进行特征解释，精确度高、可解释性强，合理地运用了大数据来打击外挂，辅以审核外挂预测名单，实现模型的冷启动与更新闭环。
29.2、本发明中，玩家数据均来源于游戏服务器的日志记录，先将无标签样本标注为
正常玩家样本并进行降权，再将降权的正常玩家样本与未降权的正常玩家样本作为负类样本，对大量的无标签样本玩家数据进行资源的整合与利用，确保训练出的模型精度，大大降低了人工排查的成本和规模。
30.3、本发明中，玩家数据均来源于游戏服务器的日志记录，外挂预测模型采用catboost模型进行预测外挂，并结合shap值作为所述特征解释性图对样本的特征的权重分布进行解释，无需依赖玩家举报，通过无间断的模型更新与预测，实时对游戏中的外挂进行打击。
附图说明
31.图1为本发明玩家数据处理成样本示意图；
32.图2为本发明方法原理图；
33.图3为本发明方法流程图；
34.图4为本发明外挂名单示意图(审核后)；
35.图5为样本的特征解释图举例；
36.图6为利用shap值解释物理内存；
37.以下结合附图和具体实施例对本发明作进一步详述。
具体实施方式
38.以下通过具体实施方式对本发明作进一步的描述。
39.本为了使本技术领域的人员更好地理解本公开方案，下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本公开一部分的实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本公开保护的范围。
40.需要说明的是，本公开的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本公开的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或模块的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或模块，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或模块。
41.参见图2-图3，本发明提出一种游戏中的外挂预测方法，包括如下步骤：
42.1)从当前游戏日志中获取所有的玩家数据，进行处理后得到外挂样本、正常玩家样本和无标签样本，将无标签样本的权重进行降权并与正常玩家样本作为负类样本，将外挂样本的权重进行加权作为正类样本。对明确是外挂的玩家数据进行加权，即让模型认为外挂数据相较其它样本数据更为重要。
43.该步骤中，所有的玩家数据为游戏日志中的预设时间长度内(例如半年)的所有玩家数据，将玩家数据进行特征工程处理得到多维特征的样本，例如，多维特征包括有充值、消费、硬件统计、行为数据、交易倾向和金钱流向等，不限于此。
44.其中，外挂样本和正常玩家样本是根据玩家行为数据已核实并标注对应标签的样本，无标签样本是玩家行为数据中，在人工核实之前无法给定是否为外挂的样本数据，即非外挂玩家及非正常玩家的玩家数据。
45.参见图1，将无标签样本先标注为正常玩家并进行降权，再将降权的正常玩家样本与未降权的正常玩家样本作为负类样本。对无标签样本进行降权而不予以抛弃，是由于大量的玩家数据均为稀疏数据(即没有任何过多的行为)，这部分数据依旧值得训练，因此，默认将其标签归类为正常玩家。并且，由于无标签样本的数据作了降权处理，即便默认的归类错误，依然不会影响模型对现有外挂数据的训练。并且这一操作补充了大量的正常玩家数据，大幅提升了模型的分类能力。
46.本发明中，样本的权重指的是样本类别的权重，从高到低依次为外挂样本的权重、正常玩家样本的权重、无标签样本也即降权的正常玩家样本的权重。
47.2)将正类样本和负类样本输入预先构建的外挂预测模型进行预测，得到外挂名单和特征解释图。
48.本发明中，外挂预测模型可为catboost模型，是一种基于对称决策树(oblivious trees)算法，参数少、支持类别型变量和高准确性的gbdt框架。该catboost模型可高效合理地处理类别型特征，提高算法的准确性和泛化能力。类别型变量的特征值是离散的集合并且相互比较并无意义的变量，比如用户的id、充值、消费等。
49.特征解释图用于对样本的特征的权重分布进行解释，体现了各特征在外挂预测模型运作时的贡献，该特征包括有充值、消费、硬件统计、行为数据、交易倾向和金钱流向。本发明采用shap值对catboost模型进行解释，即采用shap值作为特征解释性图，用于体现外挂名单中，每个样本的各个特征的贡献或影响力。
50.例如：参见图6，通过shap值解释物理内存大小(memory)，可以发现最大物理内存(max＿memory)越小，是外挂的概率越高。进而可推断出外挂使用的是虚拟机，其需要切割更小的内存来提高效率。
51.因此，通过shap值作为解释模型，集合所有特征进行组合运用，从而精确从大数据中判断出关键信息，预测出游戏内的外挂。参见图5的特征解释图举例，其中各个特征释义参见下表：
[0052][0053]
可以得出该外挂同ip下大量多开角色，并且apex(第三方反外挂程序)标记、非法标记居多，拥有足够的外挂使用证据。
[0054]
通过图5的特征解释图，还可发现游戏设计的潜在问题，例如：道具套餐卡是游戏内的付费道具，但是外挂大量使用的是道具套餐卡
·
体验，这是由于游戏针对新玩家免费赠送了这一道具，却被外挂大幅利用。由于道具套餐卡
·
体验也能从游戏内产出可交易的游戏币，所以外挂大肆建立新帐号，不断刷新手赠送的道具套餐卡，进而在游戏内刷钱。通过shap解释模型可得到该信息，以便于及时调整策划设定来修复这一漏洞。
[0055]
3)根据外挂名单更新正类样本和负类样本作为下一次预测的样本。
[0056]
该步骤中，通过对外挂名单进行复核和处理，复核可以是人工复核或机器复核，对于外挂名单的处理包括如下：
[0057]
若外挂名单中有降权的无标签样本，则将无标签样本标注为外挂样本，并进行加权后更新为正类样本；若外挂名单中有正常玩家样本，则将正常玩家样本标注为外挂样本，并进行加权后更新为正类样本。
[0058]
参见图4为审核处理后的外挂名单实例。本发明利用复核机制，能够及时对外挂名单进行审核与处理，再次增加了玩家数据中的正类标签数量，从无标签样本中迭代更新了最新的标签数据，让今天的无标签样本处理数据再次成为了明天的有标签训练集，从而大幅优化了模型。随着时间的推移，无标签样本的运用将凸显出其优势，模型对外挂的识别和预测能力也将越来越精准。
[0059]
本发明对于不同的目标用户的行为信息，可以应用于不同的外挂识别环境，例如：可以是游戏外挂的识别环境、网络购票行为的外挂识别环境、在线投票行为的外挂识别环
境，以及网络竞拍行为的外挂识别环境，以游戏外挂的识别环境为例，游戏外挂识别环境中需要对游戏场景中的枪战类游戏、跑酷类游戏、竞速类游戏、多人在线战术竞技游戏(multiplayer online battle arena，moba)、竞速游戏(racing game，rcg)以及体育运动类游戏(sport game，spg)等游戏画面中的用户行为信息进行分析，判断游戏用户是否使用了游戏外挂，采用本技术提供的经过训练的外挂预测模型，可以部署在前述各类游戏场景所对应的游戏服务器中，用于外挂识别环境中的外挂识别结果，对于使用游戏玩挂的游戏账号进行封号处理，保证外挂识别环境中的每一个游戏用户的公平公正参与游戏。
[0060]
本发明还提出一种游戏中的外挂预测装置，采用上述的一种游戏中的外挂预测方法来预测外挂名单，其可包括如下模块：
[0061]
数据获取模块，用于从当前游戏日志中获取所有玩家数据，进行处理后得到外挂样本、正常玩家样本和无标签样本。
[0062]
样本模块，用于将无标签样本的权重进行降权并与正常玩家样本作为负类样本，将外挂样本的权重进行加权作为正类样本。
[0063]
外挂预测模块，用于输入正类样本和负类样本进行预测，并输出外挂名单和特征解释图。该外挂预测模型可采用catboost模型并结合shap值作为所述特征解释性图。
[0064]
更新模块，根据外挂名单更新正类样本和负类样本作为下一次预测的样本。
[0065]
本发明还提出一种电子设备，包括处理器和存储器，该存储器用于存储可执行指令，该处理器配置为运行可执行指令时，实现上述的一种游戏中的外挂预测方法。
[0066]
本发明还提出一种计算机可读存储介质，存储有可执行指令，可执行指令在被处理器执行时实现上述的一种游戏中的外挂预测方法。
[0067]
以上所描述的装置实施例仅仅是示意性的，例如所述模块的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。
[0068]
所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。
[0069]
另外，在本公开各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。
[0070]
所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本公开的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本公开各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、只读存储器(rom，read-only memory)、随机存取存储器(ram，random access memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
[0071]
上述仅为本发明的具体实施方式，但本发明的设计构思并不局限于此，凡利用此构思对本发明进行非实质性的改动，均应属于侵犯本发明保护范围的行为。