《Array》：Lightweight GRU-based real-time incremental syllabification for continuous authentication and access control using keystroke dynamics
编辑推荐：
验证整个活动会话期间正确的人仍留在键盘前比看起来更难。基于密码的机制和多因素认证仅处理登录时刻，留下了一个暴露窗口，零信任架构试图通过连续行为验证来关闭该窗口。在自由文本击键动态中，这需要应对一个持续存在的矛盾：低级表示（如双字母组合（digraph））反应迅
验证整个活动会话期间正确的人仍留在键盘前比看起来更难。基于密码的机制和多因素认证仅处理登录时刻，留下了一个暴露窗口，零信任架构试图通过连续行为验证来关闭该窗口。在自由文本击键动态中，这需要应对一个持续存在的矛盾：低级表示（如双字母组合（digraph））反应迅速但判别能力差，而单词级模型以高检测延迟为代价实现了更高的准确性。本文引入了击键音节（keystroke syllable）作为一种中间行为单元，它在不等待完整词汇单元的情况下捕获有节奏的运动执行模式。研究人员提出了一种轻量级框架，结合了因果约束的基于GRU（门控循环单元）的音节划分引擎与递归自编码器（AE-GRU）用于实时连续认证。音节划分组件以自监督方式使用时间派生伪标签进行训练；AE-GRU仅从合法用户数据执行单类行为轮廓分析，在注册期间无需冒名顶替者样本。一种双阈值决策机制区分短暂的行为波动和持续异常，实现分级访问控制响应而非突然终止会话。在Buffalo自由文本击键数据集上的评估，涉及148名参与者在无约束打字条件下，产生了3.8%的等错误率（EER）和平均22个字符的检测延迟。这两个结果均优于在同一协议下评估的基于双字母组合的自编码器（7.8% EER，15字符延迟）和基于单词的自编码器（4.5% EER，60字符延迟），差异具有统计学显著性（p<0.05）。该流水线具有少于53,000个参数，平均推理时间低于每次窗口5毫秒，可在商用硬件上作为后台进程运行，满足零信任访问控制的低延迟要求。
在连续认证（Continuous Authentication，CA）领域，零信任（Zero-Trust）原则要求会话期间持续验证用户身份，而非仅在登录时。基于密码的机制和多因素认证仅覆盖登录瞬间，留下暴露窗口，为会话劫持、权限提升等威胁提供可乘之机。击键动力学（Keystroke Dynamics）作为被动行为信号，无需额外硬件，但面临核心矛盾：低级表示如双字母组合（Digraph）反应快（15字符延迟）但判别差（EER 7.8%），而单词级模型准确（EER 4.5%）但延迟高（60字符）。为此，研究人员提出击键音节（Keystroke Syllable）作为中间行为单元，将击键事件组织成有节奏的电机执行块，兼顾反应速度与判别稳定性。该研究发表在《Array》。
主要技术方法包括：①因果约束的单层单向GRU（门控循环单元）音节划分引擎，使用多模态输入 \(u_t = [e_t; HT_t; FT_{t-1}; \Delta_t]\)（字符嵌入与三个因果时序特征）进行自监督训练，伪标签基于飞行时间（Flight Time）的75%分位数生成；②单类递归自编码器（AE-GRU）行为轮廓模型，编码器和解码器均为单层GRU（隐藏维度64），仅使用合法用户数据训练，通过重建误差（MSE）作为异常分数；③双阈值决策机制，基于验证集合法分数的95%和99%分位数设定警报阈值 \(\tau_{alert}\) 和临界阈值 \(\tau_{crit}\)，要求连续 \(C_{max}=3\) 个临界窗口后才触发撤销。框架在Buffalo自由文本数据集（148名参与者，无约束打字）上评估，按时间顺序60%/10%/30%分割训练/验证/测试集。
研究结果分为以下部分：
**Main performance comparison**：击键音节AE-GRU在EER（3.8±1.4%）和延迟（22±4字符）上均优于基于双字母组合（7.8% EER，15字符）和基于单词（4.5% EER，60字符）的自编码器，差异显著（p<0.05）。
**Detection error trade-off analysis**：DET曲线显示音节AE-GRU在所有操作点更接近原点，在低FAR（<2%）区域优势最大，表明高安全部署下更低的错误拒绝率。
**Detection latency analysis**：当窗口大小N≤10时，音节AE-GRU延迟始终低于30字符，满足实时目标；单词模型在所有N下均超过60字符。
**Sensitivity and ablation analysis**：窗口大小N=10为最佳平衡点；隐藏维度H=64足够，增至128无显著提升；分割阈值θ在0.30–0.70范围内EER波动<±0.30个百分点；特征消融表明时序特征主导边界检测（去除时序使EER上升0.72个百分点）；边界准则对比中，GRU预测边界（因果）优于飞行时间启发式（带一步前瞻），EER降低0.38个百分点（p<0.05）；异常分数MSE优于MAE和Huber损失。
**Operational performance**：完整流水线仅约53,000参数，推理时间<5ms/窗口，可在商用CPU上实时运行。
讨论部分总结：击键音节的实证有效性源于其与电机规划理论的契合——时间空隙对应自动化程序块边界，产生更稳定的轮廓。在同类方法中，该方法在时序单类协议下报告了EER与检测延迟的组合，优于双字母组合和单词级基线。安全方面，双阈值机制减少单次错误接受暴露，但未在对抗条件下验证。局限性包括：行为漂移（仅覆盖数周）、单设备评估、单语言范围。结论部分翻译如下：
本文解决了连续认证中的持久矛盾：既要足够快速响应，又要保持足够的行为上下文以实现可靠判别。双字母组合方法偏向速度，单词级方法偏向准确性，两者均不满足零信任部署需求。击键音节提供了第三种选择——一种数据驱动的电机段，短到可在线检测，又结构化到能携带判别性节奏信息。四项贡献包括：正式定义击键音节为中间行为单元；提出轻量级因果GRU划分引擎；单类AE-GRU轮廓模型；双阈值决策机制。在Buffalo数据集上的评估证实了统计显著的EER改进，延迟在实时运行区域内。与现有最佳方法比较需谨慎，因数据集和评估条件不同。安全方面，框架与零信任原则对齐，通过连续行为监控和分级响应降低暴露，但对抗鲁棒性需进一步验证。三个限制：假设行为平稳性（数周）、单键盘类型和单语言、对抗鲁棒性测试有限。击键音节概念也为其他行为模态（如鼠标动力学）提供了研究起点。
