凌晨三点，异地我盯着屏幕上的登录日志文件，心跳漏了一拍。模型账号在黑龙江哈尔滨登录，程序而我的异地手机正握在手里，定位显示在广东深圳。登录这不是模型灵异事件，是程序我自己写的CF（穿越火线）异地登录模型程序在报警。

这个程序的异地核心逻辑其实特别简单——把登录IP的地理位置和账号常用登录地做比对，一旦距离超过一千公里，登录就触发二次验证。模型但真正麻烦的程序是怎么定义"常用"。有人出差频繁，异地有人借号给朋友，登录还有人用加速器，模型IP乱飘。我见过一个玩家，上午在上海，下午在新疆，晚上又出现在东京——后来查清楚了，他开了三个加速器节点，纯粹为了匹配低延迟。

模型里我塞了七个特征维度：登录时间分布、设备指纹、鼠标轨迹采样、对局时段偏好、好友组队频率、充值习惯、甚至包括切枪按键间隔。这些数据混在一起，用随机森林分类，再叠加一个滑动时间窗口。窗口设成72小时，太短误伤率高，太长又反应迟钝。有一回测试，一个老玩家换了新电脑，设备指纹全变，模型直接把他当异地登录给锁了。气得他在客服频道骂了二十分钟。

后来我学乖了，加了"环境一致性评分"。如果新设备首次登录时，网络延迟曲线和旧设备高度相似，就降低风险等级。这招挺管用，但也不是万能。有个盗号团伙专门研究这个，他们先花三天模拟目标玩家的在线时段，再复制鼠标轨迹数据包，连切枪间隔都拟合得像模像样。要不是那次他们贪心，在同一台机器上同时登录了六个账号，我的模型还真发现不了。

程序上线运行八个月，拦截了四千多次异常登录。真正被确认盗号的只有两百多起，其余全是误报。误报里最离谱的一次，是个在西藏服役的兵哥，他用的网络是卫星链路，IP归属地经常跳到印度新德里。模型判定他异地，他申诉时附了张穿着军装举着身份证的照片，背景里能看到营房。我手动放行的时候，心里挺不是滋味。

现在这个模型已经迭代到第四版，加入了对抗学习模块。每天凌晨自动用前一天的误报数据重新训练。可每次看到"登录地点与常用地距离超过阈值"这行日志，我还是会想——网络世界里的"位置"，到底有多少是真实的？有人肉身在A地，灵魂在B服；有人用着代理，IP假装在C国。程序能做的，只是把概率摆出来，剩下的判断，还是得交给那个坐在屏幕前的人。

就像那个在哈尔滨登录我测试账号的人，后来查出来是我自己忘了关远程桌面。模型没错，是我错了。