很多人问"怎么认出对方是机器人"的时候，心里真正想问的其实是另一件事："这个人在骗我吗？"
这两个问题听起来像一回事，其实差得很远。
举个例子就清楚了。你每天收到的那种"你的账号在新设备登录"的通知，来源就是一个机器人，它完全安全。而一个热情地跟你聊了半小时、语气自然、还关心你有没有吃饭的账号，背后可能是一个专门做这个的人，也可能是一台已经很会聊天的程序。
所以"像不像机器人"这件事，既不能证明危险，也不能证明安全。它只是一个特征，不是一条结论。
更要紧的一点是：在这类平台上，骗子的主要工作方向，恰好是让自己看起来不像机器人。他们会用真人头像、会寒暄、会记得你上次说过的话。也就是说，如果你把"看起来像人"当成可信的依据，那你关注的恰恰是骗子最用心经营的那一面。
这就是为什么这篇要先把两件事分开。
第一件事：怎么看出它可能是个机器人
这部分我只做前提，因为完整的辨别方法我在另一篇里已经写过，这里不重复。
简单说，常见的迹象有几类。一个是用户名，很多机器人会在名字里带上表示自己是机器人的后缀。一个是回复方式，它们往往回得极快，格式规整，不会打错字，也不太会出现那种"人一边想一边打"的节奏。另一个是它只认指令，你发一句自然的话它可能答非所问，但你按某个固定格式发过去，它立刻给出标准回答。
还有一类情况是它出现在特定的位置上，比如系统的服务通知，或者你主动添加过的工具账号。
这些都是特征，用来回答"它大概是什么"。如果你想要更细的判断方法，可以去看那一篇。
而下面这一段才是这篇的重点。
第二件事：怎么判断它是不是骗子
判断骗子，有一个比"辨认身份"可靠得多的办法：不看它像什么，看它要你做什么。
原因是这样的。"它是不是机器人"这个问题，你从外面很难验证；但"它想让你做一件什么事"，是明摆着摆在那里的。所以更省力也更准的顺序，是先看要求，再看身份。
具体来说，有四个动作值得立刻停下来。
第一个是要验证码。这一条我认为没有例外。验证码的作用是证明"你是你"，任何以任何理由向你索要它的人或程序，都在做一件不该做的事。理由可以编得很像那么回事，比如帮你解封、帮你验证、帮你迁移账号，但这件事的性质不因为理由而改变。我在此前的另一篇里写过，验证码不是密码，它比密码更麻烦——因为密码泄露改一下就行，而验证码一旦交出去，对方那一刻就拥有了你的登录能力。
第二个是要你点站外的链接。这里要分清的是"链接指向哪里"。如果它让你在应用内做一件事，那是一回事；如果它把你引到一个浏览器里的页面，要你在那里输入账号或验证码，那是另一回事。后者的页面长得再像官方，你输入的每一个字都进了别人的服务器。
第三个是钱。转账、买币、充值、代付、投资，这些只要出现，就该把警惕级别拉到最高。这里有一个很有用的心态：无论对方讲的故事多完整，只要钱的流向是"从你出去"，那这件事的风险就落在你身上，而对方没有任何损失。
第四个是要你的账号或者要替你操作。比如让你把账号交给他、让你把某个设备上的登录权交出去、或者让你扫一个码来"授权"。这一类的共同点是：对方要的不是一次性的东西，而是一个持续的能力。
把这四个动作合起来看，你会发现它们有一个共同点：它们都要你交出一件东西——一次性的凭据、一次点击、一笔钱，或者一个长期权限。而一个正常找你说话的人，通常不需要你交出这些。
四种组合，别只盯着其中一种
把两个问题交叉起来看，会出现四种情况，而它们的处理方式完全不同。
第一种是机器人加善意。系统的服务通知、你添加过的工具账号，都算这一类。它们看起来最"像机器人"，但完全安全。这一类最容易被误伤——有人看到一条格式规整的账号发来提示，第一反应是骗子，结果把真正的安全通知也忽略了。
第二种是机器人加恶意。这类确实存在，但它的危险不在于"它是机器人"，而在于它索要的东西。判断办法还是上面那四条。
第三种是人加恶意。这往往是现实中最常见的一种。做这件事的人是真人，而且他会刻意表现得有温度、有耐心、有专业感，甚至会主动关心你。所以对这一类，"像不像机器人"这个判断完全不适用——你越看他越像人，而这正是他的工作目标。
第四种是人加善意。也就是普通的聊天。这一类没有需要特别处理的地方。
把这四种摆开之后，结论就很清楚了：真正决定安全与否的不是第一条轴，而是第二条轴——它要你做什么。而第二条轴，恰恰比第一条轴容易观察得多。
为什么"要验证码"这一条没有例外
前面四条里，第一条值得单独再讲一遍，因为它是唯一一条我认为不该留任何余地的。
验证码的本质是一次性的登录能力。谁拿到它，谁就能在那个时间窗口里完成一次登录。所以它和密码的性质不同：密码泄露了，你改一个新的就行，旧的那个立刻作废；而验证码一旦泄露，对方已经完成了登录，你改什么都没用了——因为那条会话已经建立起来了。
由此可以得到一条很干净的判断法。正常的验证流程，永远是"你自己把码填进某个界面"，而不是"你把码告诉某个人"。所以你只要记住这一句：凡是让你把验证码发给谁、念给谁、或者截图给谁的，无论理由多合理，都可以直接结束对话。
这里要防的是"理由"。骗局最擅长的部分不是技术，而是编一个让你愿意交出东西的理由——帮你解封、帮你确认身份、帮你处理异常登录。这些理由的共同特点是它们让你觉得"交出去是为了保护自己"。而真正的保护，恰恰是不交出去。
如果已经交出去了，先做什么
说完怎么防，也说说万一已经发生了该怎么办。顺序比内容重要。
如果验证码已经给了别人，第一件要做的事不是争论，也不是解释，而是去把那条被建立的登录断掉。做法是在设备列表里找到不认识的会话并终止它。这一步是止血，必须放在最前面。
第二件是改两步验证的密码。这里有一个很多人会搞错的地方：改密码本身不会把已经建立的登录踢下线。所以如果只做这一步，对方那条会话很可能仍然有效。这也是为什么第一步和第二步的先后顺序不能反。
第三件是检查其他东西有没有被动过，比如恢复邮箱、隐私设置、以及账号绑定的其他服务。
如果涉及的是钱，那要说实话：通过这类聊天转出去的钱，在平台这一侧通常追不回来。这时候该做的是走支付渠道的申诉流程，必要时走报警，而不是指望在这边把话讲清楚就能退回来。至于具体的追责路径，属于法律问题，我不做判断，只提醒一句：时间越早，能做的事情越多。
这一节想说的其实是一件很朴素的事：出了问题之后，正确的动作是"先断、再改、再查"，而不是先去跟对方讲道理。因为对方之所以能骗到你，本来就是因为他比你更会讲道理。
三个常见的误判
第一个误判，是把格式规整的通知当成骗子。这个方向的错误会让人错过真正的安全提示，比如登录提醒、异常登录提示。处理办法很简单：不要凭"它说话像机器"来判断，而是看它有没有要你做事。通知类的内容通常只是告诉你一件事，不需要你交出任何东西。
第二个误判，是把热情当可信。前面说过，这是骗子最用心的地方。判断一个人是否可信，不看他对你多热情，而看他有没有试图让你做上面那四件事，以及他说的话能不能被第三方验证。热情的陌生人，在这个语境里恰恰是需要多留一眼的那一类。
第三个误判，是把"能连续对话"当成"是真人"。现在的自动化已经能应付不少日常对话了，所以"它会说人话"这件事，说明不了太多。反过来说也一样：如果一个账号说话很刻板，那只能说明它可能是个程序，不能说明它想干坏事。
这三个误判有一个共同的根：都在用"像不像"来判断"危不危险"。而这两个问题的答案，本来就不在一条轴上。
一个更好用的判断顺序
如果只记一个顺序，我建议是这样。
第一步，先看它要你做什么。这四条一出——要验证码、要你点站外链接输信息、要钱、要账号权限——就到此为止，不用再往下判断它是什么了。这一步的好处是它不需要任何技术能力，任何人都能做。
第二步，再看它是谁。这一步可以慢慢来，而且最好借助第三方信息，比如它的来源、它有没有可验证的记录、别人对它有没有公开的评价。这一步难，所以不该放在最前面。
第三步，如果它没要你做任何事，只是闲聊或者提出一个正常的请求，那就按普通社交的风险来处理——也就是说，保持常识即可，不必因为"它可能是个机器人"而额外紧张。
这个顺序背后有一个朴素的道理：你能观察到的，先用来做判断；你很难验证的，放到后面，而且不要拿它当依据。
最后
如果只用三句话记住这篇，我希望是这三句。
像不像机器人和是不是骗子，是两条互不相关的轴。一个东西可以既是机器人又完全安全，也可以是个真人却一心骗你。
所以判断的重点不该放在"它是谁"上，而该放在"它要你做什么"上。要验证码、要你在站外页面输信息、要钱、要账号权限，这四个动作出现任何一个，就要停下来。
最后一句给所有人：骗子最努力的方向是看起来像个人，所以"他很有礼貌""他很有耐心""他一直在关心我"这些，都不构成信任的理由。真正值得作为依据的，是他有没有试图让你交出东西。
说到底，安全这件事在这里同样适用一个很朴素的原则：不看对方怎么说自己，看对方要你做什么。