Keystroke Biometrics per Hiring: Una Guida Pratica

Cosa keystroke biometrics effettivamente misura

Keystroke biometrics — a volte chiamato keystroke dynamics o typing fingerprints — analizzano il timing tra le pressioni di tasti, non cosa è digitato. Due intervalli rilevanti:

• Dwell time: quanto a lungo un tasto è tenuto premuto.
• Flight time: il gap tra il rilascio di un tasto e la pressione del successivo.

Aggregato attraverso migliaia di keystroke, questi timing formano una distribuzione abbastanza unica da distinguere gli individui con accuratezza sorprendente. Il modello XGBoost che eseguiamo in produzione raggiunge una precisione utile dopo circa 300 keystroke — circa due minuti di normale coding.

Cosa ti dicono in un contesto di hiring

Tre risposte utili:

1. È la stessa persona che digita durante tutta la sessione? Se la fingerprint cambia a metà intervista, probabilmente qualcun altro ha preso il controllo.
2. La digitazione del candidato corrisponde a una baseline che hanno stabilito prima? Confronta la sessione di live coding con l'esercizio di warm-up. Drift = signal.
3. Sono i burst di codice incollati piuttosto che digitati? I paste mostrano eventi a tempo di flight zero.

Cosa non ti dicono

Keystroke biometrics non è un rivelatore di bugie. Non possono provare che un candidato ha imbrogliato; possono solo segnalare anomalie degne di revisione umana. Trattale come un commento di code review: un prompt per una conversazione, non un verdetto.

Cose che producono false positive:

• Passare tra tastiere meccaniche e laptop a metà sessione
• Un secondo fiato di caffeina
• Copia boilerplate dalla dichiarazione del problema

Usarli responsabilmente

Tre regole che chiediamo a ogni cliente di seguire:

1. Divulga. Comunica ai candidati che il ritmo di digitazione è analizzato per l'integrità. La maggior parte va bene; quelli che non lo sono ti dicono qualcosa.
2. Mai auto-rifiuta. Usa i punteggi di anomalia come uno input a un revisore umano, mai come una decisione.
3. Accoppia con altri segnali. Keystroke + face continuity + code coherence è molto più forte di uno qualsiasi solo.

Usati in questo modo, keystroke biometrics catturano i casi ovvi (impersonazione pagata, handoff a metà sessione) senza punire il resto.