Security 26 | 小游戏里的广告， 为什么总能在“不该出现”的时候出现？

原创

复旦白泽战队
复旦白泽战队

复旦白泽战队

2026年10月21日 17:31
上海

去阅读

玩小游戏时，你是否遇到过这样的情况：刚开始操作，广告便突然弹出；明明点击了关闭，广告却接连出现；甚至一次普通的游戏操作，也可能意外触发广告。

▲ 关不掉的广告：弹窗每 15 秒重现一次

各大小游戏平台普遍制定了广告规范，也建立了上线审核机制，为什么激进广告仍然大量存在？开发者如何利用合法接口实现广告滥用？这些行为在真实生态中有多普遍，又是如何规避平台审核的？

本期介绍复旦大学与 vivo 联合研究成果 When Fun Turns Toxic: A First Look at Aggressive Advertising in Mini-games，该论文已发表于网络与系统安全领域国际顶级学术会议 USENIX Security 2026，并于今年8月在美国巴尔的摩会场线下报告。研究围绕小游戏激进广告的行为机制、生态测量与审核规避展开，揭示了合法广告接口背后的滥用风险及其治理挑战。

▲ 论文发表于 USENIX Security 2026

01｜合法接口，如何催生激进广告？

小游戏广告并非天然违规。平台通过官方广告接口支持开发者实现商业变现，但广告的展示时机、位置、频率及交互方式具有较大的可配置空间。当这些能力被滥用，合法的接口调用也可能演变为干扰游戏进程、诱导用户点击的激进广告行为。

那么，如何界定激进广告？我们系统梳理了15 个主流小程序平台，其中 9 个支持小游戏，并对其广告管理规则进行分析，归纳出打断式、劫持式、不可终止式和欺骗式四大类、14 种典型行为。

▲ 不同小游戏平台对广告限制差异较大（政策收集时间：2025年底）

研究发现，尽管各平台普遍对干扰正常游戏体验的广告持限制态度，但规则的覆盖范围和细化程度存在明显差异：部分平台对多种激进广告行为作出了明确限制，部分平台则仅规定了少数情形。与此同时，现有规则并未充分覆盖开发者利用广告接口组合、复杂游戏交互等方式实施的滥用行为。这也使得小游戏广告治理不仅需要明确行为边界，还需要从实际执行逻辑中识别违规行为。

02｜小游戏广告滥用，究竟有多普遍？

要在大规模小游戏中识别激进广告并不容易。我们面临三个主要挑战：引擎代码高度耦合，难以定位广告逻辑；事件绑定分散在不同文件中，难以还原触发路径；广告行为涉及触发条件和界面语义，难以仅凭接口调用判断是否违规。

▲ 小游戏广告集成示意图 & MAAD 检测框架

针对这些挑战，我们设计了面向 Cocos 小游戏的静态检测框架 MAAD，通过轻量化代码分析、用户事件关联重建和多维度广告行为建模，实现对激进广告的自动化检测，并结合平台规则识别违规行为。

在人工标注的真实小游戏数据集上，MAAD 实现了 94.57% 的精确率、83.55% 的召回率，超过 81% 的游戏可在 10 分钟内完成分析，为大规模生态测量提供了技术支撑。

我们进一步从微信小游戏、Facebook Instant Games 和 QuickGame 三个平台收集上架小游戏并开展检测。在接入广告的 915 款游戏中，457 款（49.95%）存在至少一种激进广告行为。其中，打断式广告最为常见；三个平台的激进广告占比分别达到 46.94%、55.17% 和 62.62%。

▲ 三大小游戏平台检出情况。所有检出小游戏已向对应平台报告；投稿时，近半数小游戏已被平台下架

进一步分析发现，激进广告并不局限于小众游戏。我们发现 8 款拥有超过 10 万条用户评分的小游戏仍存在激进广告行为。在开发者层面，126 家可识别的公司中，有 40 家发布了不止一款存在激进广告的游戏；此外，我们还识别出 18 组高度相似的游戏，共涉及 42 款游戏和 31 家公司。

广告的触发方式也呈现出明显的游戏场景特征。开发者不仅通过定时器控制广告展示，还将广告与按钮点击、组件状态变化、游戏对象碰撞等事件绑定，使激进广告嵌入正常的游戏流程。在采用定时弹出机制的相关游戏中，67.39% 的广告触发间隔短于 30 秒，反映出部分游戏中广告展示的高频特征。

03｜激进广告如何躲过平台审核？

各大小游戏平台普遍建立了广告规范和上线审核机制，但激进广告仍然大量存在。进一步分析发现，部分开发者会主动控制广告的触发条件，使违规行为在审核过程中难以被发现。

我们识别出两类典型策略：（1）静态规避，通过延迟展示、首次运行限制、交互次数门槛等条件，避开短时审核；（2）动态规避，通过云端配置，根据 IP 地址、设备信息、运行时间等条件，动态决定广告是否展示。

在识别出的审核规避案例中，94.09% 依赖云端动态控制。开发者可以组合多个触发条件，并在游戏发布后远程调整广告策略，无需重新提交审核。同一款小游戏在不同运行环境下，可能呈现截然不同的广告行为。

这一现象暴露了现有审核流程的局限性。单次运行、固定测试环境难以覆盖复杂的广告触发条件，审核期间观察到的行为也无法完整反映游戏上线后的实际表现。尤其对于支持远程配置的小游戏，一次审核通过，难以保证后续广告行为始终符合平台规范。

04｜从个别违规到生态治理

我们的研究表明，激进广告并非零散的个别现象。近半数接入广告的样本游戏存在相关行为，部分开发者反复发布存在问题的游戏，跨公司游戏之间也出现了高度相似的代码。这些现象表明，广告滥用已具有一定规模，并呈现出重复出现和代码复用的特征。

这些发现值得平台警惕。当违规行为能够通过合法接口实现、通过复用代码传播，并借助云端配置隐藏时，仅靠逐款游戏的上线审核，很难从根本上解决问题。

研究结果为后续治理提供了几个方向：进一步完善广告行为规范，将触发时机、交互方式和远程配置纳入审核范围；结合静态分析与多轮动态测试，提升复杂条件下的行为覆盖能力；加强对重复违规游戏及相似代码的关联分析，提高规模化治理效率。

归根结底，合法接口不应成为违规行为的保护伞，审核通过也不应成为持续合规的保证。 我们希望看到一个规则更加明确、审核更加有效、开发者能够公平竞争的小游戏生态。合理的广告变现应当得到支持，用户的正常游戏体验也需要得到保障。

作者介绍

陈沛
复旦大学计算与智能创新学院23级直博生（22级卓博），本科毕业于复旦大学计算机科学与技术专业。主要研究方向为网络犯罪治理、Web应用安全、AI系统安全。以第一作者在 USENIX Security、WWW 等国际顶级会议和期刊发表多篇论文。相关成果在工业界及政府部门均有落地实战，取得良好效果。

覃逸成
复旦大学计算与智能创新学院23级硕士，本科毕业于清华大学软件工程专业。主要研究方向为网络犯罪治理、移动应用安全。

王华哲
复旦大学计算与智能创新学院23级硕士，本科毕业于复旦大学信息安全专业。主要研究方向为网络犯罪治理、移动应用安全。

洪赓

复旦大学网络战略研究所副所长，聚焦 AI 安全治理等前沿方向，获 NDSS 2026 最佳论文奖、上海市技术发明一等奖等荣誉。
个人主页 » https://security.fudan.edu.cn/members/faculty/hg

点击文末“阅读原文”，获取论文细节～

供稿：陈沛

排版：李思全

责编：董佳仪

审核：张琬琪、洪赓

复旦白泽战队

一个有情怀的安全团队

还没有关注复旦白泽战队？

公众号、小红书搜索：复旦白泽战队也能找到我们哦~