CAPTCHA powstała żeby odróżnić człowieka od bota. Completely Automated Public Turing test to tell Computers and Humans Apart. Przez dekady działała — boty nie potrafiły czytać zniekształconych liter, rozpoznawać sygnalizatorów, zaznaczać zdjęć z rowerami.
Modele AI zaczęły rozwiązywać CAPTCHA lepiej niż przeciętny człowiek. Badanie z 2023 roku pokazało że GPT-4V rozwiązuje reCAPTCHA v2 ze skutecznością 89% — wyżej niż przeciętny człowiek (68%). Test który miał odróżniać zaczął identyfikować AI jako ludzi, a ludzi odrzucać jako boty.
CAPTCHA stała się problemem z dwóch stron jednocześnie.
Czym jest konflikt CAPTCHA vs agent
CAPTCHA vs agent to konflikt między mechanizmami bezpieczeństwa stron internetowych zaprojektowanymi do blokowania botów a legitymowanymi agentami AI działającymi w imieniu użytkowników — gdzie CAPTCHA blokuje zarówno złośliwe boty jak i autoryzowanych agentów użytkownika, zmuszając strony do wyboru między bezpieczeństwem a dostępnością dla agentów.
Trzy scenariusze
Scenariusz 1 — CAPTCHA blokuje legitymowanego agenta: użytkownik prosi agenta żeby złożył formularz kontaktowy. Agent wypełnia formularz, trafia na CAPTCHA. Nie może jej rozwiązać — nie ma oczu. Zadanie nie może być zrealizowane. Użytkownik musi sam dokończyć proces. Cel agent-readiness nieosiągnięty.
Scenariusz 2 — CAPTCHA nie blokuje złośliwego bota: zaawansowany bot używa modelu multimodalnego do rozwiązywania CAPTCHA. CAPTCHA nie spełnia swojej funkcji ochronnej. Właściciel strony ma fałszywe poczucie bezpieczeństwa.
Scenariusz 3 — Web Bot Auth jako alternatywa: strona zamiast CAPTCHA wymaga kryptograficznej weryfikacji tożsamości odwiedzającego. Zweryfikowany agent użytkownika jest wpuszczany. Nieznany bot — blokowany. Lepsza ochrona i kompatybilność z agentami.
Emerging approaches
Cloudflare Turnstile i inne „frictionless CAPTCHA” próbują oceniać behawioralne sygnały bez angażowania użytkownika — co może działać dla ludzi ale wciąż może blokować agentów które mają inny profil behawioralny.
Dla właściciela strony: jeśli chcesz być agent-ready i jednocześnie chronić formularze — Web Bot Auth jest bardziej przyszłościowym podejściem niż CAPTCHA. Krótkoterminowo: dodaj do formularzy mechanizm honeypot zamiast lub obok CAPTCHA.