CAPTCHA,,那个无处不在的”我不是机器人”复选框,,二十年来一直是网络世界的标配。但越来越多的证据表明，它已不再适用。2024年，苏黎世联邦理工学院的研究人员使用改进的YOLOv8模型，在Google的reCAPTCHA v2上实现了100%的准确率。2026年，联合国大学校园计算中心主任吴聪（Ng Chong）构建了一个运行在单台笔记本电脑上的通用工具，可在两到三秒内绕过reCAPTCHA v2、hCaptcha和Cloudflare Turnstile，而无需触发图片网格。
“当验证挑战和行为分析层都被运行在单台笔记本电脑上的通用工具击败时，CAPTCHA的基本前提就不再成立了，”吴聪表示。
军备竞赛
CAPTCHA的故事始于1997年，当时AltaVista部署了扭曲文本图像来阻止自动注册，将垃圾邮件减少了约95%。在接下来的十年里，文本CAPTCHA对机器人和人类来说都变得越来越困难，直到2018年深度学习模型在所有常见变体上达到近乎完美的准确率。
Google在2014年12月以reCAPTCHA v2作为回应,,这个熟悉的”我不是机器人”复选框背后是行为分析（鼠标移动、IP历史、浏览器指纹、cookie）。真正的测试是隐形的；图片网格只是备用方案。2018年，reCAPTCHA v3问世，完全取消了复选框，根据后台信号返回0.0到1.0的分数。
每一次进步都遇到了反制措施。强化学习在2019年以97%的成功率破解了reCAPTCHA v3。苏黎世联邦理工学院的研究证明，整个reCAPTCHA v2流程,,包括行为分析层,,可以完全自动化。
现状
截至2026年，CAPTCHA的格局包括：
- reCAPTCHA v2,,100%被破解（苏黎世联邦理工，2024年；通用工具，2026年）
- reCAPTCHA v3,,60-80%绕过率
- hCaptcha,,70-90%绕过率
- Cloudflare Turnstile,,40-65%绕过率
- 音频CAPTCHA,,85-95%被破解
- 扭曲文本,,100%被破解
来自Merchant Risk Council的行业数据显示，reCAPTCHA整体的AI绕过率达到99.8%。
经济激励显而易见：商业CAPTCHA解决API每1,000次解决收费0.50至2美元。据Cloudflare Radar统计，2025年AI驱动的爬虫占所有网络流量的57.5%，首次超过人类流量。
超越验证码
该行业正在向隐形、无摩擦的验证方向发展。Cloudflare Turnstile使用加密工作量证明结合浏览器环境检查，约90%的加载无需任何用户交互即可完成。Apple的Private Access Tokens提供设备级认证。IETF已将Privacy Pass（RFC 9576-9578）标准化，这是一个盲签名系统，允许用户解决一次CAPTCHA即可获得多个匿名令牌。
最具前瞻性的方法是Web Bot Auth，这是由Cloudflare主导的IETF草案，赋予机器人加密身份。机器人在已知URL发布公钥，每个出站HTTP请求都带有Ed25519签名。Google、OpenAI、AWS WAF和Vercel已经在采用它。
“既然我们无法再通过测试解谜能力来可靠地区分人类和机器，我们正在转向通过加密和行为信号来证明身份和意图，”文章指出。
仍存在的问题
目前，CAPTCHA之所以仍然存在，是因为它简单、廉价且是现状。但加州大学尔湾分校2023年的一项研究发现，人类每年总共浪费8.19亿小时来解决CAPTCHA，相当于61亿美元的劳动价值损失。而且它们具有明显的歧视性：视障用户面临着持久的可访问性障碍。
基于谜题的CAPTCHA时代正在终结。取而代之的是一个更安静、隐形的验证层,,以及一场从用户屏幕转移到其底层基础设施的军备竞赛。
婷 翻译