CAPTCHA, 「私はロボットではありません」と問うあのどこにでもあるチェックボックス, は、20年にわたってWebの定番となってきた。しかし、増え続ける証拠は、それがもはや目的に適していないことを示唆している。2024年、チューリッヒ工科大学の研究者らは、改良されたYOLOv8モデルを使用して、GoogleのreCAPTCHA v2で100%の精度を達成した。2026年には、UNUキャンパスコンピューティングセンター所長のNg Chong氏が、通常のノートPC1台で動作するコモディティツールを構築し、画像グリッドを起動することなく2〜3秒でreCAPTCHA v2、hCaptcha、Cloudflare Turnstileを突破した。
「チャレンジと行動レイヤーの両方が、通常のノートPCで動作するコモディティツールによって打ち負かされた場合、CAPTCHAの根本的な前提は成り立たなくなります」とNg Chong氏は述べた。
軍拡競争
CAPTCHAの歴史は1997年、AltaVistaが自動サインアップを阻止するために歪んだテキスト画像を導入し、スパムを約95%削減したことに始まる。その後10年にわたり、テキストCAPTCHAはボットと人間の両方にとってますます困難になり、2018年までに深層学習モデルがすべての一般的なバリエーションでほぼ完璧な精度に達した。
Googleは2014年12月にreCAPTCHA v2で応戦した, 行動分析（マウスの動き、IP履歴、ブラウザフィンガープリント、クッキー）によって支えられたおなじみの「私はロボットではありません」チェックボックスだ。本当のテストは目に見えず、画像グリッドはフォールバックだった。2018年にはreCAPTCHA v3が登場し、チェックボックスを完全になくし、バックグラウンドシグナルに基づいて0.0から1.0のスコアを返すようになった。
それぞれの進歩には対抗策が講じられてきた。強化学習は2019年にreCAPTCHA v3を97%で突破した。チューリッヒ工科大学の研究は、reCAPTCHA v2パイプライン全体, 行動レイヤーを含む, が完全に自動化可能であることを証明した。
現状
2026年現在、CAPTCHAの状況は次のとおりである：
- reCAPTCHA v2, 100%突破済み（チューリッヒ工科大、2024年；コモディティツール、2026年）
- reCAPTCHA v3, 60〜80%の突破率
- hCaptcha, 70〜90%の突破率
- Cloudflare Turnstile, 40〜65%の突破率
- 音声CAPTCHA, 85〜95%突破済み
- 歪んだテキスト, 100%突破済み
Merchant Risk Councilの業界データによれば、reCAPTCHA全体で99.8%のAIによる突破率が報告されている。
経済的インセンティブは明らかである：商用CAPTCHA解決APIは1,000回の解決あたり0.50〜2ドルを請求する。2025年には、AI駆動のクローラーが全Webトラフィックの57.5%に達し、初めて人間のトラフィックを上回った（Cloudflare Radarによる）。
パズルを超えて
業界は目に見えない摩擦のない検証へと移行している。Cloudflare Turnstileは、暗号学的プルーフ・オブ・ワークとブラウザ環境チェックを組み合わせ、ユーザーの操作なしに約90%の読み込みを解決する。AppleのPrivate Access Tokensはデバイスレベルの証明を提供する。IETFはPrivacy Pass（RFC 9576-9578）を標準化した。これは、ユーザーが1つのCAPTCHAを解くことで複数の匿名トークンを取得できるブラインド署名システムである。
最も先進的なアプローチは、Cloudflareが主導するIETFドラフトであるWeb Bot Authで、ボットに暗号学的アイデンティティを与える。ボットは既知のURLに公開鍵を公開し、すべての送信HTTPリクエストにはEd25519署名が付けられる。Google、OpenAI、AWS WAF、Vercelはすでにこれを採用している。
「パズル解決能力をテストすることで人間と機械を確実に区別できなくなったため、暗号学的および行動シグナルを通じて身元と意図を証明することにシフトしています」と記事は述べている。
残されたもの
今のところ、CAPTCHAはシンプルで安価、そして現状維持であるために存続している。しかし、2023年のUC Irvineの研究では、人間がCAPTCHA解決に年間合計8億1,900万時間を費やしており、これは61億ドルの労働価値の損失に相当することが判明した。そして、それらは積極的に差別的である：視覚障害のあるユーザーは持続的なアクセシビリティの障壁に直面している。
パズルベースのCAPTCHAの時代は終わりつつある。その代わりにあるのは、より静かで目に見えない検証レイヤー, そして、ユーザーの画面からその下にあるインフラストラクチャへと移行した軍拡競争である。
雅子 訳