התפתחות של CAPTCHA: מטקסט מטושטש לבינה מלאכותית בלתי נראית

קוד CAPTCHA התפתח מטקסט פשוט ומטושטש למערכות מורכבות ובלתי נראות המופעלות על ידי בינה מלאכותית. בתוך כמה עשורים בלבד, אתגרים קטנים אלה הפכו לשדה קרב של ממש בין מפתחי אבטחה, תוקפים אוטומטיים, וכעת, מודלים של בינה מלאכותית המסוגלים לחקות אותנו כמעט בצורה מושלמת.

מאחורי שלטי "אני לא רובוט" או התמונות האופייניות של רמזורים, מעברי חצייה או ברזי כיבוי אש, יש הרבה יותר היסטוריה ממה שנראה לעין. הם נוצרו כדי לרסן ספאם וניצול לרעה של בוטים, סייעו בדיגיטציה של ספרים ולאמן מערכות ראייה ממוחשבת, והיום הם מומצאים מחדש כמסננים בלתי נראים שמנתחים את ההתנהגות שלנו כדי לקבוע אם אנחנו באמת אנושיים.

מהו CAPTCHA ולמה הוא הומצא?

CAPTCHA הוא "מבחן טיורינג ציבורי אוטומטי לחלוטין" שנועד להבדיל, ללא התערבות אנושית ישירה, בין אדם אמיתי לתוכנית אוטומטית. הקונספט התגבש בשנת 2003 הודות ללואיס פון אהן, מנואל בלום, ניקולס ג'יי הופר וג'ון לנגפורד, למרות שהרעיונות המעשיים הראשונים הופצו מאז סוף שנות ה-90.

הבעיה הבסיסית הייתה פשוטה להבנה, אך חמורה מאוד: שירותים מקוונים חינמיים נפלו קורבן לבוטים . טפסי רישום המוניים, יצירה אוטומטית של חשבונות דוא"ל לספאם, הצפת פורומים וסקרים בתשובות מזויפות, ושימוש הונאה בפלטפורמות להקמת תשתיות בוטנט - כל זה ניפץ את ההנחה הבסיסית של מודלים עסקיים מקוונים רבים: שהעיניים הרואות את המודעות ומשתמשות בשירותים הן אנושיות, ולא סקריפטים.

פקודות ה-CAPTCHA הראשונות שהפכו פופולריות כללו הזנת מחרוזת תווים שהוצגה בתמונה מעוותת . ההנחה הייתה ברורה: אדם, עם מאמץ מסוים, יוכל לקרוא את הטקסט; מערכת זיהוי תווים אופטי (OCR), לעומת זאת, תתקשה להתמודד עם הרעש החזותי.

עם הזמן, חוקרים ומפתחים הבינו שכל בעיה שהייתה קשה עבור הבינה המלאכותית של אותה תקופה - זיהוי תווים, תמונה או קול - יכולה להפוך למבחן CAPTCHA . עם זאת, היא תמיד הייתה צריכה לשמור על שלוש תכונות עיקריות: קלה לבני אדם, פשוטה ליצירה ותיקון בשרת, וקשה לבוט.

החלוצים: מאלטה ויסטה ועד לניסוח אקדמי

בסוף שנות ה-90, שירותים כמו AltaVista ו-PayPal החלו להתמודד עם דואר זבל בקנה מידה חסר תקדים. כבר בשנת 1997, מדען המחשב מארק ד. ליליברידג' מקרנגי מלון חקר מערכות אימות חזותיות כדי להילחם בניצול לרעה בפורומים מקוונים. זמן קצר לאחר מכן, בשנת 2001, גוזבק ולבצ'ין מ-PayPal יישמו מנגנונים דומים כדי למנוע רישומים אוטומטיים המוניים.

בשלב מוקדם זה, נעשה שימוש בעיקר בטקסט ומספרים מעוותים , יחד עם רעשי רקע וגופנים מעוותים כדי להקשות על הבוטים. הרעיון היה פרגמטי ביותר: אם המשתמש היה יכול להקליד נכון את מה שראה על המסך, הוא נחשב אנושי והורשה להמשיך בתהליך.

בינתיים, באקדמיה, פון אהן, בלום, הופר ולנגפורד נתנו לגישה זו שם ומבנה פורמלי: CAPTCHA כמבחן טיורינג הפוך , שבו המערכת בודקת את המשתמש. ניסוח זה סימן את נקודת ההתחלה של מרוץ חימוש שנמשך עד היום.

טקסט CAPTCHA: עלייה, וריאציות ופרצות ראשונות

במהלך העשור הראשון של שנות ה-2000, קוד CAPTCHA מבוסס טקסט היה הנורמה . הוא היה קל יחסית ליישום, צרך מעט משאבים ועבד בצורה סבירה מול הבוטים של אותה תקופה.

כדי לחזק את האבטחה, הוצגו מספר וריאציות: רעש ויזואלי אגרסיבי יותר , קווים חופפים, סיבובים, גופנים מעוותים, צבעים דומים בין טקסט לרקע, ואפילו מה שנקרא "שיטת קו חוצה", שבה אותיות מוצלבות עם קווים באותו צבע כדי לסבך את פילוח ה-OCR.

עם זאת, מחקרים בתחום ראייה ממוחשבת ורשתות עצביות החלו להדביק את הפער. בשנת 2003, מורי ומאליק הראו שהם יכולים לפרוץ מערכות כמו GIMPY ו-EZ-GIMPY עם שיעורי הצלחה גבוהים מאוד באמצעות טכניקות פילוח וזיהוי אובייקטים. שנים לאחר מכן, עבודה כמו זו של גודפלו ועמיתיו הראתה שבעזרת רשתות עצביות קונבולוציוניות, ניתן לפתור CAPTCHAs טקסט מורכבים מאוד בדיוק של כמעט 100%.

בפועל, החוליה הקריטית הייתה פילוח: הפרדת הטקסט השימושי מהרעש והשורות הנוספות. בני אדם, הודות ליכולתנו לתפוס את התמונה המלאה, היו עדיין טובים יותר בשלב זה, אך אלגוריתמים סגרו בהדרגה את הפער , והפכו רבים מהאתגרים הללו לעניין פורמלי בלבד עבור בוטים מאומנים היטב.

reCAPTCHA גרסה 1: בעת פתרון CAPTCHA גם ספרים דיגיטליים

לנוכח המגבלות של פקודות CAPTCHA קלאסיות מבוססות טקסט, לואיס פון אהן לקח צעד קדימה והשיק את reCAPTCHA גרסה 1 בשנת 2007 , עם גישה גאונית ומעשית כאחד: למנף את המאמץ האנושי לא רק כדי לסנן בוטים, אלא גם כדי לשפר את זיהוי תווים אופטי (OCR) ולהפוך טקסטים מודפסים לדיגיטליים.

במקום מילה אחת שנוצרה באופן מלאכותי, reCAPTCHA הציג שני קטעי טקסט סרוקים אמיתיים . אחד מהם היה "מילת הבקרה", שכבר זוהתה כהלכה על ידי שני מנועי OCR שונים; השני היה מילה בעייתית שהמכונות לא הצליחו לפרש באופן מהימן.

אם המשתמש ניחש נכון את מילת הבקרה, המערכת הניחה שהוא אנושי, ובכך קיבלה את פרשנותו למילה השנייה . כאשר משתמשים רבים הסכימו על אותו תעתיק עבור אותו מונח שני, reCAPTCHA איחד את התוצאה והשתמש בה כדי לשפר את הדיגיטציה של ספרים בפרויקטים כמו ארכיון האינטרנט, הניו יורק טיימס, ומאוחר יותר, גוגל ספרים.

מודל זה שירת מטרה כפולה: להגביר את הקושי עבור בוטים (מכיוון שהוא כלל מילים אמיתיות עם עיוותים מורכבים, לא דפוסים סינתטיים חוזרים) ולהפוך מיליוני אתגרים קטנים לכוח עבודה מבוזר עצום כדי לשפר את אלגוריתמי ה-OCR.

המהלך היה כה מבריק עד שבשנת 2009 גוגל רכשה את reCAPTCHA ושילבה אותו במערכת האקולוגית שלה, תוך שהיא מציעה אותו גם כשירות לצדדים שלישיים. הטוויסט האירוני הגיע מאוחר יותר: הצלחתו של reCAPTCHA, והנתונים שיצר, תרמו לשיפור אלגוריתמי הבינה המלאכותית עד כדי כך שהפכו CAPTCHAs מבוססי טקסט רבים למיושנים, כאשר הם החלו להיפתר על ידי מכונות עם שיעורי הצלחה העולים על 99%.

ממילים לתמונות: המעבר לזיהוי חזותי reCAPTCHA

עם ההתקדמות הבלתי ניתנת לעצירה של מערכות OCR, גוגל הגיבה על ידי הצגת reCAPTCHA מבוססת תמונות . בסביבות שנת 2012 החלו להופיע אתגרים שבהם טקסט מעוות הוחלף בתמונות אמיתיות, שנלקחו בעיקר מ-Google Street View.

במקום להקליד אותיות, המשתמשים היו צריכים לזהות עצמים מהעולם האמיתי : פנסי רחוב, מוניות, תמרורי תנועה, אוטובוסים, חלונות ראווה... במבט ראשון, זיהוי אלמנטים בסצנות מורכבות היה בעיה שבה לבני אדם עדיין היה יתרון משמעותי על פני אלגוריתמי ראייה קיימים.

קוד ה-CAPTCHA החדש לא רק עקף טכניקות OCR, אלא גם הרגיש טבעי יותר למשתמשי מובייל , שהיו רגילים לתקשר עם תמונות על מסכי מגע. יתר על כן, בדיוק כפי שמערכות OCR אומנו בעבר, מודלים של זיהוי תמונות עוברים כעת שכלול באמצעות סיווגים עצומים שבוצעו על ידי מיליוני אנשים.

עם זאת, המסיבה הייתה קצרת מועד. תוך מספר שנים, מודלים של ראייה ממוחשבת השתפרו באופן דרמטי והחלו להתעלות על בני אדם במשימות סיווג תמונות , כשהם משיגים שיעורי הצלחה של מעל 90%, בעוד שבני אדם בקושי הגיעו ל-80%. שוב, מה שתוכנן כ"קל לבני אדם, קשה לבוטים" החל להתהפך.

סוגי CAPTCHA: מטקסט ותמונות ועד משחקים והתנהגות

הצורך להקדים את התוקפים הוביל למגוון רחב של פורמטים של CAPTCHA , לכל אחד יתרונות וחסרונות משלו מבחינת אבטחה, שימושיות ונגישות.

בין הסוגים הנפוצים ביותר נמצאים קובצי CAPTCHA קלאסיים , עם תווים אלפאנומריים מעוותים ורעש חזותי; הם משלבים פשטות יחסית של יצירה עם יעילות שהולכת ומוטלת בספק לנוכח ההתקדמות בבינה מלאכותית.

גם פקודות CAPTCHA המבוססות על חישובים מתמטיים הפכו פופולריות , בהן המשתמש פותר פעולות פשוטות ("חיבור 4 ו-9", "הזן את הספרה הראשונה של התוצאה 7×7" וכו'). כדי להרתיע בוטים, ההוראות כוללות לעתים קרובות טקסט מיותר או ניסוח מורכב המקשה על ניתוח אוטומטי.

קטגוריה נוספת כוללת אתגרי מילים ושאלות לוגיות : חזרה על מילה נתונה, כתיבת שם של צבע מוצג, מענה על שאלות ידע כללי ("מה צבע הסוס הלבן של סנטיאגו?") או שאלות ספציפיות להקשר האינטרנטי.

ישנן גם CAPTCHA המבוססות על רשתות חברתיות , שבהן המשתמש מאומת דרך חשבון צד שלישי (גוגל, פייסבוק וכו'), או CAPTCHA מוגבלות בזמן , המודדות כמה זמן לוקח למלא טופס, בהנחה שבוט טהור יעשה זאת במהירות לא טבעית.

מערכות אחרות משחקות עם שדות נסתרים בטפסים : רק שדות מסוימים גלויים לאדם, בעוד שהבוט רואה את כולם ונוטה למלא אותם ללא הבחנה, ובכך חושף את עצמו כאוטומטי.

בתחום הוויזואלי, בנוסף לפאנלים המפורסמים של Street View, אנו מוצאים CAPTCHAs גרפיים שבהם אנו מתבקשים לסמן את כל התמונות באלמנט ספציפי , למקם נכון חלקים, להתאים את כיוון התצלום או לפתור משימות גרירה ושחרור קטנות.

כדי לשפר את הנגישות, צצו פקודות CAPTCHA שמיעתיות , אשר מקריאות רצפים של מספרים או מילים שעל המשתמש לתמלל. בעוד שהן משמשות כחלופה עבור אנשים עם ראייה לקויה, הן לא תמיד מותאמות היטב לשפה או ברורות, ויכולות להיות קשות עבור אנשים עם לקויות שמיעה.

במאמץ לאזן בין אבטחה לחוויית משתמש, צצו גם קפטצ'אות גיימיפיות או משחקיות (SweetCaptcha, FunCaptcha ומשחקים דומים): מיני-משחקים שבהם המשתמשים צריכים לחבר חלקי פאזל יחד, לסובב תמונות עד שהן ישרות, או למקם סמלים במיקום הנכון. הרעיון הוא להפחית את תסכול המשתמש תוך שמירה על רמת קושי סבירה עבור בוטים.

לבסוף, הגישות העדכניות ביותר מבוססות על ניתוח התנהגותי . במקום להתמקד אך ורק באתגר ספציפי, הן צופות בתנועות עכבר, הקלדה במקלדת, זמן המושקע בפעולות מסוימות, טביעת רגל של דפדפן, מוניטין IP והקשר רשת כדי להעריך את הסבירות שאדם אמיתי עומד מאחוריו.

reCAPTCHA גרסה 2 והסיסמה המפורסמת "אני לא רובוט"

בשנת 2014, גוגל השיקה את reCAPTCHA גרסה 2, המכונה גם "No CAPTCHA reCAPTCHA ", שסימנה שינוי משמעותי בגישה. האלמנט הבולט ביותר היה תיבת הסימון "אני לא רובוט", אבל הכוכב האמיתי עמד מאחוריה: מנוע ניתוח סיכונים מתקדם.

מנוע זה העריך מספר אותות התנהגותיים והקשריים לפני שהחליט האם על המשתמש להתמודד עם אתגר נוסף. במקרים רבים, לחיצה פשוטה על התיבה הספיקה כדי להתקדם אוטומטית, מבלי להפעיל חידה ויזואלית כלשהי.

כאשר המערכת זיהתה דפוסים חשודים או חסרה ביטחון מספק, הופיעו אתגרי תמונה מבוססי רשת , הכוללים רמזורים, מכוניות, מעברי חציה או חלונות ראווה. זה שילב את המושגים של CAPTCHAs חזותיים עם הערכת סיכונים מתמשכת.

מחקרים כמו זה של סירלס ועמיתיו, שכללו אלפי משתמשים במשך יותר משנה, הראו כי אתגרי תיבות סימון נתפסו כ"קלים ", עם זמני פתרון ממוצעים של פחות משתי שניות וציוני שימוש טובים. לעומת זאת, אתגרי תמונה נחשבו "מעצבנים", עם זמני פתרון המתקרבים לעשר שניות ודירוגים נמוכים יותר בסולמות חוויית המשתמש.

במקביל, קהילת האבטחה החלה לנתח את החוסן בפועל של reCAPTCHA v2. בשנת 2016, סיווקורן וצוותו הדגימו כי רבים מהאתגרים הללו ניתנים לאוטומציה על ידי שילוב טכניקות למידה עמוקה לזיהוי תמונה עם אסטרטגיות ניצול זרימת אימות, והשיגו שיעורי הצלחה קרובים ל-70% באתגרים חזותיים.

עבודות מאוחרות יותר, כמו של הוסן ואחרים, השיגו שיעורי הצלחה של מעל 90% במבחנים מקוונים , ולעתים קרובות עלו על שירותי פתרון CAPTCHA המופעלים על ידי בני אדם שכירים. שוב, הבינה המלאכותית החלה לצבור יתרון, הן בדיוק והן במהירות.

CAPTCHAs בלתי נראים, ניתוח התנהגותי והתפקיד הכפול של בינה מלאכותית

האבולוציה הטבעית של מערכות אלו הובילה להצעות בהן המשתמש בקושי שם לב שהוא נמצא תחת מעקב . חברות כמו גוגל ו-Cloudflare בחרו במנגנונים שטוענים סקריפט יחד עם הדף ומנתחים את התנהגות המשתמש ברקע.

אותות כגון דינמיקת עכבר (מהירות, מיקרו-השהיות, מסלולים פחות או יותר לא סדירים), דפוסי הקלדה (מרווחי זמן בין הקשות מקשים, תיקונים, שימוש בקיצורי דרך), היסטוריית גלישה זמינה, קובצי Cookie, טביעת אצבע של הדפדפן והקשר רשת (IP, מדינה, שימוש ב-VPN או פרוקסי, מוניטין חיבור וכו') נלקחים בחשבון.

בהתבסס על כל המידע הזה, המערכת מחשבת ציון סיכון שקובע האם ניתן יד חופשית למשתמש, מוצג בפני אתגר נוסף, או נחסם לחלוטין. בתיאוריה, רוב האנשים בקושי ישימו לב שעברו תהליך אימות: מה שחשוב הוא כבר לא החידה הספציפית, אלא הפרופיל ההתנהגותי הכולל שלהם.

מודל זה נוכח במיוחד בפתרונות כמו reCAPTCHA v3 , שהושק בסוף 2018. כאן, האתגרים הסטנדרטיים הנראים לעין נעלמים לחלוטין: המערכת פועלת ברקע ומקצה ציון בין 0.0 (סביר להניח בוט) ל-1.0 (סביר להניח אנושי) לכל אינטראקציה עם האינטרנט.

מנהלים יכולים להשתמש בציון זה כדי לקבל החלטות מותאמות אישית : לאפשר פעולות מסוימות רק למשתמשים עם ציון גבוה, להטיל אתגרים נוספים על אלו שנמצאים באזור אפור, או לחסום ישירות פעילויות מסוכנות כאשר המערכת חושדת באוטומציה זדונית.

כל זה ממחיש בצורה מושלמת את התפקיד הכפול של בינה מלאכותית באבטחת סייבר : היא משמשת לבניית הגנות מתוחכמות יותר ויותר (ניתוח התנהגותי, מודלים של סיכונים, זיהוי דפוסים אנומליים), אך היא גם הנשק העיקרי של אלו המנסים לפרוץ את אותן הגנות. המירוץ הוא מתמיד, וכל התקדמות בטכניקות התקפה מניעה את פיתוחם של מנגנוני הגנה מורכבים יותר.

בינה מלאכותית, בוטים מתקדמים ו"סוף" הפאזלים הקלאסיים

התפתחויות אחרונות במודלים של שפה וראייה - GPT-3, GPT-4 ויורשיהם, יחד עם רשתות ראייה מתקדמות - טשטשו יותר ויותר את הגבול בין התנהגות אנושית להתנהגות אוטומטית . בוטים מודרניים יכולים לכתוב טקסט משכנע, לפתור בעיות לוגיות ולקבל החלטות בממשקי אינטרנט ביעילות רבה.

מחקרים על reCAPTCHA גרסה 2 מראים שמערכות אוטומטיות כבר יכולות להתעלות על בני אדם רבים באתגרים חזותיים, הן בקצב הדיוק והן בזמן הפתרון. האמרה הקלאסית "קל לבני אדם, קשה למכונות" כבר אינה נכונה בתרחישים רבים.

מקרים אחרונים הולכים רחוק יותר: כמה סוכני בינה מלאכותית המסוגלים לראות ולפעול על המסך נצפו כבעלי ביצועים טובים יותר בקלות ממערכות כמו Turnstile של Cloudflare . פתרונות מסוג זה מנתחים אותות כמו תנועת עכבר, זמן לחיצה וטביעת אצבע של הדפדפן, ואם יש להם ספקות, הם מציבים אתגרים נוספים.

מה שמרשים הוא שבחלק מההדגמות, סוכן הבינה המלאכותית עצמו מתאר בקול רם או בטקסט את מה שהוא עושה ("אני הולך ללחוץ על התיבה כדי לאמת שאני אנושי"), לא בגלל שהוא מודע לעצמו, אלא בגלל שהוא אומן לחקות את הדיבור והפעולות של משתמש אמיתי. המערכת לא "יודעת" שהיא לא אנושית; היא פשוט מייעלת את פעולותיה כדי להשיג את מטרתה.

האם פירוש הדבר ש-CAPTCHA נידונים להיעלם? לא בדיוק. במקום זאת, הם הופכים למחסומי חיכוך ועלויות עבור תוקפים: הם אולי לא בלתי חדירים, אבל הם יכולים להפוך את הפיתוח והתחזוקה של בוט יעיל כל כך יקרים עד שהוא מפסיק להיות כדאי כלכלית בקנה מידה גדול.

מגבלות, נגישות ושוק שחור לפתרון CAPTCHA

בינתיים, הבעיות המעשיות נותרות בעינן. פקודות CAPTCHA מורכבות רבות הן קשות אפילו עבור משתמשים לגיטימיים , במיוחד כאשר רעש חזותי קיצוני או ההוראות מבלבלות. מחקרים מתחילת שנות ה-2010 כבר הצביעו על כך שלעיתים הן מהוות אתגר קוגניטיבי של ממש אפילו עבור משתמשי אינטרנט מנוסים.

נגישות היא אחת הסוגיות השנויות ביותר במחלוקת. קוד CAPTCHA חזותי מהווה מחסום עצום עבור אנשים עם לקויות ראייה , וגם המקבילות האודיו שלהן אינן תמיד פתרון מתאים: הן יכולות להיות בלתי מובנות, לא מתורגמות היטב לשפה, או לא נגישות לאנשים עם קשיי שמיעה.

יוזמות כמו פרויקטים נגישים של CAPTCHA צצו , שתוכננו במיוחד עבור קוראי מסך וטכנולוגיות מסייעות, אך אימוץן אינו אחיד ויישומים רבים עדיין משמיטים חלק מהאוכלוסייה.

מצד שני, שירותי פתרון CAPTCHA פרחו , הן אוטומטיים והן מבוססי-אנוש. באחרונים, עובדים במדינות בעלות שכר נמוך פותרים אלפי CAPTCHAs תמורת פרוטות, ומספקים שירותים לשופכי ספאם ולמפעילי בוטים. המחירים יכולים לרדת לפחות מדולר לאלף CAPTCHAs , מה שהופך את השימוש ההמוני בשירותים אלה לכדאי מבחינה כלכלית עבור התקפות מסוימות.

תופעה זו פוגעת באופן חלקי במטרה הראשונית של CAPTCHA: אם תוקף יכול להוציא למיקור חוץ אנשים אמיתיים כדי לפתור את האתגרים, המערכת מפסיקה להיות מסנן אמין בין אדם למכונה, והופכת להיות רק אמצעי להגדלת העלות ולהאטת התקפות.

CAPTCHA, מודלים עסקיים ואתיקה של נתונים

מעבר להיבטים הטכניים, ההיסטוריה של מערכות CAPTCHA מעוררת גם ויכוחים על אתיקה ומודל עסקי. במשך שנים, מיליוני משתמשים פתרו מיקרו-משימות בלתי נראות - תיוג תמונות, זיהוי אובייקטים, תמלול טקסטים קשים - אשר שימשו לאימון מערכות בינה מלאכותית ולשיפור מוצרים מסחריים.

במקרה של קוד ה-CAPTCHA של גוגל, מאמץ קולקטיבי זה הועיל לשירותים כמו זיהוי חזותי, נהיגה אוטונומית וניהול תוכן , בין היתר. מבלי שרוב האנשים היו מודעים לכך לחלוטין, הקליקים שלהם סייעו לשפר מודלים המשמשים כיום ביישומים בעלי ערך גבוה.

זה מעלה שאלות לגבי הבעלות על עבודה דיגיטלית מבוזרת ומי נהנה ממנה. מנקודת מבטם של מייסדי סטארט-אפים ומנהלי מוצר, דוגמת ה-CAPTCHA ממחישה הן את הפוטנציאל של מינוף מיקרו-אינטראקציות אנושיות כדי להכשיר מודלים והן את הסיכון ליפול לפרקטיקות אטומות או נתפסות כניצולניות.

המפתח, יותר ויותר, טמון בתכנון מערכות המשלבות אתיקה, פרטיות ושקיפות כבר מההתחלה , תוך הסבר אילו נתונים נאספים, לאיזו מטרה הם משמשים ומה המשתמש מקבל בתמורה, מעבר ליכולת למלא טופס מבלי להיחסם.

אתגרים נוכחיים ועתידם הסביר של CAPTCHAs

כיום, מתכנני מערכות CAPTCHA מתמודדים עם איזון עדין בין אבטחה, שימושיות, נגישות ופרטיות . הפיכת האתגרים לקשים מדי מפחיתה את ערכם לתוקפים, אך היא גם מגבירה את תסכול המשתמשים ואת שיעורי הנטישה של טפסים או תהליכי רכישה.

עלייתה של בינה מלאכותית מתקדמת כופה חשיבה מחודשת על אסטרטגיות. סביר להניח שנראה עלייה ב- CAPTCHAs מותאמים אישית ואדפטיביים , אשר מתאימים את סוג וקושי האתגר בהתבסס על פרופיל הסיכון של כל אינטראקציה. באופן דומה, חשיבותן של שיטות אימות חלופיות, כגון אימות דו-שלבי, ביומטריה התנהגותית וניתוח התנהגותי מתמשך, תגדל.

כמו כן, צפוי ש- CAPTCHAs המבוססים על חשיבה או משימות הגיון בריא יצברו תאוצה , כאשר הדבר החשוב אינו כל כך זיהוי תמונה ספציפית, אלא הבנת סיטואציה, זיהוי האלמנט ש"לא מתאים" או פתרון חידות לוגיות קטנות שבינתיים מהוות כאב ראש עבור מודלים של בינה מלאכותית.

כל זה ישולב עם גישות היברידיות המשלבות ניתוח רקע פסיבי , אתגרים אינטראקטיביים רק בעת הצורך, ואותות חיצוניים (מוניטין IP, היסטוריית שימוש לרעה וכו'). המטרה אינה שהמשתמש יפתור חידות כל הזמן, אלא שתהליך האימות יהיה דיסקרטי ככל האפשר כאשר מתמודדים עם משתמשים לגיטימיים.

במקביל, תקנות פרטיות כמו ה- GDPR האירופי או ה-CCPA של קליפורניה דורשות בחינה מדוקדקת של אילו נתונים נאספים וכיצד הם מעובדים. מערכות המסתמכות במידה רבה על מעקב התנהגותי יצטרכו למצוא דרכים לעמוד בתקנות מבלי להתפשר על יעילות, מה שמוסיף שכבה נוספת של מורכבות לתכנון.

בהקשר זה, חברות המיישמות אמצעי אבטחת סייבר - בין אם באמצעות פתרונות משלהן ובין אם באמצעות הסתמכות על ספקי ענן כמו AWS או Azure - חייבות להעריך כיצד לשלב CAPTCHA באסטרטגיית הגנה רחבה יותר , שבה הם מתקיימים לצד זיהוי אנומליות באמצעות ניתוח מתקדם, כללי עסקיים, חומות אש של יישומי אינטרנט ובקרות גישה מחוזקות.

אחרי כל זה, קל יותר להבין מדוע אותן בדיקות "כבדות" שמבקשות מאיתנו לזהות רמזורים או לסמן תיבה הן הרבה יותר מסתם פורמליות מעצבנת: קוד CAPTCHA כולל את האבולוציה של אבטחת האינטרנט , את המאבק המתמיד בין בוטים למגינים, את השימוש העצום בעבודה אנושית לאימון בינה מלאכותית, ואת המעבר האחרון למערכות בלתי נראות, מבוססות התנהגות. צורתן תמשיך להשתנות, אך כל עוד יש צורך להבחין בין גישה לגיטימית לאוטומציה זדונית, הן יישארו חלק מרכזי בפאזל אבטחת הסייבר המודרני.