Компания Google начала тестировать обновлённую версию защиты reCAPTCHA, где пользователю предлагается помахать рукой перед веб-камерой или поднять открытую ладонь, сопоставив 21 координату, чтобы подтвердить свою человечность. Способ обойти эту необычную защиту был найден в кратчайшие сроки.
Источник изображения: Luis Quintero / unsplash.com
Уже через несколько дней пользователи освоили обход новой системы reCAPTCHA, используя стоковые фотографии руки, загружаемые через виртуальную веб-камеру OBS — такой метод позволяет избежать демонстрации собственных рук, запуска видео или применения искусственного интеллекта. Новый формат проверки был внедрён платформой Google Cloud Fraud Defense. Его цель — защита ресурсов от автоматического создания учётных записей и подбора паролей. При активации проверки браузер запрашивает доступ к камере и просит пользователя выполнить простой жест. Модель машинного обучения Google записывает короткое видео и извлекает данные об опорных точках руки — всего 21 точка на пальцах и суставах; проверка реализована с помощью фреймворка MediaPipe.
После завершения проверки видеозапись удаляется, уверяет Google, звук не фиксируется, видео не связывается с личностью пользователя и не передаётся третьим сторонам. Однако делается оговорка, что все собранные данные используются и хранятся в соответствии с «Политикой конфиденциальности Google», и остаётся неясным, какие именно данные всё же собираются. Пользователи, неспособные выполнить жесты, проходят стандартные задания reCAPTCHA — новый формат не заменяет их, а лишь дополняет. С появлением новинки люди быстро адаптировали для прохождения задания виртуальную веб-камеру OBS и стандартное изображение человека, машущего рукой. Эффективность нового метода как средства защиты оказалась под вопросом.
В 2024 году исследователи сообщили о 100-процентном успехе в прохождении проверки reCAPTCHAv2 с помощью ИИ, а в прошлом году ИИ-агент OpenAI справился с проверкой Cloudflare. Требование показывать руки вызывает сомнения — независимо от обещаний Google не собирать данные, это биометрическая информация. Ранее Cloudflare, Google, Mozilla и Microsoft предложили технологию Private Access Control Tokens (PACT), призванную заменить проверки CAPTCHA — решение было принято после того, как выяснилось, что 58 % всех HTTP-запросов в мире поступают от ботов, а этого порога до 2027 года не ожидали.
