CAPTCHA против ИИ-агентов: кто кого обходит в 2024–2025

Что произошло

Летом 2023 года исследователи из ETH Zürich показали, что YOLO-модель распознаёт картиночную reCAPTCHA v2 с точностью, близкой к сотне процентов (работа Breaking reCAPTCHAv2). С тех пор история только ускорилась: браузерные ИИ-агенты вроде функции Computer Use у Anthropic и режима управления браузером у операторов на базе GPT научились не просто решать головоломку, а вести себя как посетитель — двигать мышь, скроллить, ждать. Классическая проверка «отметьте все светофоры» перестала отделять человека от машины. Защитники ответили сменой парадигмы: теперь считают не то, что вы решили головоломку, а то, как вы себя ведёте на странице.

Для всех, кто держит формы регистрации, корзины или страницы входа, это уже не абстракция. Автоматизированные агенты дешевеют, а массовый парсинг, скупка билетов и создание фейковых аккаунтов масштабируются вместе с ними. Гонка вооружений между CAPTCHA и ботами вошла в фазу, где обе стороны используют одни и те же модели.

Почему картинки больше не работают

Изначальная идея CAPTCHA¹ строилась на задачах, лёгких для человека и трудных для компьютера: искажённый текст, распознавание объектов на фото. Проблема в том, что ровно эти задачи — распознавание текста и объектов — за последние годы стали тем, что нейросети делают лучше среднего человека.

Дальше сломались и косвенные сигналы. reCAPTCHA v3 и подобные системы оценивают поведение: траекторию курсора, тайминги, историю браузера, наличие cookie. Но ИИ-агент, работающий внутри настоящего браузера (а не через голый HTTP-запрос), генерирует правдоподобную траекторию мыши и паузы. Отличить его от человека по «дёрганью курсора» становится всё сложнее.

Мы больше не проверяем, умеет ли пользователь распознать светофор. Мы проверяем, является ли он вообще человеком за клавиатурой — и это принципиально другая, более трудная задача.

Что приходит на смену

Индустрия сместилась в сторону невидимых и криптографических проверок. Условно все современные подходы делятся на четыре группы.

• Поведенческий анализ. Система молча наблюдает за сессией и выставляет риск-скор. Пользователь чаще всего вообще не видит головоломку. Так работают reCAPTCHA v3 и Cloudflare Turnstile.
• Proof-of-work в браузере. Клиенту дают вычислительную задачу, которую он должен решить перед отправкой формы. Человеку это стоит миллисекунды, а массовому боту — заметных ресурсов на масштабе. Такой подход использует, например, open-source Anubis, ставший популярным у администраторов для защиты от скрейперов.
• Аппаратная аттестация. Браузер криптографически подтверждает, что запущен на настоящем устройстве с реальным пользователем. Пример — Private Access Tokens от Apple в связке с iCloud, где проверку берёт на себя устройство.
• Классические головоломки. Картинки и слайдеры никуда не делись, но всё чаще служат резервным барьером при высоком риск-скоре, а не первой линией.

Сравнение подходов

Точные лимиты бесплатных тарифов и условия Enterprise у Google и Cloudflare меняются — сверяйте на официальных страницах продуктов перед внедрением.

Как ИИ-агенты вообще обходят проверки

Стоит различать два класса атак. Первый — прямое решение головоломки: модель распознаёт картинки или собирает пазл. Второй, более опасный сегодня, — эмуляция человека агентом², который управляет полноценным браузером и потому проходит поведенческие проверки естественным образом.

Отдельная линия — сервисы-«решатели» вроде 2Captcha и аналогов, которые давно комбинируют живых операторов и автоматизацию. С появлением дешёвых мультимодальных моделей стоимость решения одной CAPTCHA продолжает снижаться, что подрывает саму экономику защиты «через сложность задачи».

Кому это пригодится и кому нет

Стоит пересмотреть защиту, если вы:

• Держите публичную регистрацию или форму входа, где массовые фейковые аккаунты — реальная проблема (маркетплейсы, соцфункции, промокоды).
• Торгуете ограниченным товаром: билеты, дропы, ранний доступ — здесь боты скупают всё за секунды.
• Отдаёте контент, который активно скрейпят для обучения моделей или перепродажи, и хотите поднять стоимость такого сбора.

Скорее всего, overkill, если вы:

• Ведёте небольшой блог или лендинг с одной формой обратной связи — здесь дешевле поставить honeypot-поле и rate limit, чем внедрять enterprise-скоринг.
• Работаете с аудиторией, которая массово выходит из корпоративных сетей с общими IP-адресами: агрессивный риск-скоринг будет ложно блокировать живых людей.
• Обязаны держать доступность для пользователей со скринридерами — тяжёлые визуальные головоломки прямо бьют по доступности, и это отдельная причина уходить в невидимые проверки.

Что делать прямо сейчас

1. Оцените реальную угрозу: сколько стоит один вредный запрос именно для вашего бизнеса. Без этой цифры выбор защиты — угадывание.
2. Начните с дешёвого: rate limiting по IP и аккаунту, honeypot-поля, ограничение частоты действий. Это отсекает самых примитивных ботов бесплатно.
3. Подключите поведенческую проверку (Turnstile или reCAPTCHA v3) как основную линию, а визуальную головоломку оставьте только для сессий с высоким риском.
4. Не полагайтесь на одну CAPTCHA как на финальную защиту: серьёзные операции (смена пароля, вывод средств) стоит закрывать вторым фактором.
5. Следите за доступностью: любую визуальную проверку сопровождайте звуковой или альтернативной, иначе рискуете отсечь часть живых пользователей.

¹ CAPTCHA — тест, отделяющий человека от программы. Аббревиатура от «полностью автоматизированный публичный тест Тьюринга для различения компьютеров и людей».

² Агент — здесь ИИ-система, которая не просто отвечает текстом, а выполняет действия в среде: управляет браузером, кликает, заполняет формы, реагирует на то, что видит на экране.