Entrenar IA para resolver CAPTCHA: Salman y Bicakci prueban un solucionador que aprende

Oguzhan Salman y Kemal Bicakci informan de una precisión de clasificación del 85,4 % con un solucionador de CAPTCHA diseñado para mejorar con el uso. Su investigación sobre el entrenamiento de IA para resolver CAPTCHA cuestiona una suposición defensiva conocida: que un rompecabezas capaz de derrotar a un solucionador automatizado seguirá derrotándolo. El sistema propuesto combina reconocimiento especializado de imágenes con razonamiento visual más amplio.

La confrontación central es entre defensas visuales fijas y un solucionador adaptativo. Un CAPTCHA, una prueba destinada a distinguir a humanos de software automatizado, plantea un problema de reconocimiento. Modificar ese problema puede interrumpir a un modelo especializado. La cuestión más difícil es si la interrupción persiste cuando otro modelo proporciona ejemplos de entrenamiento.

El reCAPTCHA de Google ofrece el principal punto de referencia práctico, pero las implicaciones se extienden a cómo los sitios web evalúan la protección. Una defensa basada en rompecabezas que hoy funciona no demuestra una resistencia duradera. Para desarrolladores y compradores de soluciones de seguridad, la investigación desplaza la atención hacia el tiempo de recuperación, los resultados completos de verificación y el coste del acceso legítimo.

Entrenar IA para resolver CAPTCHA va más allá de los modelos fijos

Salman y Bicakci, investigadores de la Universidad Técnica de Estambul, publicaron su preprint el 2 de septiembre de 2026. Bruce Schneier destacó la investigación sobre CAPTCHA adaptativos el 19 de octubre. La distinción importa: la atención reciente se refiere a una publicación de investigación ya existente, no a un producto comercial recién anunciado.

El cambio relevante es el ciclo de aprendizaje propuesto, más que la capacidad de reconocer objetos en un rompecabezas.

El sistema combina YOLOv8, un modelo especializado de reconocimiento visual, con un modelo de visión y lenguaje, que procesa imágenes junto con texto. Un mecanismo de enrutamiento elige entre ambos según la confianza. Esta disposición proporciona al sistema una vía especializada y una alternativa más amplia dentro de la misma arquitectura.

Los autores informan de una precisión global del 85,4 % y una precisión macro del 84,2 % en 16 clases. La precisión global cuenta las predicciones de todas las muestras evaluadas. La precisión macro pondera cada clase por igual, lo que dificulta ocultar las categorías más débiles detrás de las más comunes. Estas mediciones describen el rendimiento de clasificación, no una tasa universal de acceso a sitios web.

Esa distinción cambia la forma en que los lectores deberían interpretar la cifra principal. Un sitio web no concede acceso porque un modelo etiquete correctamente una imagen aislada. Evalúa una interacción que puede incluir varias selecciones, imágenes actualizadas, decisiones de verificación y reintentos. Un benchmark de clasificación mide un componente importante de esa interacción.

El artículo también informa de una evaluación en directo en la página de demostración de reCAPTCHA v2 de Google. En 100 sesiones, todas acabaron superándose, mientras que 181 de 206 rompecabezas tuvieron éxito en el primer intento. Esos resultados aportan evidencia de despliegue más allá de las imágenes estáticas. Siguen siendo observaciones de las condiciones de prueba de los autores, no una auditoría independiente en distintos sitios web.

Para un defensor, la distinción importante está entre reconocimiento inmediato, finalización eventual y resistencia sostenida. Cada una responde a una pregunta diferente. Combinarlas en un único porcentaje de éxito ocultaría dónde funciona el sistema y dónde siguen importando otras protecciones.

Pensemos en un flujo de registro que presenta un desafío de imágenes tras detectar actividad sospechosa. Las selecciones correctas de imágenes demuestran que se resolvió la tarea visual. No demuestran que el comportamiento posterior de la cuenta sea aceptable. El análisis de seguridad debe preservar ese límite incluso cuando el solucionador de imágenes funciona bien.

Por tanto, entrenar IA para resolver CAPTCHA se convierte en una cuestión sobre el comportamiento tras encuentros repetidos. La investigación pregunta si las capacidades futuras de un solucionador cambian después de enfrentarse a algo desconocido. Es una prueba más exigente para las defensas que comparar un modelo sin cambios con una colección fija de imágenes.

Un desafío visual puede interrumpir a un bot sin detener su aprendizaje

Una defensa que provoca errores necesita una explicación independiente de por qué esos errores deberían persistir.

La presión recae de forma más directa sobre los equipos de seguridad que tratan la dificultad visual como una barrera duradera. Su medición inmediata podría mostrar que un rompecabezas modificado derrota a un detector existente. Ese resultado es útil, pero incompleto. Dice poco sobre lo que ocurre después de que el solucionador reciba retroalimentación o actualice su modelo.

Imaginemos una evaluación autorizada de la protección de registro de un sitio web. Una nueva categoría de imágenes frustra inicialmente al solucionador de prueba. El equipo de seguridad registra el fallo y considera efectivo el cambio. Si la evaluación termina ahí, nunca mide si una exposición posterior elimina la ventaja.

Una evaluación adaptativa continuaría después de ese fallo inicial. Examinaría si el solucionador mejora, qué información impulsa esa mejora y si la acción protegida sigue bloqueada. El resultado decisivo es la resistencia sostenida bajo condiciones definidas. Una tasa inicial de error impresionante no puede responder por sí sola a esa pregunta.

Esto también genera presión sobre el lenguaje de adquisición. Una afirmación sobre la detección de tráfico automatizado necesita un alcance definido. ¿Se refiere al reconocimiento de imágenes, a la finalización del desafío, a sesiones sospechosas o a acciones abusivas? Los compradores necesitan esas distinciones antes de comparar productos o interpretar un resultado de laboratorio.

El mismo razonamiento se aplica a la carga de trabajo del operador. Sustituir un desafío visual merece la pena cuando proporciona una protección significativa. Su valor se vuelve menos claro si mantener esa protección exige cambios frecuentes que incomodan a visitantes legítimos. La comparación pertinente incluye tanto el beneficio defensivo como el mantenimiento continuo.

También existe una cuestión de tiempo. Una defensa puede conservar valor práctico incluso cuando termina perdiendo eficacia. Una barrera temporal podría proteger una breve ventana de registro o interrumpir una campaña en curso. La investigación no demuestra que toda defensa temporal sea inútil.

En cambio, sugiere una pregunta más precisa: ¿cuánto retraso útil crea la intervención? Ese retraso debe medirse frente al objetivo del atacante y el tiempo de respuesta del defensor. Una interrupción breve y un obstáculo duradero merecen descripciones operativas diferentes.

Los propietarios de sitios web también deberían distinguir la verificación humana de la autorización. Un visitante podría completar un desafío y aun así no tener permiso para una acción concreta. A la inversa, un usuario legítimo podría tener dificultades con la verificación pese a contar con permiso. Tratar el resultado visual como una decisión completa de confianza fusiona estos juicios separados.

Para los desarrolladores de productos de IA, el mismo límite importa cuando los agentes interactúan con sitios web. La capacidad técnica para completar una pantalla no demuestra permiso para continuar. El comportamiento del producto debe respetar la autoridad del usuario y las normas del servicio de destino, incluso a medida que mejoran las capacidades visuales.

Por tanto, la implicación inmediata es específica. Los equipos que dependen en gran medida de una brecha fija de reconocimiento necesitan evidencia de que esa brecha sobrevive a la exposición repetida. Los equipos que ya evalúan interacciones completas deberían incorporar la adaptación a esas evaluaciones. Ninguna de las dos conclusiones exige declarar obsoleto todo CAPTCHA.

El detector rápido y el modelo amplio tienen funciones distintas

Un detector especializado independiente y un modelo visual general afrontan restricciones diferentes. El detector se centra en patrones representados en su entrenamiento. El modelo más amplio ofrece otra forma de interpretar contenido desconocido. Combinarlos cambia qué componente debe gestionar cada encuentro.

El argumento arquitectónico es que el razonamiento general debería ayudar a mejorar la ejecución especializada, en lugar de repetir indefinidamente cada decisión conocida.

Los autores describen un enrutador basado en confianza, un componente que dirige las predicciones inciertas al modelo más amplio. El principio operativo se parece a la escalada dentro de un proceso de soporte. Los casos rutinarios siguen la vía especializada. Los casos que requieren otro tipo de juicio reciben atención adicional.

Esta disposición convierte la calidad de la confianza en una cuestión importante para la evaluación. Un error cometido con confianza no llega automáticamente a la alternativa. Un enrutador excesivamente cauteloso puede enviar trabajo rutinario por la vía más exigente. Por ello, medir el sistema combinado exige examinar sus decisiones de escalada.

Aquí es donde resulta útil la comparación entre IA especializada y general. Un modelo amplio puede cubrir casos fuera de las categorías establecidas de un detector. Un modelo especializado puede concentrarse en patrones recurrentes. La investigación trata esas fortalezas como partes complementarias de un solucionador de CAPTCHA adaptativo.

Los trabajos anteriores aportan contexto histórico sin establecer una clasificación directamente comparable. Andreas Plesner, Tobias Vontobel y Roger Wattenhofer informaron de éxito total en la resolución de desafíos bajo su configuración en el estudio de reCAPTCHA v2 de 2024. Su trabajo utilizó reconocimiento basado en YOLO y también examinó el contexto del navegador.

Ese resultado anterior evita una interpretación exagerada de las noticias actuales. La resolución automatizada de desafíos de imágenes no comenzó con este preprint. Los distintos estudios también emplean protocolos, reintentos, entornos y medidas de resultado diferentes. Sus porcentajes no pueden establecer una jerarquía clara de rendimiento sin controlar esas diferencias.

La comparación más útil se refiere a lo que cada arquitectura conserva después de un encuentro. Un clasificador fijo aplica parámetros existentes. Un modelo general puede interpretar una nueva entrada sin cambiar necesariamente el sistema circundante. Una arquitectura adaptativa introduce una vía para que la experiencia influya en el rendimiento posterior.

Esta distinción también mantiene en perspectiva las afirmaciones más amplias sobre IA. Que un agente recuerde una conversación es distinto de actualizar un modelo de reconocimiento. Recuperar un ejemplo anterior es distinto de aprender una nueva categoría. Los informes sobre mejoras deberían identificar qué mecanismo cambió realmente.

Para la defensa visual, esas diferencias de implementación afectan a la amenaza que se está evaluando. Un desafío podría derrotar a un clasificador concreto y seguir siendo legible para otro modelo. Si el sistema puede utilizar productivamente ese segundo juicio, un fallo de componente no tiene por qué convertirse en un fallo permanente del sistema.

La evaluación del solucionador híbrido del artículo proporciona el relato experimental subyacente. Sus hallazgos deben evaluarse como resultados comunicados por los autores. La cuestión arquitectónica central sigue siendo comprensible sin aceptar una afirmación universal: ¿la experiencia mejora de forma fiable la ejecución posterior?

Esta pregunta se aplica más allá de la investigación sobre CAPTCHA, pero la conclusión de seguridad del artículo sigue siendo más limitada. Una barrera visual fija se enfrenta a un oponente diferente cuando el solucionador puede adaptarse. Las evaluaciones diseñadas en torno a un modelo sin cambios corren el riesgo de medir una ventaja que desaparece tras el despliegue.

Una interfaz de capturas de pantalla cambia la prueba, no el significado de la confianza

Los investigadores describen un sistema que lee capturas de pantalla y envía eventos de entrada del sistema operativo. No depende de la automatización del navegador ni del DOM, la representación estructurada de una página en el navegador. El navegador funciona como una interfaz visible para el solucionador.

Eliminar el acceso a la estructura de la página refuerza la afirmación sobre la interacción visual, pero no establece una invisibilidad universal.

Esto importa porque reconocer un rompecabezas y operar su interfaz son tareas distintas. Un modelo puede comprender una imagen y, aun así, no seleccionar la ubicación correcta. Una interacción completa también debe gestionar los cambios en pantalla y determinar si la tarea ha terminado.

El enfoque basado en capturas de pantalla sitúa esas exigencias de interacción dentro del sistema evaluado. Sustenta una afirmación sobre operar a través del contenido visible. Esto es relevante para los agentes de uso de ordenadores, que deben conectar la interpretación visual con las acciones. Aun así, debe describirse dentro del entorno probado.

Un sitio web puede evaluar más que la forma en que se leyó una imagen. Por tanto, la ausencia de un mecanismo concreto de automatización no demuestra la ausencia de toda señal detectable. Las afirmaciones sobre ser indetectable requerirían sus propias pruebas. El diseño de interfaz reportado no resuelve esa cuestión más amplia.

Los resultados de la demostración en vivo también requieren límites cuidadosos. La finalización eventual de una sesión incluye la recuperación tras intentos fallidos. El éxito en el rompecabezas al primer intento describe un resultado diferente. Ambos son útiles, pero orientan decisiones distintas sobre experiencia de usuario, fiabilidad y fricción defensiva.

Un comprador que evalúa un sistema de protección debe preguntar qué resultado corresponde al objetivo empresarial. Evitar un registro abusivo depende de si la acción termina produciéndose. Limitar la carga de interacción depende de cuánto trabajo precede a ese resultado. Medir solo la precisión visual no puede responder a ambas cuestiones.

Los productos existentes también muestran por qué el mercado no puede reducirse a rompecabezas de imágenes. Google documenta la puntuación de riesgo de interacción para reCAPTCHA v3, que devuelve una puntuación sin presentar un desafío interactivo. Su documentación vincula esa puntuación con las acciones seleccionadas por el operador del sitio web.

Cloudflare describe desafíos no interactivos del navegador para Turnstile, utilizando señales del entorno del navegador del visitante. Estas descripciones de producto ilustran una superficie defensiva más amplia. No demuestran que ninguno de los dos servicios venza al sistema de investigación.

La comparación neutral trata sobre qué se mide. Un solucionador visual aborda las tareas de reconocimiento e interacción que encuentra. Un servicio basado en riesgo evalúa contexto adicional según su propio diseño. Evaluar uno no evalúa automáticamente el otro.

Para los equipos de producto, esto significa que una casilla de verificación conocida no debería definir toda la conversación sobre seguridad. La acción protegida, los controles circundantes y el abuso observado son igualmente importantes. Una prueba autorizada debe indicar qué capas ejercitó realmente.

Entrenar IA para resolver CAPTCHA plantea un desafío concreto para la verificación visual. No justifica agrupar todos los productos de verificación en la misma categoría. La arquitectura merece atención precisamente porque su alcance demostrado puede describirse sin convertirlo en una afirmación de acceso universal.

Las Pruebas Deben Resistir la Adaptación de Ambos Lados

Un solucionador adaptativo merece una evaluación adaptativa, incluidas defensas que cambien en respuesta a su comportamiento.

La interpretación escéptica más sólida pregunta si la ventaja reportada se mantiene fuera de las condiciones elegidas. Un sistema de investigación puede producir un resultado significativo sin cubrir todos los entornos operativos. La réplica debe probar si el mismo mecanismo sigue siendo útil cuando sus supuestos se vuelven menos favorables.

Una cuestión importante se refiere a la calidad de la retroalimentación. Una respuesta generada por un modelo es una predicción, no una verdad fundamental independiente. Si el aprendizaje posterior se basa en esas respuestas, los evaluadores deben examinar qué sucede cuando son incorrectas. La mejora debe medirse junto con los errores persistentes.

Otra cuestión se refiere a la preservación del rendimiento existente. Aprender algo nuevo es menos útil si el sistema pierde competencia con entradas conocidas. Una evaluación creíble debe seguir ambos aspectos. De lo contrario, el progreso aparente en casos encontrados recientemente puede ocultar regresiones en otros ámbitos.

La confianza merece un escrutinio similar. Un enrutador solo puede escalar casos según la información de la que dispone. Si las entradas difíciles generan una certeza mal situada, el comportamiento de respaldo podría ser más débil de lo esperado. Probar las decisiones de enrutamiento importa tanto como probar los propios modelos.

Estas son cuestiones de evaluación, no afirmaciones de que el sistema reportado falle necesariamente. Identifican las pruebas que fortalecerían o acotarían el argumento. Una lectura cautelosa mantiene separado el resultado observado de los supuestos sobre toda distribución futura de entradas.

La reproducción independiente aportaría otro límite útil. La publicación de un artefacto permite a investigadores externos inspeccionar y probar un método. No establece, por sí sola, que terceros hayan obtenido los mismos resultados. La reproducción debe incluir condiciones comparables y desviaciones de ellas claramente identificadas.

El contexto operativo también importa. Una página de demostración es un entorno de prueba útil, pero un servicio de producción protege un flujo de trabajo concreto. Ese flujo puede introducir decisiones adicionales antes o después de un desafío. Generalizar entre servicios requiere pruebas sobre esas interacciones completas.

Los cambios defensivos también deben tener en cuenta el acceso legítimo. El análisis de accesibilidad de CAPTCHA del W3C documenta barreras asociadas a las tareas de verificación humana. También explica por qué una alternativa de audio no proporciona automáticamente un acceso equivalente.

Esa perspectiva complica la respuesta más simple a un reconocimiento de imágenes más potente: hacer los rompecabezas más difíciles. El aumento de la dificultad necesita pruebas de una protección mejorada junto con resultados humanos aceptables. De lo contrario, un cambio puede imponer fricción sin demostrar una resistencia duradera a la automatización.

El resultado relevante es la relación entre protección y acceso. Una defensa que bloquea a usuarios legítimos tiene un coste incluso si su tasa de fallos automatizados parece favorable. Una evaluación adaptativa debe preservar esa visibilidad en lugar de informar únicamente del rendimiento del solucionador.

Para los equipos que siguen la investigación, una base de conocimientos con búsqueda puede ayudar a mantener juntos protocolos, resultados y limitaciones. El valor práctico reside en preservar el contexto. Un porcentaje recordado sin sus condiciones de medición puede inducir a error en una decisión posterior de seguridad.

Vigile la Réplica, las Sesiones Completas y la Respuesta Defensiva

Las próximas pruebas útiles deberían aclarar la durabilidad, en lugar de añadir otro porcentaje aislado de titular. Durante los próximos meses, los lectores pueden buscar avances concretos en la evaluación independiente y la respuesta de los productos. Estas son prioridades de observación, no hitos anunciados.

La pregunta decisiva es si la ventaja del solucionador sigue siendo útil cuando responden tanto el entorno como el defensor.

Primero, observe las reproducciones independientes del comportamiento adaptativo. Una réplica convincente examinaría si la exposición repetida mejora los resultados posteriores en condiciones documentadas. Debe distinguir los cambios en reconocimiento de los cambios en reintentos o gestión de la interacción.

Una reproducción satisfactoria reforzaría la afirmación de que la adaptación es una ventaja arquitectónica significativa. La imposibilidad de reproducirla acotaría la conclusión al entorno original. Cualquiera de los dos resultados sería más informativo que otro resumen que repita las cifras de referencia.

Segundo, observe informes más amplios sobre sesiones de verificación completas. Las evaluaciones deben distinguir entre predicciones de imágenes, intentos de rompecabezas, finalización eventual y tiempo empleado. También deben identificar qué acción protegida, si la hubo, siguió a la verificación.

Una finalización consistente en entornos autorizados y diversos reforzaría el argumento operativo. Una clasificación sólida con una finalización de sesión poco fiable indicaría una capacidad más limitada. Esta distinción ofrece a los defensores una forma de responder proporcionalmente en lugar de reaccionar ante una tasa de éxito ambigua.

Tercero, observe evaluaciones defensivas que permitan al solucionador adaptarse tras un cambio. Una respuesta útil mediría si la protección persiste, cuánto retraso genera y qué sucede con los visitantes legítimos. El fracaso inicial de un modelo sin cambios es solo la observación de partida.

Si los cambios defensivos mantienen su eficacia tras una exposición repetida, debilitarían la interpretación más amplia de la amenaza adaptativa. Si la ventaja desaparece repetidamente, reforzarían el argumento a favor de desplazar la atención más allá de la dificultad visual. Los resultados de finalización humana deben acompañar cualquiera de los dos resultados.

Para los desarrolladores, estas señales ofrecen una disciplina concreta de lectura. Pregunte qué cambió entre intentos, qué se consideró éxito y quién verificó el resultado. Para los compradores, pregunte cómo se conectan esas mediciones con la acción que se protege. Para los usuarios de IA, distinga entre un agente de interfaz capaz y uno autorizado.

Entrenar IA para resolver CAPTCHA ahora justifica una discusión sobre persistencia, retroalimentación e interacciones completas. Lea las condiciones de evaluación antes de trasladar un porcentaje de éxito a una decisión de producto. Preserve la diferencia entre un modelo que reconoce una imagen y un servicio que resiste el abuso. Cuando llegue la próxima afirmación, busque una réplica independiente, resultados a nivel de sesión y una defensa probada después de la adaptación. Estas observaciones mostrarán si esta arquitectura ofrece una ventaja repetible o sigue dependiendo de sus condiciones originales. Para cualquier flujo de trabajo que opere, comience por la acción protegida y siga las pruebas hacia atrás desde allí: ¿qué demostraría que la barrera sigue funcionando después de que el solucionador haya tenido la oportunidad de aprender?