Treinando IAs para Resolver CAPTCHAs: Salman e Bicakci Testam um Solver que Aprende

Oguzhan Salman e Kemal Bicakci relatam 85,4% de precisão de classificação com um solver de CAPTCHA projetado para melhorar com o uso. Sua pesquisa sobre Treinando IAs para Resolver CAPTCHAs desafia uma premissa defensiva conhecida: um quebra-cabeça que derrota um solver automatizado continuará derrotando-o. O sistema proposto combina reconhecimento especializado de imagens com raciocínio visual mais amplo.

A disputa central ocorre entre defesas visuais fixas e um solver adaptativo. Um CAPTCHA, teste destinado a distinguir humanos de software automatizado, apresenta um problema de reconhecimento. Alterar esse problema pode interromper um modelo especializado. A questão mais difícil é se a interrupção persiste quando outro modelo fornece exemplos de treinamento.

O reCAPTCHA do Google oferece o ponto de referência prático, mas as implicações se estendem à forma como os sites avaliam a proteção. Uma defesa baseada em quebra-cabeças bem-sucedida hoje não comprova resistência duradoura. Para desenvolvedores e compradores de segurança, a pesquisa desloca a atenção para o tempo de recuperação, os resultados completos de verificação e o custo do acesso legítimo.

Treinando IAs para Resolver CAPTCHAs Vai Além de Modelos Fixos

Salman e Bicakci, pesquisadores da Universidade Técnica de Istambul, publicaram seu preprint em 2 de setembro de 2026. Bruce Schneier destacou a pesquisa sobre CAPTCHA adaptativo em 19 de outubro. A distinção é importante: a atenção recente diz respeito a uma publicação de pesquisa já existente, e não a um produto comercial recém-anunciado.

A mudança consequente é o ciclo de aprendizado proposto, e não a capacidade de reconhecer objetos em um quebra-cabeça.

O sistema combina YOLOv8, um modelo especializado de reconhecimento visual, com um modelo de linguagem e visão, que processa imagens junto a texto. Um mecanismo de roteamento escolhe entre eles de acordo com a confiança. Essa organização dá ao sistema um caminho especializado e uma alternativa mais ampla dentro da mesma arquitetura.

Os autores relatam 85,4% de precisão geral e 84,2% de precisão macro em 16 classes. A precisão geral contabiliza previsões em todas as amostras avaliadas. A precisão macro atribui o mesmo peso a cada classe, dificultando que categorias mais fracas fiquem ocultas por trás das mais comuns. Essas medições descrevem o desempenho de classificação, e não uma taxa universal de acesso a sites.

Essa distinção muda como os leitores devem interpretar o número destacado. Um site não concede acesso porque um modelo rotula corretamente uma imagem isolada. Ele avalia uma interação que pode incluir múltiplas seleções, imagens atualizadas, decisões de verificação e tentativas repetidas. Um benchmark de classificação mede um componente importante dessa interação.

O artigo também relata uma avaliação ao vivo na página de demonstração do reCAPTCHA v2 do Google. Em 100 sessões, todas acabaram sendo aprovadas, enquanto 181 de 206 quebra-cabeças foram resolvidos na primeira tentativa. Esses resultados fornecem evidências de implantação além de imagens estáticas. Eles continuam sendo observações das condições de teste dos autores, e não uma auditoria independente em vários sites.

Para um defensor, a distinção importante é entre reconhecimento imediato, conclusão eventual e resistência sustentada. Cada um responde a uma pergunta diferente. Combiná-los em uma única porcentagem de sucesso ocultaria onde o sistema funciona e onde outras proteções ainda importam.

Considere um fluxo de cadastro que apresenta um desafio de imagem após atividade suspeita. Seleções corretas de imagens estabelecem que a tarefa visual foi resolvida. Elas não estabelecem que o comportamento subsequente da conta seja aceitável. A análise de segurança precisa preservar esse limite, mesmo quando o solver de imagens apresenta bom desempenho.

Treinar IAs para Resolver CAPTCHAs passa, portanto, a ser uma questão de comportamento em encontros repetidos. A pesquisa pergunta se as capacidades futuras de um solver mudam depois que ele vê algo desconhecido. Esse é um teste mais exigente para defesas do que comparar um modelo inalterado com uma coleção fixa de imagens.

Um Desafio Visual Pode Interromper um Bot sem Impedir Seu Aprendizado

Uma defesa que provoca erros precisa de uma explicação separada para justificar por que esses erros devem persistir.

A pressão recai mais diretamente sobre equipes de segurança que tratam a dificuldade visual como uma barreira duradoura. Sua medição imediata pode mostrar que um quebra-cabeça modificado derrota um detector existente. Esse resultado é útil, mas incompleto. Ele diz pouco sobre o que acontece depois que o solver recebe feedback ou atualiza seu modelo.

Imagine uma avaliação autorizada da proteção de cadastro de um site. Uma nova categoria de imagem inicialmente frustra o solver de teste. A equipe de segurança registra a falha e considera a mudança eficaz. Se a avaliação terminar ali, ela nunca medirá se exposições posteriores eliminam a vantagem.

Uma avaliação adaptativa continuaria após essa falha inicial. Ela examinaria se o solver melhora, quais informações impulsionam essa melhoria e se a ação protegida continua bloqueada. O resultado decisivo é a resistência sustentada sob condições definidas. Uma taxa inicial de erro impressionante não pode, sozinha, responder a essa questão.

Isso também pressiona a linguagem de compras. Uma alegação sobre detectar tráfego automatizado precisa ter um escopo definido. Ela diz respeito ao reconhecimento de imagens, à conclusão de desafios, a sessões suspeitas ou a ações abusivas? Os compradores precisam dessas distinções antes de comparar produtos ou interpretar um resultado de laboratório.

O mesmo raciocínio se aplica à carga de trabalho do operador. Substituir um desafio visual vale a pena quando produz proteção relevante. Seu valor se torna menos claro se manter essa proteção exigir mudanças frequentes que incomodem visitantes legítimos. A comparação relevante inclui tanto o benefício defensivo quanto a manutenção contínua.

Há também uma questão de tempo. Uma defesa pode manter valor prático mesmo quando eventualmente perde eficácia. Uma barreira temporária pode proteger uma janela curta de cadastro ou interromper uma campanha em andamento. A pesquisa não estabelece que toda defesa temporária seja inútil.

Em vez disso, ela sugere uma pergunta mais precisa: quanto atraso útil a intervenção cria? Esse atraso deve ser medido em relação ao objetivo do atacante e ao tempo de resposta do defensor. Uma interrupção breve e um obstáculo duradouro merecem descrições operacionais diferentes.

Os proprietários de sites também devem distinguir verificação humana de autorização. Um visitante pode concluir um desafio e ainda não ter permissão para uma ação específica. Por outro lado, um usuário legítimo pode ter dificuldades com a verificação apesar de possuir permissão. Tratar o resultado visual como uma decisão completa de confiança reduz esses julgamentos separados a um só.

Para desenvolvedores de produtos de IA, esse mesmo limite importa quando agentes interagem com sites. A capacidade técnica de concluir uma tela não estabelece permissão para prosseguir. O comportamento do produto deve seguir a autoridade do usuário e as regras do serviço de destino, mesmo à medida que as capacidades visuais melhoram.

A implicação imediata é, portanto, específica. Equipes que dependem fortemente de uma lacuna fixa de reconhecimento precisam de evidências de que ela sobrevive à exposição repetida. Equipes que já avaliam interações completas devem incorporar adaptação a essas avaliações. Nenhuma das conclusões exige declarar todo CAPTCHA obsoleto.

O Detector Rápido e o Modelo Amplo Têm Funções Diferentes

Um detector especializado independente e um modelo visual geral enfrentam restrições diferentes. O detector se concentra em padrões representados em seu treinamento. O modelo mais amplo oferece outra forma de interpretar conteúdo desconhecido. Combiná-los muda qual componente deve lidar com cada encontro.

O argumento arquitetural é que o raciocínio geral deve ajudar a melhorar a execução especializada, em vez de repetir indefinidamente cada decisão conhecida.

Os autores descrevem um roteador baseado em confiança, componente que direciona previsões incertas ao modelo mais amplo. O princípio operacional se assemelha a um escalonamento em um processo de suporte. Casos rotineiros seguem o caminho especializado. Casos que exigem outro tipo de julgamento recebem atenção adicional.

Essa organização torna a qualidade da confiança uma questão importante para a avaliação. Um erro cometido com confiança não chega automaticamente à alternativa. Um roteador excessivamente cauteloso pode enviar trabalho rotineiro pelo caminho mais exigente. Medir o sistema combinado, portanto, exige examinar suas decisões de escalonamento.

É nesse ponto que a comparação entre IA especializada e geral se torna útil. Um modelo amplo pode cobrir casos fora das categorias já estabelecidas de um detector. Um modelo especializado pode se concentrar em padrões recorrentes. A pesquisa trata esses pontos fortes como partes complementares de um solver adaptativo de CAPTCHA.

Trabalhos anteriores fornecem contexto histórico sem estabelecer uma classificação diretamente comparável. Andreas Plesner, Tobias Vontobel e Roger Wattenhofer relataram sucesso completo na resolução de desafios em sua configuração no estudo sobre reCAPTCHA v2 de 2024. Seu trabalho utilizou reconhecimento baseado em YOLO e também examinou o contexto do navegador.

Esse resultado anterior impede uma interpretação exagerada das notícias atuais. A resolução automatizada de desafios de imagem não começou com este preprint. Estudos diferentes também usam protocolos, tentativas repetidas, ambientes e medidas de resultado distintos. Suas porcentagens não podem estabelecer uma hierarquia clara de desempenho sem controlar essas diferenças.

A comparação mais útil diz respeito ao que cada arquitetura retém após um encontro. Um classificador fixo aplica parâmetros existentes. Um modelo geral pode interpretar uma nova entrada sem necessariamente alterar o sistema ao redor. Uma arquitetura adaptativa introduz uma via para que a experiência influencie o desempenho posterior.

Essa distinção também mantém em perspectiva alegações mais amplas sobre IA. Um agente lembrar de uma conversa é diferente de atualizar um modelo de reconhecimento. Recuperar um exemplo anterior é diferente de aprender uma nova categoria. Relatos sobre melhoria devem identificar qual mecanismo realmente mudou.

Para a defesa visual, essas diferenças de implementação afetam a ameaça que está sendo avaliada. Um desafio pode derrotar um classificador específico e, ainda assim, permanecer legível para outro modelo. Se o sistema puder usar produtivamente esse segundo julgamento, uma falha de componente não precisa se tornar uma falha duradoura do sistema.

A avaliação do solver híbrido do artigo fornece o relato experimental subjacente. Suas conclusões devem ser avaliadas como resultados relatados pelos autores. A questão arquitetural central continua compreensível sem aceitar uma alegação universal: a experiência melhora de forma confiável a execução posterior?

Essa questão se aplica além da pesquisa sobre CAPTCHAs, mas a conclusão de segurança do artigo permanece mais restrita. Uma barreira visual fixa enfrenta um oponente diferente quando o solver consegue se adaptar. Avaliações projetadas em torno de um modelo inalterado correm o risco de medir uma vantagem que desaparece após a implantação.

Uma Interface por Captura de Tela Muda o Teste, Não o Significado da Confiança

Os pesquisadores descrevem um sistema que lê capturas de tela e envia eventos de entrada do sistema operacional. Ele não depende de automação de navegador nem do DOM, a representação estruturada de uma página no navegador. O navegador funciona como uma interface visível para o solver.

Remover o acesso à estrutura da página reforça a alegação de interação visual, mas não estabelece invisibilidade universal.

Isso é importante porque reconhecer um quebra-cabeça e operar sua interface são tarefas distintas. Um modelo pode compreender uma imagem e ainda assim não conseguir selecionar o local correto. Uma interação completa também precisa lidar com mudanças na tela e determinar se a tarefa foi concluída.

A abordagem por captura de tela incorpora essas exigências de interação ao sistema avaliado. Ela sustenta uma afirmação sobre operar por meio de conteúdo visível. Isso é relevante para agentes de uso de computador, que precisam conectar interpretação visual a ações. Ainda assim, deve ser descrita dentro do ambiente testado.

Um site pode avaliar mais do que a forma como uma imagem foi interpretada. Portanto, a ausência de um mecanismo específico de automação não comprova a ausência de todo sinal detectável. Alegações de indetectabilidade exigiriam suas próprias evidências. O design de interface relatado não resolve essa questão mais ampla.

Os resultados da demonstração ao vivo também exigem limites cuidadosos. A conclusão eventual de uma sessão inclui a recuperação após tentativas malsucedidas. O sucesso no quebra-cabeça na primeira tentativa descreve um resultado diferente. Ambos são úteis, mas embasam decisões distintas sobre experiência do usuário, confiabilidade e atrito defensivo.

Um comprador que avalia um sistema de proteção deve perguntar qual resultado corresponde ao objetivo de negócio. Impedir um cadastro abusivo diz respeito a se a ação ocorre em última instância. Limitar a carga de interação diz respeito a quanto trabalho precede esse resultado. Medir apenas a precisão visual não pode responder a ambas as questões.

Produtos existentes também mostram por que o mercado não pode ser reduzido a quebra-cabeças de imagem. O Google documenta a pontuação de risco de interação do reCAPTCHA v3, que retorna uma pontuação sem apresentar um desafio interativo. Sua documentação relaciona essa pontuação às ações selecionadas pelo operador do site.

A Cloudflare descreve desafios de navegador não interativos para o Turnstile, usando sinais do ambiente de navegador do visitante. Essas descrições de produtos ilustram uma superfície defensiva mais ampla. Elas não estabelecem que qualquer um dos serviços derrota o sistema de pesquisa.

A comparação neutra diz respeito ao que é medido. Um solucionador visual aborda as tarefas de reconhecimento e interação que encontra. Um serviço baseado em risco avalia contexto adicional de acordo com seu próprio design. Avaliar um não avalia automaticamente o outro.

Para equipes de produto, isso significa que uma caixa de seleção familiar não deve definir toda a discussão sobre segurança. A ação protegida, os controles ao redor e os abusos observados são todos relevantes. Um teste autorizado deve declarar quais dessas camadas ele de fato exerceu.

Treinar IAs para Resolver CAPTCHAs levanta um desafio concreto para a verificação visual. Isso não justifica agrupar todos os produtos de verificação na mesma categoria. A arquitetura merece atenção justamente porque seu escopo demonstrado pode ser descrito sem transformá-la em uma alegação universal de acesso.

As Evidências Precisam Resistir à Adaptação de Ambos os Lados

Um solucionador adaptativo merece uma avaliação adaptativa, incluindo defesas que mudam em resposta ao seu comportamento.

A leitura cética mais forte pergunta se a vantagem relatada se mantém fora das condições escolhidas. Um sistema de pesquisa pode produzir um resultado significativo sem abranger todos os ambientes operacionais. A replicação deve testar se o mesmo mecanismo continua útil quando suas premissas se tornam menos favoráveis.

Uma questão importante diz respeito à qualidade do feedback. Uma resposta gerada por modelo é uma previsão, e não uma verdade fundamental independente. Se o aprendizado posterior depende dessas respostas, os avaliadores precisam examinar o que acontece quando elas estão erradas. A melhoria deve ser medida juntamente com erros persistentes.

Outra questão envolve a preservação do desempenho existente. Aprender algo novo é menos útil se o sistema perde competência em entradas conhecidas. Uma avaliação confiável precisa acompanhar ambos. Caso contrário, o progresso aparente em casos encontrados recentemente pode ocultar regressão em outros contextos.

A confiança merece escrutínio semelhante. Um roteador só pode escalar casos de acordo com as informações disponíveis. Se entradas difíceis produzem certeza equivocada, o comportamento de contingência pode ser mais fraco do que o esperado. Testar as decisões de roteamento importa tanto quanto testar os próprios modelos.

Essas são questões de avaliação, e não alegações de que o sistema relatado necessariamente falha. Elas identificam evidências que fortaleceriam ou restringiriam o argumento. Uma leitura cautelosa mantém o resultado observado separado de premissas sobre toda distribuição futura de entradas.

A reprodução independente forneceria outro limite útil. A disponibilização de um artefato permite que pesquisadores externos inspecionem e testem um método. Isso não estabelece, por si só, que terceiros obtiveram os mesmos resultados. A reprodução deve incluir condições comparáveis e desvios delas claramente identificados.

O contexto operacional também importa. Uma página de demonstração é um ambiente de teste útil, mas um serviço de produção protege um fluxo de trabalho específico. Esse fluxo pode introduzir decisões adicionais antes ou depois de um desafio. Generalizar entre serviços exige evidências sobre essas interações completas.

As mudanças defensivas também precisam considerar o acesso legítimo. A análise de acessibilidade de CAPTCHA do W3C documenta barreiras associadas a tarefas de verificação humana. Ela também explica por que uma alternativa em áudio não oferece automaticamente acesso equivalente.

Essa perspectiva complica a resposta mais simples a um reconhecimento de imagens mais forte: tornar os quebra-cabeças mais difíceis. O aumento de dificuldade exige evidências de proteção aprimorada junto a resultados humanos aceitáveis. Caso contrário, uma mudança pode impor atrito sem estabelecer resistência duradoura à automação.

O resultado relevante é a relação entre proteção e acesso. Uma defesa que bloqueia usuários legítimos tem um custo, mesmo que sua taxa de falha automatizada pareça favorável. Uma avaliação adaptativa deve preservar essa visibilidade em vez de relatar apenas o desempenho do solucionador.

Para equipes que acompanham a pesquisa, uma base de conhecimento pesquisável pode ajudar a manter protocolos, resultados e limitações reunidos. O valor prático está em preservar o contexto. Uma porcentagem lembrada sem suas condições de medição pode induzir uma decisão de segurança posterior ao erro.

Acompanhe a Replicação, as Sessões Completas e a Resposta Defensiva

As próximas evidências úteis devem esclarecer a durabilidade, em vez de adicionar outra porcentagem isolada em uma manchete. Nos próximos meses, os leitores podem procurar desenvolvimentos concretos em avaliação independente e resposta de produtos. Estas são prioridades de observação, não marcos anunciados.

A questão decisiva é se a vantagem do solucionador continua útil quando tanto o ambiente quanto o defensor respondem.

Primeiro, observe reproduções independentes do comportamento adaptativo. Uma replicação convincente examinaria se a exposição repetida melhora resultados posteriores sob condições documentadas. Ela deve distinguir mudanças no reconhecimento de mudanças em novas tentativas ou no tratamento da interação.

Uma reprodução bem-sucedida fortaleceria a alegação de que a adaptação é uma vantagem arquitetural significativa. A falha em reproduzi-la restringiria a conclusão à configuração original. Qualquer um dos resultados seria mais informativo do que outro resumo repetindo os números de benchmark.

Segundo, acompanhe relatórios mais amplos sobre sessões completas de verificação. As avaliações devem distinguir previsões de imagens, tentativas de quebra-cabeça, conclusão eventual e tempo gasto. Elas também devem identificar qual ação protegida, se houver alguma, ocorreu após a verificação.

A conclusão consistente em ambientes autorizados e variados fortaleceria o argumento operacional. Uma classificação forte com conclusão de sessão pouco confiável indicaria uma capacidade mais restrita. Essa distinção oferece aos defensores uma forma de responder proporcionalmente, em vez de reagir a uma taxa de sucesso ambígua.

Terceiro, acompanhe avaliações defensivas que permitam ao solucionador se adaptar após uma mudança. Uma resposta útil mediria se a proteção persiste, quanto atraso ela cria e o que acontece com visitantes legítimos. A falha inicial de um modelo inalterado é apenas a observação inicial.

Se as mudanças defensivas mantiverem a eficácia após exposição repetida, elas enfraqueceriam a interpretação mais ampla da ameaça adaptativa. Se a vantagem desaparecer repetidamente, elas fortaleceriam o argumento para deslocar a atenção além da dificuldade visual. Os resultados de conclusão humana devem acompanhar qualquer um dos casos.

Para desenvolvedores, esses sinais oferecem uma disciplina concreta de leitura. Pergunte o que mudou entre as tentativas, o que contou como sucesso e quem verificou o resultado. Para compradores, pergunte como essas medições se conectam à ação protegida. Para usuários de IA, diferencie um agente de interface capaz de um agente autorizado.

Treinar IAs para Resolver CAPTCHAs agora justifica uma discussão sobre persistência, feedback e interações completas. Leia as condições de avaliação antes de levar uma porcentagem de sucesso para uma decisão de produto. Preserve a diferença entre um modelo reconhecer uma imagem e um serviço resistir a abusos. Quando chegar a próxima alegação, procure replicação independente, resultados em nível de sessão e uma defesa testada após a adaptação. Essas observações mostrarão se essa arquitetura oferece uma vantagem repetível ou permanece dependente de suas condições originais. Para qualquer fluxo de trabalho que você opera, comece pela ação protegida e rastreie as evidências de volta a partir dela: o que demonstraria que a barreira ainda funciona depois que o solucionador teve a oportunidade de aprender?