訓練 AI 破解 CAPTCHA：Salman 與 Bicakci 測試可自行學習的解題器

Oguzhan Salman 與 Kemal Bicakci 報告指出，一套旨在透過使用持續改進的 CAPTCHA 解題器，分類準確率達 85.4%。他們有關訓練 AI 破解 CAPTCHA 的研究，挑戰了一個常見的防禦假設：能擊敗自動化解題器的謎題，將會持續令它無法破解。該系統結合專門的圖像辨識與較廣泛的視覺推理能力。

核心較量在於固定式視覺防禦與可適應解題器之間。CAPTCHA 是一種用於區分人類與自動化軟件的測試，本質上提出的是辨識問題。改變這個問題可以干擾專門模型。更困難的問題是：當另一個模型提供訓練樣本後，這種干擾能否持續。

Google 的 reCAPTCHA 提供了實際參考點，但其影響延伸至網站如何評估保護措施。今日成功的謎題防禦，並不代表具備持久的抵抗力。對開發者及安全採購方而言，這項研究將焦點轉向恢復時間、完整驗證結果，以及合法存取的成本。

訓練 AI 破解 CAPTCHA 超越固定模型

伊斯坦堡理工大學研究人員 Salman 與 Bicakci 於 2026 年 9 月 2 日發布預印本。Bruce Schneier 於 10 月 19 日介紹了這項自適應 CAPTCHA 研究。這個區別很重要：近期的關注針對既有研究發布，而不是剛推出的商業產品。

關鍵改變在於所提出的學習迴圈，而非辨識謎題中物件的能力。

該系統將 YOLOv8（一個專門的視覺辨識模型）與視覺語言模型配對，後者可同時處理圖像與文字。路由機制會根據信心程度在兩者之間選擇。這種安排令系統在同一架構內，同時擁有專門處理路徑及較廣泛的備援路徑。

作者報告稱，系統在 16 個類別中的整體準確率為 85.4%，宏觀準確率為 84.2%。整體準確率計算所有評估樣本的預測結果。宏觀準確率則對每個類別賦予相同權重，令表現較弱的類別較難被常見類別掩蓋。這些數字描述的是分類效能，而非通用網站存取成功率。

這個分別改變了讀者應如何理解這個標題數字。網站不會因模型正確標記單一圖像便授予存取權。它會評估一項互動，當中可包括多次選擇、刷新圖像、驗證決定及重試。分類基準衡量的是這項互動中的重要組成部分。

論文亦報告了在 Google reCAPTCHA v2 示範頁面的實時評估。在 100 次工作階段中，最終全部通過；而 206 個謎題中有 181 個在首次嘗試即成功。這些結果提供了超越靜態圖像的部署證據。不過，它們仍是作者測試條件下的觀察，而非針對各個網站的獨立審計。

對防禦方而言，重要分別在於即時辨識、最終完成，以及持續抵抗力。三者各自回答不同問題。若將它們合併為單一成功百分比，便會掩蓋系統在哪些環節有效，以及其他保護措施在哪些環節仍然重要。

設想一個在可疑活動後顯示圖像挑戰的註冊流程。正確選擇圖像，證明視覺任務已完成；但這並不證明其後的帳戶行為可以接受。即使圖像解題器表現良好，安全分析亦須保留這條界線。

因此，訓練 AI 破解 CAPTCHA 成為重複遭遇下行為表現的問題。研究探問的是：當解題器遇到陌生事物後，其未來能力會否改變。與以不變模型對比固定圖像集合相比，這是對防禦措施更嚴格的考驗。

視覺挑戰可以干擾機械人，但未必阻止它學習

導致錯誤的防禦措施，需要另行說明為何這些錯誤應會持續。

壓力最直接落在那些將視覺難度視為持久屏障的安全團隊身上。他們的即時量度或會顯示，經修改的謎題能擊敗現有偵測器。這個結果有用，但並不完整。它幾乎沒有說明解題器收到回饋或更新模型後會發生甚麼事。

設想一次獲授權的網站註冊保護評估。新的圖像類別起初令測試解題器受挫。安全團隊記錄失敗，並認為改動有效。若評估到此為止，便無法量度其後的接觸會否消除這項優勢。

自適應評估會在首次失敗後繼續進行。它會檢視解題器是否進步、甚麼資訊推動進步，以及受保護操作是否仍被阻擋。決定性結果是在既定條件下能否持續抵抗。單靠令人印象深刻的初始錯誤率，無法回答這個問題。

這亦對採購用語造成壓力。聲稱可偵測自動化流量，必須有明確範圍。它是關於圖像辨識、挑戰完成、可疑工作階段，還是濫用行為？買方在比較產品或解讀實驗室結果前，需要理解這些分別。

相同推理亦適用於營運方的工作量。當替換視覺挑戰能帶來實質保護時，才值得進行。若要維持該保護，需要頻繁改動並為合法訪客帶來不便，其價值便較不明確。相關比較必須包括防禦效益與持續維護成本。

時間因素也值得注意。即使防禦最終失效，仍可能保有實際價值。暫時性的屏障或可保護短暫的註冊時段，或干擾進行中的活動。研究並未證明每種暫時防禦都毫無用處。

相反，它提出一個更精確的問題：這項介入可帶來多少有用延遲？該延遲應與攻擊者的目標及防禦方的回應時間一併衡量。短暫干擾與持久障礙，應有不同的營運描述。

網站擁有人亦應區分人類驗證與授權。訪客或能完成挑戰，卻仍未獲准執行特定操作。反之，合法用戶即使擁有權限，亦可能難以完成驗證。將視覺結果視為完整的信任決定，會混淆這些獨立判斷。

對 AI 產品開發者而言，當代理與網站互動時，同一條界線亦很重要。完成畫面的技術能力，並不代表獲准繼續。即使視覺能力提升，產品行為仍應遵循用戶權限及目的地服務的規則。

因此，眼前的含意很明確。嚴重依賴固定辨識差距的團隊，需要證據證明這種差距能在重複接觸後維持。已在評估完整互動的團隊，則應將適應能力納入評估。兩者均不需要宣告所有 CAPTCHA 已過時。

快速偵測器與通用模型各有不同任務

獨立的專門偵測器與通用視覺模型面對不同限制。偵測器專注於訓練資料所呈現的模式。較廣泛的模型則提供另一種理解陌生內容的方法。將兩者結合，會改變每次遭遇應由哪個組件處理。

這項架構主張，通用推理應有助改善專門執行，而不是無限重複每一個熟悉的決定。

作者描述了一個基於信心程度的路由器，即把不確定預測導向較廣泛模型的組件。其運作原理類似支援流程中的升級處理。常規個案循專門路徑處理；需要另一類判斷的個案則獲得額外關注。

這種安排令信心品質成為評估中的重要議題。自信的錯誤不會自動進入備援流程。過於謹慎的路由器，則可能將常規工作送往要求更高的路徑。因此，量度整合系統時，亦須檢視它如何決定是否升級處理。

這正是專門 AI 與通用 AI 的比較變得有用之處。較廣泛模型可以涵蓋偵測器既有類別以外的個案。專門模型則可集中處理重複出現的模式。研究將這些優勢視為自適應 CAPTCHA 解題器的互補部分。

早期研究提供歷史背景，但未能建立可直接比較的排名。Andreas Plesner、Tobias Vontobel 與 Roger Wattenhofer 在 2024 年的 reCAPTCHA v2 study 中報告，在其設定下成功完成所有挑戰。他們的研究使用基於 YOLO 的辨識，並同時考察瀏覽器環境。

這項早期成果阻止人們過度解讀目前新聞。自動化圖像挑戰解題並非始於這份預印本。不同研究亦採用不同協議、重試次數、環境及結果指標。若不控制這些差異，其百分比無法建立清晰的效能層級。

更有用的比較在於，每種架構在一次遭遇後保留了甚麼。固定分類器套用既有參數。通用模型可以解讀新輸入，而不一定改變周邊系統。自適應架構則引入一條讓經驗影響日後效能的路徑。

這個分別亦讓較廣泛的 AI 主張保持適當尺度。代理記住一段對話，與更新辨識模型不同。檢索先前例子，與學習新類別不同。有關改善的報告，應指明實際改變的是哪種機制。

對視覺防禦而言，這些實作差異會影響正在評估的威脅。挑戰可能擊敗某個特定分類器，但對另一個模型仍然可讀。若系統能有效運用第二種判斷，組件失敗未必會變成持久的系統失敗。

論文的混合解題器評估提供了基礎實驗記錄。其發現應被視為作者報告的結果。即使不接受普遍性主張，核心架構問題仍然清晰：經驗是否可靠地改善日後執行？

這個問題適用於 CAPTCHA 研究以外的領域，但本文的安全結論仍較狹窄。當解題器能夠適應時，固定視覺屏障面對的是不同對手。圍繞不變模型設計的評估，有可能量度的是部署後會消失的優勢。

截圖介面改變測試，不改變信任的意義

研究人員描述了一套讀取截圖並發送作業系統輸入事件的系統。它不依賴瀏覽器自動化或 DOM，即瀏覽器的結構化頁面表示。瀏覽器對解題器而言是可見的介面。

移除對頁面結構的存取，強化了視覺互動的主張，但並不能證明具有普遍不可見性。

這一點很重要，因為辨識謎題與操作其介面是兩回事。模型可以理解圖像，卻未必能選取正確位置。完整互動亦需要處理畫面變化，並判斷任務是否已完成。

截圖方法將這些互動要求納入受評估系統之中。它支持一項關於透過可見內容進行操作的主張。這與電腦使用代理人相關，因為後者必須把視覺理解與行動連結起來。不過，仍應在已測試的環境範圍內描述這一點。

網站可以評估的不只是圖像如何被讀取。因此，沒有某一特定自動化機制，並不等於不存在任何可偵測訊號。有關無法被偵測的主張，需要獨立證據支持。所報告的介面設計並不能解答這個更廣泛的問題。

即時示範的結果亦需要審慎界定。最終完成工作階段包括從失敗嘗試中復原。首次嘗試成功解開謎題則描述另一種結果。兩者皆有參考價值，但它們對使用者體驗、可靠性及防禦摩擦所帶來的決策啟示並不相同。

評估防護系統的買家應問：哪一種結果才符合業務目標？阻止濫用註冊，關乎該行動最終會否發生。限制互動負荷，則關乎在結果出現前需要投入多少工作。單靠量度視覺準確度，無法同時回答兩者。

現有產品亦說明，市場不能簡化為圖像謎題。Google 為 reCAPTCHA v3 記錄了互動風險評分，它會在不展示互動式挑戰的情況下返回分數。其文件將該分數與網站營運者選定的行動連結起來。

Cloudflare 將 Turnstile 描述為非互動式瀏覽器挑戰，利用訪客瀏覽器環境的訊號。這些產品說明展示了更廣泛的防禦面向。它們並不能證明任何一項服務可擊敗該研究系統。

中立的比較在於量度甚麼。視覺解題器處理它所遇到的辨識及互動任務。以風險為本的服務則按其自身設計評估額外脈絡。評估其中一方，並不會自動構成對另一方的評估。

對產品團隊而言，這意味着一個熟悉的核取方塊不應界定整個安全討論。受保護的行動、周邊控制措施及觀察到的濫用情況同樣重要。獲授權的測試應說明它實際測試了這些層面的哪些部分。

訓練 AI 解決 CAPTCHA 為視覺驗證帶來了具體挑戰，但並不意味每一種驗證產品都應歸入同一類別。正因為其已展示的範圍可以描述，而毋須把它說成通用存取主張，這種架構才值得關注。

證據需要經得起雙方的適應

具適應能力的解題器，值得以同樣具適應性的方式評估，包括會因應其行為改變的防禦措施。

最有力的懷疑式解讀會問：所報告的優勢能否在既定條件以外持續存在。研究系統可以產生有意義的結果，卻不必涵蓋每一種運作環境。重現研究應測試：當其假設變得較不利時，同一機制是否仍然有用。

其中一個重要問題是回饋品質。模型生成的答案屬於預測，而非獨立的事實基準。如果後續學習依賴這些答案，評估者需要檢視它們出錯時會發生甚麼情況。改善情況應與持續出現的錯誤一併量度。

另一個問題涉及保留既有表現。如果系統在熟悉輸入上失去能力，學會新事物的價值便會下降。可信的評估需要同時追蹤兩者。否則，近期遇到個案的表面進展，可能掩蓋其他地方的退步。

信心程度亦值得同樣仔細審視。路由器只能根據可取得的資訊，將個案升級處理。若困難輸入引發錯置的確信，備援行為或會比預期更弱。除了測試模型本身，測試路由決策亦同樣重要。

這些是評估問題，而非聲稱所報告的系統必然失敗。它們指出哪些證據可以強化或收窄論點。審慎的解讀會把觀察到的結果，與對未來每種輸入分佈的假設分開。

獨立重現可提供另一條有用界線。發布研究產物可讓外部研究人員檢視及測試一種方法。然而，單憑這點並不能證明外部人士取得相同結果。重現研究應包括可比較的條件，並清楚指出與原條件不同之處。

運作脈絡亦很重要。示範頁面是有用的測試環境，但生產服務保護的是特定工作流程。該流程可在挑戰之前或之後引入額外決策。要跨服務作出概括，需要有關這些完整互動的證據。

防禦措施的改變亦需要顧及正當存取。W3C 的CAPTCHA 無障礙分析記錄了與人類驗證任務相關的障礙，亦說明音訊替代方案為何不會自動提供同等存取。

這個觀點令面對更強圖像辨識能力的最簡單回應變得複雜：把謎題變得更難。難度提高需要有證據顯示保護有所改善，同時人類使用者仍能獲得可接受的結果。否則，改動可能帶來摩擦，卻未能證明能持久抵抗自動化。

相關結果是保護與存取之間的關係。即使自動化失敗率看來理想，封鎖正當使用者的防禦措施仍有代價。具適應性的評估應保留這種可見性，而非只報告解題器的表現。

對追蹤研究的團隊而言，可搜尋的知識庫可協助把協議、結果及限制放在一起。實際價值在於保留脈絡。脫離量度條件的一個記憶百分比，可能誤導日後的安全決策。

留意重現研究、完整工作階段及防禦回應

下一項有用證據應釐清持久性，而不是再加入另一個孤立的標題百分比。未來數月，讀者可留意獨立評估及產品回應方面的具體發展。這些是觀察重點，而非已公布的里程碑。

決定性的問題是：當環境與防禦方均作出回應時，解題器的優勢是否仍然有用。

首先，留意是否有獨立重現這種適應行為。具說服力的重現研究會檢視，在有記錄的條件下，重複接觸是否能改善其後結果。它應區分辨識能力的變化，與重試或互動處理的變化。

成功重現將加強以下主張：適應是有意義的架構優勢。若無法重現，則會令結論收窄至原有設定。無論哪一種結果，都比另一篇重複基準數字的摘要更具資訊價值。

其次，留意對完整驗證工作階段的更廣泛報告。評估應區分圖像預測、謎題嘗試、最終完成及所花時間，亦應指出驗證後是否有任何受保護行動隨之發生。

在各種不同且獲授權的環境中持續完成驗證，將加強其運作層面的論據。分類能力強但工作階段完成不可靠，則顯示能力範圍較窄。這種區分讓防禦方能作出相稱回應，而非對含糊的成功率反應過度。

第三，留意允許解題器在改變後適應的防禦評估。有用的回應應量度保護是否持續、造成多少延遲，以及正當訪客會受到甚麼影響。未經改變的模型初次失敗，只是起點觀察。

如果防禦改變在重複接觸後仍能保持效力，便會削弱對適應性威脅最廣泛的解讀。如果這種優勢反覆消失，則會加強將注意力轉移至視覺難度以外的理由。無論結果如何，都應附帶人類完成情況。

對開發者而言，這些訊號提供具體的閱讀準則。問清楚各次嘗試之間改變了甚麼、甚麼才算成功，以及由誰驗證結果。對買家而言，問清楚這些量度如何連結到受保護的行動。對 AI 使用者而言，區分具能力的介面代理人與獲授權的代理人。

訓練 AI 解決 CAPTCHA 現在值得討論持久性、回饋及完整互動。在把成功百分比帶入產品決策前，先閱讀評估條件。保留模型辨識圖像與服務抵抗濫用之間的區別。當下一項主張出現時，尋找獨立重現、工作階段層面的結果，以及在適應後接受測試的防禦措施。這些觀察將顯示，這種架構能否帶來可重複的優勢，還是仍依賴其原有條件。對你所營運的任何工作流程，應從受保護的行動開始，並由此回溯證據：甚麼可以證明，在解題器已有機會學習後，這道屏障仍然有效？