训练 AI 破解 CAPTCHA：Salman 和 Bicakci 测试可学习的求解器

Oguzhan Salman 和 Kemal Bicakci 报告称，一款旨在通过使用不断改进的 CAPTCHA 求解器实现了 85.4% 的分类准确率。他们关于训练 AI 破解 CAPTCHA 的研究挑战了一项常见的防御假设：能够击败自动化求解器的谜题，将会一直有效。该系统将专用图像识别与更广泛的视觉推理相结合。

核心较量在于固定的视觉防御与自适应求解器之间。CAPTCHA 是一种旨在区分人类与自动化软件的测试，本质上提出了一个识别问题。改变这个问题可以中断专用模型。更棘手的问题是，当另一个模型提供训练样本时，这种中断能否持续。

Google 的 reCAPTCHA 提供了实际参照点，但其影响延伸至网站如何评估防护措施。今天成功的谜题防御，并不代表它具备持久的抵抗能力。对于开发者和安全采购方而言，这项研究将注意力转向恢复时间、完整验证结果，以及合法访问的成本。

训练 AI 破解 CAPTCHA 超越固定模型

伊斯坦布尔技术大学的研究人员 Salman 和 Bicakci 于 2026 年 9 月 2 日发布了预印本。Bruce Schneier 于 10 月 19 日重点介绍了这项自适应 CAPTCHA 研究。这一区别很重要：近期关注的是一项既有研究成果，而不是新近发布的商业产品。

真正具有影响力的变化在于其提出的学习闭环，而非识别谜题中物体的能力。

该系统将专用视觉识别模型 YOLOv8 与视觉语言模型结合，后者可同时处理图像和文本。路由机制会依据置信度在两者之间作出选择。该安排使系统在同一架构内具备专用路径和更广泛的后备路径。

作者报告称，该系统在 16 个类别中实现了 85.4% 的总体准确率和 84.2% 的宏平均准确率。总体准确率计算所有已评估样本中的预测结果。宏平均准确率对每个类别赋予同等权重，因此较弱类别不易被常见类别掩盖。这些指标描述的是分类性能，而非通用的网站访问成功率。

这种区别改变了读者应如何理解这一醒目数字。网站不会因为模型正确标注了一张孤立图片就授予访问权限。它会评估一次交互，其中可能包括多次选择、刷新图片、验证决策和重试。分类基准衡量的是该交互中一个重要组成部分。

论文还报告了在 Google reCAPTCHA v2 演示页面上的实时评估。在 100 次会话中，所有会话最终都通过；206 个谜题中有 181 个首次尝试即成功。这些结果提供了超越静态图像的部署证据。不过，它们仍是作者测试条件下的观察结果，而非对多个网站进行的独立审计。

对于防御者而言，重要的区别在于即时识别、最终完成以及持续抵抗力。它们分别回答不同的问题。将它们合并为单一成功百分比，会掩盖系统在哪些环节有效，以及其他保护措施仍在哪些环节发挥作用。

以一个在可疑活动后呈现图像挑战的注册流程为例。正确选择图片表明视觉任务已被完成，但并不代表后续账户行为可以被接受。即使图像求解器表现出色，安全分析也需要保留这条边界。

因此，训练 AI 破解 CAPTCHA 成为一个关于重复遭遇下行为变化的问题。该研究询问的是：求解器在看到陌生事物后，其未来能力是否会发生变化。与用未改变的模型对比固定图像集合相比，这对防御措施提出了更严格的检验。

视觉挑战可以干扰机器人，但未必能阻止其学习

导致错误的防御措施，需要另行说明这些错误为何能够持续。

这种压力最直接地落在将视觉难度视为持久屏障的安全团队身上。他们的即时测量可能显示，修改后的谜题击败了现有检测器。这个结果有用，但并不完整。它几乎无法说明求解器获得反馈或更新模型后会发生什么。

设想一次针对网站注册保护的授权评估。一个新图像类别最初令测试求解器受挫。安全团队记录了失败，并认为这一变更有效。若评估止步于此，就无法衡量后续接触是否会消除这一优势。

自适应评估会在初次失败后继续进行。它会考察求解器是否提升、哪些信息推动了提升，以及受保护操作是否仍被阻止。决定性结果是在明确条件下实现持续抵抗。仅凭令人印象深刻的初始错误率，无法回答这一问题。

这也对采购用语提出了要求。有关检测自动化流量的声明需要有明确范围。它指的是图像识别、挑战完成、可疑会话，还是滥用行为？买方在比较产品或解读实验室结果之前，需要理解这些区别。

同样的推理也适用于运营方的工作量。替换视觉挑战的价值，在于它能带来有意义的保护。如果维持这种保护需要频繁更改，从而给合法访客带来不便，其价值就变得不那么明确。相关比较应包含防御收益和持续维护成本。

还存在时间因素。即使防御最终失效，它仍可能保有实际价值。临时屏障可以保护短暂的注册窗口，或干扰正在进行的攻击活动。该研究并未证明每一种临时防御都毫无用处。

相反，它提出了一个更精确的问题：这一干预创造了多少有用的延迟？应当根据攻击者目标和防御者响应时间来衡量这种延迟。短暂中断和持久障碍，应有不同的运营描述。

网站所有者还应将人类验证与授权区分开来。访客可能完成挑战，但仍无权执行某项操作。反过来，合法用户也可能在验证中遇到困难，即使他们具备权限。将视觉结果视为完整的信任决策，会把这些不同判断混为一谈。

对于与网站交互的 AI 产品开发者而言，同样的边界也很重要。完成屏幕操作的技术能力，并不代表拥有继续操作的许可。即使视觉能力提升，产品行为仍应遵循用户授权和目标服务的规则。

因此，直接含义是明确的。高度依赖固定识别差距的团队，需要证据证明这种差距在反复接触后依然存在。已经评估完整交互的团队，则应将适应性纳入这些评估。两种结论都不意味着必须宣布所有 CAPTCHA 已经过时。

快速检测器与通用模型承担不同任务

独立的专用检测器与通用视觉模型面临不同约束。检测器专注于训练数据中已有的模式。更广泛的模型则提供了另一种解释陌生内容的方式。将二者结合，会改变每次遭遇应由哪个组件处理。

其架构主张是，通用推理应帮助改进专用执行，而不是无限重复每一个熟悉的决策。

作者描述了一种基于置信度的路由器，即将不确定预测导向更广泛模型的组件。其工作原理类似支持流程中的升级处理。常规案例走专用路径，需要另一类判断的案例则获得额外关注。

这种安排使置信度质量成为评估的重要问题。自信的错误不会自动进入后备路径。过度谨慎的路由器则可能将常规工作送往要求更高的路径。因此，衡量组合系统时，还需要审视其关于升级处理的决策。

这正是专用 AI 与通用 AI 的比较变得有用之处。广泛模型可以覆盖超出检测器既定类别的案例。专用模型则可以专注于反复出现的模式。该研究将这些优势视为自适应 CAPTCHA 求解器中的互补部分。

早期工作提供了历史背景，但并不能确立可直接比较的排名。Andreas Plesner、Tobias Vontobel 和 Roger Wattenhofer 在 2024 年的 reCAPTCHA v2 study 中报告称，在其设置下实现了完整的挑战求解成功。他们的工作使用了基于 YOLO 的识别，也考察了浏览器上下文。

这一早期结果避免了对当前新闻的夸大解读。自动化图像挑战求解并非始于这篇预印本。不同研究还采用不同协议、重试次数、环境和结果指标。在未控制这些差异的前提下，其百分比无法建立清晰的性能层级。

更有用的比较关乎每种架构在一次遭遇后保留了什么。固定分类器应用现有参数。通用模型可以解释新输入，而不一定改变周边系统。自适应架构则引入了一条让经验影响后续性能的路径。

这种区别也让更广泛的 AI 论断保持在恰当范围内。智能体记住一次对话，与更新识别模型并不相同。检索之前的示例，与学习新类别也不同。有关改进的报道应明确指出实际改变的是哪种机制。

对于视觉防御而言，这些实现差异会影响所评估的威胁。一个挑战可能击败特定分类器，却仍可被另一个模型辨识。如果系统能有效利用第二种判断，组件失败就不必演变为持久的系统失败。

论文的混合求解器评估提供了底层实验说明。其发现应被视为作者报告的结果。核心架构问题无需接受普遍性主张也能理解：经验是否能可靠地改善后续执行？

这个问题的适用范围超出 CAPTCHA 研究，但本文的安全结论仍较为狭窄。当求解器能够适应时，固定视觉屏障面对的是不同的对手。围绕未改变模型设计的评估，可能测量的是一种部署后会消失的优势。

截图界面改变测试方式，而非信任的含义

研究人员描述了一个读取截图并发送操作系统输入事件的系统。它不依赖浏览器自动化或 DOM，即浏览器对页面的结构化表示。浏览器充当求解器可见的交互界面。

移除对页面结构的访问，强化了视觉交互这一主张，但并不能证明其具有普遍的不可见性。

这很重要，因为识别一道谜题与操作其界面是两项不同的任务。模型可以理解图像，却无法选中正确位置。一次完整交互还需要处理屏幕上的变化，并判断任务是否已经完成。

截图方法将这些交互要求纳入被评估系统之中。它支持一种关于通过可见内容进行操作的主张。这与计算机使用代理相关，因为它们必须将视觉理解与操作连接起来。不过，仍应在已测试的环境范围内描述这一点。

网站评估的不仅是图像如何被读取。因此，某种特定自动化机制的缺失，并不能证明不存在任何可检测信号。关于无法被检测到的主张，需要其自身的证据支撑。所报告的界面设计并不能回答这一更广泛的问题。

实时演示结果同样需要谨慎界定。最终完成会话包括从失败尝试中恢复。首次尝试成功解题描述的是另一种结果。两者都很有价值，但它们分别影响对用户体验、可靠性和防御摩擦的不同判断。

评估保护系统的买方应询问哪种结果与业务目标相匹配。阻止滥用注册关注的是该操作最终是否发生。限制交互负担关注的是在达成结果前需要付出多少工作。仅衡量视觉准确率无法同时回答这两个问题。

现有产品也说明，市场不能被简化为图像谜题。Google 为 reCAPTCHA v3 记录了交互风险评分，它会返回评分，而不会展示交互式挑战。其文档将该评分与网站运营者选择的操作关联起来。

Cloudflare 将 Turnstile 描述为非交互式浏览器挑战，利用访问者浏览器环境中的信号。这些产品说明展现了更广泛的防御面。它们并不能证明任一服务能够击败该研究系统。

中立的比较在于衡量的内容。视觉求解器处理它遇到的识别与交互任务。基于风险的服务则根据自身设计评估额外上下文。评估其中一种，并不自动构成对另一种的评估。

对产品团队而言，这意味着熟悉的复选框不应定义整个安全讨论。受保护的操作、周边控制措施以及观察到的滥用情况都很重要。获得授权的测试应说明它实际覆盖了哪些层面。

训练 AI 解决 CAPTCHA 为视觉验证带来了具体挑战。但这并不能证明应将所有验证产品归入同一类别。这种架构值得关注，恰恰因为其已演示的范围可以被描述，而无需将其夸大为普遍访问能力的主张。

双方的适应都必须经得起证据检验

一个自适应求解器值得接受自适应评估，其中包括会根据其行为作出改变的防御措施。

最有力的怀疑性解读会问：所报告的优势是否能在选定条件之外持续存在。研究系统无需覆盖每一种运行环境，也能产生有意义的结果。复现应测试，当其假设变得不那么有利时，相同机制是否仍然有效。

一个重要问题涉及反馈质量。模型生成的答案是一种预测，而不是独立的事实依据。如果后续学习依赖这些答案，评估者需要考察它们出错时会发生什么。改进应与持续存在的错误一同衡量。

另一个问题涉及既有性能的保持。如果系统在熟悉输入上失去能力，学习新事物的价值就会降低。可信的评估需要同时跟踪两者。否则，近期遇到案例上的表面进展，可能掩盖其他地方的退化。

置信度也值得接受同样的审查。路由器只能根据可获得的信息升级处理案例。如果困难输入产生错置的确定性，回退行为可能弱于预期。测试路由决策与测试模型本身同样重要。

这些是评估问题，而不是声称所报告的系统必然失败。它们指出了能够强化或收窄论证的证据。谨慎的解读会将观察到的结果与对未来所有输入分布的假设区分开来。

独立复现将提供另一条有用边界。发布工件可以让外部研究人员检查和测试一种方法。但这本身并不能证明外部人员获得了相同结果。复现应包含可比条件，并明确说明与原条件之间的差异。

运行环境同样重要。演示页面是有用的测试环境，但生产服务保护的是特定工作流。该工作流可能在挑战前后引入额外决策。跨服务泛化需要关于这些完整交互的证据。

防御性变化还需考虑合法访问。W3C 的 CAPTCHA 可访问性分析记录了与人工验证任务相关的障碍。它还解释了为何音频替代方案并不会自动提供等效访问。

这种视角使得针对更强图像识别能力的最简单回应变得复杂：让谜题更难。提高难度需要证据证明保护得到改善，同时人类用户的结果仍可接受。否则，这种变化可能只会增加摩擦，却无法证明对自动化的持久抵抗力。

相关结果是保护与访问之间的关系。即使其自动化失败率看起来有利，阻止合法用户的防御也会带来成本。自适应评估应保留这种可见性，而不是只报告求解器的表现。

对于跟踪这项研究的团队，可搜索知识库可帮助将协议、结果和局限性保存在一起。实际价值在于保留上下文。脱离测量条件而被记住的百分比，可能误导之后的安全决策。

关注复现、完整会话与防御响应

下一批有价值的证据应澄清持久性，而不是再增加一个孤立的标题百分比。在接下来的几个月中，读者可以关注独立评估和产品响应方面的具体发展。这些是观察重点，而非已宣布的里程碑。

决定性问题在于：当环境与防御者都作出响应时，求解器的优势是否仍然有用。

首先，关注自适应行为的独立复现。一项有说服力的复现会考察，在有记录的条件下，重复接触是否会改善后续结果。它应区分识别能力的变化与重试或交互处理的变化。

成功复现将强化这样一种主张：适应性是一项有意义的架构优势。若无法复现，则会将结论收窄至原始设置。无论哪种结果，都比另一篇重复基准数字的总结更具信息价值。

其次，关注关于完整验证会话的更广泛报告。评估应区分图像预测、谜题尝试、最终完成和耗时。它们还应指出验证后是否执行了受保护操作，以及具体是哪一种。

在多样化、获得授权的环境中持续完成，将强化其运行层面的论证。强分类能力却无法可靠完成会话，则表明能力范围更窄。这一区分让防御者能够作出相称回应，而不是对模糊的成功率反应过度。

第三，关注允许求解器在变化后进行适应的防御评估。有价值的响应会衡量保护是否持续、造成多少延迟，以及合法访问者会受到何种影响。未改变模型的初次失败只是起始观察。

如果防御性变化在重复接触后仍保持有效，它们将削弱对自适应威胁最广泛的解读。如果这种优势反复消失，则会强化将注意力从视觉难度之外转移的理由。无论结果如何，都应伴随人类完成结果。

对开发者而言，这些信号提供了具体的阅读纪律。询问每次尝试之间改变了什么、什么算作成功、以及谁验证了结果。对买方而言，询问这些测量如何与受保护操作相关联。对 AI 用户而言，区分一个有能力的界面代理与一个获得授权的代理。

训练 AI 解决 CAPTCHA 现在值得引发关于持久性、反馈和完整交互的讨论。在将成功百分比带入产品决策前，先阅读评估条件。保留模型识别图像与服务抵御滥用之间的差异。当下一项主张出现时，寻找独立复现、会话层面的结果，以及在适应后接受测试的防御。这些观察将表明该架构是否提供可重复的优势，还是仍依赖于其原始条件。对于你运营的任何工作流，先从受保护操作开始，并从那里回溯证据：在求解器有机会学习之后，什么能够证明这道屏障仍然有效？