هوش مصنوعی CAPTCHA را پشت سر گذاشت؛ آینده احراز هویت آنلاین به کدام سو می‌رود؟

هوش مصنوعی CAPTCHA را شکست داد؛ حالا چه اتفاقی می‌افتد؟

مدل‌های هوش مصنوعی امروزی می‌توانند بسیاری از این آزمون‌ها را با دقت و سرعتی چشمگیر حل کنند و همین موضوع، آینده CAPTCHA را با چالش جدی روبه‌رو کرده است.

سال‌هاست کاربران اینترنت برای اثبات اینکه یک انسان واقعی هستند، ناچارند تصاویر مربوط به دوچرخه، چراغ راهنمایی، پل یا شیر آتش‌نشانی را انتخاب کنند. این آزمون‌های ساده که با نام CAPTCHA شناخته می‌شوند، مدت‌ها یکی از مهم‌ترین ابزارهای مقابله با ربات‌ها بودند؛ اما پیشرفت سریع هوش مصنوعی حالا این معادله را تغییر داده است. مدل‌های هوش مصنوعی امروزی می‌توانند بسیاری از این آزمون‌ها را با دقت و سرعتی چشمگیر حل کنند و همین موضوع، آینده CAPTCHA را با چالش جدی روبه‌رو کرده است.

چرا CAPTCHA دیگر مانند گذشته مؤثر نیست؟

حدود ۲۶ سال از معرفی CAPTCHA می‌گذرد. فلسفه شکل‌گیری این فناوری ساده بود؛ طراحی آزمونی که حل آن برای انسان آسان، اما برای رایانه یا ربات دشوار باشد. این ایده سال‌ها توانست از وب‌سایت‌ها در برابر حملات خودکار محافظت کند و به یکی از رایج‌ترین ابزارهای احراز هویت تبدیل شود.

در سال‌های نخست، کاربران باید متن‌های به‌هم‌ریخته را تشخیص می‌دادند، مسائل ساده ریاضی را حل می‌کردند یا به فایل‌های صوتی کوتاه گوش می‌دادند. با پیشرفت فناوری، آزمون‌های تصویری جایگزین این روش‌ها شدند و از کاربران خواسته می‌شد اشیایی مانند چراغ راهنمایی، پل، موتورسیکلت یا شیر آتش‌نشانی را در میان تصاویر شناسایی کنند.

اما ظهور مدل‌های زبانی بزرگ (LLM) و سیستم‌های پیشرفته بینایی ماشین، شرایط را تغییر داد. این مدل‌ها اکنون قادرند بسیاری از CAPTCHAهای تصویری را با دقتی بالا پشت سر بگذارند؛ قابلیتی که باعث شده یکی از مهم‌ترین ابزارهای تشخیص انسان از ربات، کارایی گذشته خود را از دست بدهد.

پایان دوران انتخاب تصاویر؟

گوگل نخستین نسخه reCAPTCHA را در سال ۲۰۰۷ معرفی کرد و چند سال بعد، نسخه تصویری آن را در اختیار کاربران قرار داد. از آن زمان تاکنون، میلیون‌ها نفر برای ورود به وب‌سایت‌ها یا ایجاد حساب کاربری، بارها تصاویر مربوط به دوچرخه، پل، پشت‌بام، چراغ راهنمایی یا سایر اشیا را انتخاب کرده‌اند.

با این حال، پیشرفت هوش مصنوعی باعث شد ربات‌ها نیز به‌تدریج این آزمون‌ها را یاد بگیرند و بتوانند از آن‌ها عبور کنند. همین مسئله شرکت‌های فناوری را وادار کرده است تا به دنبال روش‌های جدیدی برای تشخیص کاربران واقعی باشند.

در همین راستا، گوگل از ژوئن ۲۰۲۶ آزمایش نسل تازه‌ای از سیستم احراز هویت را آغاز کرده است. در این روش، برخی کاربران باید ویدئوی کوتاهی از حرکت دست خود ضبط کنند. سپس الگوریتم‌های هوش مصنوعی با بررسی بیش از ۲۰ نقطه کلیدی روی انگشتان و مفاصل، الگوی حرکت دست را تحلیل کرده و تشخیص می‌دهند که درخواست از سوی یک انسان واقعی ارسال شده یا یک ربات.

با وجود نوآوری این روش، نگرانی‌هایی نیز درباره آن مطرح شده است. استفاده از این فناوری مستلزم دسترسی به دوربین دستگاه است؛ موضوعی که از دید بسیاری از کاربران می‌تواند حریم خصوصی آن‌ها را تحت تأثیر قرار دهد.

از سوی دیگر، برخی پژوهشگران امنیت سایبری معتقدند این سیستم نیز مصون از خطا نیست و در شرایط خاص حتی می‌توان با استفاده از تصویری ساده از دست، آن را فریب داد.

گوگل اعلام کرده است که ویدئوهای ثبت‌شده به هویت کاربران متصل نمی‌شوند، هیچ صدایی ضبط نخواهد شد و اطلاعات پس از پایان فرآیند تأیید حذف می‌شوند. با این حال، میزان اعتماد کاربران به چنین وعده‌هایی همچنان به دیدگاه و نگرانی‌های شخصی آن‌ها درباره حفظ حریم خصوصی بستگی دارد.

جایگزین‌های CAPTCHA؛ فناوری‌های جدید چگونه با ربات‌ها مقابله می‌کنند؟

هرچند reCAPTCHA همچنان یکی از شناخته‌شده‌ترین ابزارهای مقابله با ربات‌ها محسوب می‌شود، اما رشد سریع هوش مصنوعی باعث شده روش‌های سنتی دیگر کارایی گذشته را نداشته باشند. به همین دلیل، شرکت‌های فناوری در سال‌های اخیر به سراغ راهکارهای هوشمندتری رفته‌اند که بدون ایجاد دردسر برای کاربران، بتوانند انسان را از ربات تشخیص دهند.

تحلیل رفتار کاربران

یکی از پیشرفته‌ترین روش‌های احراز هویت، تحلیل رفتار کاربران هنگام استفاده از وب‌سایت است. در این فناوری، بدون اینکه کاربر اقدام خاصی انجام دهد، عواملی مانند حرکت ماوس، الگوی کلیک‌ها، نحوه تایپ و برخی ویژگی‌های دستگاه بررسی می‌شوند تا مشخص شود درخواست از سوی یک انسان واقعی ارسال شده یا یک ربات.

مزیت اصلی این روش، حذف آزمون‌های آزاردهنده‌ای مانند انتخاب تصاویر یا وارد کردن متن‌های ناخواناست. با این حال، کارشناسان امنیت سایبری معتقدند این فناوری نیز کاملاً بی‌نقص نیست؛ زیرا توسعه‌دهندگان ربات‌ها می‌توانند با شبیه‌سازی رفتار طبیعی کاربران، احتمال عبور از این سامانه‌ها را افزایش دهند.

از سوی دیگر، این روش پرسش‌هایی را درباره حفظ حریم خصوصی مطرح می‌کند. از آنجا که بخشی از اطلاعات مربوط به دستگاه و نحوه تعامل کاربران با وب‌سایت جمع‌آوری می‌شود، برخی افراد نسبت به میزان داده‌های ثبت‌شده نگرانی دارند. البته شرکت‌های ارائه‌دهنده این فناوری تأکید می‌کنند اطلاعات جمع‌آوری‌شده برای شناسایی هویت کاربران یا اهداف تبلیغاتی مورد استفاده قرار نمی‌گیرد.

Turnstile و hCaptcha؛ رقبای جدی reCAPTCHA

در میان جایگزین‌های جدید، Cloudflare Turnstile یکی از شناخته‌شده‌ترین گزینه‌ها به شمار می‌رود. این سرویس تلاش می‌کند بدون نیاز به انجام مراحل اضافی، هویت کاربر را تأیید کند و در بسیاری از موارد حتی نیازی به انتخاب تصاویر یا حل آزمون وجود ندارد. گاهی نیز تنها علامت زدن گزینه «من ربات نیستم» برای تکمیل فرآیند کافی است.

با وجود سادگی این روش، تهدیدهای امنیتی همچنان پابرجاست. مجرمان سایبری بارها از CAPTCHAهای واقعی در صفحات فیشینگ استفاده کرده‌اند تا اعتماد کاربران را جلب کنند و احتمال شناسایی صفحات مخرب توسط ابزارهای امنیتی را کاهش دهند. به همین دلیل، مشاهده یک CAPTCHA به‌تنهایی نمی‌تواند نشانه‌ای از معتبر بودن یک وب‌سایت باشد.

در کنار Turnstile، hCaptcha نیز یکی دیگر از گزینه‌های محبوب برای مقابله با ربات‌ها است. این سرویس با تمرکز بیشتر بر امنیت و حفظ حریم خصوصی توسعه یافته و برخلاف reCAPTCHA و Turnstile، زیرمجموعه شرکت‌های بزرگ فناوری نیست؛ موضوعی که برای برخی سازمان‌ها و کاربران اهمیت ویژه‌ای دارد.

Passkey؛ آینده احراز هویت بدون رمز عبور

در حالی که بیشتر سیستم‌های تشخیص ربات به نوعی اطلاعات رفتاری کاربران را بررسی می‌کنند، فناوری Passkey رویکرد متفاوتی دارد. در این روش، به جای استفاده از رمز عبور، کلیدهای رمزنگاری‌شده‌ای ایجاد می‌شوند که از طریق اثر انگشت، تشخیص چهره یا کد PIN فعال خواهند شد.

به‌دلیل استفاده از این سازوکار، کاربران معمولاً دیگر نیازی به عبور از آزمون‌های CAPTCHA یا اثبات اینکه انسان هستند نخواهند داشت و فرآیند ورود به حساب‌های کاربری نیز سریع‌تر و ایمن‌تر انجام می‌شود.

البته Passkey نیز محدودیت‌های خاص خود را دارد. این فناوری زمانی کاربرد دارد که کاربر از قبل در یک سرویس حساب کاربری داشته باشد. بنابراین، برای وب‌گردی ناشناس یا دسترسی به وب‌سایت‌هایی که بدون ثبت‌نام قابل استفاده هستند، هنوز نمی‌تواند جایگزین کامل CAPTCHA باشد.