Google тестує AI-капчу з жестами рук: як її обійшли за хвилини

Чому Google змінює традиційну капчу

Розпізнавання дорожних знаків, світлофорів та інших зображень давно стало звичною процедурою для кожного користувача інтернету. Але компанія Google вирішила піти далі і розробила принципово новий метод перевірки того, що перед екраном сидить реальна людина, а не бот або програма-автомат.

Замість скролювання картинок система тепер просить виконати фізичний жест — помахати рукою або показати відкриту долоню перед веб-камерою. На перший погляд, це видається логічним кроком: ж живого человека неможливо імітувати за допомогою статичних зображень, правда?

Як працює нова система перевірки з жестами

Технологія спирається на штучний інтелект та комп'ютерний зір, що аналізують відео в реальному часі. Ось послідовність дій під час перевірки:

1. Браузер запитує дозвіл на доступ до вебкамери пристрою
2. Система пропонує виконати конкретний жест — найчастіше помахати рукою
3. Пристрій записує коротке відео тривалістю кілька секунд
4. ШІ-алгоритм обробляє кадри та виділяє 21 унікальну координату суглобів та пальців
5. На основі цих точок система робить висновок про автентичність користувача

Компанія Google гарантує, що відео видаляється негайно після успішної перевірки й ніде не зберігається на серверах. Однак саме намір сканувати біометричні параметри вже викликав обурення у спільноті користувачів, які справедливо обговорюють питання приватності та безпеки персональних даних.

Критична вразливість: як обійти нову капчу

На жаль, перші незалежні тестування виявили серйозний недолік у логіці ШІ-захисту. Виявилося, що система абсолютно не розрізняє живий рух від статичного зображення.

Один із дослідників провів експеримент: через безкоштовну програму OBS Virtual Camera він передав звичайне якісне стокове фото з зображенням руки в камеру. Результат був шокуючим — алгоритм Google визнав нерухоме зображення як успішно виконаний людський жест.

Для обходу системи не потрібні складні ШІ-анімації чи дорогі відеоролики. Весь процес можна повністю автоматизувати за кілька хвилин за допомогою простого скрипта на Python.

Деталі експерименту з обходу

Дослідник провів кілька спроб із різними стоковими знімками та точного налаштування масштабу картинки в OBS. Результат був послідовний: алгоритм постійно помилково класифікував статичне фото як динамічний жест реальної людини.

Це означає, що зловмисники можуть:

• Завантажити будь-яке якісне фото руки зі стокових сервісів
• Передати його через програму віртуальної камери
• Повністю автоматизувати цей процес за допомогою простого скрипта
• Успішно обійти капчу без жодної складної комп'ютерної техніки

Чому це критично небезпечно для вебсайтів

Основна проблема полягає у абсолютній неефективності захисту навіть проти найпростіших автоматизованих скриптів. Традиційні капчі з розпізнаванням зображень останніми роками удосконалювалися саме для того, щоб протидіяти ботам та автоматизованим атакам.

Нова система від Google, попри все обіцянки щодо передових технологій ШІ, виявилася:

• Уразливою до обходу за допомогою статичних зображень
• Невсивною розрізняти реальний динамічний рух від імітації
• Легкою для автоматизації за допомогою стандартних інструментів
• Невисокої практичної цінності як засіб захисту

Це переводить боротьбу проти ботів на принципово новий рівень складності та змушує розробників вебсайтів шукати додаткові методи захисту.

Що означає цей баг для користувачів

Із точки зору звичайного користувача ситуація досить двозначна. З одного боку, така вразливість означає, що люди можуть легко подолати цю капчу, якщо вона їм заважає. З іншого боку — це свідчить про те, що новий захист малоефективний для справжньої метої: захисту від автоматизованих атак та зловмисних дій.

Крім того, факт, що система записує та обробляє відео з камери, навіть якщо потім його видаляє, викликає питання щодо приватності. Користувачі змушені предоставляти доступ до веб-камери просто для того, щоб увійти на звичайний вебсайт.

Поточний статус та прогнози

На момент тестування нова reCAPTCHA з жестами ще перебуває на ранній стадії розробки. Google теоретично має час для того, щоб виправити виявлені недоліки й покращити алгоритми розпізнавання динамічних рухів.

Експерти сподіваються, що компанія:

1. Переавчить ШІ-модель розрізняти реальні рухи від статичних зображень
2. Додасть перевірку на реальну тривалість та характер руху
3. Впровадить додаткові биометричні параметри для верифікації
4. Зробить систему більш стійкою до відомих методів обходу

Альтернативні методи захисту в 2026

У той час як Google удосконалює свої системи, вебсайти можуть користуватися іншими методами перевірки:

• Двофакторна аутентифікація — найнадійніший сучасний метод
• Aналіз поведінки користувача — слідкування за паттернами користування
• Геолокація та перевірка IP-адреси — контроль місцезнаходження
• Пароль + безпечний ключ — комбіновані методи зі 100% надійністю
• Blockchain-базовані системи верифікації — прозорі та безпечні рішення

Комбінування кількох методів дає найбільш ефективний результат у боротьбі з ботами та шахрайством.

Висновки: що робити користувачам

Поки Google працює над виправленням своєї системи, користувачам варто пам'ятати про кілька важливих моментів:

Жодна система не ідеальна, але комбінація кількох методів захисту завжди надійніша за одиничну технологію. Критична оцінка нових технологій та повідомлення про вразливості допомагає інтернету стати безпечнішим місцем.

Технологія розпізнавання жестів може в майбутньому стати складовою частиною комплексної системи безпеки. Однак на поточний момент вона явно непридатна як самостійний засіб захисту від автоматизованих атак.

Google повинна серйозно переглянути свій підхід та залучити більше незалежних тестувальників на етапі розробки, щоб виявляти такі критичні баги до загального випуску системи.

Будьте уважні при наданні доступу до камери і завжди перевіряйте, чи дійсно сайт є офіційним перед введенням персональних даних. Безпека в інтернеті — це спільна відповідальність розробників та користувачів.