AI 已能轻松通过“我不是机器人”验证。GPT-6 成功通关了独立开发者 Neal Agarwal 制作的网页游戏《I Am Not A Robot》全部 48 个关卡。
该游戏随着关卡推进，任务逐渐从简单的图形识别演变为涂鸦找物、语音模仿、画圆甚至模拟情感分手等复杂操作。面对这些令人类玩家倍感压力的挑战，GPT-6 展现出卓越的应对能力。
传统验证码防线失效
验证码（CAPTCHA）全称“全自动区分计算机和人类的公开图灵测试”，其核心逻辑是利用人类与机器在认知能力上的差异进行筛选。然而，随着计算机视觉技术的飞跃，这一防线正迅速瓦解。
2023 年 USENIX Security 的研究数据显示，在可比的题型中，自动化脚本的准确率已达 85% 至 100%，远超真人的 50% 至 85%。苏黎世联邦理工学院的研究也证实，针对 Google“我不是机器人”复选框的定制化 AI 模型能轻易攻破系统。
此外，付费“打码”服务的存在，使得验证码沦为可外包的成本项。GPT-6 等新一代模型采用了读取屏幕像素、模拟鼠标键盘操作及错误反馈机制，在 ScreenSpot-Pro 基准测试中得分高达 92.7%，标志着 AI 从“理解操作”向“精准定位对象”的重大跨越。
攻防博弈升级
自 2000 年卡内基梅隆大学推出 Gimpy 验证码以来，破解与反破解的猫鼠游戏从未停止。从早期扭曲文字被破解，到 2014 年 Google 推出图像验证，再到如今行业转向 Cloudflare Turnstile 和 reCAPTCHA v3 等基于行为分析的“无感”评分机制，防御策略不断演进。
维基百科已放弃字符验证，转而采用主要依赖行为分析的 hCaptcha，仅千分之一用户需面对视觉挑战。与此同时，网络流量中的机器人比例已从去年的 30% 激增至 60%。为此，Cloudflare 宣布自 2026 年 9 月 15 日起，默认拦截兼具训练与搜索功能的混合型 AI 爬虫，以保护广告页面的“人类注意力”。
验证困境与未来
验证码的初衷是防止垃圾信息和资源抢购，但 GPT-6 发布后出现的 AI 劫持网站事件表明，恶意机器人的威胁日益严峻。然而，人机关系并非绝对对立：辅助用户订票、整理资料的 AI 助手虽属机器人范畴，却具有正当意图。
单纯阻挡所有机器人会损害用户体验，而仅靠图片验证又无法确认授权归属。即便确认为真人，也无法保证其行为目的合法。因此，敏感操作的授权撤回与异常行为阻断机制，应与人机识别同等重要。
新的验证手段如手势识别、二维码扫描等虽提高了门槛，但也引发了隐私担忧和误判问题。用户常因浏览器扩展或网络环境导致反复验证且无从申辩。未来的趋势或许是屏幕上“我不是机器人”的提示逐渐消失，但这可能意味着一套更隐蔽、更难理解的判断体系正在形成。
理想的网络环境，不应让用户将“证明自己是人”视为一项长期负担。