CAPTCHA farm

Quando un client automatizzato incontra un CAPTCHA che non riesce a risolvere, inoltra la verifica a un servizio di risoluzione tramite un'API. Il servizio restituisce la risposta, che il bot invia come se avesse risolto la verifica da sé. Questo disaccoppiamento significa che il bot non ha mai bisogno di comprendere l'enigma; deve solo inoltrarlo e pagare per la risposta.

Le farm alimentate da esseri umani indirizzano le verifiche a lavoratori che le risolvono manualmente per una frazione di centesimo ciascuna, spesso in operazioni ad alto volume. Le farm automatizzate usano invece modelli di machine learning e risolutori specializzati diventati sempre più capaci, in particolare per gli enigmi di immagini e testo. Molti servizi combinano entrambi gli approcci, ricorrendo agli esseri umani solo quando l'automazione fallisce.

Poiché la risoluzione è tariffata per verifica, l'economia favorisce l'aggressore ogni volta che il valore estratto per richiesta riuscita supera la piccola tariffa di risoluzione. È per questo che i soli CAPTCHA raramente fermano un abuso determinato e ben finanziato: impongono un costo, ma limitato e spesso sostenibile, anziché una dura barriera tecnica.

L'esistenza delle CAPTCHA farm è l'argomento centrale a favore di un rilevamento che non dipenda da una verifica risolvibile. Se l'automazione sottostante può essere identificata dal suo ambiente, dal comportamento e dal contesto di rete, allora affidare a terzi la risposta all'enigma non aiuta l'aggressore, perché la sessione era già stata riconosciuta come automatizzata prima ancora che la verifica fosse presentata.