Farma CAPTCHA

Gdy zautomatyzowany klient napotyka CAPTCHA, której nie potrafi rozwiązać, przekazuje wyzwanie do usługi rozwiązującej za pośrednictwem API. Usługa zwraca odpowiedź, którą bot wysyła tak, jakby sam rozwiązał wyzwanie. To rozprzężenie oznacza, że bot nigdy nie musi rozumieć zagadki; musi ją tylko przekazać i zapłacić za odpowiedź.

Farmy napędzane przez ludzi kierują wyzwania do pracowników, którzy rozwiązują je ręcznie za ułamek centa każde, często w operacjach o dużym wolumenie. Farmy zautomatyzowane używają natomiast modeli uczenia maszynowego i wyspecjalizowanych solverów, które stały się coraz bardziej wydajne, szczególnie w przypadku zagadek obrazkowych i tekstowych. Wiele usług łączy oba podejścia, eskalując do ludzi tylko wtedy, gdy automatyzacja zawiedzie.

Ponieważ rozwiązywanie jest wyceniane za wyzwanie, ekonomia sprzyja atakującemu zawsze, gdy wartość wyekstrahowana na udane żądanie przewyższa niewielką opłatę za rozwiązanie. Dlatego same CAPTCHA rzadko powstrzymują zdeterminowane, dobrze finansowane nadużycia: nakładają koszt, ale ograniczony i często przystępny, a nie twardą barierę techniczną.

Istnienie farm CAPTCHA jest centralnym argumentem za detekcją, która nie zależy od możliwego do rozwiązania wyzwania. Jeśli leżącą u podstaw automatyzację można zidentyfikować na podstawie jej środowiska, zachowania i kontekstu sieciowego, wówczas zlecenie odpowiedzi na zagadkę na zewnątrz nie pomaga atakującemu, ponieważ sesja została już rozpoznana jako zautomatyzowana, zanim wyzwanie w ogóle zostało przedstawione.