CAPTCHA-ферма

Когда автоматизированный клиент сталкивается с CAPTCHA, которую не может решить, он пересылает испытание в сервис решения через API. Сервис возвращает ответ, который бот отправляет так, будто сам решил испытание. Это расцепление означает, что боту никогда не нужно понимать головоломку; ему нужно лишь ретранслировать её и заплатить за ответ.

Фермы на человеческой силе направляют испытания работникам, которые решают их вручную за долю цента каждое, часто в высокообъёмных операциях. Автоматизированные фермы вместо этого используют модели машинного обучения и специализированные решатели, которые становятся всё более способными, особенно для картиночных и текстовых головоломок. Многие сервисы смешивают оба подхода, эскалируя к людям только когда автоматизация не справляется.

Поскольку решение оценивается по цене за испытание, экономика благоприятствует атакующему всякий раз, когда ценность, извлечённая на один успешный запрос, превышает небольшую плату за решение. Именно поэтому одни только CAPTCHA редко останавливают настойчивое, хорошо финансируемое злоупотребление: они налагают издержку, но ограниченную и часто доступную, а не жёсткий технический барьер.

Существование CAPTCHA-ферм — центральный аргумент в пользу обнаружения, которое не зависит от решаемого испытания. Если лежащую в основе автоматизацию можно выявить по её окружению, поведению и сетевому контексту, то аутсорсинг ответа на головоломку не помогает атакующему, потому что сессия уже была распознана как автоматизированная прежде, чем испытание вообще было предъявлено.