CAPTCHA-farm

När en automatiserad klient stöter på en CAPTCHA som den inte kan lösa vidarebefordrar den utmaningen till en lösningstjänst via ett API. Tjänsten returnerar svaret, som boten skickar in som om den hade löst utmaningen själv. Denna frikoppling innebär att boten aldrig behöver förstå gåtan; den behöver bara vidarebefordra den och betala för svaret.

Människodrivna farmar dirigerar utmaningar till arbetare som löser dem manuellt för en bråkdel av ett öre var, ofta i operationer med hög volym. Automatiserade farmar använder i stället maskininlärningsmodeller och specialiserade lösare som har blivit alltmer kapabla, särskilt för bild- och textgåtor. Många tjänster blandar båda tillvägagångssätten och eskalerar till människor endast när automatiseringen misslyckas.

Eftersom lösning prissätts per utmaning gynnar ekonomin angriparen närhelst värdet som utvinns per lyckad förfrågan överstiger den lilla lösningsavgiften. Det är därför CAPTCHA:er ensamma sällan stoppar beslutsamt, välfinansierat missbruk: de påför en kostnad, men en begränsad och ofta överkomlig sådan, snarare än en hård teknisk barriär.

Existensen av CAPTCHA-farmar är det centrala argumentet för detektering som inte är beroende av en lösbar utmaning. Om den underliggande automatiseringen kan identifieras utifrån sin miljö, sitt beteende och sin nätverkskontext hjälper det inte angriparen att lägga ut gåtans svar, eftersom sessionen redan var igenkänd som automatiserad innan utmaningen ens presenterades.