CAPTCHA-ферма

Коли автоматизований клієнт натрапляє на CAPTCHA, яку не може розв’язати, він пересилає виклик сервісу розв’язання через API. Сервіс повертає відповідь, яку бот надсилає так, ніби сам розв’язав виклик. Це розчеплення означає, що боту ніколи не потрібно розуміти головоломку; йому лише потрібно ретранслювати її та заплатити за відповідь.

Ферми на людській силі скеровують виклики до працівників, які розв’язують їх вручну за частку копійки кожен, часто у високооб’ємних операціях. Автоматизовані ферми натомість використовують моделі машинного навчання й спеціалізовані розв’язувачі, що стали дедалі здатнішими, особливо для головоломок із зображеннями й текстом. Багато сервісів поєднують обидва підходи, ескалюючи до людей лише тоді, коли автоматизація зазнає невдачі.

Оскільки розв’язання розцінюється за виклик, економіка сприяє зловмиснику щоразу, коли цінність, видобута за успішний запит, перевищує невелику плату за розв’язання. Ось чому самі лише CAPTCHA рідко зупиняють рішуче, добре фінансоване зловживання: вони накладають вартість, але обмежену й часто доступну, а не жорсткий технічний бар’єр.

Існування CAPTCHA-ферм є центральним аргументом на користь виявлення, яке не залежить від розв’язуваного виклику. Якщо базову автоматизацію можна ідентифікувати за її середовищем, поведінкою й мережевим контекстом, то аутсорс відповіді на головоломку не допомагає зловмиснику, бо сесію вже розпізнали як автоматизовану ще до того, як виклик було подано.