CAPTCHAは、Completely Automated Public Turing test to tell Computers and Humans Apart（コンピュータと人間を区別するための完全自動公開チューリングテスト）の頭字語であり、コンピューティングにおいてユーザーが人間であることを検証するために使用されるチャレンジ・レスポンステストの一種です。この用語は、2000年にCarnegie Mellon Universityのチーム（Luis von Ahn、Manuel Blum、Nicholas Hopper、John Langfordを含む）によって作られました。CAPTCHAの目的は、ボットなどの自動化ソフトウェアが、アカウント作成、フォーム送信、コメント投稿など、通常人間に予約されたアクションを実行するのを防ぐことです。このテストは、人間にとっては簡単だが機械にとっては難しいタスクを提示し、当時の人間の知覚とArtificial intelligenceシステムの能力の差を活用します。
初期のCAPTCHAは、歪んだテキストに依存していました。ユーザーには、変形、回転、またはノイズが重ねられた単語や文字列の画像が表示され、正しく文字を入力する必要がありました。このアプローチは、光学文字認識（OCR）ソフトウェアがそのような歪みを処理するほど堅牢ではなかったため、長年にわたって効果的でした。しかし、Machine learning技術が進歩し、特にDeep learningやNeural networkモデルの登場により、テキストベースのCAPTCHAはますます脆弱になりました。2010年代半ばまでに、多くのテキストCAPTCHAは自動化システムによって高い精度で解かれるようになり、より洗練された代替手段の開発が促されました。
進化と画像ベースの課題
テキストベースのシステムの弱点に対抗するため、開発者は画像ベースのCAPTCHAを導入しました。これらは、ユーザーに一連の画像内のオブジェクトを識別することを要求し、例えば信号機や店先を含むすべての写真を選択するなどです。このアプローチは、当時のコンピュータビジョンにおけるオブジェクト認識の難しさを活用しました。しかし、Convolutional neural networkアーキテクチャと大規模なトレーニングデータセットの台頭により、Deep learningモデルはこれらの課題をますます高い成功率で解くことができるようになりました。Google CloudやAmazon Web Servicesなどのサービスは、オブジェクト検出と分類を実行できる機械学習APIを提供し始め、画像CAPTCHAのセキュリティをさらに侵食しました。
もう一つの注目すべき変種は、視覚障害者向けに設計された音声CAPTCHAで、話された文字や数字のシーケンスを提示しました。これらは、視覚的なものよりも自動音声認識システムにとって解きやすいことが多く、あまり一般的には展開されませんでした。
行動ベースおよび不可視CAPTCHAの台頭
自動ソルバーが改善されるにつれて、業界は行動分析とリスクベースのアプローチにシフトしました。最も顕著な例は、元々Carnegie Mellon Universityで開発され、2009年にGoogleに買収されたreCAPTCHAです。初期のバージョンのreCAPTCHAは、OCRソフトウェアが読めない単語をユーザーに書き写させることで書籍のデジタル化を行いました。後のバージョン、例えば2014年に導入された「No CAPTCHA reCAPTCHA」は、ユーザーがクリックする単純なチェックボックスを提示し、システムはマウスの動き、閲覧履歴、クッキーデータなどのユーザーのインタラクションパターンを分析して、ユーザーが人間かどうかを判断しました。このアプローチは、正当なユーザーには明示的なチャレンジを必要としないことが多く、「不可視」のCAPTCHAとなりました。
reCAPTCHA v3などの不可視CAPTCHAは、ユーザーのインタラクションなしにウェブサイト上の行動に基づいてユーザーをスコアリングします。システムはリスクスコアを割り当て、ウェブサイト所有者は低スコアのユーザーをブロックまたはチャレンジすることを決定できます。この方法は、人間の行動とボットの行動を区別するように訓練されたMachine learningモデルに大きく依存しています。多くの場合効果的ですが、ウェブ全体でユーザーデータを収集するため、プライバシーの懸念を引き起こします。
セキュリティと限界
CAPTCHAは完璧なセキュリティ対策ではありません。いくつかのタイプの攻撃に対して脆弱です。一般的な攻撃の一つは、CAPTCHA解決ファームの使用で、低賃金の人間の労働者がボットのためにリアルタイムでチャレンジを解決します。もう一つは、CAPTCHAの変種を解決するために特別に訓練された機械学習モデルの使用です。例えば、研究者はDeep learningモデルが十分なトレーニングデータでテキストおよび画像CAPTCHAで高い精度を達成できることを実証しています。さらに、CAPTCHAは、弱い乱数生成やチャレンジ画像の再利用などの実装上の欠陥を悪用することで回避できます。
CAPTCHAの効果は、人間に対する機械のタスクの難しさに依存します。Generative AIやLarge language modelシステムが改善するにつれて、推論や常識を必要とするものを含む、より複雑なチャレンジを解決できる可能性があります。一部の研究者は、感情内容の識別や道徳的判断など、人間レベルの理解を必要とするタスクに基づくCAPTCHAの使用を提案していますが、これらは広く展開されていません。
アプリケーションと影響
CAPTCHAは、スパム、偽アカウント作成、クレデンシャルスタッフィング、その他の自動化された悪用からウェブサイトを保護するために、インターネット全体で広く使用されています。これらは一般的に、ログインフォーム、登録ページ、コメントセクションに統合されています。OpenAI、Anthropic、Google DeepMindなどの主要プラットフォームは、サインアップおよびAPIアクセスページでCAPTCHAを使用して悪用を防いでいます。この技術には二次的な利点もあります。CAPTCHAの解決に費やされた人間の労力は、元のreCAPTCHAプロジェクトに見られるように、書籍のデジタル化、機械学習モデルのトレーニング、画像のラベリングに使用されてきました。
その遍在性にもかかわらず、CAPTCHAはユーザーエクスペリエンスにコストを課し、正当なインタラクションに摩擦を追加します。これにより、デバイスフィンガープリンティング、プルーフ・オブ・ワーク、生体認証などの代替検証方法に関する継続的な研究が行われています。しかし、CAPTCHAは、展開が簡単で特別なハードウェアを必要としないため、セキュリティツールキットの標準的なツールであり続けています。
将来の方向性
CAPTCHAの未来は、行動分析、リスクスコアリング、適応チャレンジの組み合わせを含む可能性が高いです。Artificial intelligenceシステムがより能力を高めるにつれて、CAPTCHAは人間と機械の区別を維持するために進化する必要があります。一部の研究者は、現在のAIモデルにとって難しい常識や物理的推論を必要とするインタラクティブなパズルの使用を探求しています。他の研究者は、人間には簡単だが機械には難しいチャレンジを生成するためのトランスフォーマーやNeural networkモデルの使用を調査しており、これは敵対的CAPTCHAとして知られる概念です。CAPTCHA設計者と自動ソルバーの間の進行中の軍拡競争は、Machine learningとDeep learningの進歩の直接的な結果であり、両側が改善するにつれて続く可能性が高いです。