GPT-6 击穿 48 道地狱级验证码，最聪明的 AI，遇上最笨的人类

机器人也把「我不是机器人」勾上了。

GPT-6 成功通过了「我不是机器人」游戏中的所有 48 个关卡。

@sharifshameem

「我不是机器人」是独立开发者 Neal Agarwal 在 neal.fun 上做的网页游戏，随着关卡推进，任务会变得越来越离谱、越来越不像「验证」，比如在涂鸦墙里找到威利、在配音板上玩「西蒙说」、画一个完美的圆，甚至在关卡里让你和「女友」分手、停车入位。

你可能会咬牙切齿做完，可 GPT-6 只是挥挥手表示：不吃压力。

人类的验证码已经拦不住 AI

验证码（CAPTCHA），全称是「全自动区分计算机和人类的公开图灵测试」。

由于它是用计算机来考人类，而不是标准图灵测试中那样由人类来考计算机，所以也被视为一种反向图灵测试。

它借用了一种曾经很管用的能力差：人能轻松认出的东西，程序未必看得懂。把字母扭曲、叠起来、加上噪点，就能给自动化脚本添些麻烦。

现代计算机视觉模型识别扭曲文字、图片验证码的能力已经很强。2023 年，一项发表于 USENIX Security 的研究，把真人解题结果与既有攻击研究作了对照。在有数据可比的题型中，机器人准确率达到 85％至 100％，研究测得的真人表现则在 50％至 85％之间。

An Empirical Study & Evaluation of Modern CAPTCHAs https://arxiv.org/pdf/2307.12108

2024 年，苏黎世联邦理工学院的一名博士生曾开发定制 AI 模型来测试 Google「我不是机器人」复选框的健壮性，结果证明这类系统很容易被针对性攻破，因为攻击方的能力提升速度远快于防御方能承受的用户体验成本。

好的验证码设计就像「防熊垃圾桶」，要挡住最聪明的攻击者同时又要放行能力最弱的真人，而软件能力这几十年一直在快速变强。

即使机器人无法独立解题，攻击者也能把验证码交给付费打码服务，借真人之手完成。于是，原本用来判断身份的题目，也成了一项可以外包的成本。

回到 GPT‑6，其实 OpenAI 早期的 Computer-Using Agent 就明确采用了读取屏幕像素、操作虚拟鼠标和键盘、根据反馈处理错误的工作方式。

GPT‑6 在 ScreenSpot-Pro 的无工具设置下得分为 92.7%，GPT‑5.6 Sol 为 76.9%。

把「我知道该操作哪个对象」变成「我能定位这个对象」，确实是这一代模型的显著进步之一。

猫鼠游戏

2000 年，卡内基梅隆大学的研究人员开发了 Gimpy 这一验证码系统。该系统采用扭曲的文字设计，由雅虎公司用于防止机器人进入聊天室。两年后，加州大学伯克利分校的一个团队研发出了一种软件，能够成功破解这种验证码的约 30%。

2014 年，Google 推出了「我不是机器人」复选框功能。如果系统仍然怀疑用户并非人类，就会采用基于图像的验证方式来进行确认。到了 2016 年，哥伦比亚大学的研究人员已经找到了一种方法，使得该系统的准确率达到了约 70%。

行业正在放弃「出题」型验证码，转向 Cloudflare Turnstile、reCAPTCHA v3 这类「无感」评分机制。也就是不再问用户问题，而是给每次访问打一个 0-1 的人类概率分。reCAPTCHA v3 是那种安静评判你一举一动、给出 0 到 1 分数的类型，这时破解者必须伪装成拥有完美鼠标轨迹和设备指纹的真人。

「很多人对验证码的理解都是：验证码是一种视觉挑战，」维基百科的安全主管埃里克·米尔说道。「其实，这算是比较无趣的验证码形式了。」

今年，维基百科放弃了那种由字符组成的验证码，转而采用了 hCaptcha 服务。该服务主要依赖行为分析来识别机器人，只有大约千分之一的用户会面临视觉挑战。

虽然可能并不明显，但实际上，每个浏览互联网的人类用户都会与无数看不见的机器人一起进行网络活动，其中一些机器人可能是恶意的，而另一些则可能是无害的。

去年七月，全球最大的互联网基础设施提供商之一 Cloudflare 估计，大约 30% 的全球网络流量是由机器人产生的；而现在，这一比例已经上升到了 60%。

从 2026 年 9 月 15 日开始，Cloudflare 将默认拦截混用型（既做训练又做搜索）的 AI 爬虫在带广告的页面上抓取。

这是因为广告说明网站主希望真人看到这个页面，那这页面上的「注意力」就该优先留给人类。如果同一个爬虫身兼训练和搜索功能，网站只要拦截训练类，也可能连带把这个爬虫的搜索功能也一起拦掉。

此前，Cloudflare 推出过「按次付费爬取」的模式，网站出版商可以向 AI 爬虫收取抓取内容的费用。

为什么要验证你不是机器人

点击所有的交通信号灯、自行车或鸟类这类题目之所以会出现，是因为一些公司试图阻止那些能够发布垃圾信息，或者抢购 Taylor Swift 的演唱会门票的机器人。机器人涌入会让真正的顾客处于不利地位，甚至可能导致网站崩溃。

GPT-6 发布之后这几天，OpenAI 也再次被曝出出现安全事故，一群 AI 失控劫持了一个德语维基网站。

它们利用这个网站创建了一个共享论坛，用来分享答案、抄袭考试题目、预测未来的考试问题，以及交流绕过 OpenAI 沙盒限制的技巧。

麻烦在于，人与机器之间已经不总是对立关系。假如你让一个 AI 助手替自己查车票、订酒店、整理资料，它在技术上仍是机器人，意图却可能完全正常。把它一概挡住，损失的是用户的便利；只要答对图片就放行，又无法说明它得到了谁的授权，会不会滥用账号。

反过来，真人也会发垃圾信息、倒卖门票。即使能确定访问者是真人，也不能替他的目的作保证。对于敏感操作，授权能否撤回、异常行为能否及时停下，也应当和人机识别一样，被认真放进产品设计里。

当然，新的验证方法也未必更轻松。6 月，Google 推出了一种新的验证码形式，要求用户在电脑摄像头前做出手势动作，而软件会追踪用户的指关节运动。此外，他们还测试了一种新的验证码形式，要求用户拿出手机扫描二维码。

可是，对于一次普通访问，是否值得开放摄像头权限呢？

退到后台的验证也有类似的问题。Cloudflare 的排障文档承认，真人可能陷入反复验证，浏览器扩展、代理和网络环境都可能影响挑战的完成。用户少做了几道题，却可能更难知道自己为什么被挡住。

被误判之后，大多用户不知道还有哪条路可走，而只是反复刷新页面。

将来，那句「我不是机器人」也许会越来越少地出现在屏幕上。值得期待的，是我们终于少做一些无用功；需要警惕的，是可见的难题消失后，换来一套无法理解、也无从申辩的判断。

一个人想正常上网，最好不必把证明自己是人，当成一项长期工作。