Google начала испытывать новый вариант системы защиты reCAPTCHA, в котором для подтверждения того, что перед сервисом находится человек, пользователю предлагается показать открытую ладонь или помахать рукой перед веб-камерой. Проверка основана на анализе движений кисти и должна помочь в борьбе с автоматизированными ботами.

Однако новый механизм практически сразу вызвал вопросы. Энтузиасты быстро нашли простой способ обойти такую проверку, используя виртуальную веб-камеру и обычное изображение руки. Это вновь поставило под сомнение эффективность подобных методов защиты, а также вызвало дискуссию о конфиденциальности и обработке биометрических данных.

Как работает новая проверка

Новая система входит в состав платформы Google Cloud Fraud Defense, предназначенной для защиты сайтов и онлайн-сервисов от автоматической регистрации аккаунтов, перебора паролей и других мошеннических действий.

Если алгоритмы сочтут действия пользователя подозрительными, браузер запросит доступ к веб-камере. После этого человеку предложат выполнить простое действие — поднять ладонь или помахать рукой перед камерой.

Для анализа используется технология MediaPipe, которая определяет положение кисти по 21 ключевой точке, включая суставы и пальцы. На основе этих координат система машинного обучения оценивает, действительно ли перед камерой находится человек.

Что происходит с видеозаписью

По заявлениям Google, во время проверки записывается лишь короткий видеоролик, необходимый для анализа жеста.

Компания утверждает, что:

• запись удаляется после завершения проверки;
• звук не записывается;
• видео не используется для идентификации личности;
• материалы не передаются сторонним организациям.

При этом Google уточняет, что обработка информации осуществляется в соответствии с собственной политикой конфиденциальности. Какие именно технические данные могут сохраняться и в каком объёме, компания подробно не раскрывает.

Новый способ не заменяет классическую CAPTCHA

Разработчики отмечают, что проверка с помощью жестов не станет обязательной для всех пользователей.

Если человек не может воспользоваться камерой или выполнить необходимое действие, сервис предложит пройти привычные задания reCAPTCHA — например, выбрать изображения или выполнить другие стандартные проверки.

Таким образом, новая технология пока рассматривается как дополнительный уровень защиты, а не полноценная замена существующей CAPTCHA.

Способ обхода появился практически сразу

После начала тестирования пользователи довольно быстро нашли способ обойти новую систему.

Для этого используется виртуальная веб-камера, например OBS Virtual Camera, в которую вместо реального изображения выводится заранее подготовленная фотография или короткое видео с человеком, показывающим ладонь.

В результате проверка может успешно пройти без использования настоящей камеры, искусственного интеллекта или участия самого пользователя. Насколько эффективно Google сможет противодействовать подобным методам, пока неизвестно.

Вопросы вызывает и тема биометрии

Помимо сомнений в эффективности, новая технология вновь подняла вопрос о конфиденциальности.

Хотя Google заявляет, что не использует запись для идентификации личности, анализ формы и расположения кисти относится к обработке биометрических признаков. Именно поэтому часть пользователей и специалистов по информационной безопасности относится к подобным проверкам настороженно.

CAPTCHA становится всё менее эффективной

Проблема защиты от ботов остаётся одной из самых сложных для крупных интернет-платформ.

Ещё в 2024 году исследователи сообщили, что современные системы искусственного интеллекта способны проходить reCAPTCHA v2 практически со стопроцентной успешностью. Позднее ИИ-агент OpenAI смог самостоятельно преодолеть защиту Cloudflare, что также продемонстрировало снижение эффективности традиционных CAPTCHA.

На этом фоне крупнейшие IT-компании, включая Google, Cloudflare, Mozilla и Microsoft, уже работают над альтернативными механизмами проверки пользователей. Одной из наиболее перспективных разработок считается технология Private Access Control Tokens (PACT), позволяющая подтверждать подлинность пользователя без постоянного решения CAPTCHA.

Необходимость поиска новых методов объясняется стремительным ростом автоматизированного интернет-трафика. По данным отраслевых исследований, уже сегодня около 58% всех HTTP-запросов в мире создаются ботами — такого уровня специалисты ожидали лишь к 2027 году. Именно поэтому компании продолжают искать новые способы отличать реальных пользователей от автоматических систем, хотя первые результаты тестирования показывают, что даже самые необычные решения могут быть быстро адаптированы злоумышленниками.