Un estudio empírico y evaluación de los CAPTCHAs modernos

Artículo original ↗ Discusión en Hacker News ↗

Los CAPTCHAs modernos resultan cada vez más frustrantes para los usuarios legítimos —especialmente para quienes usan VPN, Tor o necesitan accesibilidad—, al tiempo que se vuelven menos eficaces a medida que los bots, los modelos de IA y las “granjas de captcha” pagadas aprenden a resolverlos rápida y barata­mente. Los comentaristas sostienen que esta carrera armamentística está empujando la web hacia otros mecanismos, a menudo más invasivos para la privacidad o excluyentes, como el attestation de dispositivos, la verificación con tarjeta de pago o identidad, los rompecabezas de prueba de trabajo o los micropagos, lo que suscita preocupaciones sobre el anonimato, la equidad y el uso de energía. Muchos esperan que los CAPTCHAs sigan existiendo durante años a pesar de su valor decreciente, mientras que algunos sitios pequeños optarán por limitar la tasa y moderar en lugar de imponer pruebas humanas cada vez más duras.

Experiencia de usuario y accesibilidad

  • Muchos describen los CAPTCHAs como inutilizables o exasperantes, especialmente las cuadrículas de imágenes (“bicicletas, autobuses, hidrantes”) que pueden llevar minutos y a menudo fallan.
  • Tor, VPNs, navegadores centrados en la privacidad y herramientas anti-fingerprinting provocan un “infierno” desproporcionado de CAPTCHAs, castigando de facto la privacidad.
  • La ambigüedad (“¿cuenta esa esquina diminuta?”) y las imágenes lentas o que nunca cargan son quejas comunes.
  • Las personas con mala vista o los usuarios mayores suelen quedar bloqueados por completo; los CAPTCHAs de audio ayudan a algunos, pero no a todos. Varios señalan que esto parece propicio para impugnaciones por discapacidad/ADA.

Eficacia frente a bots y IA

  • El hilo gira en torno a la afirmación de que los bots/IA ahora pueden superar a los humanos; los comentaristas señalan datos de la tabla del estudio, pero también indican que el estudio mide principalmente el rendimiento humano.
  • Sistemas modernos como reCAPTCHA supuestamente dependen más del análisis conductual (movimiento del ratón, temporización, datos previos de Google) que del rompecabezas visible.
  • Muchos señalan que los bots ya eluden los CAPTCHAs mediante “granjas de captcha” humanas pagadas; los solucionadores de IA principalmente reducirían costes y acelerarían el abuso.
  • Otros sostienen que las comprobaciones de tiempo/jitter pueden falsificarse; es solo otra capa de gato y ratón.

Alternativas propuestas

  • Basadas en identidad o coste: validación con tarjeta de pago, sistemas al estilo UPI, SMS/correo de proveedores “reputados”, identificaciones gubernamentales o internacionales, cuentas sociales, llaves de hardware o esquemas de prueba de persona.
  • Limitación y control de ritmo: límites por cuenta o por IP en lugar de rompecabezas, aunque CGNAT y las grandes botnets socavan la limitación basada en IP.
  • “No hacer nada” para sitios de bajo riesgo: aceptar que los datos públicos serán rastreados y que habrá bots; centrarse en presupuestos de ancho de banda y moderación.

Prueba de trabajo y micropagos

  • Algunos abogan por PoW computacional o esquemas tipo cripto (p. ej., mCaptcha, minería en el navegador) como un “coste por solicitud” en lugar de rompecabezas humanos.
  • Otros plantean preocupaciones: desperdicio energético, botnets con CPU “robada”, consumo de batería en móviles y la ventaja de los ricos o grandes operadores.
  • Los micropagos mediante tarjetas están limitados por umbrales mínimos de comisiones; las variantes basadas en cripto plantean complejidad y riesgos de abuso.

Privacidad, identidad y attestation de dispositivos

  • El attestation de dispositivos y los “private access tokens” son vistos por algunos como el siguiente paso y por otros como una vía hacia dispositivos bloqueados, no controlados por su propietario, y la pérdida del anonimato.
  • Worldcoin e ideas similares de prueba biométrica de humanidad suscitan fuertes preocupaciones distópicas y de centralización.

Meta: estudio y HN

  • Varios señalan que el título de la publicación en HN (“Los bots de IA ahora superan a los humanos…”) era engañoso en relación con el título y el enfoque reales del artículo.