Google đang thử nghiệm quy trình xác minh reCAPTCHA mới yêu cầu người dùng kích hoạt máy ảnh của họ và thực hiện cử chỉ tay để chứng minh họ là con người chứ không phải robot. Ý tưởng này nhằm mục đích làm chậm các bot, nhưng thử nghiệm đã bị phá vỡ sau vài ngày chỉ bằng một bức ảnh đơn giản, điều này ngay lập tức làm dấy lên nghi ngờ về tính mạnh mẽ và chi phí của nó về mặt quyền riêng tư.
Bạn có phải là con người không? Hãy vẫy tay
Thiết bị hoạt động dựa trên việc nhận dạng chuyển động của bàn tay dựa trên 21 điểm mốc tương ứng với các ngón tay và khớp. Người dùng phải thực hiện một cử chỉ đơn giản, chẳng hạn như vẫy tay hoặc đưa lòng bàn tay mở ra, trong khi mô-đun có nguồn gốc từ MediaPipe phân tích trình tự. Google hiện tại Cách tiếp cận này nhằm đáp ứng các tình huống mà các thách thức truyền thống không còn đủ nữa, đặc biệt là đối với việc tạo tài khoản tự động.
Vấn đề xuất hiện gần như ngay lập tức. Người thử nghiệm đã thành công để đánh lừa hệ thống bằng hình ảnh tĩnh được hiển thị qua camera ảo của OBS mà không sử dụng trí tuệ nhân tạo hoặc video trực tiếp. Trong những điều kiện này, lời hứa bảo mật của cử chỉ sẽ nhanh chóng sụp đổ, mặc dù quy trình này gây thêm rắc rối cho người dùng.
😁 Captcha mới của Google yêu cầu bạn hiển thị cử chỉ tay trên webcam của mình, nhưng mọi người đã bỏ qua nó bằng ảnh có sẵn
Hệ thống này được cho là “cách tốt nhất để phân biệt con người với AI”.
Chúng ta lại ở đây. https://t.co/Q3oK6yXwmY pic.twitter.com/RwR3mHnTsf
— VGTimes (@VGTimes) Ngày 29 tháng 6 năm 2026
Google chỉ rõ rằng bài kiểm tra không sử dụng âm thanh và video sẽ bị xóa sau khi xác minh. Tuy nhiên, việc thu thập nằm trong khuôn khổ chính sách bảo mật của nó, điều này đủ để đặt ra câu hỏi về việc sử dụng dữ liệu gần với sinh trắc học. Do đó, thử nghiệm mở ra một mặt trận chỉ trích kép: tính hiệu quả đáng nghi ngờ đối với những kẻ tấn công và sự nhạy cảm ngày càng tăng liên quan đến việc bảo vệ dữ liệu.
CAPTCHA cổ điển đang đạt đến điểm bão hòa
Nỗ lực này diễn ra trong bối cảnh các hệ thống chống bot truyền thống đang mất dần vị thế. Bot hiện chiếm 58% yêu cầu HTTP toàn cầu, ngưỡng đạt sớm hơn Cloudflare vẫn được dự đoán cho năm 2027. CAPTCHA cũ cũng ngày càng dễ bị tổn thương: vào năm 2024, các mô hình phát hiện đối tượng đã đạt được 100% thành công trước reCAPTCHAv2 và vào năm 2025, một tác nhân OpenAI đã vượt qua bài kiểm tra Cloudflare bằng cách mô tả thành tiếng từng bước.
Trong bối cảnh này, bài kiểm tra của Google trong đó bạn phải đưa tay ra có vẻ như là một quá trình chuyển đổi không chắc chắn. Nó chuyển quyền điều khiển từ hình ảnh sang cử chỉ mà không giải quyết được vấn đề tiềm ẩn: một cỗ máy ngày nay có thể mô phỏng hoặc phá vỡ hầu hết các bằng chứng trực quan với tốc độ ngày càng tăng. Kết quả là một hệ thống xâm nhập nhiều hơn, không đảm bảo được sức mạnh vượt trội.
Trong khi Google đang thử nghiệm con đường này thì ngành này cũng đang nỗ lực thực hiện một sự thay đổi sâu sắc hơn. Cloudflare, Google, Mozilla và Microsoft đang thúc đẩy một tiêu chuẩn mật mã mới có tên là Mã thông báo kiểm soát truy cập riêng tư (PACT). Mục tiêu là thay thế CAPTCHA bằng bằng chứng về tính hợp pháp được ban hành theo cách kín đáo hơn mà không áp đặt thử nghiệm bằng hình ảnh hoặc cử chỉ đối với người dùng.
Cách tiếp cận này tìm cách thoát khỏi vòng luẩn quẩn trong đó mỗi thử thách mới nhanh chóng bị bot đánh bại. Nếu PACT thành công, việc xác minh của con người có thể trở nên đơn giản hơn, thân thiện với quyền riêng tư hơn và phù hợp hơn với một trang web nơi hoạt động tự động hóa độc hại đã vượt quá một nửa lưu lượng truy cập. Bài kiểm tra bằng tay của Google cho thấy một điều trên hết: cuộc chiến chống lại bot sẽ không còn phân thắng bại chỉ bằng một chướng ngại vật bổ sung đơn giản trên màn hình.
