2026 年，AI 对于验证码的识别是什么情况了？

‍我是 Luhui Dev一个长期拆解 Agent 工程、探索 AI 教育落地的开发者。关注 Agent Harness、LLM 应用工程、AI for Math 与教育 SaaS 产品化实践。我们大概都遇到过这种场景登录一个网站先点一下“我不是机器人”然后页面弹出九宫格让你选出所有包含红绿灯、摩托车或者公交车的图片。点完一轮又来一轮。有时候明明选对了系统还是让你重试如果你所在网络环境比较特殊验证甚至会一轮接一轮地出现。验证码本来是用来给机器制造麻烦的但是技术发展到现在机器可能已经比人更擅长做这些题了。2024 年有研究者针对 Google reCAPTCHA v2 做了一组实验。他们没有使用 GPT只是用经过训练的 YOLOv8 图像模型识别验证码中的目标图片再配合浏览器自动化完成操作。结果是100 次测试全部通过。到了 2025 年AI已经大兴发展起来了。研究开始从单一验证码转向更系统的评估文字、图片选择、滑块、旋转等多种 CAPTCHA 放在同一套 benchmark 里测试视觉语言模型。有些已经接近普通视觉识别任务有些仍然需要精确定位、空间推理和连续交互成功率明显下降。而到了 2026 年变化又向前走了一步。问题开始不再只是“AI 能不能看懂验证码”而是“AI 能不能自己打开网页看懂验证码然后完成点击、拖动、纠错再继续做原来的事情”。答案也正在变成可以。这就是为什么今天我想重新讨论 CAPTCHA。验证码作为安全防控的关键一环没有消失但它最初依赖的安全假设正在发生变化。而 2026 年的当下我们需要了解 AI 对于验证码的识别是什么情况了。CAPTCHA 最初赌的是一件事人会机器不会CAPTCHA 的核心思路其实很简单找到一种人类很容易完成、机器却很难完成的任务然后拿这件事区分人与机器。早期最典型的是扭曲文字。字母会被旋转、粘连背景里加入噪声和干扰线。对于人来说眯着眼睛通常还能认出来对早期 OCR 来说却是一道很困难的题。后来 OCR 越来越强验证码开始换题Google reCAPTCHA 逐渐转向图片让用户去判断哪些图里有汽车、红绿灯、摩托车。本质上还是同一个游戏找一种人类擅长、机器暂时不擅长的感知能力。问题在于过去二十年 AI 进步最快的恰恰就是这些能力。OCR、图像分类、目标检测、语音识别再到今天的视觉语言模型CAPTCHA 不断寻找新的“机器盲区”而机器不断追上来。所以到了 2026 年如果还只问一句“AI 识别验证码的准确率是多少”其实已经不够了。更准确的分析应该至少分成三个层次。第一层是Recognition也就是 AI 能不能看懂验证码、知道正确答案第二层是Interaction也就是它知道答案以后能不能真的在网页里点击、拖动、多轮交互第三层才是Acceptance也就是即使验证码做对了服务端的风控系统最终会不会接受这次请求。这三个问题现在已经越来越不同。文字验证码基本已经退化成一个 OCR 问题传统文字 CAPTCHA 今天已经很难承担核心安全边界。原因不复杂它本质上就是一个 OCR 问题。今天如果一个网站仍然使用固定字体、固定噪声分布、固定长度的文字验证码攻击者一旦能收集到足够样本训练一个专用模型并不是什么前沿研究。甚至很多时候根本不需要大模型。谈 AI 破解 CAPTCHA 时人们很容易想到 GPT、Gemini、Qwen 这样的通用模型但对固定题型来说越专用的模型反而可能越便宜、越快。一个针对特定验证码训练好的 OCR 或轻量视觉模型可以直接放在本地运行单次推理成本非常低。九宫格验证码已经越来越像普通目标检测图片 CAPTCHA 曾经明显抬高过攻击门槛。“请选择所有包含公交车的图片”这种题对早期机器视觉并不容易。但今天再看它的任务定义已经非常熟悉这就是目标检测和图像分类。2024 年有研究者针对 reCAPTCHA v2 的图片挑战训练 YOLOv8用它识别验证码里的目标类别再结合自动化程序完成点击最终报告了 100 次测试全部通过的结果。这里的“100%”并不是说“reCAPTCHA 已经没有用了”而是说明在那套具体实验条件下图片挑战本身已经不能可靠地区分机器和人。毕竟 reCAPTCHA 背后依然还有 cookie、浏览器环境、访问历史、风险评分等其他机制这些并没有因为图像识别成功而消失。但过去那层最直观的安全假设“机器应该认不出红绿灯”正在失效。更麻烦的是攻击者已经不一定需要专门训练模型YOLO 破解 reCAPTCHA 仍然是一种比较传统的思路先收数据再标注再针对特定 CAPTCHA 训练一个 solver。它的优点是便宜、快、稳定但缺点也很明显它比较依赖题型。如果验证码突然从“找汽车”变成“选择两个用途相同的物体”一个只为汽车、公交车、红绿灯训练的模型就很容易失效。视觉语言模型改变的正是这一点。Qwen、Gemini、GPT 这一类模型不是只认识某个固定类别而是能够同时理解图片、文字指令和空间关系。2025 年的 MCA-Bench 就专门研究了这个问题它把多种 CAPTCHA 统一放到视觉语言模型框架下测试。结果显示经过训练的 Qwen2.5-VL 在部分扭曲文字和 3×3 图片选择任务上已经能达到很高成功率但面对滑块、旋转和复杂空间推理时表现会明显下降。这个差异说明 CAPTCHA 的难点正在发生变化。以前主要考的是“看不看得懂”现在开始考“看懂以后能不能准确地做出交互动作”。滑块为什么曾经更难滑块验证码就是一个很典型的例子。页面上有一张图片中间挖掉一块用户需要拖动滑块让拼图恰好对齐缺口。这比九宫格多了一层要求。九宫格只需要回答“红绿灯在哪里”滑块还要回答“缺口在哪里”“应该拖多远”“轨迹是不是合理”。它同时包含视觉识别和行为交互。不过这类验证码也没有形成一个长期稳定的安全边界。2024 年一项针对五种广泛部署的行为验证型滑块 CAPTCHA 的研究报告使用专门设计的方法可以达到 87.5% 到 100% 的成功率。这再次说明如果攻击者愿意针对某一种验证码定制算法单纯把图片换成滑块并不能永久解决问题。缺口检测本身已经是成熟的计算机视觉任务真正更难模拟的部分逐渐变成鼠标轨迹、时间间隔、页面环境、历史 session、IP reputation 这些外围信号。到 2026 年GUI Agent 开始自己做验证码了真正让我惊叹这一轮变化和过去不一样的是GUI Agent开始把验证码当成普通网页交互来处理。2026 年的一项研究提出了 ReCAP一种专门增强 CAPTCHA 能力的原生 GUI Agent。它不再使用传统的“截图交给识别模型再由脚本解析结果、执行点击”的流水线而是让模型直接看截图并输出 GUI 操作。模型可以自己识别目标、找到位置、点击、观察下一帧、判断是否出错再继续修正。研究者使用数据训练后的 Qwen3-VL 系列模型。32B 模型在一组动态 CAPTCHA benchmark 上的总体成功率达到约 81%平均只需要约 1.54 次模型调用端到端执行时间低于 3 秒。虽然以上是测试数据但真实成功率业界也在 60% 上下。趋势已经很清楚了CAPTCHA solving 正在从一种专门的安全攻击技能逐渐变成通用 Computer Use Agent 的一个副能力。过去要破解验证码需要有人专门写破解器。未来的情况可能是一个 Agent 在执行订票、购物或者填写表单任务时走到一半遇到验证码它看一眼自己完成然后继续执行原来的任务。能做题不等于能过系统如果只看到前面的研究数据很容易得出“CAPTCHA 已经死了”的结论但现实没有这么简单。假设一个 AI 可以 100% 准确地找出所有红绿灯它打开 reCAPTCHA九张图片全部点对Google 仍然可能不让它通过。因为现代 CAPTCHA 早就不只是在检查答案。服务器能看到的东西远比验证码截图多。它可以观察这个 IP 来自哪里是不是数据中心 ASN这个设备是否出现过cookie 有没有历史浏览器环境是否正常请求频率是多少一个 session 里连续做了多少次挑战账号是否刚刚创建行为模式是否偏离正常用户。这也是为什么评价 CAPTCHA 时要把 Recognition、Interaction 和 Acceptance 分开。某个模型在离线 benchmark 里达到 98% 识别率并不意味着它就有 98% 的端到端通过率。识别只是其中一层。攻击成本也发生了变化过去人们会认为验证码最重要的攻击成本来自机器算不出来。现在这部分成本正在快速下降。传统 OCR、YOLO 这类专用模型可以完全本地部署。视觉语言模型也在不断开放权重Qwen3-VL 这样的模型已经可以在本地环境里运行。对固定任务来说纯推理的边际成本已经可以压得很低。公开 CAPTCHA solving 市场的价格也能从另一个侧面说明这个问题。普通图片验证码和常见 reCAPTCHA 的公开市场价格已经落到每 1000 次几美元甚至更低的量级。也就是说现在真正做大规模自动化时更贵的东西往往不再是“识别验证码”本身而是代理 IP、干净的 reputation、真实浏览器环境、设备身份、账号资源、session 维持和失败重试。于是最新 CAPTCHA 的防御目标也跟着变了。以前希望做到的是让机器做不出来。现在更现实的目标是让机器批量做这件事不划算。Google 已经不再把重点放在题目上了顺着这个变化去看 Google会发现 reCAPTCHA 自己也已经走得很远了。今天 Google Cloud 已经把 reCAPTCHA 放进更大的 Fraud Defense 体系里。它关注的不再只是“这道题有没有答对”而是整个请求的风险。服务端可以得到 0.0 到 1.0 的风险评分1.0 代表低风险0.0 代表高风险开发者再根据业务场景决定下一步动作。比如登录场景里低风险请求可以直接通过中风险请求触发邮箱验证更高风险触发 MFA再高则直接拒绝。以前 CAPTCHA 本身负责做决定题做对了就通过。现在则是请求进入系统以后先收集一系列信号再计算风险最后由业务决定是放行、升级验证还是拒绝。Cloudflare 更进一步最好根本不要让用户做题Cloudflare Turnstile 的思路更有代表性。它表面上仍然是 CAPTCHA 的替代品但设计目标很早就从“让用户完成挑战”变成了“尽量让用户无感通过”。Turnstile 会在浏览器里运行一系列非交互式 challenge并结合客户端和浏览器环境中的多种信号进行判断。Cloudflare 官方曾提到 proof-of-work、proof-of-space、Web API 探测、浏览器 quirks 和行为信号等机制。Managed 模式会根据客户端信号和风险水平选择验证方式低风险用户可以直接通过只有需要进一步检查时才会出现 checkbox。即使前端显示风险检验通过Cloudflare 仍然可能要求服务端继续校验 token。官方文档明确强调一个 challenge 被 solve并不能自动说明访问者就是可信的人类请求。这句话其实非常能说明 2026 年 CAPTCHA 的真实状态。会做题已经不再等于通过安全判断。hCaptcha 没有完全放弃出题hCaptcha 的路线和 Google、Cloudflare 又不完全一样。它仍然保留了更多主动视觉 challenge同时也提供 invisible 模式和 risk score。这种策略背后的逻辑也很直观即使某一类 CAPTCHA 被当前模型攻破仍然可以通过更换题型、增加交互复杂度和动态轮换重新拉开一段时间的人机差距。过去两年学术界也在不断尝试类似思路例如视觉错觉 CAPTCHA、音频错觉 CAPTCHA、复杂空间推理 CAPTCHA。2026 年那项音频 CAPTCHA 研究提出的 IllusionAudio在测试模型上实现了 0% bypass同时在人类实验中保持了很高成功率。这是一个很漂亮的结果但它依然有一个熟悉的问题一旦题型公开攻击者就可以开始专门收集数据、生成样本、微调模型。CAPTCHA 二十多年的历史本质上一直在重复这个循环找到新的 human-easy / machine-hard task部署机器学习攻破再增加复杂度再寻找新的任务。生成式 AI 没有终结这个循环只是让它转得越来越快。真正麻烦的可能不是 Bot而是合法的 AI Agent这里还有一个 CAPTCHA 最初根本没有考虑过的问题未来的机器流量不一定都是坏流量。过去互联网里的 Bot通常很容易被理解成爬虫、垃圾注册、撞库、刷票、刷库存、自动广告点击。于是可以简单地把 Human 理解成 Good把 Bot 理解成 Bad。Agent 时代不是这样。一个 AI Agent 帮我订酒店它当然是 Bot但它应该被阻止吗未必。一个 Agent 帮我填写公司报销系统一个无障碍 Agent 帮视障用户操作网页一个购物 Agent 帮用户比价和下单一个企业内部自动化 Agent 操作 SaaS这些都是自动化程序但也可能拥有真实用户的授权。Google 当前的 Fraud Defense API 已经开始出现verified bot identity这样的概念这其实很能说明问题。未来的网站可能不应该再简单地问“你是不是机器人”而应该问“这个 Agent 是谁、是谁授权它来的、它准备做什么、允许执行多大的动作、它过去的 reputation 怎么样、它一分钟发三个请求还是三万个请求”。写在最后把过去AI快速发展的三年研究放在一起会看到一条很清楚的变化。文字 CAPTCHA 首先失守图片 CAPTCHA 逐渐变成普通目标检测视觉语言模型开始解决以前需要专门模型才能处理的不同类型验证码GUI Agent 又把“识别”和“操作”连接起来。接下来真正比较难的部分越来越集中在动态、多步骤、精细定位以及真实服务器环境中的风险判断。所以在 2026 年最先进的 CAPTCHA 产品越来越不像 CAPTCHA。Google 在算 risk scoreCloudflare 在观察浏览器和客户端环境hCaptcha 把主动 challenge 和被动信号结合起来。最终目标显然已经不是找到一道 AI 永远做不出来的题因为这件事越来越难保证。更现实的目标是让一次正常访问几乎没有成本让一次大规模自动化攻击不断增加成本直到它不再划算。