据报道OpenAI研究人员发布了一段演示视频GPT-6 Astra以零失误通过了我不是机器人CAPTCHA验证码的全部48个游戏关卡而且是完整走完整套流程不是碰巧过了某一关。公开资料显示GPT-6 Astra是OpenAI于9月4日发布的模型API标准价格为每百万token输入10美元、输出50美元。消息传开后很多人第一反应是以后验证码还有啥用。先把技术本质说清楚。CAPTCHA的底层假设正在失效CAPTCHA的全称是完全自动化的公开图灵测试设计初衷是出一些对人容易、对机器难的题比如识别扭曲文字、点选图片。它成立的前提是机器解不了这些题。这个前提其实早就松动了。文字验证码被OCR攻破不是新鲜事滑块、点选这类图形验证码近年在深度学习模型面前也基本形同虚设。这次演示里不一样的地方在于GPT-6 Astra不是靠专用破解工具而是像人一样看题—理解—操作把多关卡流程完整走完且零失误。也就是说过验证码的能力从专用脚本变成了通用模型顺带就会。这带来一个很实际的变化以前想批量过验证码要么写识别脚本要么接打码平台有门槛、有成本现在理论上调通用模型API就能跑。价格是公开的输入10美元、输出50美元每百万token跑一轮48关要花多少攻击者自己算得出来——这反而是个好消息只要破解成本高于目标收益低价值攻击自然会被过滤。验证码拦的从来不只是能不能解还有值不值得解这一点没变。做网站、App的人验证码别当唯一防线如果站点还在用纯图形验证码前端校验当主要风控建议尽快升级思路服务端二次校验不能省前端传回的验证通过标记本身不可信真正的判断要在服务端基于请求特征重新做。叠加行为维度单次解题说明不了什么把请求频率、操作间隔、设备指纹、账号历史放一起看才不容易被单一突破点打穿。留人工申诉通道风控收紧后误杀率会上升没有申诉入口的站点用户流失比被爬更痛。后端做风险判断可以参考下面这种多特征打分的简化思路示意代码生产环境需结合业务调参defrisk_score(interval_sec,solve_ms,claimed_pass,device_history_ok):score0ifinterval_sec0.8:# 请求间隔太短不像人score2ifsolve_ms300:# 声称是人却解题过快score3ifnotclaimed_pass:# 前端说没通过score5ifnotdevice_history_ok:# 设备没有历史行为score2returnscore ## 给三类人的提醒-**做爬虫、自动化、RPA的**AI能过验证码技术上少了一道坎但合规的坎还在——平台条款、robots协议、数据合规风险不会因为模型变强就消失。能不能用和能不能合法地用是两码事。--**做风控、安全产品的**图形验证码会从主防线降级成体验过滤网行业重心往无感风控行为分析、设备指纹、频率控制迁移这条路线基本是明牌。--**普通用户**验证码可能越来越少但网站判断你是不是人的方式会更隐蔽。误伤和误放之间的平衡怎么做会是接下来各家头疼的事。 给做测试和QA的同事也提个醒如果维护的产品还在用旧式图形验证码建议自己先拿现成的视觉模型跑一轮压测看看真实通过率——与其等攻击者先测出来不如先摸清自己的底线。测试用例里那种验证码环节人工处理的写法也该更新了。社区运营和平台管理员同样要留意批量注册、垃圾评论、刷量脚本都会跟着这波能力升级注册门槛对自动化基本失效后内容审核和频率限制得提前跟上。 顺带说一句验证码被AI通关本质不是验证码厂商不行而是通用智能第一次在交互层面追平了人的操作能力——这套逻辑迟早会传导到更多领域比如客服、审核、测试这些靠人肉操作的岗位早晚也会被同样审视一遍。 纯图形验证码退场多快取决于它的成本和收益差还能维持多久。你怎么看评论区聊聊。