การศึกษาเชิงประจักษ์และการประเมินผล CAPTCHA สมัยใหม่

 (arxiv.org)
1 คะแนน โดย GN⁺ 2023-12-18 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • CAPTCHA ยังถูกใช้อย่างแพร่หลายในการป้องกันบอต แต่เมื่อดูทั้งกรณีการใช้งานจริงและประสบการณ์ผู้ใช้ จะพบว่า สมดุลระหว่างความปลอดภัยกับการใช้งาน กำลังสั่นคลอนอย่างมาก
  • จากการสำรวจเว็บไซต์ยอดนิยม 200 แห่งและการศึกษาผู้ใช้ MTurk พบว่า reCAPTCHA แบบคลิก เร็วที่สุดด้วยค่ามัธยฐาน 3.7 วินาที ขณะที่แบบเกม แบบสไลเดอร์ และ hCAPTCHA แบบยากมักใช้เวลานานกว่า
  • CAPTCHA ที่เร็วไม่ได้เป็นประเภทที่ผู้ใช้ชอบที่สุดเสมอไป โดยมีประเภทอย่าง แบบเกมและแบบสไลเดอร์ ที่แม้ใช้เวลาแก้นานกว่า แต่กลับได้รับการประเมินค่อนข้างดี
  • ใน การตั้งค่าแบบมีบริบท ที่แทรก CAPTCHA ไว้ในขั้นตอนสร้างบัญชี เวลาเฉลี่ยในการแก้เพิ่มขึ้นสูงสุด 57.5% เมื่อเทียบกับการให้แก้โดยตรง และอัตราการละทิ้งก็สูงขึ้นด้วย
  • ยิ่งอายุมาก เวลาที่ใช้แก้ CAPTCHA ส่วนใหญ่ก็ยิ่งเพิ่มขึ้น และเมื่อเทียบกับงานวิจัยเดิมเรื่องประสิทธิภาพบอต ก็พบหลายกรณีที่ บอตเร็วและแม่นยำกว่ามนุษย์

เหตุใด CAPTCHA จึงกลับมาเป็นสิ่งที่ต้องประเมินใหม่

  • CAPTCHA ถูกใช้เป็นมาตรการป้องกันบอตอย่างแพร่หลายมาราว 20 ปี แต่เทคนิคการหลบเลี่ยงหรือแก้แบบอัตโนมัติก็พัฒนาอย่างต่อเนื่องเช่นกัน
  • CAPTCHA ยุคแรกเป็นการให้ผู้ใช้พิมพ์ข้อความบิดเบี้ยวจากภาพ แต่ด้วยความก้าวหน้าของคอมพิวเตอร์วิทัศน์และแมชชีนเลิร์นนิง ในปี 2014 ก็มีกรณีที่เครื่องมืออัตโนมัติทำความแม่นยำได้เกิน 99%
  • ปัจจุบัน CAPTCHA แตกแขนงออกเป็นหลายรูปแบบ
    • แบบรู้จำวัตถุ: “เลือกช่องที่มีวัตถุที่กำหนด”
    • แบบข้อความบิดเบี้ยว
    • แบบพัซเซิล: “เลื่อนบล็อก”
    • แบบอิงการวิเคราะห์พฤติกรรมผู้ใช้
  • งานวิจัยนี้มุ่งศึกษาที่ CAPTCHA แบบไม่ดัดแปลง ซึ่งใช้งานอยู่จริงบนเว็บ
    • สำรวจเว็บไซต์ยอดนิยม 200 แห่งแบบแมนนวล
    • การศึกษาผู้ใช้หลักผ่าน MTurk กับผู้เข้าร่วม 1,000 คน
    • การศึกษา MTurk เพิ่มเติมเพื่อดูอัตราการละทิ้งแยกต่างหาก
    • เปิดเผยชุดข้อมูลที่ทำให้ไม่สามารถระบุตัวตนได้ทั้งหมดและโค้ดวิเคราะห์: captcha-study

การกระจายตัวของ CAPTCHA ใน 200 เว็บไซต์ยอดนิยม

  • มีการสำรวจเว็บไซต์ 200 อันดับแรกตามรายการ Alexa Top Websites แบบแมนนวล
    • 185 เว็บไซต์มีขั้นตอนการสร้างบัญชี
    • 142 เว็บไซต์สามารถสร้างบัญชีได้จริง
    • แต่ละเว็บไซต์ถูกเข้าเยี่ยมชมทั้งผ่าน Chrome โหมดไม่ระบุตัวตนและ Tor Browser
  • ประเภท CAPTCHA ที่พบมีความเด่นชัดเรื่อง การกระจุกตัวที่ reCAPTCHA
    • reCAPTCHA: 68 เว็บไซต์ คิดเป็น 34% ของกลุ่มสำรวจ
    • CAPTCHA แบบสไลเดอร์: 14 เว็บไซต์ 7%
    • CAPTCHA แบบข้อความบิดเบี้ยว: 14 เว็บไซต์ 7%
    • CAPTCHA แบบเกม: 9 เว็บไซต์ 4.5%
    • hCAPTCHA: 1 เว็บไซต์
    • CAPTCHA แบบมองไม่เห็น: 12 เว็บไซต์ 6%
    • อื่น ๆ: CAPTCHA คล้ายบัตรขูด ลอตเตอรี่, CAPTCHA ให้หาตัวอักษรจีนในภาพ, NuCaptcha เป็นต้น
  • ขอบเขตการสำรวจมีข้อจำกัดชัดเจน
    • เป็นการสำรวจแบบแมนนวล จึงครอบคลุมเพียง 200 เว็บไซต์อันดับบนสุด
    • ไม่ได้ทดสอบทุกฟังก์ชัน ดังนั้นจำนวนการใช้งาน CAPTCHA จริงอาจมากกว่านี้
    • ขึ้นอยู่กับอันดับเว็บไซต์และสถานะ CAPTCHA ณ ช่วงเวลานั้น
    • ไม่รวม CAPTCHA ของเว็บไซต์เฉพาะทาง เช่น ดาร์กเว็บ
  • ในชุดข้อมูลเว็บไซต์ 673 ล้านแห่งของ BuiltWith จาก 15.2 ล้านเว็บไซต์ที่ใช้ CAPTCHA นั้น reCAPTCHA มีสัดส่วน 97.3% และ hCAPTCHA 1.4%
    • ประเภท CAPTCHA ที่ใช้ในงานวิจัยนี้ครอบคลุมมากกว่า 98% ตามเกณฑ์ของชุดข้อมูลขนาดใหญ่นี้

การออกแบบการศึกษาผู้ใช้

  • การศึกษาผู้ใช้หลักดำเนินการบน MTurk กับผู้เข้าร่วม 1,000 คน และผู้เข้าร่วมแต่ละคนแก้ CAPTCHA 10 แบบในลำดับสุ่ม
  • ขั้นตอนประกอบด้วย 4 ส่วน
    • แนะนำงานวิจัย
    • คำถามก่อนเริ่ม: เก็บข้อมูลประชากรศาสตร์
    • ภารกิจแก้ CAPTCHA
    • คำถามหลังจบ: เช่น ความชอบต่อ CAPTCHA ที่เพิ่งแก้
  • มี CAPTCHA ที่ใช้ทั้งหมด 10 แบบ
    • reCAPTCHA v2 2 แบบ: การตั้งค่าที่ง่ายที่สุดสำหรับผู้ใช้ และการตั้งค่าที่เน้นความปลอดภัยที่สุด
    • Arkose Labs แบบเกม 2 แบบ: หมุนวัตถุ, เลือกวัตถุที่หันถูกทิศทาง
    • hCAPTCHA 2 แบบ: แบบง่าย, แบบยาก
    • Geetest slider CAPTCHA 1 แบบ
    • CAPTCHA ข้อความบิดเบี้ยว 3 แบบ: แบบธรรมดา, แบบมีการบดบัง, แบบข้อความเคลื่อนไหว
  • เพื่อเปรียบเทียบบริบทของการทดลอง จึงใช้ 2 การตั้งค่า
    • การตั้งค่าแบบตรงไปตรงมา: แจ้งผู้เข้าร่วมตรง ๆ ว่าเป็นการวิจัยเกี่ยวกับการแก้ CAPTCHA และแสดง CAPTCHA ทั้ง 10 แบบโดยตรง
    • การตั้งค่าแบบมีบริบท: แจ้งผู้เข้าร่วมว่าเป็นการวิจัยเกี่ยวกับการสร้างบัญชี และให้ CAPTCHA ปรากฏหลังส่งแบบฟอร์มสร้างบัญชีแต่ละครั้ง
  • ในการตั้งค่าแบบมีบริบท มีการใช้ข้อมูลสังเคราะห์เพื่อหลีกเลี่ยงการเก็บข้อมูลส่วนบุคคล และเปิดเผยวัตถุประสงค์จริงหลังเสร็จงาน
    • วิธีนี้ได้รับการอนุมัติจาก IRB รวมถึงเอกสารเกี่ยวกับการเปิดเผยไม่ครบถ้วนและการเปลี่ยนแปลงความยินยอมก็ได้รับอนุมัติเช่นกัน
    • หลังเปิดเผยวัตถุประสงค์แล้ว จะไม่เก็บข้อมูลของผู้เข้าร่วมที่ไม่ยินยอมให้ใช้ข้อมูล
  • ค่าตอบแทนผู้เข้าร่วมเริ่มต้นที่ 0.30 ดอลลาร์สำหรับการตั้งค่าแบบตรงไปตรงมา และ 0.75 ดอลลาร์สำหรับการตั้งค่าแบบมีบริบท
    • หลังยืนยันว่าค่ามัธยฐานเวลาที่ใช้ทำเสร็จอยู่ที่ 4.4 นาทีและ 11.5 นาทีตามลำดับ ก็ปรับเพิ่มย้อนหลังเป็น 0.60 ดอลลาร์และ 1.50 ดอลลาร์

ความแตกต่างของเวลาในการแก้และความชอบ

  • เวลาในการแก้ CAPTCHA แตกต่างกันมากตามประเภท
    • reCAPTCHA แบบคลิกเร็วที่สุดด้วยค่ามัธยฐาน 3.7 วินาที
    • ความต่างระหว่างการตั้งค่าแบบง่ายกับแบบยากมีไม่มาก
    • CAPTCHA ข้อความบิดเบี้ยวแบบธรรมดาแก้ได้เร็วที่สุดในกลุ่มข้อความบิดเบี้ยว
    • เวลาในการแก้ของแบบมีการบดบังกับแบบข้อความเคลื่อนไหวใกล้เคียงกัน
    • hCAPTCHA มีความต่างชัดเจนระหว่างแบบง่ายกับแบบยาก โดยแบบยากให้โจทย์ภาพที่ยากกว่า หรือมีหลายรอบมากกว่า
    • CAPTCHA แบบเกมและแบบสไลเดอร์โดยรวมมีค่ามัธยฐานเวลาสูงกว่า แต่ผู้เข้าร่วมบางคนก็แก้ได้ในเวลาไม่ถึง 10 วินาที
  • ความชอบของผู้ใช้ ไม่ได้สอดคล้องตรงกับเวลาในการแก้เสมอไป
    • reCAPTCHA แบบคลิกทั้งเร็วที่สุดและได้คะแนนความชอบสูงสุด
    • แบบเกมและแบบสไลเดอร์แม้ใช้เวลามากกว่า แต่ก็มีแนวโน้มได้คะแนนความชอบสูง
    • แม้แต่ reCAPTCHA แบบคลิกซึ่งเป็น CAPTCHA ที่ได้รับความชอบสูงสุด ก็ยังมีผู้เข้าร่วม 18.9% ให้คะแนน 1 หรือ 2
    • ส่วน hCAPTCHA ที่ได้คะแนนความชอบรวมต่ำที่สุด ก็ยังมีมากกว่า 31.0% ที่ให้คะแนน 4 หรือ 5

ความแตกต่างที่เกิดจากบริบทของการทดลอง

  • เมื่อเปรียบเทียบการตั้งค่าแบบตรงไปตรงมากับแบบมีบริบท พบว่า CAPTCHA ส่วนใหญ่มี เวลาเฉลี่ยในการแก้สูงกว่าในแบบมีบริบท
    • reCAPTCHA แบบคลิกง่ายมีเวลาเฉลี่ยเพิ่มขึ้น 1.8 วินาที หรือเพิ่มขึ้น 57.5%
    • Arkose แบบหมุนเพิ่มขึ้น 10 วินาที หรือเพิ่มขึ้น 56.1%
    • เมื่อเฉลี่ยทุกประเภท CAPTCHA แล้ว การตั้งค่าแบบมีบริบทเพิ่มขึ้น 26.7% เมื่อเทียบกับแบบตรงไปตรงมา
    • hCAPTCHA แบบยากมีค่ามัธยฐานเวลาโดยรวมสูงที่สุด แต่ความต่างของเวลาเฉลี่ยระหว่างสองการตั้งค่าไม่มีนัยสำคัญ
  • ในการทดสอบ Kruskal-Wallis ความต่างของเวลาเฉลี่ยในการแก้มีนัยสำคัญทางสถิติใน CAPTCHA ทุกประเภท ยกเว้น Geetest, reCAPTCHA แบบภาพ, และ hCAPTCHA แบบยาก
  • ระหว่างสองการตั้งค่ายังมี ปัจจัยกวนที่เป็นไปได้ หลายอย่าง
    • ผู้เข้าร่วมในการตั้งค่าแบบมีบริบทต้องทำงานมากกว่า
    • ความต่างของค่าตอบแทนและการรับรู้เรื่องการทำภารกิจให้เสร็จ อาจส่งผลต่อแรงจูงใจหรือโอกาสในการละทิ้ง

ประชากรศาสตร์ ความแม่นยำ และอัตราการละทิ้ง

  • อายุมีความสัมพันธ์กับเวลาในการแก้ CAPTCHA
    • ยกเว้น reCAPTCHA แบบภาพง่าย ทุกประเภทมีแนวโน้มที่ผู้เข้าร่วมอายุน้อยจะใช้เวลาเฉลี่ยน้อยกว่า
    • งานวิจัยก่อนหน้ารายงานว่า CAPTCHA แบบข้อความใช้เวลาเพิ่ม 0.03 วินาทีต่ออายุ 1 ปี แต่การศึกษานี้พบค่าเฉลี่ยทุกประเภท CAPTCHA อยู่ที่เพิ่ม 0.09 วินาทีต่อปี
  • ไม่พบความต่างของเวลาในการแก้อย่างมีนัยสำคัญมากนักตามระดับการศึกษาและเพศ
    • งานวิจัยก่อนหน้าระบุว่าผู้เข้าร่วมระดับ PhD แก้ได้เร็วกว่ากลุ่มการศึกษาอื่น แต่การศึกษานี้ไม่พบความสัมพันธ์ระหว่างระดับการศึกษาที่รายงานด้วยตนเองกับเวลาในการแก้
  • มีความต่างบางส่วนตามอุปกรณ์และวิธีป้อนข้อมูล
    • ผู้ใช้คอมพิวเตอร์มีเวลาเฉลี่ยต่ำกว่าผู้ใช้โทรศัพท์มือถือใน CAPTCHA ข้อความบิดเบี้ยวและ reCAPTCHA แบบคลิกยาก
    • ระหว่างคีย์บอร์ดจริงกับการป้อนแบบสัมผัส มีความต่างที่มีนัยสำคัญทางสถิติในข้อความบิดเบี้ยวแบบธรรมดาและแบบมีการบดบัง, reCAPTCHA แบบคลิก, และ Arkose แบบเลือก
  • การเปรียบเทียบความแม่นยำพบว่าต่างกันมากในแต่ละประเภท
    • ความแม่นยำของ reCAPTCHA แบบจัดประเภทภาพ: แบบง่าย 81%, แบบยาก 81.7%
    • ความแม่นยำของ hCAPTCHA: แบบง่าย 81.4%, แบบยาก 70.6%
    • CAPTCHA ข้อความบิดเบี้ยว หากไม่แยกตัวพิมพ์เล็กใหญ่ อัตราความสอดคล้องระหว่างผู้เข้าร่วมเพิ่มขึ้นเฉลี่ย 20%
      • แบบธรรมดา: จาก 84% เป็น 93%
      • แบบมีการบดบัง: จาก 50% เป็น 73%
      • แบบข้อความเคลื่อนไหว: จาก 62% เป็น 90%
  • เมื่อเทียบกับประสิทธิภาพบอตในวรรณกรรมเดิม พบว่าใน CAPTCHA หลายประเภท บอตให้ผลลัพธ์เร็วและแม่นยำกว่ามนุษย์
    • reCAPTCHA แบบคลิก: มนุษย์ 3.1~4.9 วินาที, บอต 1.4 วินาทีและมีกรณีความแม่นยำ 100%
    • Geetest: มนุษย์ 28~30 วินาที, บอต 5.3 วินาทีและความแม่นยำ 96%
    • ข้อความบิดเบี้ยว: มนุษย์ 9~15.3 วินาทีและความแม่นยำ 50~84%, บอตต่ำกว่า 1 วินาทีและมีกรณีความแม่นยำ 99.8%
    • reCAPTCHA แบบภาพ: มนุษย์ 15~26 วินาทีและความแม่นยำ 81%, บอต 17.5 วินาทีและความแม่นยำ 85%
    • hCAPTCHA: มนุษย์ 18~32 วินาทีและความแม่นยำ 71~81%, บอต 14.9 วินาทีและความแม่นยำ 98%
  • ในการศึกษาอัตราการละทิ้งแยกต่างหาก พบว่าหลังจากแสดง CAPTCHA ตัวแรกแล้ว ผู้เข้าร่วม 18~45% ละทิ้งการศึกษา
    • ผู้เข้าร่วมในการตั้งค่าแบบมีบริบทมีโอกาสละทิ้งสูงกว่าผู้เข้าร่วมแบบตรงไปตรงมาถึง 120%
    • หากผู้ใช้ล้มเลิกภารกิจเพราะ CAPTCHA ก็อาจนำไปสู่การสูญเสียกิจกรรมบนเว็บไซต์ เช่น การซื้อสินค้า หรือการสร้างบัญชี

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-12-18
ความคิดเห็นบน Hacker News

  • ผมมองว่า Google CAPTCHA ถูกออกแบบและนำมาใช้เป็น กลไกสำหรับฝึก AI และนั่นจึงทำให้มันกลายเป็นรูปแบบอย่างที่เห็นในตอนนี้
    ละครด้านความปลอดภัยที่อยู่รอบ ๆ เป็นแค่เรื่องรอง ๆ และก็ไม่น่าแปลกใจที่ตอนนี้ AI แก้ได้ดี เราฝึกมันแบบนั้นกันมาหลายปีแล้ว

    • โดยรวมก็ถูก แต่แม้สำหรับผู้ใช้มันจะดูเหมือนกลไกความปลอดภัยที่ทรมาน ในหลายกรณีก็ยังมีเป้าหมายจริงคือ จำกัดความเร็วของการโจมตีแบบ brute-force
      อย่างน้อยก็มีผลทำให้ผู้โจมตีต้องมีต้นทุน
    • คำอธิบายนั้นไม่ค่อยตรงนัก reCAPTCHA ทำหน้าที่ตามชื่อของมันจริง ๆ แต่กลไกนั้นแทบไม่เกี่ยวกับปริศนาที่ผู้ใช้เห็น
      แก่นคือการวิเคราะห์พฤติกรรม รวมถึงการตัดสินความเป็นไปได้ว่าเป็นบ็อตจากข้อมูลที่ Google เก็บไว้ตั้งแต่ก่อนผู้ใช้โหลดหน้าเว็บด้วย
      ผมไม่ได้ปฏิเสธว่า reCAPTCHA เป็นแหล่งข้อมูลฝึกของ Google คงไม่มีทางที่โจทย์ reCAPTCHA V2 ยังคงเป็นการระบุวัตถุจราจรโดยไม่มีเหตุผลพิเศษ และ Google ก็ไม่ได้ทำ AI รถไร้คนขับเสียหน่อย
      แต่สิ่งนั้นเป็นโมเดลธุรกิจ ไม่ใช่ฟังก์ชันหลัก และข้อมูลฝึกนั้นก็ไม่ได้ถูกส่งต่อให้ผู้พัฒนาบ็อตสำหรับแก้ CAPTCHA โดยตรง
    • ผมนึกว่าเขาใช้ จังหวะเวลาและการเคลื่อนไหวของเมาส์ มากกว่าความถูกต้องของคำตอบเพื่อตรวจว่าเป็นคนหรือไม่
    • ถ้ามันถูกฝึกจนสมบูรณ์แล้ว ก็ไม่รู้ว่าเว็บไซต์จะแยก บ็อตอัจฉริยะกับคนจริง ๆ ได้อย่างไร
      ตอนนี้เราปล่อยให้บริการอย่าง Cloudflare ช่วยกรอง แต่ถ้าการฝึกแบบนี้ยังดำเนินต่อไป แม้แต่ Cloudflare เองจะแยกบ็อตกับคนได้อย่างไร ก็ชวนสงสัย
    • ที่น่าสนใจคือ AI อาจแก้ CAPTCHA ได้ดีกว่าคนด้วยซ้ำ
      ผมเห็นหลายครั้งที่ Google CAPTCHA ปฏิเสธคำตอบที่ถูกต้อง ซึ่งอาจเป็นผลจากการฝึกให้บ็อตยอมรับคำตอบที่ผิด
      แต่ก็ดีที่ตอนนี้ไม่ใช่ป้ายหยุดแล้ว ถ้า Google ด้านหนึ่งขายรถยนต์ “ขับเคลื่อนอัตโนมัติ” แต่อีกด้านกลับแสดงให้เห็นว่าหุ่นยนต์จำป้ายหยุดไม่ได้ ก็คงน่าอายไม่น้อย

  • งานวิจัยนี้ดูเหมือนครอบคลุมหลายแง่มุมของการที่มนุษย์แก้ CAPTCHA และผมหาส่วนที่บอกว่า AI เหนือกว่ามนุษย์ ไม่เจอ มีใครรู้ไหมว่าอยู่ตรงไหน
    การแก้ reCAPTCHA v2/v3 ต้องใช้มากกว่าการคลิก checkbox และปริศนารูปภาพ ถ้ามีแค่นั้นจริงคงเป็นเรื่องใหญ่ไปแล้ว
    การบอกว่า CAPTCHA ใช้สำหรับฝึก AI นั้นในความหมายกว้าง ๆ ก็ถูก แต่ในวิธีการทำงานของ CAPTCHA สมัยใหม่ ผมมองว่าเป็นผลข้างเคียงมากกว่า
    สิ่งอย่าง reCaptcha V2+ จะเฝ้าดู การวิเคราะห์พฤติกรรม เช่นประวัติการท่องเว็บหรือการเคลื่อนไหวของเมาส์บนหน้าเว็บ ดังนั้นคนส่วนใหญ่จึงแค่คลิก checkbox ก็พอ
    ผมก็ไม่ค่อยแน่ใจว่ามีโมเดลมัลติโหมดขนาดใหญ่ที่รวมการเคลื่อนไหวของเมาส์เป็นรูปแบบอินพุตหรือไม่
    AI ที่ออกแบบมาเพื่อเจาะ CAPTCHA ก็ใช้ข้อมูลของ Google ฯลฯ ในการฝึกไม่ได้ ถ้ากังวลว่า Google จะฝึกบ็อตของตัวเองให้เลี่ยง CAPTCHA ได้ ก็ไม่ใช่ว่าเป็นไปไม่ได้หรอก

    • ใช่ งานวิจัยนี้จริง ๆ แล้วเกี่ยวกับวิธีที่มนุษย์แก้ CAPTCHA ไม่ใช่ AI แก้ CAPTCHA
      ชื่อค่อนข้างล่อให้คลิก และน่าเสียดายที่ชื่อแบบนั้นได้ผลดีบน HN
    • อยู่ใน Table 3

  • ต่อไปเวลาสมัครอะไรสักอย่าง ผมว่าขั้นถัดไปน่าจะเป็น การตรวจสอบบัตรชำระเงิน
    คงเป็นแนวเริ่มจากบล็อก BIN ของบัตรเติมเงินไว้ก่อน อาจจะแย่มาก แต่ตอนนี้ผมรู้สึกถึงขั้นว่ายอมจ่าย 0.01 ดอลลาร์ดีกว่าต้องแก้ CAPTCHA ดังนั้นมันต้องมีอะไรสักอย่าง
    โดยเฉพาะ “เลือกจักรยานทั้งหมด” นี่คือการผลาญชีวิตชัด ๆ

    • ตอนนี้แรงเสียดทานแบบนี้มีมากจนกำลังผลักให้เราเลิกทำพฤติกรรมเหล่านั้นตั้งแต่แรก
      ซื้อของน้อยลง ใช้โซเชียลมีเดียน้อยลง การเดินเล่นในธรรมชาติและหนังสือกระดาษ ไม่มี CAPTCHA
    • ขั้นถัดไปน่าจะเป็น การยืนยันอุปกรณ์ (device attestation) ถ้าจำไม่ผิด Safari ทำอยู่แล้ว ดังนั้นในที่ที่รองรับก็ไม่ควรเห็น CAPTCHA
      ถ้าต้องการให้ทำงานได้กับทุกเบราว์เซอร์ ก็ทำแบบนี้ได้: สแกน QR code ด้วย iPhone หรืออุปกรณ์ Android ที่รองรับการยืนยัน ถามว่าจะอนุมัติการล็อกอินไหม แล้วให้อุปกรณ์นั้นยืนยันแทน
      ถ้าถูกระบุว่าเป็นผู้ประสงค์ร้าย เว็บไซต์ก็สามารถบล็อกอุปกรณ์นั้นได้ ดังนั้นการใช้เครื่องเดียวถล่มโจมตีจำนวนมากก็จะทำได้ยาก
    • ลองค้นหา UPI ของอินเดียดู สิ่งที่ดูโก้อย่าง “การตรวจสอบบัตรชำระเงิน” นั้นมีข้อผิดพลาดเยอะ ล้าสมัย เชย และทำให้ผู้ประกอบการมีต้นทุนสูง
      ใน UPI แค่รับ QR code หรือกรอก UPI ID แล้วกดชำระเงินก็จบ
      ถ้ากังวลเรื่อง “การป้องกันการฉ้อโกง” ผมคิดว่าควรไปจัดการกับธนาคาร ผู้ขาย และศาล มากกว่าจะพึ่งตัวกลางอย่าง eBay หรือบริษัทบัตร
    • ขอเถอะ ครั้งล่าสุดที่ต้องแก้ CAPTCHA ผมถูกลงโทษเพราะใช้ VPN ต้องเสียเวลา 15 นาที ไปกับการคลิกจักรยาน มอเตอร์ไซค์ รถบัส และไฟจราจรไม่รู้จบ ไม่ได้พูดเกินจริง
    • แค่คิดว่าสิ่งนั้นจะกลายเป็นมาตรฐานก็น่ากลัวแล้ว
      ยังจำได้ว่าตอนเคยอยู่ใน {Country} ผมแทบไม่มีทางเข้าถึงบัตรที่ใช้ชำระเงินระหว่างประเทศได้เลย

  • HN เคยบังคับใช้ CAPTCHA ไหม? ดูเหมือนจะรับมือได้ค่อนข้างดีด้วย เครื่องมือปฏิบัติการและป้องกันสแปม ที่พื้นฐานแต่พิสูจน์แล้ว บวกกับการจำกัดความเร็วที่กันได้ทุกอย่างยกเว้น DDoS ที่ดื้อด้านมาก ๆ
    ดูเหมือนจะไม่มีข้อจำกัดไร้เหตุผลต่อการ scraping หรือไคลเอนต์ของบุคคลที่สามด้วย
    ทั้งที่รองรับผู้เยี่ยมชมไม่ซ้ำเดือนละ 5 ล้านคน และการเข้าชมวันละ 10 ล้านครั้ง[0]
    [0] https://news.ycombinator.com/item?id=33454140

    • จริง ๆ แล้ว HN ไม่ใช่เป้าหมายที่น่าดึงดูดเท่าไร
      สิ่งที่ทำได้ก็แค่โพสต์สแปม ซึ่งในมุมผู้โจมตีมีมูลค่าทางการเงินจริงต่ำ และเครื่องมือสำหรับจัดการเรื่องแบบนั้นก็มีมาตั้งแต่หลายสิบปีก่อนอย่างที่บอก
      แตกต่างมากจากเว็บไซต์อื่น ๆ ที่โอกาสทำเงินชัดเจนและตรงไปตรงมากว่ามาก
    • ถ้ามีโพสต์ที่ฮิตกว่าปกติขึ้นมา ก็ดูจะรับภาระหนักพอสมควร
    • ถ้าจำไม่ผิด หน้าสมัครสมาชิกจะแสดง reCAPTCHA ในบางกรณี
    • บนเครื่องเดียวด้วยนะ :)
    • HN ล่มค่อนข้างบ่อย ความพร้อมใช้งานน่าจะประมาณ four nines
      ผมไม่ค่อยเข้าใจว่าทำไมถึงยืนกรานจะรันด้วยเครื่องเพียงไม่กี่เครื่อง เงินก็น่าจะมีพอ และผลด้านการประชาสัมพันธ์ให้ YC ก็น่าจะชดเชยความต่างได้

  • CAPTCHA สร้างความเจ็บปวดมากเกินไปเพราะ ความกำกวม และปัญหาที่รูปภาพโหลดไม่ครบ
    ต่อให้รอ 1 นาที บางรูปก็ไม่ขึ้นจนจบ แม้จะขึ้นมา ก็มีรูปจักรยาน มอเตอร์ไซค์ และทางม้าลายมากเกินไป
    มักสับสนเสมอว่าถ้าชิ้นส่วนเล็ก ๆ ล้ำไปอยู่ในไทล์อื่นนิดหน่อย ต้องคลิกหรือไม่ จะรีเฟรชเฉพาะอันที่โหลดไม่ขึ้นก็ไม่ได้ และถ้ารีเฟรช ส่วนใหญ่ดูเหมือนต้องเริ่มใหม่ตั้งแต่ต้น
    อย่างที่คนอื่น ๆ พูดกัน ถ้าใช้ Tor มักเกิดกรณีที่ CAPTCHA ไม่โหลดเลยบ่อย ๆ คือไม่แสดงรูปภาพและค้างอยู่อย่างนั้น เว็บไซต์ทั่วไปส่วนใหญ่ก็ใช้ได้ดีบน Tor จึงดูเหมือนเป็นปัญหาฝั่ง CAPTCHA

    • ถ้ามีชิ้นส่วนเล็ก ๆ ล้ำไปอยู่ในไทล์อื่นนิดหน่อย ก็ต้องถามตัวเองทุกครั้งว่าควรคลิกหรือไม่

  • เมื่อ 7 ปีก่อนเคยคาดการณ์ไว้แบบนี้แล้ว: “เครื่องจักรจะยึดครองได้อย่างไร? ถ้า CAPTCHA ยากขึ้นจน มีแต่ AI เท่านั้นที่แก้ได้ มนุษย์ก็จะถูกล็อกออกจากอินเทอร์เน็ตโดยสิ้นเชิง” https://twitter.com/lapcatsoftware/status/771857826130034688

    • ผมคิดว่าเรื่องนี้เกิดขึ้นมาตั้งแต่ราว 7 ปีก่อนแล้ว
      CAPTCHA แบบ “ตัวอักษรในภาพนี้คืออะไร” ลดลงไปมากอยู่ช่วงหนึ่ง ซึ่งสาเหตุส่วนหนึ่งก็น่าจะเป็นเพราะเรื่องนี้

  • ชื่อที่ส่งคือ “AI bots are now outperforming humans in solving CAPTCHAs” ซึ่งละเมิดกฎการตั้งชื่อของ HN ที่ว่า “ถ้าไม่ทำให้เข้าใจผิดหรือเป็น clickbait ให้ใช้ชื่อเดิมและอย่าแก้ไข”
    ถ้าผู้ส่งบทความอยากพูดถึงประเด็นที่ตนเห็นว่าสำคัญในบทความ ก็เขียนเป็นคอมเมนต์ในเธรดได้ แบบนั้นความเห็นนั้นจะถูกวางอยู่บนจุดเริ่มต้นเดียวกับคนอื่น ๆ: https://hn.algolia.com/?dateRange=all&page=0&prefix=false&sort=byDate&type=comment&query=%22level%20playing%20field%22%20by:dang

  • ชื่อถูกแก้ให้ชวนเข้าใจผิด ชื่อจริงและบทคัดย่อไม่ได้บอกว่า AI “ตอนนี้” เหนือกว่ามนุษย์
    ชื่อจริงคือ An Empirical Study & Evaluation of Modern CAPTCHAs
    ตลอดเกือบ 20 ปีที่ผ่านมา CAPTCHA ถูกใช้อย่างแพร่หลายในฐานะมาตรการป้องกันเพื่อกันบ็อต และเมื่อการใช้งานเพิ่มขึ้น เทคนิคในการเจาะหรือหลบเลี่ยงก็พัฒนาต่อเนื่องเช่นกัน
    ขณะเดียวกัน CAPTCHA ก็พัฒนาขึ้นทั้งด้านความซับซ้อนและความหลากหลาย ทำให้ไม่เพียงแต่บ็อตเท่านั้น แต่คนก็แก้ได้ยากขึ้นเรื่อย ๆ
    ในเมื่อการแข่งขันสะสมอาวุธที่ยืดเยื้อมานานนี้ยังดำเนินต่อไป การสำรวจว่าผู้ใช้ปกติต้องใช้เวลานานเท่าไรในการแก้ CAPTCHA สมัยใหม่ และรับรู้มันอย่างไร จึงเป็นเรื่องสำคัญ
    งานวิจัยนี้ประเมิน CAPTCHA ที่ใช้งานจริงผ่านการสำรวจเว็บไซต์ยอดนิยมด้วยตนเองและการศึกษาผู้ใช้ โดยไม่แก้ไข CAPTCHA ที่กำลังถูกใช้งานจริง
    ผู้เข้าร่วม 1,400 คนแก้ CAPTCHA รวม 14,000 รายการ และพบความแตกต่างอย่างมากระหว่างประเภทที่ได้รับความนิยมที่สุด
    ที่น่าสนใจคือ เวลาในการแก้กับการรับรู้ของผู้ใช้ไม่ได้มีความสัมพันธ์กันเสมอไป
    ยังมีการเปรียบเทียบความแตกต่างระหว่างกรณีที่แก้ CAPTCHA โดยตรงกับกรณีที่แก้ในฐานะส่วนหนึ่งของงานที่เป็นธรรมชาติกว่า เช่น การสร้างบัญชี และแม้จะมีปัจจัยรบกวนหลายอย่าง แต่บริบทการทดลองอาจส่งผลได้ จึงควรถูกพิจารณาในการวิจัยในอนาคต
    สุดท้าย งานนี้ยังวิเคราะห์ผู้เข้าร่วมที่เริ่มงานแล้วแต่ทำไม่เสร็จ เพื่อดูปรากฏการณ์ที่ผู้ใช้ล้มเลิกงานเพราะ CAPTCHA

  • งานวิจัยแบบนี้มองข้ามไปว่า CAPTCHA มี หลายระดับความยาก
    คนที่ใช้บัญชีระดับองค์กรหรือทำงานใกล้ชิดกับผู้ให้บริการ CAPTCHA จะเห็นผลลัพธ์ที่ต่างออกไปมาก
    ทุกวันนี้ผู้ให้บริการ CAPTCHA จำนวนมากใช้เกณฑ์ว่าโมเดลภาษาขนาดใหญ่แก้ไม่ได้ ในการตัดสินว่าจะส่ง CAPTCHA แบบไหนออกมาในโหมดยาก
    เหตุผลที่ CAPTCHA ไม่ได้ถูกทำให้ยากเกินไปโดยเจตนา คือเพื่อให้สถานที่อย่าง pex.com ยังสามารถหลบเลี่ยงได้เพื่อการบังคับใช้ลิขสิทธิ์
    ขอเปิดเผยไว้ก่อนว่าผมเคยเป็นผู้ก่อตั้ง hcaptcha จึงมีอคติในเรื่องนี้

  • CAPTCHA รุ่นหลัง ๆ ที่ให้หมุนวัตถุเพื่อประกอบปริศนา หรือให้หาสิ่งของชนิดเดียวกัน ดูเหมือนจะดีกว่า
    วิธีแบบเก่าที่ให้ อ่านตัวอักษรบิดเบี้ยว โดยเฉพาะการให้เดาว่าเป็น i, 1 หรือ l นั้นน่าหงุดหงิดกว่า