Captcha 驗證碼

科技新知：AI破解防AI驗證系統 

Captcha料趨更複雜堵漏   恐礙用戶

明報記者   16/11/2017

    網民使用涉及交易或預訂服務的網站服務時，很多時要輸入畫面上顯示、由數字或英文字母組成的「Captcha驗證碼」，以向網站確認自己是真人而非機械人。然而，這種防止有人破壞網絡交易秩序的驗證系統，近日已被破解。美國一家初創公司利用最新的人工智能系統模擬人類視覺，可在毋須花大量時間學習下，即能大致上分辨各種類型的Captcha驗證碼，令Captcha形同虛設。有保安專家估計，Captcha將要大革新堵塞漏洞，網民或要面對更難分辨的Captcha驗證碼，交易體驗恐受影響。

    Captcha (Completely Automated Public Turing test to tell Computers and Humans Apart，區分電腦和人類的全自動公共圖靈測試) 驗證碼系統於2000年推出，其顯示的字母和數字因為被扭曲、字面被其他條紋擾亂或背景雜亂，難以被一般電腦識別，能有效阻止一些機械人程式重複登記、登入帳戶，甚至不斷購買門票等影響網絡交易的行為。香港不少網站都有採用此系統，如預訂政府運動場所的「康體通」和「城市售票網」等，市民都先要「看圖打字」才可進入正式預訂頁面。

    美國三藩市初創企業Vicarious在《科學》期刊發表研究報告，稱他們製成了一個可模擬人類視覺的人工智能系統，能夠只需人類輸入少數文字照片就能學習其特徵，如識別圖像的輪廓，從而成功破解Captcha以及其改良版reCaptcha的驗證碼系統。Vicarious開發的系統被稱為遞歸皮層網絡 (Recursive Cortical Network，RCN)，是一個用來模仿人腦運作方式的人工神經網絡。系統中，被稱為人工神經元的各個部件會接收輸入的數據，並互相合作解決諸如識別文字或語音等問題。然後，神經網絡會改變神經元之間的連接模式，從而改變它們相互作用的方式，此後網絡又會再次試圖解決這個問題。隨着時間推移，神經網絡就會知道哪種模式最適合用於計算解決方案。

    此前的神經網絡也可以攻破reCAPTCHA，但需要人類輸入數百萬張已有正確標記的Captcha圖像樣本作訓練，Vicarious的系統則可把樣本數量減至1/300，即約數千至數萬張已足夠。專家憑此破解reCaptcha的驗證文字，準確率達到66.6％ (見表)，雖然仍較人類的87%準確度低約20個百分點，但已遠超業界視為破解底線的1%準確度。

    Vicarious創辦人之一、研究負責人喬治 (Dileep George) 說：「這些研究結果表明基於文字的Captcha已經過時了。」Captcha驗證碼方面預計會研究對策，包括提升驗證難度，這將對目前已讓部分人頭痛的Captcha驗證碼更難被人眼分辨，勢影響用戶使用網站服務的流暢度。喬治表示，今次研究的重點並非針對Captcha，而是要顯示電腦有能力像人類般看事物。他說：「長遠目標是建立能像人腦般運作的智能系統。」

黑客快將出擊   專家：Captcha時日無多

    人工智能發展飛躍，威脅Captcha的安全度，因此Captcha的設計也變得愈來愈複雜，有不少網民揶揄現時的Captcha驗證碼連正常人也難以看清楚，Google和部分網站已從基於文字或數字的Captcha轉向了新的驗證機制，預視這個系統可能已步入尾聲。

部分網站研新驗證機制

    Google目前採用不同Captcha方式認證用戶真身，包括reCAPTCHA V2，即要求用戶在一個方格內點擊滑鼠顯示剔號；Invisible reCAPTCHA則毋須用戶做任何動作，網頁會自動偵測用戶的動作和瀏覽紀錄來評估是否真人。

    網絡保安公司趨勢科技 (Trend Micro) 歐洲分部的保安專家愛德華茲 (Simon Edwards) 則預言，Captcha的生命已進入倒數。他指出，一般而言，保安漏洞在被揭發兩個月後，黑客就會開始攻擊，因此預計Captcha系統將會成為襲擊目標。他說：「雖然Captcha暫時不會被大規模襲擊，但在3至4個月時間內，今次研究將會成為主流，因此Captcha的時日已經無多。」

生物科技認證提供出路

    網絡保安專家古德曼 (Marc Goodman) 預計，認證系統可能朝生物科技方向發展。現時很多手機財政Apps在用戶輸入密碼時會同時透過手機的加速計 (accelerometer) 偵測用戶是否真人。

知多點：圖靈測試區分人機

    圖靈測試（Turing test）由英國科學家、「人工智能之父」圖靈1950年提出，旨在判斷機器是否能夠思考或是否能表現出與人同等或無法區別的智能。測試的主要設論是假如經過若干問答以後，第三者不能區分一名普通人與機械人答案的不同，則該機械人就通過圖靈測試。