你是否曾在登录网站时，面对模糊的斑马线、扭曲的数字，花费半分钟反复点击才能通过“我不是机器人”验证？又或者，在手机屏幕上费力地拼凑九宫格图片，只为证明自己不是程序？这种被称为CAPTCHA（全自动区分计算机和人类的图灵测试）的技术，已经陪伴互联网用户超过20年。然而，随着人工智能技术的飞速发展，越来越多的专家指出：CAPTCHAs have failed for 20 years——验证码在诞生之初就注定是失败的，而如今这种失败正被无限放大。
初衷与现实的背道而驰
2000年，卡内基梅隆大学的研究团队发明了CAPTCHA，旨在通过人类擅长但机器难以完成的任务（如识别扭曲文字、图像分类）来阻挡自动化程序。彼时，这项技术被视为网络安全的一道“智能门锁”。
但20年后的今天，情况发生了颠覆性变化。深度学习与计算机视觉的突破，使得机器识别扭曲文字、甚至从图片中挑选出红绿灯或消防栓的能力远超人类。OpenAI的GPT-4、谷歌的Cloud Vision等模型，能在毫秒级处理那些让人类头疼的验证码。据斯坦福大学2023年的一项研究，AI破解常见文字验证码的成功率已超过96%，而人类平均成功率仅为85%左右。
用户成了最大的“受害者”
如果只是技术失效，也许还能“凑合着用”，但CAPTCHA对用户体验的伤害早已成为公害。为了实现“防机器”，验证码的设计越来越反人类：字体极度扭曲、背景添加噪点、图形切得支离破碎——最终，被难住的反而是真实用户。
更严重的歧视问题在于残障群体。盲人无法看到图片验证码，听力障碍者难以解析音频验证码，而认知障碍用户面对复杂拼图时更是寸步难行。尽管Google推出了reCAPTCHA v3，试图通过用户行为分析（鼠标轨迹、浏览习惯）来隐式验证，但隐私泄露的阴影随之而来：你的每一次点击、滚动和停留时间都被平台记录。
攻防的螺旋式上升：验证码早已沦为“军备竞赛”
CAPTCHA的失败并非一夜之间，而是一场持续20年的“猫鼠游戏”。早起，攻击者利用OCR（光学字符识别）软件破解简单验证码；随后验证码加入扭曲、干扰线；没过多久，机器学习模型就能轻松识别。之后验证码进化出“选图片”模式（如“选出所有包含汽车的照片”），但AI数据集早已包含海量图片标注，甚至比人更精准。
如今，攻击者甚至通过“打码平台”雇佣真实人类来手动破解验证码——每单成本不到一分钱。这意味着，验证码堵住的从来不是“机器人”，而是普通用户。
失败的不仅是技术，更是信任模型
CAPTCHA的根本缺陷在于其预设：平台不相信用户，强迫用户用低效的方式自证清白。在移动互联网时代，这种机制与流畅体验完全对立。微信、支付宝等超级App早已放弃传统验证码，转而采用设备指纹、行为分析、生物识别等多因子验证。
安全专家指出，CAPTCHA的“失败”其实是整个“人机对抗”范式的失败。真正安全的系统不应依赖“让用户证明自己不是坏人”，而应通过无感认证（如绑定的手机号、可信设备、异常检测）在后台完成筛选。谷歌reCAPTCHA v3的“无交互”模式正是这一思路的体现，但其准确性仍存疑，且无法完全杜绝误判。
尾声：我们还需要CAPTCHA吗？
20年来，CAPTCHA从一项优雅的“人类优势测试”沦为鸡肋般的存在。它依然存在于数以百万计的网站注册页、票务抢购和留言板，不是因为有效，而是因为“没有更好的替代方案”。但历史已经证明，任何靠“故意为难人类”来阻挡机器的思路，最终都会被更聪明的机器绕过。
当用户花掉一生中数小时来点击交通灯、识别被撕裂的字母时，或许我们更应思考：互联网安全，能否不再建立在人类耐心和视力的消耗之上？CAPTCHA的“失败”不是技术短板，而是一声警钟——提醒着行业，该与这个延续了20年的“人机猜疑”模式说再见了。