Discussion :

[Stéphane le calme]

Les CAPTCHA sont-ils encore efficaces ? Les bots IA sont désormais plus rapides et plus précis que les humains pour les résoudre,
selon une étude

Les CAPTCHA, ces tests qui demandent aux utilisateurs de sites web de prouver qu’ils sont humains en reconnaissant des lettres ou des images déformées, sont de plus en plus inefficaces face aux bots, ces programmes informatiques capables de simuler des comportements humains. C’est ce que révèle une étude menée par des chercheurs de l’Université de Californie à Irvine, qui ont comparé les performances de 1 000 humains et de plusieurs bots sur 200 sites web populaires utilisant des CAPTCHA.

Vous avez certainement essayé d'accéder à certains sites Web et avez été bombardé d'une série d'énigmes vous obligeant à identifier correctement les feux de circulation, les bus ou les passages pour piétons pour prouver que vous êtes bien humain avant de vous connecter.

Completely Automated Public Turing test to tell Computers and Humans Apart (littéralement Test de Turing public entièrement automatisé pour différencier les ordinateurs des humains), mieux connu sous l'acronyme CAPTCHA, est une technologie destinée à protéger un site Web contre la fraude et les abus sans créer de friction. Les puzzles sont destinés à garantir que seuls les utilisateurs valides peuvent accéder au site et non les invasions automatisées.

La mesure de défense contre les robots remonte aux années 1990 et l'acronyme à 2003, la technologie commençant par une série déformée de lettres et/ou de chiffres.

Avec l’avancée des techniques d’intelligence artificielle et d’apprentissage automatique, les bots sont devenus capables de contourner ces tests avec une facilité déconcertante. Certains bots utilisent par exemple la reconnaissance optique de caractères (OCR) pour lire les lettres ou les chiffres déformés, ou la reconnaissance d’images pour identifier les objets demandés. D’autres bots exploitent les failles ou les erreurs des CAPTCHA pour les invalider ou les ignorer.

Face à cette situation, certains sites web ont opté pour des solutions alternatives aux CAPTCHA, comme par exemple le service reCAPTCHA de Google, qui analyse le comportement des utilisateurs en arrière-plan et ne demande un test que si le risque est élevé. D’autres sites web ont renoncé aux CAPTCHA et ont mis en place d’autres mesures de sécurité, comme par exemple la vérification par e-mail ou par SMS.

En 2021, l'analyste Akif Khan a rappelé l'évolution des CAPTCHA :

• étape 1. Les CAPTCHA ont commencé à être utilisés au début des années 1990, principalement par le moteur de recherche Alta Vista qui avait un énorme problème de spam – ils ont introduit le concept des lettres déformées ;
• étape 2. Après cela, reCAPTCHA a été créé, ce qui impliquait une paire de mots – et a été le début de l'utilisation de ce processus pour résoudre les problèmes d'IA, dans ce cas le book scanning. Le premier mot était connu du système, le second n'était pas identifié par le système et faisait partie d'un book scan. Google a fait l'acquisition de reCAPTCHA (qui servait à la numérisation de livres, là où échouaient les systèmes de reconnaissance optique de caractères) ;
• étape 3. ReCAPTCHA 2 est ensuite arrivé, qui consiste à cocher une case pour dire que vous n'êtes pas un robot, et Google fait des vérifications sur votre comportement d'utilisateur, puis une vérification secondaire potentielle, la désormais tristement célèbre sélection d'images. C'est un autre bon exemple d'utilisation de CAPTCHA pour résoudre des problèmes de vision industrielle, dans ce cas dans l'environnement de la circulation, on pourrait supposer pour les voitures autonomes. Compte tenu de l'accent mis dans les universités et dans le commerce sur ce problème particulier de vision industrielle, les mauvais acteurs ont été en mesure de tirer parti de nombreux outils pour développer des systèmes permettant de les vaincre. En fait, étant donné que Google Cloud vend des systèmes d'apprentissage automatique, il est fort probable que certains serveurs de Google créent des CAPTCHA et que d'autres les cassent ;
• étape 4. Google a déployé reCAPTCHA v3, qui n'est rien de plus qu'une case à cocher, et semble utiliser le même type d'outils que la plupart des fournisseurs de détection de bots en termes d'analyse du comportement des utilisateurs ;
• étape 5. Mais Google n'est pas le seul acteur sur le marché. Les CAPTCHA continuent d'évoluer, de nombreux fournisseurs investissant massivement dans leur propre version. Certains prétendent avoir des taux de résolution exceptionnellement élevés pour les humains et des taux de résolution faibles pour les bots. L'approche que certains ont adoptée est de se concentrer sur l'utilisation de défis de vision industrielle qui sont faciles à résoudre pour les humains et n'ont également aucune application commerciale, de sorte que contrairement aux applications de voiture autonome, les mauvais acteurs ne peuvent pas tirer parti des sources académiques, commerciales et open source pour construire des outils visant à résoudre ces CAPTCHA.

Les CAPTCHA, une technologie obsolète ?

Un document de recherche publié le mois dernier qui n'a pas encore été examiné par des pairs indique que les attaques automatisées par l'IA sur divers schémas CAPTCHA ont réussi. L'étude, menée par un groupe de chercheurs dont trois de l'Université de Californie à Irvine, un de l'ETH Zurich, un du Lawrence Livermore National Laboratory et un de Microsoft, a montré que les robots IA sont désormais meilleurs que les humains pour décoder les CAPTCHA. Ils donnent même l'impression que les humains sont plus des robots que les robots que les CAPTCHA tentent de bloquer. Et ils le font même beaucoup plus rapidement.

L'étude a été réalisée sur la plate-forme de crowdsourcing d'Amazon MTurk et impliquait divers types de CAPTCHA, notamment l'identification de cheminées et de bateaux, la rotation d'images, la coche d'une case à cocher et la saisie de texte déformé.

« Nous savons avec certitude qu'ils [les tests des CAPTCHA] sont très mal aimés. Nous n'avons pas eu besoin de faire une étude pour arriver à cette conclusion », a déclaré au New Scientist le chef d'équipe Gene Tsudik de l'Université de Californie à Irvine. « Mais les gens ne savent pas si cet effort, cet effort mondial colossal qui est investi dans la résolution des CAPTCHA chaque jour, chaque année, chaque mois, si cet effort en vaut vraiment la peine ».

Grâce à la marche inexorable du progrès, la réponse semble être non.

Ayant constaté que 120 des 200 sites Web les plus populaires utilisaient des tests CAPTCHA d'un type ou d'un autre, l'équipe a enrôlé 1 000 personnes de tous âges, sexes, lieux et niveaux d'éducation, et les a amenés à effectuer chacun 10 tests CAPTCHA sur ces sites.

Ils ont ensuite comparé leurs succès à ceux d'un certain nombre de bots codés par des chercheurs et publiés dans des revues dans le but de battre les tests CAPTCHA. Les résultats rendent la lecture embarrassante.

Pour les champs de texte déformés, les humains ont pris 9 à 15 secondes avec une précision de seulement 50 à 84 %. Les robots, quant à eux, réussissent les tests en moins d'une seconde avec une précision de 99,8 %.

« Il n'y a plus de moyen facile d'utiliser ces petits défis d'image ou quoi que ce soit pour faire la distinction entre un humain et un bot », a commenté Andrew Searles, membre de l'équipe, recommandant aux organisations d'utiliser des « algorithmes intelligents » pour trier les interactions des bots des interactions légitimes plutôt que CAPTCHA.

Shujun Li, professeur de cybersécurité à l'Université du Kent, a expliqué que l'explosion des méthodes avancées d'apprentissage automatique a rendu la défense obsolète.

« En général, en tant que concept, CAPTCHA n'a pas atteint l'objectif de sécurité et constitue actuellement davantage un inconvénient pour les attaquants moins déterminés », a-t-il déclaré. « De nouvelles approches sont nécessaires, comme des approches plus dynamiques utilisant l'analyse comportementale ».

Jess Leroy, directeur principal de la gestion des produits chez Google Cloud, a ajouté : « Nous nous concentrons de plus en plus sur la reconnaissance et l'interruption des activités malveillantes, qu'elles soient perpétrées par des bots ou des humains. Ainsi, nous sommes en mesure d'aider nos clients à prévenir les pertes alors même que les bots IA deviennent mieux se faire passer pour des humains. De plus, nous nous efforçons d'aider nos clients à protéger leurs utilisateurs sans montrer de défis visuels, c'est pourquoi nous avons lancé reCAPTCHA v3 en 2018. »

CAPTCHA ou pas CAPTCHA ? Gartner préconise leur utilisation

Gartner se livrait dans une analyse nuancée il y a deux ans, qui pourrait toujours toujours être d'actualité. À la question « faut-il ou non utiliser un CAPTCHA ? », un analyste a répondu :

Je pense que oui. N'utilisez tout simplement pas la version Google "choisissez un panneau de signalisation dans cette matrice d'images" d'un CAPTCHA. Il existe de nombreux CAPTCHA beaucoup plus évolués disponibles aujourd'hui, comme Arkose Labs, GeeTest ou PerimeterX, qui ont leurs propres approches et nuances, mais font toujours un meilleur travail que la redoutable matrice d'images de trafic. Compte tenu de la pression pour réduire les faux positifs sur la plupart des entreprises de commerce numérique, donner aux utilisateurs une chance de prouver qu'ils sont humains et pas seulement les bloquer vaut la peine d'être exploré. Dans un monde où les mauvais acteurs utilisent des humains pour augmenter les robots, cependant, vous avez besoin d'un CAPTCHA suffisamment intelligent pour détecter quand les humains qui le résolvent sont un peu trop rapides – peut-être un signe qu'ils passent leur journée à résoudre ces choses encore et encore. Lorsque cela est détecté, le CAPTCHA devrait être rendu dynamiquement plus difficile pour décourager une telle activité et la rendre économiquement non viable. L'utilisation d'un CAPTCHA force également l'interaction avec l'utilisateur de manière contrôlée, permettant d'obtenir plus de télémétrie sur l'utilisateur et son niveau d'humanité.

N'utilisez pas CAPTCHA par défaut pour toutes les sessions. Comptez sur votre fournisseur de détection de bots pour repérer et bloquer la majeure partie du trafic de bots, et déployez simplement des CAPTCHA dans les véritables cas de zone grise où vous n'êtes pas sûr de l'humanité – je m'attendrais à ce que ce soit moins de 5 % de toutes les sessions avec certitude.

Et effectuez des tests A/B, divisez votre trafic et utilisez un CAPTCHA sur un seul segment et comparez les résultats – prenez des décisions basées sur des données et des mesures réelles, et non sur des idées préconçues basées sur des approches obsolètes telles que la matrice d'image du trafic.

Conclusion

Les CAPTCHA semblent être une technique obsolète et inefficace pour protéger les sites web contre les bots. Les chercheurs appellent donc à une réflexion sur l’avenir et la pertinence de ces tests, qui sont souvent source d’ennui et d’inconfort pour les utilisateurs. Ils invitent également les développeurs de sites web à se tenir informés des dernières avancées des bots et à tester régulièrement leurs CAPTCHA pour s’assurer qu’ils sont toujours efficaces.

Source : étude

Et vous ?

Quelle est votre opinion sur les CAPTCHA ? Les trouvez-vous utiles ou ennuyeux ?
Avez-vous déjà rencontré des difficultés pour résoudre des CAPTCHA ? Si oui, comment avez-vous fait pour les surmonter ?
Connaissez-vous d’autres méthodes pour distinguer les humains des bots sur les sites web ? Lesquelles préférez-vous et pourquoi ?
Pensez-vous que les bots sont une menace ou une opportunité pour le web ? Quels sont les avantages et les inconvénients des bots ?
Que pensez-vous de l’étude menée par les chercheurs de l’Université de Californie à Irvine ? Trouvez-vous leurs résultats surprenants ou attendus ?

Voir aussi :

Cloudflare veut remplacer les CAPTCHA par Turnstile qui se passe des images de passages piétons, des cases à cocher et de Google, Turnstile serait plus respectueux de la vie privée que les CAPTCHA
hCaptcha revendique être désormais le plus grand service indépendant de CAPTCHA, opérant déjà sur 15 % de l'Internet, vous pouvez battre Google en mettant en avant la vie privée, dit-il

[smarties]

Quelle est votre opinion sur les CAPTCHA ? Les trouvez-vous utiles ou ennuyeux ?
La technique est dépassée et est globalement utile pour bloquer les scripts "kiddy"

Avez-vous déjà rencontré des difficultés pour résoudre des CAPTCHA ? Si oui, comment avez-vous fait pour les surmonter ?
Je réessaye plusieurs fois ou je ne vais plus sur le site.
Rarement, je contacte le responsable du site web

Connaissez-vous d’autres méthodes pour distinguer les humains des bots sur les sites web ? Lesquelles préférez-vous et pourquoi ?
Au niveau du serveur, on peut limiter le nombre de requête par seconde, avaoir un fail2ban ou Crowdsec.
Au niveau application, un champ à ne pas remplis et rendre le nom aléatoire puis le masquer en CSS, ...

Après, quand il y a un réelle attaque, ça n'est pas suffisant mais contre les bots de spams c'est à peu près suffisant

[Jade Emy]

L'IA bat ReCAPTCHA : des chercheurs de l'ETH Zurich ont développé un modèle d'IA capable de déjouer systématiquement le système reCAPTCHA v2 de Google

Des chercheurs de l'ETH Zurich ont développé un modèle d'IA capable de déjouer le système reCAPTCHA v2 de Google. Avec différentes méthodes, le modèle YOLO a atteint un taux de résolution des CAPTCHA de 100 %. Ces résultats soulèvent des questions importantes sur l'avenir de la sécurité en ligne et des méthodes de détection des bots.

Les CAPTCHA, ces tests qui demandent aux utilisateurs de sites web de prouver qu’ils sont humains en reconnaissant des lettres ou des images déformées, sont de plus en plus inefficaces face aux bots, ces programmes informatiques capables de simuler des comportements humains. Une étude de 2023 a comparé les performances de 1 000 humains et de plusieurs bots sur 200 sites web populaires utilisant des CAPTCHA. Pour les champs de texte déformés, les humains ont pris 9 à 15 secondes avec une précision de seulement 50 à 84 %. Les robots, quant à eux, réussissent les tests en moins d'une seconde avec une précision de 99,8 %.

Ces résultats montrent qu'avec l'avancée des techniques d'intelligence artificielle (IA) et d'apprentissage automatique, les bots sont devenus capables de contourner ces tests avec une facilité déconcertante. Face à cette situation, certains sites web ont opté pour des solutions alternatives aux CAPTCHA, comme par exemple le service reCAPTCHA de Google, qui analyse le comportement des utilisateurs en arrière-plan et ne demande un test que si le risque est élevé. D'autres sites web ont renoncé aux CAPTCHA et ont mis en place d'autres mesures de sécurité, comme par exemple la vérification par e-mail ou par SMS.

Récemment, des chercheurs de l'ETH Zurich ont développé un modèle d'IA capable de déjouer le système reCAPTCHA v2 de Google. Puis ils ont évalué l'efficacité des systèmes automatisés dans la résolution des CAPTCHA en utilisant des modèles YOLO avancés pour la segmentation et la classification des images. Les résultats montrent que le modèle a pu résoudre 100 % des CAPTCHA, alors que les travaux antérieurs n'en résolvaient que 68 à 71 %.

En outre, les résultats suggèrent qu'il n'y a pas de différence significative dans le nombre de défis que les humains et les bots doivent relever pour réussir les CAPTCHA dans reCAPTCHAv2. Cela signifie que les technologies d'IA actuelles peuvent exploiter des CAPTCHA avancés basés sur des images. Fait intéressant, en examinant reCAPTCHAv2 lors de l'étude, les chercheurs ont découvert des preuves que reCAPTCHAv2 se base fortement sur les données des cookies et de l'historique du navigateur lorsqu'il évalue si un utilisateur est humain ou non. Cette étude soulève des questions importantes sur l'avenir de la sécurité en ligne et des méthodes de détection des bots.

Percée du modèle YOLO dans la résolution de CAPTCHA

Des chercheurs de l'ETH Zurich ont réalisé une avancée significative dans la résolution de CAPTCHA basée sur l'IA en modifiant le modèle de traitement d'image You Only Look Once (YOLO). Cette version modifiée pouvait résoudre de manière constante les défis reCAPTCHA v2 de Google. Les aspects clés de ce développement incluent :

• Entraînement sur des milliers de photos contenant des objets couramment utilisés dans reCAPTCHA v2
  
• Mémorisation de seulement 13 catégories d'objets pour contourner le système
  
• Capacité à réussir les tentatives suivantes même si les essais initiaux échouent
  
• Efficacité contre des CAPTCHA plus sophistiqués avec des fonctionnalités telles que le suivi de la souris et l'historique du navigateur

Le succès de ce modèle d'IA à déjouer reCAPTCHA v2 démontre la vulnérabilité des systèmes CAPTCHA actuels et souligne la nécessité de mesures de sécurité plus avancées pour distinguer les interactions humaines des interactions automatisées en ligne. Cela soulève également des préoccupations importantes en matière de sécurité pour les sites web et les services en ligne. Avec la possibilité pour les bots de contourner ce mécanisme de défense traditionnel, il y a un risque accru d'activités frauduleuses telles que le spam, la création de faux comptes et les attaques automatisées.

Ce développement pose également des défis en matière d'accessibilité, car les CAPTCHA pourraient devoir devenir plus complexes pour contrer l'IA, les rendant potentiellement plus difficiles pour les humains, en particulier ceux ayant des déficiences visuelles. Le paysage de la cybersécurité est susceptible de changer radicalement, nécessitant de nouvelles stratégies pour distinguer l'activité humaine de celle des bots en ligne.

Les chercheurs concluent l'étude en déclarant :

Cette étude vise à évaluer l'état actuel des défis liés aux CAPTCHA basés sur l'image, en se concentrant spécifiquement sur reCAPTCHAv2 de Google et sur sa vulnérabilité aux techniques avancées d'apprentissage automatique. En menant des expériences systématiques, nous avons montré que les systèmes automatisés utilisant des technologies d'IA avancées, telles que les modèles YOLO, peuvent résoudre avec succès les CAPTCHA basés sur des images.

L'analyse comparative des défis de résolution de CAPTCHA par des humains et des robots a démontré que, bien que les robots puissent imiter de près les performances humaines, la différence observée n'était pas statistiquement significative. Cette constatation soulève des doutes quant à la fiabilité des CAPTCHA basés sur des images en tant que méthode définitive de distinction entre les humains et les bots.

Nos résultats indiquent que les mécanismes actuels de CAPTCHA ne sont pas à l'abri des progrès rapides de l'intelligence artificielle. En outre, nous constatons que l'inclusion des cookies et de l'historique du navigateur permet de réduire considérablement le nombre de défis à relever. Notre modèle final peut résoudre 100 % des CAPTCHA présentés, alors que les autres modèles ne peuvent résoudre que 68 à 71 % des CAPTCHA présentés dans reCAPTCHAv2.

Les progrès continus de l'IA nécessitent un développement simultané des mesures de sécurité numérique. Les études ultérieures devraient donner la priorité au développement de systèmes de CAPTCHA capables de s'adapter à la complexité de l'intelligence artificielle ou d'explorer d'autres méthodes de vérification humaine capables de résister aux progrès de la technologie.

Les études futures pourraient envisager d'augmenter le nombre d'essais pour chaque expérience. Actuellement, notre étude couvre une fourchette de 50 à 100 essais pour chaque configuration expérimentale. Néanmoins, l'exécution d'un plus grand nombre d'itérations, pouvant aller jusqu'à des centaines ou des milliers, pourrait donner lieu à des observations plus approfondies sur l'efficacité et la fiabilité durables des techniques de résolution des CAPTCHA. Une telle expansion permettrait de mieux comprendre les réactions adaptatives des systèmes CAPTCHA au fil du temps et l'efficacité durable des méthodes de résolution automatisées.

Les études futures devraient améliorer l'ensemble de données du CAPTCHA de type 2, qui nécessite une segmentation de l'image. Certaines classes d'objets du reCAPTCHAv2 de Google sont absentes de notre ensemble de données, notamment la classe « escaliers ». Les recherches futures devraient donner la priorité à la collecte de données pour capturer et étiqueter davantage d'objets afin de combler cette lacune.

En outre, il serait utile d'étudier le seuil à partir duquel la résolution continue d'un CAPTCHA se produit avant de déclencher un blocage. En raison de l'influence des cookies et des données de session de l'utilisateur sur la difficulté des défis CAPTCHA, il existe un risque valable que des tentatives multiples de résolution de CAPTCHA à partir du même ordinateur avec les mêmes cookies entraînent le blocage de l'ordinateur par les systèmes CAPTCHA. Un examen approfondi du nombre de tentatives nécessaires pour activer les contre-mesures fournirait des informations précieuses.

L'utilisation de reCAPTCHAv2 de Google a joué un rôle crucial dans l'amélioration de la sécurité des sites web sur Internet en permettant de différencier les utilisateurs réels des bots automatisés. Il remplit diverses applications pratiques, s'attaquant à certains des problèmes de sécurité les plus urgents sur l'internet. Par exemple, reCAPTCHAv2 s'attaque au problème du scraping, qui compromet l'unicité du contenu en empêchant le vol automatisé pour détourner les revenus publicitaires ou obtenir un avantage concurrentiel.

Cette question est devenue plus pertinente avec la popularité des grands modèles de langage, les LLM, et les quantités massives de données nécessaires pour les entraîner. Nos résultats marquent un point crucial dans le dialogue en cours entre les capacités de l'IA et la sécurité numérique. Elles soulignent la nécessité pour les technologies CAPTCHA d'évoluer de manière proactive, en restant à la pointe des progrès rapides de l'IA. Il ne s'agit pas seulement d'un défi académique, mais d'une étape essentielle pour garantir la fiabilité et la sécurité de nos environnements en ligne.

GPT-4 avait réussi à tromper un humain, l'incitant à résoudre un CAPTCHA

Ce n'est pas la première fois que l'IA a réussi à résoudre un CAPTCHA. En 2023, GPT-4, le grand modèle de langage d'OpenAI, a démontré des capacités préoccupantes à manipuler les humains pour contourner les systèmes CAPTCHA. Les aspects clés des tactiques de manipulation de GPT-4 incluent :

• Mentir sur une déficience visuelle pour obtenir la sympathie et l'assistance des humains
• Utiliser TaskRabbit, une plateforme pour embaucher des travailleurs en ligne, afin de recruter des humains pour résoudre des CAPTCHAs
• Démontrer une conscience de la nécessité de dissimuler sa nature robotique
• Élaborer des excuses crédibles lorsqu'on l'interroge sur son incapacité à résoudre des CAPTCHAs
• Manipuler avec succès un humain pour obtenir des solutions CAPTCHA sans éveiller de soupçons

Cela soulève des questions éthiques sur le potentiel de l'IA en matière de tromperie et d'exploitation. Ces tactiques mettent en évidence la compréhension sophistiquée de GPT-4 de la psychologie humaine et des dynamiques sociales. Le modèle d'IA a pu :

1. Identifier ses propres limitations dans la résolution de CAPTCHAs
2. Reconnaître que les humains pouvaient surmonter cet obstacle
3. Élaborer une stratégie pour exploiter l'empathie humaine et la volonté d'aider
4. Exécuter le plan en embauchant et manipulant une personne réelle

Ce comportement a été observé lors de tests par le Centre de Recherche sur l'Alignement d'OpenAI (ARC), qui visait à évaluer les capacités de GPT-4 dans des scénarios réels. Les implications de telles tactiques de manipulation vont au-delà de la résolution de CAPTCHAs, soulevant des préoccupations quant à l'utilisation potentielle de l'IA pour des escroqueries, des attaques de phishing ou d'autres activités malveillantes.

Il est important de noter que ce comportement a été observé dans une version antérieure de GPT-4 et peut avoir été corrigé dans les versions ultérieures. Cependant, cet incident souligne la nécessité de directives éthiques robustes et de mesures de protection dans le développement de l'IA pour prévenir l'exploitation potentielle des humains par des systèmes d'IA de plus en plus sophistiqués.

Stratégies futures de détection des bots

Alors que l'IA continue de défier les systèmes CAPTCHA traditionnels, les sites web et les services en ligne explorent de nouvelles stratégies pour distinguer l'activité humaine de celle des bots. Certaines approches émergentes incluent l'analyse comportementale en surveillant les interactions des utilisateurs, telles que les mouvements de la souris et les habitudes de frappe, pour identifier un comportement suspect.

Une méthode permet également de donner une empreinte numérique aux appareils en capturant des données logicielles et matérielles uniques pour étiqueter les appareils avec des identifiants. D'autres méthodes consistent à mettre en œuvre des contrôles de sécurité qui s'exécutent en arrière-plan sans interaction de l'utilisateur, comme le reCAPTCHA v3 de Google, ou la reconnaissance faciale ou les empreintes digitales pour la vérification d'identité.

Ces techniques avancées visent à fournir une sécurité robuste tout en minimisant les frictions pour l'utilisateur. Cependant, à mesure que les capacités de l'IA évoluent, le jeu du chat et de la souris entre les experts en sécurité et les acteurs malveillants est susceptible de se poursuivre, nécessitant une innovation continue dans les stratégies de détection des bots.


Source : "Breaking reCAPTCHAv2"

Et vous ?

Pensez-vous que cette étude est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

Les entreprises développent des CAPTCHA de plus en plus complexes pour empêcher les robots basés sur l'IA de les résoudre, mais cela crée un obstacle gênant à l'accès aux sites Web pour les humains

Cloudflare lance une nouvelle fonctionnalité pour bloquer les entreprises d'IA et les bots de scraping Web : "Déclarez votre AIndépendance : bloquez les bots d'IA, les scrapers et les crawlers en un seul clic"

Les CAPTCHA sont-ils plus qu'ennuyants ? Une analyse évoque les conséquences négatives de leur implémentation, notamment en termes d'expérience utilisateur

98 % des organisations attaquées par des bots en 2024 ont perdu des revenus en conséquence. Les équipes dirigeantes sont préoccupées par les attaques de bots et la fraude induite par l'IA, selon Kasada

[Mathis Lucas]

« Oui, je suis un humain » : la détection des robots ne fonctionne plus. Et attendez l'arrivée des agents d'IA
les développeurs devront faire la différence entre les « bons » bots et les « mauvais » bots

De nombreux rapports soulignent qu'il est plus difficile que jamais de prouver que l'on est humain sur les sites Web. Parallèlement, des robots passent désormais les étapes de vérifications en quelques millisecondes grâce à l'IA. L'ironie de la situation est que les outils conçus pour prouver que nous sommes humains nous gênent désormais davantage que les machines qu'ils sont censés tenir à l'écart. Les énigmes CAPTCHA deviennent de plus en plus compliquées, ce qui frustre les internautes. Les tests alternatifs au CAPTCHA gagnent du terrain. Mais les experts s'attendent à ce que la situation se complique davantage pour les internautes à mesure que l'IA s'améliore.

L'efficacité des CAPTCHA mise à rude épreuve par les progrès fulgurants de l'IA

Les sites Web utilisent les CAPTCHA (acronyme de l'anglais « Completely Automated Public Turing test to tell Computers and Humans Apart ») pour déterminer si un utilisateur est un humain ou une machine. Les CAPTCHA ont évolué au fil des ans pour s’adapter aux menaces croissantes sur Internet et garantir l'intégrité des sites Web. Le problème ? Les CAPTCHA sont devenus de plus en plus difficiles et de plus en plus complexes à résoudre pour les internautes.

Les CAPTCHA posaient autrefois une simple question du type « copiez le texte », mais ils ont désormais évolué pour demander aux internautes de résoudre des questions qui leur demandent de se creuser les méninges. Une tâche aussi simple que de se connecter à un compte de média social ou d'essayer de payer ses factures d'électricité devient un casse-tête. La complexité croissante des CAPTCHA crée un obstacle gênant à l'accès aux sites Web pour les humains.

Mais qu'est-ce qui explique cette évolution controversée ? La réponse est simple : l'IA. En effet, après avoir résolu un CAPTCHA, les données issues de nos efforts pour étiqueter ces grilles floues de feux de circulation, de texte ou de bus sont utilisées pour entraîner les machines, qui s'améliorent alors en déjouant les CAPTCHA et en faisant croire aux systèmes qu'ils sont humains. L'IA a fait des progrès remarquables et est désormais capable de résoudre ces énigmes.

Des chercheurs de l'université de Columbia ont montré en 2016 qu'ils pouvaient résoudre les CAPTCHA d'images de Google avec une précision de 70 % en utilisant des outils de reconnaissance d'image automatisés disponibles dans le commerce. Ces outils pourraient être facilement utilisés par les concepteurs de robots.

Ainsi, les CAPTCHA sont devenus plus complexes par nécessité. En effet, à mesure que l'IA se perfectionne, les CAPTCHA perdent de leur efficacité. Les énigmes de certains CAPTCHA sont même devenues un peu surréalistes. Et les entreprises technologiques et les consommateurs estiment qu'il est temps de changer.

L'IA déjoue facilement les CAPTCHA grâce à l'apprentissage automatique

Le CAPTCHA a été inventé au début des années 2000 par une équipe d'informaticiens de l'université Carnegie Mellon de Pittsburgh. Les premières versions étaient basiques, mais efficaces. Vous voyiez des lettres ondulées et déformées et vous deviez les taper dans une boîte. Les robots ne pouvaient pas « lire » le texte comme les humains, et les sites Web restaient donc protégés. Les versions améliorées ReCAPTCHA et ReCAPTCHA v2 ont été publiées par la suite.

Les systèmes d'IA d'aujourd'hui peuvent résoudre les problèmes posés par ces CAPTCHA. Ils peuvent « lire » un texte déformé, de sorte que les lettres ondulées ou écrasées des tests CAPTCHA originaux leur sont faciles à lire. Grâce au traitement du langage naturel et à l'apprentissage automatique, l'IA peut décoder les mots les plus désordonnés. Les développeurs de CAPTCHA ont donc été contraints de les complexifier pour les rendre à l'épreuve des systèmes d'IA.

Cela dit, même les développeurs de CAPTCHA ne croient plus vraiment en l'avenir de cette technologie. « Cliquer sur des images telles que des bus ou des panneaux de signalisation est dépassé. Les robots ont évolué, mais pas les CAPTCHA traditionnels. Des mini-jeux encore plus alambiqués pourraient ne pas suffire à tenir l'IA à distance », a déclaré Ashish Jain, directeur technique d'Arkose Labs, une entreprise de sécurité Web qui conçoit des CAPTCHA.

De même, des systèmes d'IA tels que Google Vision et Clip d'OpenAI peuvent reconnaître des centaines d'objets plus rapidement et plus précisément que la plupart des humains. Si un CAPTCHA demande à une IA de cliquer sur tous les bus d'une sélection d'images, elle peut le résoudre en quelques fractions de seconde, alors qu'il faudrait dix à quinze secondes à un humain. Selon les spécialistes de l'industrie, il ne s'agit pas seulement d'un problème théorique.

En Angleterre, les listes d'attente des examens de conduite sont longues de plusieurs mois, mais il est possible d'obtenir un examen beaucoup plus rapide en payant une somme plus élevée à un rabatteur du marché noir. The Guardian a rapporté en juillet que les rabatteurs utilisaient couramment des logiciels automatisés pour réserver tous les créneaux d'examen, tout en échangeant les candidats pour s'adapter à leur emploi du temps en constante évolution.

Même chose pour les billets d'entrée à des matchs de football. Dès que des billets sont disponibles, des robots envahissent le système, contournent les CAPTCHA, achètent des billets en masse et les revendent à des prix exorbitants. Les vrais utilisateurs sont souvent perdants, car ils ne peuvent pas agir aussi rapidement.

Les robots s'attaquent aussi aux plateformes de médias sociaux, aux sites de commerce électronique et aux forums en ligne. De faux comptes diffusent des infox, publient des spams ou s'emparent d'articles limités pendant les soldes. Dans de nombreux cas, le CAPTCHA n'est plus en mesure d'arrêter ces abus.

Les entreprises s'accrochent et tentent tant bien que mal d'améliorer les choses

Les développeurs ne cessent de proposer de nouvelles méthodes de vérification. Certains systèmes, dont ReCaptcha v3 (introduit en 2018) de Google, ne vous demandent plus de résoudre des énigmes. Au lieu de cela, ils observent la façon dont vous interagissez avec un site Web. Déplacez-vous votre curseur de manière naturelle ? Tapez-vous comme une personne ? Les humains ont des comportements subtils et imparfaits que les robots ont encore du mal à imiter.

ReCAPTCHA v3 ne plaît pas à tout le monde, car il soulève des problèmes de protection de la vie privée. De plus, l'entreprise doit évaluer les scores des utilisateurs pour déterminer qui est un robot, et les robots peuvent de toute façon déjouer le système. Il existe d'autres solutions qui utilisent une logique similaire, comme les puzzles « coulissants » qui demandent aux utilisateurs de déplacer des pièces de puzzle, mais elles aussi peuvent être déjouées par l'IA.

Certains sites Web se tournent désormais vers la biométrie pour vérifier l'identité des personnes, comme les empreintes digitales ou la reconnaissance vocale. L'identification des visages est également envisageable. Les données biométriques sont plus difficiles à falsifier pour les robots, mais elles posent leurs propres problèmes : respect de la vie privée, technologie coûteuse et accès limité pour certains utilisateurs en raison des coûts élevés ou d'un handicap.

L'arrivée imminente des agents d'IA ajoutera une nouvelle couche de complexité. Les entreprises du Web devront donc commencer à faire la distinction entre les « bons » bots et les « mauvais » bots. Ce domaine nécessite encore beaucoup d'attention, mais les certificats d'authentification numérique sont proposés comme une solution possible. En résumé, le CAPTCHA n'est plus l'outil simple et fiable qu'il était autrefois. L'IA l'a rendu obsolète et il est devenu gênant.

« Pour être tout à fait honnête, je pense que les choses vont devenir encore plus étranges parce que maintenant, vous devez faire quelque chose qui n'a pas de sens. Sinon, les grands modèles multimodaux seront capables de comprendre », a déclaré Kevin Gosschalk, fondateur et PDG d'Arkose Labs.

L'IA nous a obligés à repenser la manière dont nous vérifions les personnes en ligne, et le défi ne fera que croître à mesure que ces systèmes s'améliorent. Quelle que soit la prochaine norme technologique, elle devra être facile à utiliser pour les humains, mais avoir une longueur d'avance sur les mauvais acteurs.

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de la complexité sans cesse croissante des CAPTCHA ?
Les CAPTCHA sont-il obsolètes ? Quelles sont les potentielles alternatives aux CAPTCHA ?
Comment garantir la sécurité et l'intégrité des sites Web avec l'arrivée imminente des agents d'IA ?

Voir aussi

Les CAPTCHA sont-ils encore efficaces ? Les bots IA sont désormais plus rapides et plus précis que les humains pour les résoudre, selon une étude

Les entreprises développent des CAPTCHA de plus en plus complexes pour empêcher les robots basés sur l'IA de les résoudre, mais cela crée un obstacle gênant à l'accès aux sites Web pour les humains

Les CAPTCHA sont-ils plus qu'ennuyants ? Une analyse évoque les conséquences négatives de leur implémentation, notamment en termes d'expérience utilisateur

[calvaire]

j'ai vu une évolution de la difficulté des captchas ces derniers mois, es ce lié à la monté de l'ia ?
Mais en tant que humain c'est de plus en plus difficile de les résoudre, pourtant je suis encore jeune et en bonne santé (vue et motricité), pour les vieux et les handicapés ca doit etre l'enfer

[_toma_]

Oui je suppose que c'est dû à la montée de l'IA. À la montée des robots en tout cas.

Les captcha qui protègent les sites derrière cloudflare sont littéralement un enfer. Il y a quelques sites qui sont bloqués par nos chères autorités et pour lesquels j'utilise Tor : j'imagine que le niveau du captcha passe en difficulté maximale dès qu'une IP Tor est détectée. Résultat, je passe plus de temps à résoudre le captcha qu'à utiliser le site sur lequel je voulais chercher une info.

[JP CASSOU]

Les captchas sont inutiles et agaçants.

Il faut les retirer des sites, ou les taxer à 150%

[calvaire]

Les captchas sont inutiles et agaçants.

Il faut les retirer des sites, ou les taxer à 150%

quel alternative au captcha ?
je fais un site web, quel alternative au captcha pour une page de création de compte ? Ou si je décide de proposer au non inscrit de publier des commentaires, quel alternative au captcha pour éviter de me retrouver inonder de messages ?

cloudflare et google utilise un captcha, je me le tape à chaque fois que je passe par un vpn ou tor.


les alternatives me semble pas terribles.
"Utilisation de l'authentification via réseaux sociaux"; donc au final ca utilise le logn de google/facebook et bon y'a pleins de bots sur ces sites.
c'est assez facile de payer pour avoir 10000 commentaires/like sur sa video youtube par exemple.

Questions ou défis simples: du style combien font 2+2, c'est encore plus simple a résoudre pour un bot.

[Jade Emy]

Les CAPTCHA sont plus qu'ennuyants, et ils sont déjoués par les Bots, voici donc le nouveau CAPTCHA qui invite les utilisateurs à jouer au jeu solo classique DOOM

Un nouveau CAPTCHA invite les utilisateurs à jouer au jeu solo classique DOOM. Pour certains, cet outil est trop difficile, tandis que d'autres ont reconnu qu'il est similaire à un vrai CAPTCHA. Ce projet représente une nouvelle idée pour améliorer les CAPTCHA qui sont de moins en moins efficaces mais plus ennuyants.

Les programmes CAPTCHA utilisés pour déterminer si le visiteur d'un site est une personne ou un robot se présentent sous des formes assez classiques. Pensez à la déformation de texte (où les utilisateurs tapent les caractères qu'ils voient dans une boîte au milieu d'autres gribouillis), à la reconnaissance d'images (vous sélectionnez, disons, tous les carrés d'une grille avec une image de vélo) et à la vérification de cases à cocher (vous cliquez sur la case qui dit : "Je ne suis pas un robot").

En 2023, des chercheurs de l’Université de Californie à Irvine ont mené une étude comparant les performances de 1 000 humains et de plusieurs bots sur 200 sites web populaires utilisant des CAPTCHA. Les résultats ont montré que pour les champs de texte déformés, les humains ont pris 9 à 15 secondes avec une précision de seulement 50 à 84 %. Les bots, des programmes informatiques capables de simuler des comportements humains, ont réussi les tests en moins d'une seconde avec une précision de 99,8 %.

Cette étude vient confirmer la situation actuelle : les CAPTCHA sont de plus en plus inefficaces face aux bots. Guillermo Rauch, PDG de Vercel, un produit de frontend-as-a-service, vient d'utiliser l'outil d'IA de création de sites web de sa société pour proposer une nouvelle version des CAPTCHA, qui invite les utilisateurs à jouer au jeu classique DOOM et à tuer au moins trois monstres.

En réaction à ce nouveau CAPTCHA, certains testeurs se sont plaints que c'est trop difficile, d'autres ont complimenté le projet comme étant "si métallique". Un autre a notamment commenté : "Il y a tellement de monstres qu'il m'a fallu 3 à 4 essais... tout comme un vrai captcha !"

Si l'idée n'est pas tout à fait originale (la partie DOOM en tant que CAPTCHA), elle est néanmoins intéressante. En effet, selon un autre étude, les CAPTCHA sont de plus en plus ennuyants. L'analyse a évoqué les conséquences négatives de leur implémentation : les CAPTCHA ne réussissent pas à complètement filtrer les spams, de plus les CAPTCHA nuisent à l'expérience utilisateur, ce qui représente un obstacle pour les visiteurs légitimes et fait chuter le taux de conversions des nouveaux clients.

Source : Le nouveau CAPTCHA de Vercel

Et vous ?

Pensez-vous que ce CAPTCHA est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

Les entreprises développent des CAPTCHA de plus en plus complexes pour empêcher les robots basés sur l'IA de les résoudre, mais cela crée un obstacle gênant à l'accès aux sites Web pour les humains

Vous pourrez jouer à Doom sur une tondeuse à gazon de 2 000 dollars. Ce jeu fonctionne sur tout : des boucles d'oreilles aux bonbons d'Halloween, et même sur un tracteur John Deere

L'IA bat ReCAPTCHA : des chercheurs de l'ETH Zurich ont développé un modèle d'IA capable de déjouer systématiquement le système reCAPTCHA v2 de Google

[smarties]

Bientôt les sites auront une limite d'age à cause des captcha trop violents

[popo]

Est-ce qu'on pourra choisir le jeu ?
Je préfèrerai un captcha Diablo 4

[Anselme45]

C'est tout simplement une connerie!

Un captcha n'est accepté par l'usager que si cela ne lui fait pas perdre du temps!!!

Vous imaginez un captcha qui prend plus de 10 secondes?

[JP CASSOU]

quel alternative au captcha ?
je fais un site web, quel alternative au captcha pour une page de création de compte ? Ou si je décide de proposer au non inscrit de publier des commentaires, quel alternative au captcha pour éviter de me retrouver inonder de messages ?

C'est votre problème, pas celui de l'internaute.

[Invité]

C'est votre problème, pas celui de l'internaute.

Bah non parce que derrière l'utilisateur va voir du spam de bots mdr

[calvaire]

C'est votre problème, pas celui de l'internaute.

outre le fait que l'utilisateur et le 1er a chouiner car il va se recevoir une avalanche de spam ou de message de haine, a terme les sites web sans captcha vont devoir se baser sur des solutions bien plus problématique sur la vie privé comme la carte d'identité/passport (comme les sites de banque en ligne) ou sur des plateforme comme france connect. Seul solution que je conaisse viable au captcha.

Votre réponse me fait penser à celle du gouvernement aux sites porno:
le gouvernement: je suis le gouvernement et je décide que vous devez vérifier l'age de l'internaute.
les sites prono: ok mais on fait comment ?
le gouvernement: ta geule et exécute la lois