De ce codurile CAPTCHA au devenit atât de dificile?

de Josh Dzieza

Anul trecut, la un moment dat, solicitările Google de a dovedi că ești o persoană și nu un robot/soft de calculator au crescut în agresivitate. Din ce în ce mai mult, butonașul simplu și parcă prea drăguț care spunea „Nu sunt un robot” a fost urmat de cereri de a o dovedi – selectând semafoare, intersecții sau fațade de magazine în diferite grile de imagini. Curând, semafoarele erau la distanță și ascunse în folii, intersecțiile erau în curbă, jumătate după câte o clădire, iar firmele magazinelor erau încețoșate și scrise în limba coreeană. Este destul de demotivant să fii pus să te lupți pentru a identifica un hidrant contra incendiilor.

Aceste teste sunt numite CAPTCHA, un acronim pentru Completely Automated Public Turing test to tell Computers and Humans Apart (test Turing complet automatizat pentru diferențierea persoanelor de calculatoare – n.tr.) și au mai avut și în trecut asemenea niveluri de dificultate. La începutul anilor 2000, simple imagini de text erau suficiente pentru a bloca cei mai mulți spamboți. Un deceniu mai târziu, după ce Google a cumpărat programul de la cercetătorii de la Carnegie Mellon și l-a folosit pentru a digitaliza Google Books, textele au trebuit să fie din ce în ce mai „curbate” și întunecate pentru a putea face față programelor tot mai perfecționate de recunoaștere optică – programe pe care, în treacăt fie spus, le pun la punct tot oameni care trebuie să rezolve și ei teste CAPTCHA.

Toate acele fotografii care ar putea sau nu să fie fațade de magazine? Sunt jocul suprem din cursa înarmării dintre oameni și calculatoare

Pentru că testele CAPTCHA sunt un instrument atât de elegant pentru a antrena IA (inteligența artificială), orice test poate fi folosit numai temporar, fiind expresia a ceea ce inventatorii lui au putut face până la acel moment. Din cauza pleiadei de cercetători, de trișori dar și de oameni obișnuiți care rezolvă miliarde de puzzle-uri la limita pe care o poate face și IA, la un moment dat mașinăriile ne vor depăși. În 2014, Google și-a pus una dintre aceste mașinării de învățat algoritmi să concureze cu oameni în rezolvarea celor mai distorsionate texte CAPTCHA: calculatorul a trecut 99,8 la sută din teste, în timp ce oamenii abia au putut ajunge la 33 la sută.

Google a mers mai departe la NoCaptcha ReCaptcha, sistem care observă datele utilizatorului și comportamentul lui astfel încât pentru unii oameni este suficient să apese butonul „Nu sunt robot” iar pentru alții să urmeze aceeași grilă de imagini binecunoscută. Dar mașinăriile vin din nou din urmă. Toate acele fotografii care ar putea sau nu să fie fațade de magazine? Sunt jocul suprem din cursa înarmării dintre oameni și calculatoare.

Jason Polakis, profesor de calculatoare la Universitatea Illinois din Chicago, este cel care primește toate meritele pentru cele mai recente creșteri în dificultatea CAPTCHA. În 2016, el a publicat o lucrare în care se folosea de instrumente deja existente de recunoaștere a imaginii, inclusiv chiar cel al Google de căutare a imaginilor inversate, pentru a rezolva imaginile CAPTCHA ale Google cu o acuratețe de 70 la sută. Alți cercetători au spulberat provocările Google de recunoaștere audio folosindu-se chiar de programele de recunoaștere audio ale Google.

Mașinăriile au ajuns deja la fel de bune ca oamenii la recunoașterea textului, a imaginilor și a vocilor, spune Polakis.

De fapt, algoritmii s-ar putea să fie chiar mai buni:

Am ajuns în punctul în care ceea ce facem să fie mai greu pentru calculatoare devine prea greu pentru foarte mulți oameni. E nevoie de o alternativă, dar nu există deocamdată un plan concret.

Problema cu aceste teste nu este că programele sunt prea deștepte, ci că oamenii nu se descurcă

Literatura despre CAPTCHA este înțesată de prejudecăți false și încercări ciudate de a găsi și altceva decât recunoașterea de texte și imagini – la care oamenii se pricep – iar mașinăriile se presupune că nu s-ar descurca. Cercetătorii au încercat să pună utilizatorii să clasifice imaginile după expresia facială, sex sau etnie. Vă imaginați cam cât de bine a funcționat… Au fost propuse CAPTCHA mondene sau CAPTCHA bazate pe mici poezioare specifice locului în care se presupune că a crescut utilizatorul. Asemenea CAPTCHA culturale nu creează însă dificultăți numai boților (programele de răspuns automat) ci și persoanelor care lucrează în străinatate și care pot rezolva asemenea ghicitori doar într-o foarte mică măsură. S-a incercat, de asemenea, și recunoașterea intuitivă a imaginilor, de exemplu cerându-se utilizatorilor să recunoască un porc, acesta fiind însă desenat și purtând… ochelari de soare. De asemenea, cercetătorii au încercat și alte variante, precum identificarea obiectelor formate din imagini îmbinate, de tipul Magic Eye. Într-o variantă inedită, în anul 2010 cercetătorii propuneau folosirea unor CAPTCHA care cereau indicarea unor petroglife antice, calculatoarele nefiind foarte pricepute la descifrarea schițelor de cerbi, scrijelite pe pereții peșterilor.

De curând au fost demarate eforturi de dezvoltare a unor CAPTCHA de tip joc, teste care cer utilizatorilor să rotească obiecte în anumite unghiuri sau să mute piese de puzzle în poziția corectă, instrucțiunile nefiind date în text ci în simboluri sau fiind implicite în contextul tablei de joc. Speranța este că oamenii ar înțelege logica puzzle-ului iar calculatoarele, în lipsa unor instrucțiuni clare, s-ar bloca. Alți cercetători au încercat să exploateze faptul că oamenii au corpuri, folosind camere video sau realități augmentate pentru a dovedi că este vorba de o persoană.

Problema cu toate aceste teste nu este neapărat că boții sunt prea deștepți ci că oamenii nu se descurcă cu ele. Și asta nu pentru că oamenii ar fi proști; este vorba despre faptul că oamenii sunt foarte diferiți în limbaj, cultură și experiență. Odată ce dai la o parte toate astea și faci niște teste pe care orice om le poate trece fără o pregătire anterioară sau fără să gândească prea mult, ajungi din nou la testele de procesare a imaginii, adică exact la acel lucru în care va excela o inteligență artificială special creată pentru asta.

Ce înseamnă să fi om?

Testele sunt limitate de capabilitățile umane, spune Polakis. Nu e vorba doar de capabilitățile noastre fizice, ai nevoie de ceva care să nu depindă de cultură și de limbă. E nevoie de acel tip de exercițiu care merge și pentru cineva din Grecia dar și pentru cineva din Chicago, din Africa de Sud, Iran sau Australia în același timp. Și trebuie să fie independent și de diferențele sau chiar contradicțiile culturale. E nevoie de ceva ușor pentru omul mediu, nu ar trebui legat de un anume subgrup de persoane dat totodată  ar trebui să fie dificil pentru calculatoare. Asta limitează foarte mult posibiltățile noastre. Și trebuie să fie ceva ce omul poate face repede și fără să fie enervant.

Încercarea de a aduce lumină în această problemă te duce imediat cu gândul pe tărâmul filosofiei: care este calitatea universală a omului pe care o poți demonstra unei mașinării dar pe care nicio mașinărie n-o poate imita? Ce înseamnă să fi om?

Dar poate că umanitatea noastră nu e măsurată după cum îndeplinim o anumită sarcină ci după cum ne mișcăm prin lume – sau, în cazul de față, pe internet. Jocurile CAPTCHA, videoclipurile CAPTCHA, orice fel de test CAPTCHA vei folosi, el va fi în final păcălit, spune Shuman Ghosemajumder, fost angajat al Google în combaterea fraudei prin click și actualmente șeful departamentului tehnologic al Shape Security, companie de detectare a boților. În locul testelor CAPTCHA, el propune ceva numit „autentificare continuă”, în esență fiind observat comportamentul unui utilizator și detectarea oricăror semnale de automatizare.

O ființă umană reală nu are un control foarte bun al funcțiilor sale motorii, astfel că nu poate muta mouse-ul la fel de două ori în cazul unor interacții multiple, chiar dacă se străduiește să o facă, spune Ghosemajumder. În timp ce un bot interacționează cu pagina de internet fără a mișca mouse-ul sau mișcându-l foarte precis, acțiunile umane sunt „entropice” și foarte greu de imitat, mai spune Ghosemajumder.

Echipa CAPTCHA de la Google gândește cam la fel. Ultima versiune, reCaptcha v3, anunțată la finalul anului trecut, folosește „analiza adaptivă a riscului” pentru a evalua traficul privind gradul lui de susceptibilitate; proprietarii de website-uri pot alege să prezinte utilizatorilor cu talent la desen o provocare, ca de exemplu o cerere de parolă sau o autentificare cu doi factori. Potrivit lui Cy Khormaee, manager de produs al echipei CAPTCHA, Google nu a spus ce alți factori sunt luați în calcul pentru evaluare, în afară de observarea despre cum trebuie să arate pe un site o grămadă de „trafic bun” pentru a folosi asta la detectarea „traficului rău”. Specialiștii în securitate spun că este un mix de cookie-uri, atribute ale browser-ului, șabloane de trafic și alți factori. O caracteristică a noului model de detectare a boților este că pe de-o parte permite navigarea pe web cu un minim de supraveghere și de experiențe enervante dar pe de altă parte chestii ca VPN-ul sau extensiile anti-urmărire te pot marca drept suspect și susceptibil de a da un test CAPTCHA.

Aaron Malenfant, inginer principal al echipei CAPTCHA de la Google, spune că îndepărtarae de testele Turing trebuie privită ca un pas lateral față de o competiție în care oamenii pierd în continuu.

Pe măsură ce se investește tot mai mult în mașinării care învață, aceste tipuri de exerciții vor trebui să devină din ce în ce mai grele pentru oameni și de aceea am trecut la CAPTCHA V3, pentru a ne îndepărta de această curbă.

Malenfant spune că în cinci până la zece ani de acum încolo, testele CAPTCHA nu vor mai fi viabile deloc. În schimb, cea mai mare parte a internetului va avea un test Turing secret, care va rula în permanență în fundal.

În cartea sa The Most Human Human [Cel mai omenesc uman – n.tr], Brian Christiania parte la o competiție de teste Turing în calitate de om hăituit și constată că este foarte greu să-și dovedească umanitatea într-o conversație. Pe de altă parte, creatorii de boți nu au dificultăți în asta, boții nefiind neapărat cei mai elocvenți și inteligenți interlocutori dar evitând  întrebările cu bancuri seci, greșeli de ortografie sau, în cazul unui bot care a câștigat competiția Turing din 2014, pretinzând că este un băiat de 13 ani din Ucraina care nu vorbește bine limba engleză. Până la urmă, a greși este omenesc, nu? Este posibil ca și testelor CAPTCHA – cele mai utilizate teste Turing din lume –  să le fie rezervat un viitor similar: o nouă cursă a înarmărilor, nu în a crea boți care să întreacă oamenii în rezolvarea grilelor de imagini si a textelor distorsionate, ci în boți care să greșească, să rateze butoane, să fie distrați și să schimbe tab-urile browserului.

Cred că oamenii realizează deja că există o aplecare pentru simularea utilizatorului uman mediu… sau a omului prost, spune Ghosemajumder.

Testele CAPTCHA poate vor rezista, totuși, în această lume. Amazon a primit un patent în 2017 pentru o schemă care implică iluzii optice și puzzle-uri pe care oamenii le descifrează foarte greu. Numit Testul Turing prin Eșec, singura variantă prin care treci testul este să dai răspunsul greșit.