谷歌 reCAPTCHA 搞了个“指关节”验证，竟然能被静态图片破防？

最近，科技圈关于验证码的讨论又热闹了起来，主角依然是那个让大家又爱又恨的谷歌 reCAPTCHA。

验证码界的“新花样”：动动手指就行？

如果你经常在网上冲浪，肯定对“我不是机器人”的复选框，或者极其令人头秃的“选红绿灯”图片验证印象深刻。现在的验证码技术发展得很快，谷歌也在不断尝试新的方式来区分人类和爬虫。

最新的消息显示，谷歌似乎正在测试一种全新的验证机制：基于手指/指关节的交互验证。

谷歌正在测试的基于手指交互的验证机制界面展示。

从曝光的测试界面来看，系统会通过摄像头捕捉用户的手部图像，要求用户进行特定的手势操作，比如转动手指或者识别手掌上的 21 个指关节关键点。这听起来很科幻，很像《少数派报告》里的操作方式。原理也很简单粗暴：利用 AI 分析手指的动作灵活性和骨骼结构，判断屏幕前的是否为真人。

薛定谔的安全：静态图片竟然能骗过 AI？

研究人员利用一张静态手部照片成功绕过了验证机制。

这套机制理论上应该挺安全的，毕竟让 AI 实时识别动态手势并配合操作，对传统脚本来说是个噩梦。但是，现实往往比理论更魔幻。

就在大家讨论“以后上网还得举手”的时候，有安全研究人员进行了实测，结果让人大跌眼镜：这种基于“21 个指关节”的验证，竟然可以用一张静态图片直接绕过！

是的，你没听错。不需要复杂的动作模拟，也不需要伪造摄像头数据流，仅仅拿一张包含完整手掌的照片，对着摄像头晃一晃，或者在特定的环节“骗”过系统的识别逻辑，AI 就会判定验证通过。

AI 识别手掌 21 个关节点的示意图，展示了其识别逻辑。

为什么会“翻车”？技术原理浅析

这其实暴露了一个很尴尬的问题：生物特征识别的鲁棒性。

谷歌这套新验证的核心在于检测“动作”和“结构”。但在实测中发现，系统对手部静态特征的权重似乎调得过高，或者对动态时的帧间差值判断不够严格。

简单来说，验证码的 AI 可能“死记硬背”了手掌的 21 个关节点长什么样，只要在画面里凑齐了这 21 个点，它就认为是活人的手。它可能忽视了“这些点是否真的在按照要求运动”。这就给了攻击者可乘之机——只要搞到一张正面的手部照片，就能轻松通过验证。

这对我们意味着什么？

对于普通用户来说，这可能意味着未来验证码的交互会越来越“游戏化”，比如挥挥手、比个耶，比枯燥地选图要稍微有趣一点。但同时也引发了隐私方面的担忧（毕竟要调用摄像头）。

而对于站长和开发者来说，这又是一次警钟：没有绝对安全的验证码。随着图像生成技术和 AI 的发展，传统基于图形和简单生物特征的验证正在变得脆弱。虽然这个新功能还在测试阶段，但“静态图片绕过”的 BUG 肯定会被谷歌在正式上线前修复，比如加入活体检测或者更严苛的动作轨迹分析。

不过，这场“道高一尺，魔高一丈”的攻防战，看来还得持续很久。下次再遇到让你动手指的验证码，不妨想想，屏幕那头的 AI 可能正在盯着你的关节看呢。

写在最后

如果你在测试中遇到了奇怪的验证码，或者有关于绕过验证码的有趣发现，欢迎在评论区交流（当然，技术探讨请遵守相关法律法规）。虽然 AI 正在接管很多安全工作，但“区分人类与机器”这个终极命题，依然是个解不开的魔方。