2026 年 AI 能破解验证码吗？从 CAPTCHA 识别到风控系统

我们大概都遇到过这种场景：登录一个网站，先点一下“我不是机器人”，然后页面弹出九宫格，让你选出所有包含红绿灯、摩托车或者公交车的图片。点完一轮，又来一轮。有时候明明选对了，系统还是让你重试；如果你所在的网络环境比较特殊，验证甚至会一轮接一轮地出现。

验证码本来是用来给机器制造麻烦的，但是技术发展到现在，机器可能已经比人更擅长做这些题了。

2024 年，研究者针对 Google reCAPTCHA v2 做了一组实验。他们没有使用 GPT，只是用经过训练的 YOLOv8 图像模型识别验证码中的目标图片，再配合浏览器自动化完成操作。论文报告的 100 次测试全部通过。

到了 2025 年，研究开始从单一验证码转向更系统的评估，把文字、图片选择、滑块、旋转等多种 CAPTCHA 放在同一套 benchmark 中测试视觉语言模型。有些已经接近普通视觉识别任务，有些仍然需要精确定位、空间推理和连续交互，成功率明显下降。

而到了 2026 年，变化又向前走了一步。问题开始不再只是“AI 能不能看懂验证码”，而是“AI 能不能自己打开网页，看懂验证码，然后完成点击、拖动、纠错，再继续做原来的事情”。

答案正在变成：可以。

这就是为什么今天我想重新讨论 CAPTCHA。验证码作为安全防控的关键一环并没有消失，但它最初依赖的安全假设正在变化。在 2026 年，我们需要重新理解 AI 识别验证码究竟到了什么水平。

CAPTCHA 最初赌的是一件事：人会，机器不会

CAPTCHA 的核心思路其实很简单：找到一种人类很容易完成、机器却很难完成的任务，然后拿这件事区分人与机器。

早期最典型的是扭曲文字。字母会被旋转、粘连，背景里加入噪声和干扰线。对于人来说，眯着眼睛通常还能认出来；对早期 OCR 来说，却是一道很困难的题。后来 OCR 越来越强，验证码开始换题，Google reCAPTCHA 逐渐转向图片，让用户判断哪些图里有汽车、红绿灯或摩托车。

本质上还是同一个游戏：找一种人类擅长、机器暂时不擅长的感知能力。

问题在于，过去二十年 AI 进步最快的恰恰就是这些能力。OCR、图像分类、目标检测、语音识别，再到今天的视觉语言模型，CAPTCHA 不断寻找新的“机器盲区”，而机器不断追上来。

所以到了 2026 年，如果还只问一句“AI 识别验证码的准确率是多少”，其实已经不够了。更准确的分析至少应该分成三个层次：

Recognition：AI 能不能看懂验证码、知道正确答案；
Interaction：它知道答案以后，能不能真的在网页里点击、拖动和完成多轮交互；
Acceptance：即使验证码做对了，服务端的风控系统最终会不会接受这次请求。

这三个问题现在已经越来越不同。

文字验证码基本已经退化成一个 OCR 问题

传统文字 CAPTCHA 今天已经很难承担核心安全边界。原因不复杂，它本质上就是一个 OCR 问题。

如果一个网站仍然使用固定字体、固定噪声分布、固定长度的文字验证码，攻击者一旦能收集到足够样本，训练一个专用模型并不是什么前沿研究。甚至很多时候根本不需要大模型。

谈 AI 破解 CAPTCHA 时，人们很容易想到 GPT、Gemini、Qwen 这样的通用模型，但对固定题型来说，越专用的模型反而可能越便宜、越快。一个针对特定验证码训练好的 OCR 或轻量视觉模型，可以直接在本地运行，单次推理成本非常低。

九宫格验证码越来越像普通目标检测

图片 CAPTCHA 曾经明显抬高过攻击门槛。“请选择所有包含公交车的图片”这种题，对早期机器视觉并不容易。但今天再看，它的任务定义已经非常熟悉：这就是目标检测和图像分类。

2024 年的论文 Breaking reCAPTCHAv2 使用 YOLOv8 识别 reCAPTCHA v2 图片挑战中的目标类别，再结合自动化程序完成点击，报告了 100 次测试全部通过的结果。

这里的“100%”并不是说“reCAPTCHA 已经没有用了”，而是说明在那套具体实验条件下，图片挑战本身已经不能可靠地区分机器和人。reCAPTCHA 背后依然还有 cookie、浏览器环境、访问历史和风险评分等其他机制，这些并没有因为图像识别成功而消失。

但过去那层最直观的安全假设——“机器应该认不出红绿灯”——正在失效。

攻击者已经不一定需要专门训练模型

YOLO 破解 reCAPTCHA 仍然是一种比较传统的思路：先收数据，再标注，再针对特定 CAPTCHA 训练一个 solver。它的优点是便宜、快、稳定，但缺点也很明显：比较依赖题型。

如果验证码突然从“找汽车”变成“选择两个用途相同的物体”，一个只为汽车、公交车、红绿灯训练的模型就很容易失效。

视觉语言模型改变的正是这一点。Qwen、Gemini、GPT 这一类模型，不是只认识某个固定类别，而是能够同时理解图片、文字指令和空间关系。

2025 年的 MCA-Bench 专门研究了这个问题：它把多种 CAPTCHA 统一放到视觉语言模型框架下测试。结果显示，经过训练的 Qwen2.5-VL 在部分扭曲文字和 3×3 图片选择任务上已经能达到很高成功率，但面对滑块、旋转和复杂空间推理时，表现会明显下降。

这个差异说明 CAPTCHA 的难点正在变化。以前主要考的是“看不看得懂”，现在开始考“看懂以后，能不能准确地做出交互动作”。

滑块验证码为什么曾经更难

滑块验证码就是一个很典型的例子。页面上有一张图片，中间挖掉一块，用户需要拖动滑块，让拼图恰好对齐缺口。

这比九宫格多了一层要求。九宫格只需要回答“红绿灯在哪里”，滑块还要回答“缺口在哪里”“应该拖多远”“轨迹是不是合理”。 它同时包含视觉识别和行为交互。

不过，这类验证码也没有形成长期稳定的安全边界。2024 年发表的 The robustness of behavior-verification-based slider CAPTCHAs 针对五种广泛部署的行为验证型滑块 CAPTCHA，报告的攻击成功率为 87.5% 到 100%。

这再次说明，如果攻击者愿意针对某一种验证码定制算法，单纯把图片换成滑块并不能永久解决问题。缺口检测本身已经是成熟的计算机视觉任务，真正更难模拟的部分逐渐变成鼠标轨迹、时间间隔、页面环境、历史 session 和 IP reputation 这些外围信号。

到 2026 年，GUI Agent 开始自己做验证码了

真正让我觉得这一轮变化和过去不一样的，是 GUI Agent 开始把验证码当成普通网页交互来处理。

2026 年的论文 CAPTCHA Solving for Native GUI Agents 提出了 ReCAP，一种专门增强 CAPTCHA 能力的原生 GUI Agent。它不再使用传统的“截图交给识别模型，再由脚本解析结果、执行点击”的流水线，而是让模型直接看截图并输出 GUI 操作。模型可以自己识别目标、找到位置、点击、观察下一帧、判断是否出错，再继续修正。

研究者使用数据训练 Qwen3-VL 系列模型。32B 模型在论文动态 CAPTCHA benchmark 上的总体成功率约为 81%，平均约 1.54 次模型调用，端到端执行时间低于 3 秒。 这些是特定测试集中的实验结果，不能直接等同于所有真实网站的通过率。

趋势已经很清楚了：CAPTCHA solving 正在从一种专门的安全攻击技能，逐渐变成通用 Computer Use Agent 的一个副能力。

过去要破解验证码，需要有人专门写破解器。未来更可能出现的情况是：一个 Agent 在执行订票、购物或填写表单任务时，走到一半遇到验证码，它看一眼，自己完成，然后继续原来的任务。

能做题，不等于能过系统

如果只看到前面的研究数据，很容易得出“CAPTCHA 已经死了”的结论，但现实没有这么简单。

假设一个 AI 可以 100% 准确地找出所有红绿灯，它打开 reCAPTCHA，九张图片全部点对，Google 仍然可能不让它通过。因为现代 CAPTCHA 早就不只是在检查答案。

服务器能看到的东西远比验证码截图多。它可以观察这个 IP 来自哪里、是不是数据中心 ASN、设备是否出现过、cookie 有没有历史、浏览器环境是否正常、请求频率是多少、一个 session 里连续做了多少次挑战、账号是否刚刚创建，以及行为模式是否偏离正常用户。

这也是为什么评价 CAPTCHA 时，要把 Recognition、Interaction 和 Acceptance 分开。某个模型在离线 benchmark 中达到 98% 识别率，并不意味着它就有 98% 的端到端通过率。识别只是其中一层。

攻击成本也发生了变化

过去人们会认为，验证码最重要的攻击成本来自机器算不出来。现在这部分成本正在快速下降。

传统 OCR、YOLO 这类专用模型可以完全本地部署。视觉语言模型也在不断开放权重，对固定任务来说，纯推理的边际成本已经可以压得很低。

公开 CAPTCHA solving 市场的价格也能从另一个侧面说明问题。以 2026 年 8 月公开页面为例，普通图片验证码和 reCAPTCHA v2 的报价已经低至每 1000 次约 0.5 至 2.99 美元。这类第三方报价会变化，也可能混合人工与自动化能力，但它至少说明“得到答案”本身已经高度商品化。

也就是说，现在真正做大规模自动化时，更贵的东西往往不再是“识别验证码”本身，而是代理 IP、干净的 reputation、真实浏览器环境、设备身份、账号资源、session 维持和失败重试。

于是最新 CAPTCHA 的防御目标也跟着变了。

以前希望做到的是：让机器做不出来。

现在更现实的目标是：让机器批量做这件事不划算。

Google 已经不再把重点放在题目上了

顺着这个变化去看 Google，会发现 reCAPTCHA 自己也已经走得很远了。

今天 Google 已经把 reCAPTCHA 放进更大的 Fraud Defense 体系里。它关注的不再只是“这道题有没有答对”，而是整个请求的风险。服务端可以得到 0.0 到 1.0 的风险评分，1.0 代表请求很可能合法，0.0 代表很可能不合法，开发者再根据业务场景决定下一步动作。Google 的评估接口还包含 verifiedBots 字段，用于返回已验证身份的 Bot。

比如登录场景中，低风险请求可以直接通过，中风险请求触发邮箱验证，更高风险触发 MFA，再高则直接拒绝。

以前 CAPTCHA 本身负责做决定：题做对了，就通过。现在则是：请求进入系统以后，先收集一系列信号，再计算风险，最后由业务决定是放行、升级验证还是拒绝。

Cloudflare 更进一步：最好根本不要让用户做题

Cloudflare Turnstile 的思路更有代表性。它表面上仍然是 CAPTCHA 的替代品，但设计目标很早就从“让用户完成挑战”变成了“尽量让用户无感通过”。

Turnstile 官方文档说明，它会在浏览器里运行一系列非交互式 challenge，并结合客户端和浏览器环境中的多种信号判断，包括 proof-of-work、proof-of-space、Web API 探测、浏览器 quirks 和行为信号。Managed 模式会根据客户端信号和风险水平选择验证方式，低风险用户可以直接通过，只有需要进一步检查时才会出现 checkbox。

即使前端显示风险检验通过，Cloudflare 仍然要求服务端继续校验 token。官方文档明确强调，一个 challenge 被 solve，并不能自动说明访问者就是可信的人类请求。

这句话其实非常能说明 2026 年 CAPTCHA 的真实状态。

会做题，已经不再等于通过安全判断。

hCaptcha 没有完全放弃出题

hCaptcha 的路线和 Google、Cloudflare 又不完全一样。它仍然保留了更多主动视觉 challenge，同时也提供 invisible 模式和 risk score。 Invisible 模式可以在后台运行，只在达到挑战条件时向用户展示题目；纯被动模式则依赖企业版风险评分。

这种策略背后的逻辑也很直观：即使某一类 CAPTCHA 被当前模型攻破，仍然可以通过更换题型、增加交互复杂度和动态轮换，重新拉开一段时间的人机差距。

过去两年，学术界也在不断尝试类似思路，例如视觉错觉 CAPTCHA、音频错觉 CAPTCHA 和复杂空间推理 CAPTCHA。

2026 年的论文 Robust CAPTCHA Using Audio Illusions in the Era of Large Language Models 提出的 IllusionAudio，在论文测试的 LALM 与 ASR 攻击中实现了 0% 绕过率，同时在用户实验中实现了 100% 的人类通过率。

这是一个很漂亮的实验结果，但它依然有一个熟悉的问题：一旦题型公开，攻击者就可以开始专门收集数据、生成样本和微调模型。

CAPTCHA 二十多年的历史，本质上一直在重复这个循环：找到新的 human-easy / machine-hard task，部署，机器学习，攻破，再增加复杂度，再寻找新的任务。

生成式 AI 没有终结这个循环，只是让它转得越来越快。

真正麻烦的可能不是 Bot，而是合法的 AI Agent

这里还有一个 CAPTCHA 最初根本没有考虑过的问题：未来的机器流量，不一定都是坏流量。

过去互联网里的 Bot，通常很容易被理解成爬虫、垃圾注册、撞库、刷票、刷库存或自动广告点击。于是可以简单地把 Human 理解成 Good，把 Bot 理解成 Bad。

Agent 时代不是这样。

一个 AI Agent 帮我订酒店，它当然是 Bot，但它应该被阻止吗？未必。一个 Agent 帮我填写公司报销系统，一个无障碍 Agent 帮视障用户操作网页，一个购物 Agent 帮用户比价和下单，一个企业内部自动化 Agent 操作 SaaS，这些都是自动化程序，但也可能拥有真实用户的授权。

Google 当前的风险分析接口已经出现 verified bot identity 这样的概念，这其实很能说明问题。未来的网站可能不应该再简单地问“你是不是机器人”，而应该问“这个 Agent 是谁、是谁授权它来的、它准备做什么、允许执行多大的动作、它过去的 reputation 怎么样、它一分钟发三个请求还是三万个请求”。

常见问题

2026 年 AI 能破解验证码吗？

能破解相当一部分，但“识别正确答案”和“被服务端接受”不是一回事。文字和常见图片验证码已经高度可解，滑块、旋转及多轮动态交互仍更困难；现代风控还会结合 IP、设备、浏览器、账号和行为信号判断请求。

reCAPTCHA v2 的图片验证还安全吗？

图片题本身已不能被视为稳定的人机分界线。2024 年已有研究在特定实验条件下实现 100 次全通过，但 reCAPTCHA 的整体安全性还依赖风险评分、cookie、浏览器历史等其他信号。

GUI Agent 为什么改变了 CAPTCHA 的威胁模型？

因为它把识别、定位、点击、拖动、观察反馈和纠错连接成了端到端过程。验证码求解因此可能从专用破解器的能力，变成通用网页 Agent 执行任务时顺带完成的一步。

网站应该如何应对 AI 破解验证码？

不要把一道视觉题当作唯一安全边界。更合理的做法是分层使用风险评分、速率限制、设备与会话信号、账号信誉、MFA 和服务端 token 校验，并为获得授权的合法 Agent 设计可验证的身份与权限机制。

写在最后

把 AI 快速发展的这三年研究放在一起，会看到一条很清楚的变化。

文字 CAPTCHA 首先失守，图片 CAPTCHA 逐渐变成普通目标检测，视觉语言模型开始解决以前需要专用模型才能处理的不同类型验证码，GUI Agent 又把“识别”和“操作”连接起来。

接下来真正比较难的部分，越来越集中在动态、多步骤、精细定位，以及真实服务器环境中的风险判断。

所以在 2026 年，最先进的 CAPTCHA 产品越来越不像 CAPTCHA。Google 在算 risk score，Cloudflare 在观察浏览器和客户端环境，hCaptcha 把主动 challenge 和被动信号结合起来。

最终目标显然已经不是找到一道 AI 永远做不出来的题，因为这件事越来越难保证。更现实的目标是，让一次正常访问几乎没有成本，让一次大规模自动化攻击不断增加成本，直到它不再划算。