Estás listo para comprar entradas para ese espectáculo local. El carrito está lleno. Se ingresan los detalles del pago. Entonces, el muro se levanta.
Es un CAPTCHA.
El acrónimo significa Prueba de Turing pública completamente automatizada para distinguir entre computadoras y humanos. Suena como algo sacado de un thriller de ciencia ficción, pero es solo un portero digital. La prueba no es difícil para los humanos. Si eres una persona real, lo superarás rápidamente. ¿Para una computadora? Debería ser casi imposible.
El objetivo es simple: identificar bots maliciosos antes de que puedan alterar sus datos o su compra.
Estas pruebas también se conocen como Prueba de interacción humana (HIP). Los has visto por todas partes. La versión clásica muestra una serie de letras borrosas y distorsionadas. Los escribes. Si coincide con la imagen, pasas.
Es así de simple. O solía serlo.
La evolución de los desafíos basados en imágenes
Los CAPTCHA basados en texto están envejeciendo. Los robots son cada vez más inteligentes. Ahora, los desafíos de reconocimiento de imágenes son el estándar.
En lugar de escribir letras, obtienes una cuadrícula de fotos. Carreteras. Calles de la ciudad. Parques. Se le pide que seleccione imágenes que contengan objetos específicos.
- alumbrado público
- Bocas de incendio
- bicicletas
- Pasos de peatones
Seleccione las fotos correctas. Pasa la prueba.
Los CAPTCHA basados en imágenes son mucho más difíciles de descifrar para los robots que los basados en texto. Las imágenes distorsionadas o las escenas borrosas frustran las técnicas de reconocimiento de un robot. Elaborar una prueba que sólo un humano pueda resolver requiere un diseño cuidadoso.
¿Por qué luchar contra los robots?
¿Por qué crear una prueba para separar a los humanos de las máquinas?
Porque la gente intenta jugar con el sistema. Explotan las debilidades de las computadoras que ejecutan el sitio.
Estas personas son una minoría de los usuarios de Internet. Pero sus acciones afectan a millones.
Considere un servicio de correo electrónico gratuito. Sin un CAPTCHA, podría verse bombardeado por solicitudes de cuenta automatizadas. Un programa automatizado crea miles de cuentas en segundos. ¿Por qué? Para enviar correo no deseado a millones de personas más tarde.
El CAPTCHA detiene esto. Identifica qué usuarios son seres humanos reales. Y cuáles son sólo programas de computadora.
Cada fracaso es un avance de la IA
Aquí hay un giro interesante.
Las personas que diseñan estas pruebas no siempre se molestan cuando fallan.
Para que una prueba CAPTCHA falle, alguien debe encontrar una manera de enseñarle a una computadora cómo resolverla.
Cada vez que un bot supera un CAPTCHA, representa un avance en inteligencia artificial.
La ironía es palpable. Una aplicación CAPTCHA genera una prueba que ni siquiera ella puede resolver sin conocer ya la respuesta. Se basa en la cognición humana como parámetro de seguridad.
Estamos en una carrera armamentista.
Los robots se vuelven más inteligentes. Las pruebas se vuelven más difíciles. Los usuarios se molestan.
Pero hasta que la tecnología alcance a los humanos, seguiremos haciendo clic en los semáforos.
Todo el sistema se remonta a la prueba de Turing. Alan Turing, el tipo que básicamente inventó la informática moderna, quería una forma de comprobar si las máquinas podían imitar el pensamiento humano. La configuración fue sencilla. Un interrogador habla con dos participantes ocultos. Uno es una persona. Uno es una computadora. Si el interrogador no puede decir cuál es cuál, la máquina gana.
CAPTCHA invierte esta lógica. El objetivo es hacer una prueba que los humanos superen rápidamente mientras los robots fallan espectacularmente. Tiene que ser dinámico también. Si todos los usuarios vieran exactamente la misma imagen estática con las mismas letras, los spammers la descifrarían en minutos. Simplemente escribirían un guión para escribir la respuesta automáticamente.
La mayoría de estas pruebas son visuales. Las computadoras todavía son torpes a la hora de procesar imágenes en comparación con nosotros. Los humanos detectan patrones al instante. Incluso a veces los alucinamos. Eso es pareidolia. Ves una cara en las nubes o una figura en Marte. Tu cerebro fuerza el ruido aleatorio a adoptar una forma reconocible. Las máquinas no tienen ese salto intuitivo. Luchan contra la ambigüedad.
Pero confiar únicamente en la vista es arriesgado. Aleja a los usuarios con discapacidad visual. Entonces tenemos alternativas. Los CAPTCHA de audio son comunes. Escuchas una cadena de números o letras. La voz podría estar distorsionada. A menudo hay estática de fondo. Esto bloquea el software de reconocimiento de voz.
Luego está el CAPTCHA contextual. Presenta un breve pasaje de texto. El usuario tiene que interpretar el significado. Los algoritmos pueden capturar palabras clave. Fallan en la comprensión real. No captan los matices.
A veces la prueba simplemente se rompe. La imagen está tan deformada que ni siquiera los humanos pueden leerla. Es por eso que aparece un botón “actualizar”. Inténtalo de nuevo. Con suerte, el segundo intento no será una tontería.
¿Quién usa CAPTCHA?
La siguiente sección analiza qué sitios realmente implementan estas comprobaciones para verificar que no eres un bot.
Integridad de las encuestas y abuso de bots
La encuesta Slashdot de 1999 sobre el mejor programa de posgrado en ciencias de la computación es una advertencia. Mostró exactamente lo que sucede cuando dejas encuestas abiertas a scripts automatizados. Los estudiantes de Carnegie Mellon y el MIT construyeron robots para inundar sus respectivas escuelas con miles de votos. Mientras tanto, todas las demás universidades se las arreglaban con unos pocos cientos.
Si el código puede emitir un voto, los resultados son basura.
Por eso es importante la verificación. Sin filtro, las encuestas online son sólo concursos de popularidad para quien tenga el guión más rápido. CAPTCHA impide que los programadores jueguen con el sistema.
Bloqueo de spam bots durante el registro
Piensa en la última vez que te registraste en Hotmail, Yahoo! Correo o Gmail. Escribiste algunos datos personales. El servicio no comprobó si eran reales. No te llamó ni verificó tu identidad.
Solo quería asegurarse de que un bot no intentara crear cientos de cuentas de spam en segundos.
Los proveedores de correo electrónico gratuitos utilizan CAPTCHA para detener a los spammers. Sin él, tu bandeja de entrada estaría atascada con basura de cuentas falsas incluso antes de que terminaras de configurar la tuya.
Lucha contra los revendedores de entradas
Los corredores de entradas como TicketMaster también confían en estos filtros. ¿Por qué? Para detener a los revendedores.
Los revendedores utilizan bots para comprar miles de entradas para grandes eventos en segundos. Los fanáticos legítimos quedan excluidos. Los eventos se agotan al instante. Los revendedores luego revenden esos boletos a precios inflados.
CAPTCHA no deja de especular por completo. Simplemente hace que las compras automatizadas a gran escala sean mucho más difíciles. Ralentiza a los robots. Les da a los humanos reales una oportunidad de luchar.
Mantener limpios los foros de mensajes
Las páginas web con formularios de contacto o foros de mensajes enfrentan la misma amenaza. Una avalancha de spam puede ahogar conversaciones reales.
Los programas CAPTCHA filtran el ruido. Evitan que los bots publiquen automáticamente mensajes groseros o acosen a los administradores. No es un escudo perfecto contra un troll humano decidido. Pero detiene la inundación automatizada.
El doble deber de reCAPTCHA
El CAPTCHA estándar le pide que escriba letras y números distorsionados. Pero los creadores encontraron una manera de agregar valor a esa tarea. Lo usaron para digitalizar libros.
Esto es reCAPTCHA. Aprovecha sus respuestas para verificar el papel escaneado. Las computadoras tienen dificultades para leer palabras de escaneos digitales. Los humanos son buenos en eso.
Aquí está el proceso:
- El administrador escanea un libro.
- El programa selecciona dos palabras de la imagen.
- Ya se reconoce una palabra.
- Si lo escribes correctamente, el sistema asume que tu segunda palabra también es correcta.
- Esa segunda palabra va a un grupo para otros usuarios.
- A medida que más personas la escriben, el sistema verifica la palabra con alta certeza.
Suena tedioso. Pero estás haciendo dos trabajos a la vez. Estás demostrando que eres humano. También estás ayudando a los motores de búsqueda a indexar documentos escaneados.
Creando la verificación
A continuación, veremos el proceso que implica la creación de un CAPTCHA.
Diseñando para la brecha entre humanos y máquinas
Toda la premisa de un CAPTCHA se basa en una desconexión fundamental. Los humanos perciben el contexto. Instrucciones de proceso de las máquinas. Si los datos quedan fuera de un camino algorítmico rígido, un robot tropieza. No improvisa. Falla.
Un diseñador debe explotar esta debilidad. Considere los metadatos. Es invisible para ti. Es legible mediante un guión. Si creas un desafío visual donde la respuesta está oculta en los metadatos del archivo de imagen, ya estás perdido. Un script simple puede eliminar esos datos y revelar la solución al instante.
La distorsión no es negociable. El texto sin formato es una invitación abierta al software de reconocimiento óptico de caracteres (OCR). Esos programas escanean formas. Reconocen líneas rectas y curvas. Si tus personajes no están deformados, torcidos u oscurecidos, un robot los leerá más rápido de lo que un humano puede parpadear.
Los humanos deberían tener una tasa de éxito del 80 por ciento. Las máquinas deberían estar al 0,01 por ciento.
Este punto de referencia proviene de los expertos de Microsoft Research, Kumar Chellapilla y Patrice Simard. No se limitaron a adivinar. Calcularon el umbral entre usabilidad y seguridad.
Hay dos formas principales de generar estos desafíos. El primero es estático. Tú predefines las imágenes y sus soluciones. Necesita una base de datos masiva para respaldar esto. ¿Por qué? Porque un spammer que robe esa base de datos puede lanzar un ataque de fuerza bruta. Simplemente recorren todas las respuestas posibles hasta que una se queda. Para mantenerse seguro, necesitaría una base de datos con más de 10,000 CAPTCHA únicos. Eso es pesado. Es arriesgado.
La segunda forma es dinámica. Aleatorización. El sistema genera una cadena única de letras y números cada vez. Nunca verás la misma secuencia dos veces. Esto acaba con el enfoque de fuerza bruta. Las probabilidades de que un robot adivine una cadena larga y aleatoria son astronómicamente bajas. Cuanto más larga sea la cuerda, más seguro estarás.
El guante visual
¿Cómo se distorsiona el texto? Hay algunos trucos en el kit de herramientas.
Algunos sistemas estiran y doblan las letras hasta que parecen vistas a través de vidrio derretido. Es nauseabundo. También es eficaz. Otros superponen una cuadrícula de barras cruzadas para fracturar las formas de las letras. Es posible que vea campos de puntos aleatorios o combinaciones de colores contradictorios diseñados para confundir el ojo y el algoritmo. El objetivo es siempre el mismo: crear ruido que los humanos puedan filtrar pero que las máquinas no puedan analizar.
El reconocimiento de patrones es otra vía. En lugar de simplemente leer el texto, es posible que se le solicite que complete una secuencia. Aparece una serie de formas. ¿Cuál viene después? Pone a prueba la lógica, no sólo la visión. Pero aquí está el truco. No todo el mundo es bueno en razonamiento abstracto. Si su rompecabezas es demasiado difícil, su tasa de éxito humano cae por debajo de ese crítico 80 por ciento. Empiezas a bloquear a usuarios reales. Cambias seguridad por accesibilidad. Es un paseo por la cuerda floja.
La alternativa de audio
¿Puedes oírme ahora?
Los CAPTCHA audibles siguen una lógica similar a los visuales, pero con un medio diferente. Estás escuchando personajes hablados por una voz sintetizada o una grabación humana real.
El enfoque estático requiere registrar previamente todas las combinaciones posibles. Esa es una biblioteca de audio enorme. El enfoque dinámico es más inteligente. Graba fonemas o caracteres individuales y los une en tiempo real. Es más rápido de generar. Es más difícil de indexar.
Pero el audio no es perfecto. Ruido de fondo. Acentos. Artefactos de síntesis. Introduce una nueva capa de fricción. ¿Resuelve el problema? A veces. Para algunos usuarios, es un salvavidas. Para otros, es un enigma que no pueden resolver.
La carrera armamentista continúa
Hemos visto cómo se construyen. El siguiente paso es verlos caer. Las computadoras están mejorando en esto. Están aprendiendo a ver a través de la distorsión.
El verdadero obstáculo no es descifrar el texto. Los humanos deberían alcanzar esa tasa de precisión del 80 por ciento con facilidad. La verdadera pesadilla es enseñar a una máquina a procesar información como lo hace un cerebro humano. La mayoría de los atacantes no se molestan en intentar hacer que las computadoras sean más inteligentes. Simplemente eliminan la complejidad del desafío.
Piense en un formulario web estándar protegido por un CAPTCHA que muestra palabras en inglés. La fuente se deforma. Las letras se estiran y doblan en patrones caóticos. Un ruido de fondo aleatorio se encuentra detrás del texto. Parece un galimatías. Está diseñado para serlo.
Un programador que rompa esto no comienza con la IA. Comienzan con un algoritmo. Esto es sólo un conjunto de instrucciones. El primer paso podría ser convertir la imagen a escala de grises. El color es una capa de ofuscación. Retírelo. Ahora tienes ruido en blanco y negro.
A continuación, el código busca patrones. Compara formas con letras conocidas. Si la coincidencia es débil, el algoritmo cruza esas letras parciales con un diccionario de palabras en inglés. Adivina el resto. Esta lógica de fuerza bruta funciona. A veces falla. Pero si tiene éxito con la suficiente frecuencia, los spammers ganan.
Superando el desafío Gimpy
¿Qué sucede cuando el CAPTCHA se vuelve más estricto? Tome la versión Gimpy. Muestra diez palabras. Fuentes deformadas. Fondos irregulares. Las palabras se superponen. Tienes que escribir tres correctos para continuar.
Suena sólido. Hasta que miras la investigación. Greg Mori y Jitendra Malik publicaron un artículo sobre cómo descifrarlo. ¿Su truco? El sistema utiliza palabras reales. No cadenas aleatorias. Ésta es una debilidad enorme.
Mori y Malik crearon un algoritmo centrado en el inicio y el final de cadenas de palabras. Utilizaron el conocido diccionario de 500 palabras del sistema Gimpy. Hicieron pruebas. El algoritmo identificó correctamente las palabras el 33 por ciento de las veces.
Ese número parece bajo. Que no es. Los spammers no necesitan la perfección. Necesitan volumen. Si sus bots se ejecutan cientos de veces por minuto, una tasa de éxito de uno entre tres es rentable. Las matemáticas funcionan.
Oídos electrónicos
Los CAPTCHA de audio tampoco son seguros. En la primavera de 2008 se produjeron informes de piratas informáticos atacando el sistema de audio de Google. El método fue sorprendentemente simple.
Los piratas informáticos crearon una biblioteca de sonidos. Cada personaje de la base de datos necesitaba una coincidencia sónica. La distorsión puede significar múltiples sonidos para una letra. Una vez categorizados, utilizaron variantes de software de reconocimiento de voz. El robot escuchó. Lo interpretó. Escribió.
CAPTCHA e Inteligencia Artificial
La paradoja de la IA: por qué romper la seguridad ayuda a las máquinas a aprender
Luis von Ahn, el profesor de Carnegie Mellon que ayudó a inventar CAPTCHA, ve las cosas de manera diferente que el administrador de sistemas promedio. En una conferencia de 2006, planteó la batalla entre humanos y robots no como una guerra, sino como un campo de entrenamiento para la inteligencia artificial. La lógica es fría pero sólida. Los spammers y los hackers están obsesionados con romper los CAPTCHA porque esas pruebas se interponen entre ellos y sus objetivos. Invierten tiempo y energía en derrotarlos.
Cuando tienen éxito, las máquinas se vuelven más inteligentes.
Cada vez que un investigador descubre cómo enseñarle a una computadora a resolver un acertijo de texto distorsionado, damos un paso hacia la verdadera IA. Para von Ahn, una derrota del sistema de seguridad es una victoria del aprendizaje automático.
Los administradores web, sin embargo, encuentran esta filosofía menos atractiva. Todavía tienen que lidiar con las consecuencias. A los robots de spam y los scripts maliciosos no les importan las implicaciones filosóficas de su derrota. Simplemente quieren participar. La realidad es que varios sistemas CAPTCHA ya han dejado de utilizarse de manera efectiva. Los encargados de realizar encuestas en línea o sitios web sencillos necesitan saber qué herramientas siguen siendo fiables. Necesitan mantenerse actualizados. Si un sistema falla, el código tiene que desaparecer. Necesita ser reemplazado.
Los diseñadores caminan sobre la cuerda floja. A medida que las computadoras se vuelven más sofisticadas, las pruebas deben evolucionar. Pero hay un límite. Si la prueba se vuelve tan difícil que los humanos ya no pueden resolverla con una tasa de éxito decente, el sistema falla. Ya no se trata sólo de deformar el texto. La respuesta podría ser una ecuación matemática. O responder preguntas sobre un cuento.
¿Cuántas personas se molestarán en publicar una respuesta en un foro de mensajes si primero tienen que resolver una ecuación cuadrática?
El interés del usuario cae cuando la fricción aumenta demasiado. El equilibrio es frágil.
La evolución de la verificación invisible
Google cambió las reglas del juego en 2014. La empresa, que había adquirido reCAPTCHA en 2009, comenzó a eliminar gradualmente los clásicos desafíos de imagen o texto. Introdujeron “Sin CAPTCHA”. Fue sencillo. Un solo cuadro con las palabras “No soy un robot”.
Los usuarios hicieron clic. El mundo siguió adelante.
Pero en 2017, incluso eso era demasiado obvio. Google anunció la eliminación de No CAPTCHA. El nuevo enfoque se basó en el análisis del comportamiento. Observó cómo movía el puntero del mouse. Analizó sus hábitos de navegación. Esto se conoció como reCAPTCHA invisible.
Si el sistema te marcaba como sospechoso (tal vez eras un robot), te veías obligado a resolver uno de los desafíos estándar más antiguos. Fue una alternativa. Un paso de verificación. El objetivo era mantener a los buenos usuarios en movimiento y atrapar a los malos sin que se dieran cuenta.
Aclarando la terminología y la necesidad
A menudo existe confusión sobre quién es el propietario de qué y por qué existen estos controles.
¿CAPTCHA es de Google?
No. CAPTCHA es una tecnología general que se utiliza en la web para garantizar que los humanos, no los robots automatizados, interactúen con un sitio. El reCAPTCHA de Google es sólo una implementación de este concepto más amplio.
¿Qué significa CAPTCHA?
Significa “Prueba de Turing pública completamente automatizada para diferenciar las computadoras de los humanos”. Es una prueba de desafío-respuesta integrada en la informática para verificar la identidad del usuario.
¿Por qué se necesita CAPTCHA?
Evita que los programas automatizados envíen información falsa. Impide que los spammers de publicidad promuevan estafas en páginas web. Evita que Internet se inunde de ruido.
Adónde ir desde aquí
El paisaje cambia constantemente. Lo que funcionó ayer podría no funcionar hoy.
Para aquellos que profundizan más, los temas relacionados incluyen cómo operan los descifradores de códigos, la mecánica del spam y la función del software espía. Comprender el cifrado y los virus informáticos proporciona un contexto de por qué es importante la seguridad. La lógica subyacente de cómo una máquina lógica genera números aleatorios también se relaciona con la aleatoriedad requerida para los desafíos seguros.
Más recursos sobre el tema incluyen Gwap y el sitio oficial reCAPTCHA. Las raíces académicas de este campo están bien documentadas. La investigación realizada por Chellapilla y Simard en Microsoft Research destaca cómo el aprendizaje automático puede descifrar las pruebas visuales. Los CAPTCHA de filtrado colaborativo se exploraron en los primeros talleres. La vulnerabilidad del CAPTCHA de audio de Google se documentó en 2008. Los spammers descifraron el CAPTCHA de Gmail ese mismo año.
La prueba de Turing, tal como se analiza en la Enciclopedia de Filosofía de Stanford, sigue siendo la base teórica. La corteza humana todavía supera a la CPU en muchas tareas, como señala Wired. Pero la brecha se está cerrando. La visión original de Von Ahn se desarrolla en tiempo real. Cada código descifrado es una lección para la próxima generación de IA.
La pregunta ya no es si las máquinas pasarán estas pruebas. Es lo que sucede cuando lo hacen. ¿Y qué pasa con los humanos que todavía tienen que hacer clic en las casillas?
