'Broken Gates': pesquisa mostra que CAPTCHAs e defesas antibot já são rotineiramente vencidos por agentes de IA e serviços de solver
Um estudo de medição sistemático testou sete serviços comerciais de resolução de CAPTCHA e seis agentes baseados em LLM contra hCaptcha, reCaptcha v2, reCaptcha v3 e Cloudflare Turnstile. Defesas baseadas em desafio interativo caem quase por completo diante de solvers comerciais a custo desprezível, e agentes de IA com um módulo solver dedicado conseguem o mesmo resultado. A descoberta mais importante, porém, é que a resistência maior do reCaptcha v3 não-interativo vem da autenticidade do ambiente de execução, e não do comportamento do agente: dois agentes com pegadas comportamentais quase idênticas tiveram resultados opostos.
O estudo avaliou dois tipos de defesa antibot amplamente usados hoje: desafios interativos (hCaptcha, reCaptcha v2, Cloudflare Turnstile) e defesas não-interativas baseadas em pontuação de confiança (reCaptcha v3), testando ambos contra sete serviços comerciais de resolução de CAPTCHA e seis configurações de agentes LLM, incluindo variantes hospedadas em nuvem, self-hosted, assistidas por IA e como extensão de navegador.
O resultado para os desafios interativos é direto: eles são amplamente ineficazes contra os solvers comerciais, que conseguem taxa de bypass quase perfeita a custo desprezível, e os mesmos desafios caem igualmente diante de agentes LLM quando esses têm acesso a um módulo solver dedicado. O reCaptcha v3, por não depender de um desafio explícito, mostrou resistência comparativamente maior, mas a análise fina do rastro de interação revelou algo contraintuitivo: dois agentes com pegadas comportamentais praticamente indistinguíveis produziram resultados opostos, um passou, outro não.
Ao isolar essa divergência, os pesquisadores identificaram que o fator determinante era a autenticidade do ambiente de execução (sinais de navegador e dispositivo), e não o padrão de comportamento do agente em si. Isso significa que a defesa não-interativa não está de fato medindo "isso é um humano ou um bot agindo", está medindo "esse ambiente parece um navegador real ou uma automação spoofada", uma distinção sutil mas com implicações diretas em como esse tipo de pontuação de risco deveria ser redesenhado à medida que agentes de navegador baseados em LLM se tornam mais comuns.
A leitura mais ampla é que serviços comerciais de resolução de CAPTCHA já haviam reduzido defesas baseadas em desafio a pouco mais que teatro de segurança, e a ascensão de agentes de navegador capazes remove a última barreira prática que ainda restava, a necessidade de um humano alimentando manualmente o solver. Isso empurra a defesa antibot para competir no nível de atestação de ambiente e dispositivo, e não mais no nível de quebra-cabeças de interação.