Google's New reCAPTCHA Wants Your Camera Access and 21 Points of Your Hand

背景

作为互联网世界最广泛使用的验证系统之一，Google 的 reCAPTCHA 一直在与自动化脚本和恶意机器人进行军备竞赛。从早期的扭曲文字识别，到后来的“我不是机器人”复选框，再到基于风险评分的无感验证，其核心逻辑始终围绕着“区分人类与机器”展开。然而，随着 AI 图像识别和自动化技术的突飞猛进，传统的交互验证逐渐失效，Google 不得不将验证的维度从“行为特征”推向更底层的“生物特征”。

核心内容

Google 正在测试一项全新的 reCAPTCHA 验证机制，要求用户开启摄像头并朝着镜头挥手，以便算法判断你是真人还是机器人。

这一看似随意的挥手动作背后，隐藏着精密的生物识别技术。系统会录制用户手部的短视频，并从中提取 21 个手部关键点坐标。这些坐标不仅映射了手指关节和手掌的几何形状，还会捕捉用户实时的动态动作。

Google 官方将这一机制的目的定义为“活体检测”，旨在帮助网站抵御自动化的账户创建、撞库攻击（credential-stuffing）等欺诈行为。但不可否认的是，这本质上是一次生物特征扫描——用户必须向 Google 开启自己的摄像头并展示手掌，才能证明自己是人类。

针对外界对隐私的担忧，Google 做出了系列承诺：验证完成后视频片段即刻删除；不录制音频；视频数据不会与用户身份绑定；数据不会提供给第三方；且数据仅用于安全目的。然而，其官方文档同时指向了 Google 的隐私政策，而该政策以措辞宽泛著称，几乎可以为任何数据使用场景提供解释空间。

目前，该功能仍处于可选阶段。无法完成手势验证的用户仍可使用传统的视觉或音频谜题。Google 表示，在开发替代方案期间，reCAPTCHA 将继续提供旧版挑战。但众所周知，今天的“可选”往往就是明天的“必选”，旧版挑战之所以保留，部分原因仅是因为手势验证尚处于测试期。

这些安抚性的承诺最终都建立在“信任”的基础之上，而 Google 在近年来已经消耗了用户大量的信任。作为一家核心商业模式依赖于收集和个人数据变现的公司，如今要求用户开启摄像头读取手部信息，这无疑加剧了公众的警惕。

关键要点

• 验证机制升级：Google reCAPTCHA 正在测试基于摄像头和手势的新型验证方式，用户需向镜头挥手通过验证。
• 技术原理：系统通过录制手部视频，提取 21 个手部关键点坐标，分析手指关节、手掌几何结构及动作轨迹来进行活体检测。
• 隐私承诺与矛盾：Google 承诺视频即时删除、不录音频、不关联身份且不共享给第三方，但其宽泛的隐私政策仍让外界担忧数据用途。
• 可选性的隐忧：该功能目前为可选，无法完成者仍可用旧版验证，但“可选”状态可能只是暂时的过渡阶段。
• 信任危机：在 Google 商业模式与数据收集深度绑定的背景下，要求用户交出摄像头权限和生物特征数据，引发了严重的信任挑战。

意义与影响

Google 此次测试标志着人机验证正从“行为交互”向“生物特征采集”的危险边界迈进。过去，验证码考验的是人类的图形识别或逻辑能力；而现在，它要求人类交出身体的生物密钥。

这种转变的深层原因在于 AI 技术的飞跃，传统的行为特征（如鼠标轨迹、点击频率）已可被机器轻易模拟，迫使防御方必须寻找更本质、更难伪造的人类标识——活