Astra 全通 48 关 CAPTCHA：GUI 验证失效，Web 安全转向身份与权限校验

事件概述

9 月 7 日，OpenAI Labs 成员 Sharif Shameem 演示了 GPT-6 Astra 连续完成《I’m Not a Robot》验证码的全部 48 个关卡。该过程涵盖了从早期的图片识别、文字判断，到后期的拖拽操作、停车模拟、视觉搜索、节奏控制及逻辑小游戏。Astra 通过实时观察屏幕、操控鼠标键盘，并根据页面反馈动态调整策略，最终成功获取“人类认证”。这一演示不仅展示了模型的能力，更揭示了 GUI（图形用户界面）作为机器防线的局限性正在迅速瓦解。

核心信息与技术解析

1. 从静态推理到闭环控制的跨越

早期 CAPTCHA 主要依赖静态推理，即模型识别图像后输出答案即可结束任务。而 Astra 的成功在于其构建了一个稳定的 Computer Use 闭环：

• 状态估计与 Grounding：Agent 不仅要识别语义对象（如按钮、车辆），还需将其映射为具体的屏幕坐标（ScreenSpot-Pro 测试中 Astra 达到 92.7% 的准确率）。更重要的是，它需要维护一个隐含的状态估计，将历史动作与新的视觉反馈结合，以应对动态变化的网页环境。
• 动作后的状态校验：在长流程任务中，单次点击错误可能导致后续计划建立在错误前提上。Astra 具备在执行操作后比对实际页面与预期页面的能力，若发现异常（如弹窗未关闭），则重新定位或修正策略，防止误差沿任务链放大。
• 感知-行动循环的速度优势：Astra 在 OSWorld 2.0 基准测试中得分 72.6%，耗时从约 75 分钟降至 40 分钟。更快的响应速度减少了因页面动态变化导致的“状态过时”（state staleness）问题，提升了在动态界面中的控制稳定性。

注：此次通关视频未公开完整测试框架及是否严格限制为纯像素输入，因此严谨性需参考其在 ScreenSpot-Pro 和 OSWorld 上的正式成绩。

2. 现代 CAPTCHA 的防御迁移

当视觉 Agent 能够熟练处理复杂 GUI 时，仅靠认知题已无法保障安全。主流服务商已将防线向深层迁移：

• reCAPTCHA v3：不再依赖二元结果，而是基于交互上下文生成风险分数（score），由后端决定处理方式。
• Cloudflare Turnstile：采用前后端分离架构。前端执行轻量级 JS 挑战（计算、空间证明、Web API 探测等）生成 Token，后端通过 Siteverify 验证。Token 具有 300 秒有效期且仅限单次使用，即使 Bot 完成前端挑战，若其他信号异常或 Token 复用，仍会被拒绝。
• 浏览器与环境指纹：防御体系进一步延伸至 TLS 握手特征（JA3/JA4）及 JavaScript 运行环境检测。这使得系统能观察到视觉 Agent 无法感知的网络层和运行时状态。

尽管 Selenium 等自动化工具已被明确排除在生产环境中，但随着 Agent 直接在完整 Chrome 栈中运行，其协议和运行时特征将与真实浏览器趋同，单纯依赖浏览器指纹区分人机将日益困难。

3. Web 安全范式转变：从分类到身份认证

未来大量机器访问将是合法流量，传统的“人/机器”二元分类已失去意义。安全重心正转向 Agent 身份与权限管理：

• Web Bot Auth：Cloudflare 推出的新机制基于 HTTP Message Signatures。Agent 使用 Ed25519 私钥对请求签名，服务器通过公钥验证身份并确保请求内容未被篡改。这解决了密码学层面的主体认证问题，而非行为分类。
• 细粒度授权委托：认证解决“你是谁”，授权解决“你能做什么”。合理的模型是用户将有限权限（如读取订单、修改日期）委托给 Agent，主 Agent 再向下级分配更窄的权限。服务器最终判断依据包括：Agent 身份有效、用户委托有效、Token 未过期、资源在授权范围内且无越界行为。

值得关注

Astra 通关 48 关并不意味着 reCAPTCHA 或 Turnstile 立即失效，但它削弱了 CAPTCHA 的核心假设——即视觉理解和连续 GUI 操作足以阻挡机器。随着 Computer Use 技术的成熟，Web 安全的底层逻辑已从“证明对面是人”转变为“确认机器是谁、代表谁以及被允许做什么”。防御体系正从界面层的认知挑战，彻底迁移至协议层的身份认证与权限控制。