关于captcha:验证码与人工智能的激荡二十年行为革命

当工夫来到 2012 年，随着以深度学习为代表的人工智能技术的飞速发展，传统字符验证码曾经陷入了死胡同。源于斯坦福大学的一篇钻研报告显示，99% 的字符验证码都能够被轻而易举的破解。彼时，国外最胜利的 reCAPTCHA 通过翻新的众包验证的形式正在给英文经典书籍进行数字化，但依然是很传统的字符验证码，也就是说，寰球范畴外在存在宽泛痛点但十分细分的验证码畛域仍然没有呈现一个真正做到平安与体验兼顾的真正划时代的产品。

图片起源：斯坦福大学 2011 年报告

一、行为验证的构想

基于上述背景的思考，极验开创团队用翻新交融的思维钻研了验证码的实质，认为在深度学习技术倒退的趋势之下，传统字符验证码是毫无疑义须要摈弃的，而且思考到深度学习等 AI 技术将会成为机器破解的弱小能力，在验证码平安能力底层上必须也是构建于 AI 内核。只有用 AI 来反抗可能的 AI 破解，能力保障所设计的验证产品的长久平安。

既然字符验证码须要摈弃，那么应该设计一种怎么的验证呢，而且还能打造一个 AI 内核的平安模型？极验开创团队剖析了传统字符验证码的实质，即它其实是一种依赖键盘输入的常识答案型验证。咱们晓得在计算机时代，人与计算机进行交互的形式次要就是通过键盘和鼠标，既然传统字符验证码是依赖键盘输入的一种答案型验证，那么利用鼠标所代表的信息则可能齐全跳出这种答案型思维。接下来，团队剖析鼠标信息因为是人的手通过肌肉来操作的，实质上蕴含了人类的生物行为特色，用这些特色来构建人与机器辨别的平安模型是齐全可行的，而且齐全能够通过 AI 来实现。因而，能不能设计一种验证码，让人用鼠标去实现一个工作，这个工作看起来可能比较简单，然而实现工作过程中的鼠标行为却反映了访问者作为真人的特色。基于这样一个构想，极验将任何人类都能实现的拖动拼图的过程作为了行为式验证的开创模式，如下图所示：

图片起源：极验 2012 年设计的行为验证草图

当然，其实早在提出行为式验证时，极验开创团队就进行了深刻实质的思考，因而能够看到早在 2012 年极验申请的行为式验证的专利中，极验就对行为验证进行了精确的概念定义，而不仅仅限于拖动滑块拼图这一种，比方跟着绘制五角星等。

二、行为验证的实现

即便有了后面对行为验证充沛具体的构想，事实中也不可能一次性就打造出完满的行为验证产品。因而，在极验的倒退过程中也是遵循精益守业疾速迭代的思维一直去推动行为验证的实现，最终达到构想的指标。

2.1 Demo 实现

产品的第一步，就是要实现行为验证的滑动拼图模式，并且可能采集到行为数据便于后续的判断。在这一阶段，次要实现的就是作为 web 服务的前端和后盾交互通信流程，以及重点在前端对行为验证模式的实现。通过几个月的打磨，极验最早就在武汉大学 BBS 珞珈山水上线，一入世便让泛滥同学感到惊艳。从最开始要对俊俏难以辨认的字符进行睁大眼睛的辨认输出，到轻松惬意的通过实现一个水墨画的拼图就可能顺利完成验证，这种转变无疑是十分微小的。

图片起源：2012 年底，极验行为验证在武大珞珈山水 BBS 上线

2.2 机器学习模型的验证

在上线了最后的 Demo 产品后，极致的用户体验和审美曾经失去了充沛的验证。因而接下来的重点工作就要专一于是否能够用行为特色来构建平安模型。

依据极验定义的行为验证的概念，人在拖动鼠标的行为特色中蕴含着最实质的生物特色，它是能辨别人和机器最实质的信息。于是极验开创团队依据行为特色的一些论文以及构想，构建了如拖动速度、加速度、速度的均匀度、纵轴偏移度等初始行为特色，并尝试构建分类的模型。因为 Demo 上线时极验团队可能取得的都是人类拖动行为的白样本数据，没有黑样本，因而团队成员施展极客精力进行自我攻防，通过编写各种各样的机器拖动脚本来实现主动破解攻打，从而失去本人产生的第一批的黑样本数据。通过后面构建的特色和可视化的剖析，就能发现比拟广泛的攻击行为的特色数据与失常人类存在较高的可区分度，这样就基本上验证了极验团队通过行为特色构建人机辨别模型的可行性。

有了可行性的初步验证，还得验证是否真正能够构建人机辨别的机器学习模型。同样采纳精益的思维，团队晚期间接采纳 SPSS 统计分析软件，用经典的决策树模型来进行训练，模型构建胜利的后果预示着极验实现了真正有着行为模型的行为式验证。

2.3 机器学习工程化

在验证了机器学习模型的可行性之后，团队开始对验证模型进行工程化实现，不再依靠于 SPSS 软件来建模。因为团队采纳的 Python 技术栈，开始间接用 sk-learn 的 Python 机器学习库进行工程化，运行顺畅之后，为了整个晋升整体性能，对模型训练和预测的要害代码进行原生实现和优化，从而一个高效运行的机器学习模型就顺利构建。

随着行为验证这种翻新的验证产品越来越受欢迎，极验也开始直面越来越多黑灰产的攻打。简略的决策树模型曾经不能满足要求，因而很快极验开创团队从决策树替换到更高级的机器学习模型包含随机森林和 SVM，并且一直去研发新的行为特色。因此，面对理论业务的挑战，依附成熟的传统机器学习的工程流程一直地去优化模型，继续进步平安防御能力。

2.4 真正的 AI 实现

基于对行为特色的开掘钻研以及行为模型的一直试验优化，行为式验证的平安能力越来越强。但随着越来越多的客户包含各个行业的标杆客户都抉择了极验作为他们的验证平安解决产品，极验所面临的黑产攻打压力也出现快速增长。传统的特征分析工程以及这套机器学习流程太依赖人工教训的弊病还是凸显进去，因而只有真正实现基于端到端的深度学习 AI 模型，能力保障最终的长久平安。

然而，行为验证所采集的轨迹数据对风行的深度技术技术而言是一种全新的输出，它的数据长度不固定，而且蕴含坐标和工夫两种齐全不同的维度，它出现某种序列数据的模式，然而跟语音文本这种序列数据又有很大的差异，这样的数据对采纳深度学习技术而言无疑是一种微小的挑战。然而带着打造真 AI 内核行为验证的信念，团队采纳各种翻新的办法，最终将最弱小的广泛应用于图像畛域的 CNN 模型胜利利用到行为轨迹数据上，并且一直发散思考，带着对验证安全性“三防”体系的认知，构建了齐备的分类模型、聚类模型与 Hash 模型。于是，随着真 AI 内核行为验证的实现，客户越多，黑产攻打越多，用于训练 AI 模型的黑白样本数据就越多，行为验证的 AI 内核的平安能力就越强，从而极验就能做到长久的自动化安全更新。

结语

行为式验证就在这样一种精益迭代，一直验证不断完善的门路中逐步达到了最后的构想。横空出世的行为验证在反抗黑灰产的验证攻打上，像一个全新的物种，出现了降维打击的成果。在长久的平安碰撞中，笼罩宽泛的客户造成了平安的协同效应，因为其真 AI 的平安内核，越多的攻打数据在 AI 背后成为平安能力晋升的“数据输出”，让 AI 模型能力更弱小，是一种真正的智能验证。总之，从 2012 年开始，传统字符验证码面临被瓦解的危局之下，极验所发明的行为验证成为验证平安畛域最为翻新和胜利的产品，甚至称得上惟一可行的继字符验证码之后的下一代验证技术，因此这次验证码的反动也被称为行为反动。

从工夫维度来看，行为反动倒退至今也已快十年，后续会如何演变呢，欢送关注下一期：「验证码与人工智能的激荡二十年：现状、思考与瞻望」