垃圾郵件發送者以每月50美元僱用真人破解CAPTCHA，約20秒解開謎題

加州大學聖地牙哥分校的一項分析在USENIX Security Symposium上發表，並由《MIT Technology Review》於2010年8月報導，揭露了一個協助垃圾郵件發送者繞過CAPTCHA的全球服務網絡：數百、甚至可能數千名勞工，以每月不到50美元的報酬工作，解開由自動化中間人派送的謎題，這些中間人再將解答即時賣給垃圾郵件發送者。

經濟邏輯擊敗了設計初衷。CAPTCHA的原理是對人類容易、對電腦困難，因此這套轉送系統只是直接提供「人類」。派送效率極高，取得解答的平均等待時間約為20秒——快到足以讓機器人程式不間斷地註冊電子郵件帳號，並在論壇和部落格上發文。

研究人員深入探查了其中一項服務ImageToText，其勞工在相當廣泛的語言範圍內都能給出正確答案，包括荷蘭文、韓文、越南文、希臘文和阿拉伯文。甚至以克林貢語設置的CAPTCHA——選作對照組，因為隨機猜測命中的機率大約只有千分之一——也被這些勞工解開。

該研究結論指出，微軟、AOL與Google所營運的網站，以及廣泛使用的reCAPTCHA，都經常透過這些服務遭到破解；對一名匿名營運者「E先生」的訪談也印證了這個模式。研究人員發現，對老練的垃圾郵件發送者而言，CAPTCHA並非障礙，而是做生意的成本。

別去通過圖靈測試——繞過它：中間人將每個CAPTCHA串流給每月報酬不到50美元的勞工，再即時把答案賣回給機器人程式。

它記錄了安全控制從一道障礙變成一個價格的確切時刻——每個謎題約一分錢。

系統設計才是巧妙之處：自動化中間人、即時派送與分散式勞動力，將人類智慧變成按次計費的API。

證據是實證性的，而非軼事：對勞工的位置分析、包含克林貢語對照組的實地實驗，以及一場內部人士訪談。

它迫使資安產業重新思考CAPTCHA，因為這項測試依然有效，只是攻擊者的經濟邏輯已將其吸納。

任何以機器為假想敵來定價的防禦，都可能被人力時間的價格擊敗：要認清你有哪些控制措施，其強度僅取決於僱人手工完成任務的成本。

USENIX論文的發現讓真人轉送市場在2010年留下正式紀錄；該研究的結論——對老練的垃圾郵件發送者而言，CAPTCHA是做生意的成本——成為解釋為何單靠扭曲文字驗證已無法阻擋機器人的標準說法。