「笑っているイヌ」の画像を選べ!? 難易度が上がるCAPTCHA認証と、「人間であること」の証明の難しさ

不正アクセスを防ぐために導入されている「CAPTCHA」認証の難易度が、これまでにないほど上がっている。アップルはiOS16から異なる認証システムを導入すると発表しているが、そう簡単にCAPTCHAを置き換えられないと専門家は言う。いったいなぜなのか。
An illustration of a captcha identifying bats.
Illustration: Elena Lacey

あるウェブサイトにログインしようと試みたジャレッド・バウマンは、CAPTCHA認証の一環として9枚のイヌの画像から「笑っているイヌ」を選ぶよう指示され、頭を悩ませた。「正直なところ思考が止まってしまいました」と、クリエイティブマーケティングの代理店を創業したバウマンは振り返る。「実際のところ、イヌは笑うんだろうか……ってね」

画像のイヌたちのほとんどは、うれしそうでも悲しそうでもない。しかめっ面をしているか、単に口を開けているイヌは何匹かいた。そもそもイヌが笑うかどうか、明確に答えられる人はいない。つまり、CAPTCHA認証で笑った顔のイヌを正しく選ぶことは、ほぼ不可能と言ってもいいだろう。

ネットサーフィンをするロボットと人間を判別し、前者の検出と排除を目的としているCAPTCHA認証は、回りくどさが問題になり始めている。この「笑っているイヌ」問題がきっかけとなり、あきれた声をソーシャルメディアに投稿する人が次々と現れたのだ。

難解なパズルで溢れ返るインターネット

画像認証の難易度が上がっている理由は、「hCaptcha」にある。これは、グーグルが提供する「reCAPTCHA」よりもプライバシーの保護を重視している認証方法で、2022年1月の時点でネット上では約15%のシェアを獲得しているという。

そして、お題は歯を見せているイヌを選ぶだけにとどまらない。笑っているイヌの画像を選ぶよう指示された次の週には、さらなる難題をバウマンは課されたという。馬の形をしている雲の画像を選べというのだ。

バウマンは、ゾウの形をした雲の画像が2つ混ざっていたことから、悩んでしまった。おそらく、惑わせようとする魂胆だったのだろう(結局、2回目でなんとか正解できたようだ)。

しかし、多くの人はそこまで粘らない。「あのイヌのCAPTCHAの件で心が少し折れました」と、アイリーン・リッジは語る。バージニア州に住むリッジは、近隣の高齢な住民を対象にテクノロジー関連のアドバイスをしている。

リッジのもとには、クライアントからたびたび相談の電話が入るという。画像認証で定番の横断歩道と歩道に塗られたペンキとの区別がつかず、一度でも間違えたらアカウントに入れなくなるのではないか心配だ──といった声だ。

笑っているイヌを選ぶような漠然とした写真を選ぶよう問われた場合、多くの人があきらめてしまうのではないかとリッジは案じている。これは、彼女に限った話ではない。

CAPTCHAは、ネット上に存在する“防護壁”のようなものだ。自動化されたボットをはねつけ、人間が判読できる難易度のテストが設けられているが、急速にその役割を果たせなくなっている。ユーザーはサイトを閲覧するために難問の解読を強いられ、インターネットは難解なパズルが散在する荒野と化してしまった。

「歯ぎしりをしながら、みんなこうつぶやいていますよ。『昔はみんな信号機の画像だったのに』ってね」と、ニューカッスル大学でソーシャルコンピューティングを研究するエフィ・ル・モワニャンは語る。ル・モワニャンは、CAPTCHA時代のインターネットを「人間とコンピューターのやりとりにおける蛮行」と呼んでいる。

CAPTCHAは完全に置き換えられるのか?

わたしたちがCAPTCHA(「コンピューターと人間を区別する完全に自動化された公開チューリングテスト」の頭文字を取った名称)という奈落の底で苦しむ一方で、この技術のせいでインターネットは長いこと一般的なユーザーが足を踏み入れづらい場所になってしまった。「インターネットが登場してから、軍拡競争のような感覚で技術開発が進んでいました」と、hCaptchaを提供するIntuition Machinesの最高経営責任者(CEO)、エリ・シャウル・ケドゥーリは語る。

CAPTCHAは2つの目的をこれまでに果たした。ボットの動きを封じたことと、世界を理解させるべく文字と画像を結びつけて人工知能(AI)に学習させた点だ(これが信号機や歩道の画像を選ばされた理由である)。グーグルは09年にCAPTCHA市場に参入し、語学学習サービスのDuolingoを創業したルイス・フォン・アーンが開発したreCAPTCHAを多額の資金で買収している。

だが、数十年を経て、インターネット上におけるCAPTCHAの勢力は弱まっているかのように見える。CAPTCHAを手放すことを決めたアップルのせいで、メールの解析や広告トラッキングにはすでに影響が現れている。

アップルはこれまでのCAPTCHAに代えて「プライベートアクセストークン」を導入すると、6月に開催された開発者会議「WWDC 2022」で発表した。「CAPTCHAは単にボタンを押すだけの場合もあります」と、アップルのエンジニアであるトミー・ポーリーは語る。「でも、判別が難しいものもあります」

アップルが新たに導入したプライベートアクセストークンも、CAPTCHAの根本的な目的である不正な動きの検出を目的としている。だが、ユーザーを中心に考えられているのだ。

「CAPTCHAはユーザーの時間を奪い、ユーザー体験を複雑にしていました」と、ポーリーは指摘する。「プライベートアクセストークンが搭載されているiOS 16のiPhoneでログインすると、同じサイトにすぐに入れます。これなら大勢の人が時間を奪われずに済みますし、ユーザーは(サイトから)信頼されていると思えるでしょう」

なお、プライベートアクセストークンはグーグルとCloudflare、Fastlyが共同で開発している。

プライベートアクセストークンの導入は「CAPTCHAの終焉」を意味するわけではまったくないと、Intuition Machinesのケドゥーリは説明する。「プライベートアクセストークンは基本的に『Privacy Pass』の焼き直しです。わたしたちはPrivacy Passの開発チームの一員でした」と、ケドゥーリは語る。「長い年月をかけて、プライベートアクセストークンの開発に取り組んできたのです」

むしろCAPTCHAの未来は明るいと、ケドゥーリは考えている。というのも、hCaptchaではユーザーが大手テック企業のために無償労働をしている気分にさせられる従来のCAPTCHAを改め、楽しめるものにつくり変えようとしているからだという。「ユーザーをうんざりさせたくはありません」と、ケドゥーリは言う。「むしろ心地よい体験にしたいと考えています」

その狙いを実現すべく、Intuition Machinesでは通常の領域にとらわれない、一風変わった認証システムをつくろうとしている。「これはゲームみたいなものです」

hCaptchaでは、ユーザーに解いてもらうさまざまな種類のパズルを試験中だ。なかでも好評なのは、やはり動物を用いたものだという。「インターネットは、そもそも動物の画像を送るために使われていますからね」

構築されたエコシステムは簡単に変えられない

楽しめることを目標にしていても、笑っているイヌの識別にいらだちを示すユーザーを見る限りは、まだその段階には至っていないようだ。

開発中のCAPTCHAは、心躍る体験になるのかもしれない。ところが、いまのところ存在する認証方法は、必ずしも答えがわからず不快感を抱くようなものばかりだ。

しかし、笑っているイヌを定義づけながら正解を探しているのであれば、過った考え方をしているとケドゥーリは指摘する。「こう考えてみてください。CAPTCHA認証では人間がやるようにやればいいのです」

つまり、正解する必要はない。ほかの人と同じようにテストを解けばいいのだ。「もし多くの人が同じように間違えていれば、それでいいのです」と、ケドゥーリは語る。彼によると、hCaptchaの正答率は99%の基準を満たしており、100人のうち99人が2回目までにクリアできるのだ。

しかし、何らかの障害をもっているせいで、既存のCAPTCHAの解読に苦労している人がいる。こうした人たちに向けられた認証システムに気まぐれな脚色が加わると、日ごろのネットサーフィンで目の当たりにする複雑なパズルに、さらなるストレスが足されてしまう。

例えば、学習障害がある人は、正しいCAPTCHAの答えを割り出せない傾向にあるようだ。表示された画像に「歩道」が含まれているか否かの判別を、うまくつけられない。また、ゾウの形をした雲のなかから馬の形をした雲を選ぶとなると、手が付けられなくなる可能性がある。

たとえこうした難点があり、アップルがプライベートアクセストークンにくら替えしたとしても、CAPTCHAは今後もネットに存在し続けるだろうとケドゥーリは推測する。「人間には即座に解けても機械が苦労するタスクがある限り、何らかのかたちで人間であることの証明に使われるでしょうね」

この不可解な小テストをネット上から一掃しようとする取り組みは、ある意味ずっと前から“敗北”が決まっていたのだ。「一度でも普及したものを後戻りして使えないようにすることは、非常に難しいのです」と、ニューカッスル大学のル・モワニャンは指摘する。

「当事者やデータ生成、そしてさまざまな手順からなる本質的にばらばらのエコシステムのなかでは、辛抱強さが必要になります。結局のところ逃れられないので、ユーザーにはなすすべがありません。『今日はあんたはお呼びじゃないよ、CAPTCHAには答えないよ』と言って済ませるわけにはいかないのです」

WIRED US/Translation by Noriko Ishigaki/Edit by Naoya Raita)

※『WIRED』による認証の関連記事はこちらパスワードの関連記事はこちら


Related Articles
article image
パスワードを使わずにウェブサイトやアプリにサインインできる仕組みをアップルが発表した。iPhoneなどから顔認証や指紋認証を用いる「パスキー」と呼ばれる新機能は、セキュリティのさらなる向上に向けた重要な一歩になる。

毎週のイベントに無料参加できる!
『WIRED』日本版のメンバーシップ会員 募集中!

次の10年を見通すためのインサイト(洞察)が詰まった選りすぐりのロングリード(長編記事)を、週替わりのテーマに合わせてお届けする会員サービス「WIRED SZ メンバーシップ」。毎週開催のイベントに無料で参加可能な刺激に満ちたサービスは、無料トライアルを実施中!詳細はこちら