一百多人签了9个，这数据也太寒碜了吧。后面那堆灵活就业的操作看得我直摇头，注册个公众号就算就业，闲鱼卖个二手也算，真服了。我表弟去年毕业，辅导员天天催他交三方，说随便找个公司盖章都行，他最后愣是没交，说不想配合演戏。这年头读个大学出来，连个正经工作都难找，还得帮学校凑数据，想想挺没劲的。

说真的，看到这个标题我第一反应不是震惊，是想笑。因为老子昨天刚在X上被那个傻逼验证码卡了五分钟，让我选什么狗屁红绿灯，那图糊得跟打了马赛克似的，我盯着看了半天连个灯杆子都分不清，最后告诉我选错了，让我重来。AI 1.4秒过？百分百准确率？行吧，那我可能连AI都不如，我认了。 但你们先别急着喊“验证码已死”，这事儿没那么简单。 论文我大致扫了一眼，加州大学那帮人确实做了个挺全的测试，点击的、拖拽的、旋转的、选图的，全撸了一遍。数据摆在那，AI确实快，尤其那个点击类，1.4秒百分百过，人类要3到4秒不说，还有一两成的人直接过不了。这数据看着是挺打脸的，尤其对我们这种手残党来说，简直是公开处刑。马斯克也跑来凑热闹，说过去那套验证机器人全失效了。这话从他嘴里说出来，怎么听怎么像在推销他那个X的付费验证。 不过，你们注意看文章后半段没有？差评那边去问了极验，极验的人说别慌，类似的事情他们见多了。关键是啥？论文里测的那些验证码，是极验几年前就淘汰不卖的老产品。你拿几年前的验证码去喂现在的AI，那当然一打一个准。这就好比你拿诺基亚3310去跟iPhone 15比跑分，赢了有啥可骄傲的？ 验证码这玩意儿，从来就不是静态的。它是个动态博弈，跟杀毒软件和病毒的关系一模一样。病毒出来了，杀毒软件更新；杀毒软件更新了，病毒再变异。文章里也写了，以前黑客破解验证码靠穷举，靠打码工，东南亚那边一分钱一张，十天花四五百块就能搞掉一个三十万张的图库。听着挺猛是吧？但验证平台这边也不是吃素的，国内现在一周更新一次都算慢的，最快的能一小时换一轮。一小时换几万张图，你黑客再有钱，也经不起这么烧。成本搞垮你，这话一点不夸张。 而且AI也不是没软肋。文章里提到CV领域那些模型有视觉误差，跟人一样会看走眼。我觉得这点特别有意思。人类看那些模糊图会懵，AI也会懵。关键是，防御方可以在图片里埋雷。比如搞点对抗样本，人眼看着是红灯，AI看着也是红灯，但特征空间里它就是个绿灯。这种招数多了去了，只不过一般不往外说，说了就不灵了。 我有个哥们儿以前搞爬虫的，他就跟我吐槽过，说现在破验证码的成本越来越高，以前随便写个脚本就能跑，现在得养模型，得租GPU，得找人标数据，一套下来成本比直接雇人点还贵。他说现在很多小公司干脆不破了，直接走API，花钱买服务。这说明啥？说明防御方只要把破的成本抬上去，让黑客觉得不划算，这事儿就算成了。验证码的核心从来就不是“无法破解”，而是“破解成本高于收益”。你花一万块破我一个价值一百块的账号，这买卖你做不做？ 但话说回来，我也不是完全站极验那边。他们说的话，多少带点行业立场。你想想，他是卖验证码的，要是承认验证码没用，那他还卖个啥？所以他说“别太担心”，你听听就好，别全信。但他说“攻防是博弈”，这个逻辑本身没毛病。 真正让我觉得离谱的是啥？是有些媒体标题党，什么“暴击人类”、“验证码失效”、“被攻破”。这些标题看着爽，实则屁用没有。你点进去一看，哦，原来是实验室环境下，针对特定类型的验证码，用特定模型跑出来的结果。现实环境里变量多了去了，网络延迟、IP信誉、行为轨迹、鼠标轨迹、设备指纹，这些东西加起来，验证系统判断你是不是机器人，压根就不只看那几张图。你AI图片识别再牛逼，你鼠标移动的轨迹跟个尺子量出来似的，就一条直线，那系统不封你封谁？ 我自己也做过后台开发，我们以前那套系统，图片验证只是最外层。真正判断你是不是人，看的是你的行为。正常人移动鼠标，会有加速有减速，有微小的抖动，点的时候也不会精准地点在正中心。机器人呢？要么太完美，要么太规律，一眼就能看出来。所以那些说“验证码被攻破”的，是把验证码想得太简单了，以为就是单纯看图说话。 还有个事儿，文章里提到马斯克说“过去的验证机器人全失效了”。我就纳闷了，他自己搞的那个X，验证码烂成啥样他心里没点数吗？我登个X，让我选三次图，选完还说我不对，最后给我来个短信验证。你要说AI能过，那X上的那些机器人号是怎么来的？不是照样满天飞？他说这话，要么是甩锅，要么是给自己那个付费验证铺路。反正我不信他。 再说回那个论文。1.4秒百分百准确率，我信。但那是点击验证码，而且是最简单的那种。你知道现在稍微正经点的验证码是啥样吗？是那种给你一个指令，比如“请点击所有包含交通灯的图片”，然后图片是动态加载的，你点完一张，它换一张，而且还带干扰线，带噪点，带变形。你AI再牛逼，你1.4秒过一个我看看？更别提有些验证码还带逻辑判断，比如“点击图中最大的动物”，这玩意儿你得先识别动物，再比较大小，再做选择，一套下来，AI的推理链条一长，出错率就上去了。 而且论文里的测试者，我怀疑是随便找的。一两成的人过不了？这个数据我不太信。除非你找的是我奶奶，她连智能手机都不会用。正常人，只要不是老花眼，不是手抖，点击类验证码哪有那么难过？你要说复杂的图片选择，那确实有人会错，但点击类的一两成过不了，这数据我觉得有点水分。要么就是测试者被故意干扰了，要么就是统计口径有问题。 再一个，文章里说AI在图片验证上“保持在人类的平均水平里”。注意这个措辞，是“平均水平”，不是“吊打”。这说明啥？说明高难度图片验证，AI跟人也就半斤八两，甚至可能还不如人。人虽然慢，但人有常识，有上下文理解能力。一张图糊成那样，人可能根据模糊的轮廓猜出来是啥，AI呢？AI是根据训练数据匹配，没见过的东西，它也可能懵。所以别听风就是雨，AI没那么神。 我还有个观察，不知道你们注意到没有。文章里说极验一周更新一次，最快一小时更新一次。这个更新频率，成本其实很高的。你想想，每次更新都要重新标注、重新训练、重新部署，背后是一整套工程。这些成本最后谁出？还不是我们用户。你登个网站，验证码越来越复杂，体验越来越差，最后就是你花更多时间在验证码上，平台花更多钱在防御上，黑客花更多精力在破解上。三方都在内卷，卷到最后，谁也没赢。 所以我的态度是啥？验证码不会死，只是会进化。AI确实越来越强，但防御方也在用AI。你用AI破，我用AI防。你用GAN生成假图，我用对抗训练识别假图。最后就是看谁的算力多，谁的数据多，谁的钱多。大厂玩得起，小厂玩不起，最后就是小厂直接买大厂的验证服务。这也解释了为啥极验这种公司能活下来，因为验证码这玩意儿，规模效应太明显了。 但作为一个普通用户，我特么真的烦透了验证码。我不管你AI多牛逼，我就希望我登个网站别让我选五分钟的图。我理解你要防机器人，但你能不能别把用户体验搞得跟考驾照似的？有些网站的验证码，那图糊得亲妈都不认识，你让我选红绿灯，我连灯在哪都找不到。这种验证码，防不防AI我不知道，反正把我这个真人防住了。 还有那种滑块验证，拖过去告诉你“再试一次”，拖过去又说“再试一次”，我拖了八次，最后告诉我“验证失败，请重试”。我当时就想把手机砸了。你说这种体验，AI能不能过我不知道，反正我是过不了。 所以看完整篇文章，我的结论是：AI确实在进步，验证码确实面临挑战，但说“气数已尽”还早得很。极验他们说的话有道理，但也不能全信。论文的数据是真的，但实验室环境跟现实环境差距很大。马斯克的话听听就好，别当真。验证码这东西，短期内死不了，但肯定会越来越烦人。 最后我想说，验证码攻防战，最惨的永远是用户。黑客赢了，用户账号被盗。防御方赢了，用户被验证码折磨。反正不管谁赢，用户都是输家。就这，你还跟我扯什么AI吊打人类？AI吊打的是我的耐心好吗。 行了，不说了，我去X上试试我能不能一次过验证码。大概率又是选三次红绿灯，然后告诉我“无法验证您的身份”。操。