Der Konzern Google hat mit dem Testen einer grundlegend neuen Methode für die reCAPTCHA-Prüfung begonnen, die die für Nutzer gewohnten Aufgaben zur Erkennung von Ampeln und Verkehrsschildern ersetzen soll. Anstatt auf Bilder zu klicken, fordert das System die Nutzer nun auf, ihre Menschlichkeit über die Kamera zu bestätigen: Sie werden aufgefordert, mit der Hand zu winken oder die offene Handfläche zu zeigen.
Die ersten Tests der neuen Technologie durch unabhängige Prüfer endeten jedoch bereits in einem großen Skandal, der kritische Schwachstellen in den Sicherheitsalgorithmen des Tech-Giganten aufdeckte.
Neues Verifizierungsformat und Datenschutzbedenken
Das Wesen des neuen Systems besteht in der Analyse einfacher Körperbewegungen. Beim Start der Prüfung fordert der Browser Zugriff auf die Webcam des Geräts und verlangt die Ausführung eines klaren Gestus. Google gibt an, dass der Videostream sofort verarbeitet und direkt nach erfolgreicher Verifizierung gelöscht wird, ohne auf den Servern gespeichert zu werden.
Trotz dieser Zusicherungen hat die Idee des Scannens biometrischer Daten eine Welle der Besorgnis unter den Nutzern ausgelöst. Viele weigern sich, solche Informationen für einen einfachen Zugang zu Websites preiszugeben, und betrachten dies als Verletzung der Privatsphäre.
Eine Schwachstelle, die Stockfotos umgehen
Das Hauptproblem, das bei den Tests aufgedeckt wurde, liegt in der Unfähigkeit der KI-Schutzmechanismen, eine echte lebendige Bewegung von einem statischen Bild zu unterscheiden. Ein Nutzer des sozialen Netzwerks X führte ein Experiment durch, das die völlige Unzulänglichkeit des Algorithmus gegenüber einfachsten Täuschungsmethoden zeigte.
Um die Zuverlässigkeit des Systems zu testen, startete der Prüfer eine Übertragung eines gewöhnlichen Stockfotos mit einer Hand über die kostenlose Software OBS Virtual Camera. Das Ergebnis war überraschend: Das System erkannte das unbewegte Bild als erfolgreichen menschlichen Gestus.
Nach mehreren Versuchen mit verschiedenen statischen Aufnahmen und einer genauen Skalierung des Bildes innerhalb von OBS registrierte der Google-Algorithmus das Foto als legitime dynamische Geste. Dies beweist, dass Angreifer für das Umgehen der Captcha keine komplexen KI-Animationen oder teure Videoclips benötigen.
Automatisierung des Umgehens und Zukunftsaussichten
Die Situation wird dadurch verschärft, dass der gesamte Prozess des Umgehens des Systems innerhalb weniger Minuten mit einem einfachen Skript in der Programmiersprache Python vollständig automatisiert werden kann. Dies macht die neue Technologie völlig hilflos, nicht nur gegenüber komplexen Bots, sondern auch gegenüber einfachen Skripten.
Derzeit befindet sich die neue Version von reCAPTCHA in einer frühen Testphase. Die Gemeinschaft hofft, dass Google seine Algorithmen schnell aktualisiert und das System lernt, statische Bilder korrekt abzulehnen, um einen massiven Sicherheitsbruch zu verhindern.