Saat saya menjelajah web pada tahun 2025, saya jarang menghadapi captcha lagi. Tidak ada teks miring untuk dilihat. Tidak ada kisi-kisi gambar lampu lalu lintas untuk diidentifikasi.
Dan pada kesempatan langka ketika saya diminta untuk menyelesaikan tugas pencegah bot, pengalaman tersebut hampir selalu terasa tidak nyata. Seorang kolega berbagi tes baru-baru ini yang menunjukkan gambar anjing dan bebek yang mengenakan topi, mulai dari topi bowler hingga baret Prancis. Itu keamanan pertanyaan mengabaikan topi hewan tersebut, dengan kasar meminta mereka untuk memilih foto yang menunjukkan hewan berkaki empat.
Teka-teki lainnya sangat spesifik untuk audiensnya. Misalnya, captcha untuk Sniffies, sebuah situs kencan gay, meminta pengguna menggeserkan cawat olahraga ke tubuh mereka. telepon pintar layar untuk menemukan sepasang pakaian dalam yang cocok.
Jadi, di mana semua itu captcha hilang? Dan mengapa beberapa tantangan yang ada justru demikian sangat aneh? Saya berbicara dengan para pakar keamanan siber untuk lebih memahami keadaan saat ini dari tantangan-tantangan yang semakin berkurang dan mengapa masa depan mungkin akan terlihat lebih aneh.
Gesekan Bot, Frustrasi Manusia
“Saat captcha pertama kali ditemukan, idenya adalah bahwa ini adalah tugas yang tidak dapat dilakukan oleh komputer,” kata Reid Tatoris, yang memimpin tim pendeteksi keamanan aplikasi Cloudflare. Istilah captcha—tes Turing Publik yang Sepenuhnya Otomatis untuk Membedakan Komputer dan Manusia—diciptakan oleh para peneliti pada tahun 2003 dan disajikan sebagai cara untuk melindungi situs web dari pengguna bukan manusia yang jahat.
Tes awal yang dilihat sebagian besar pengguna secara online berisi karakter yang funky, biasanya merupakan kombinasi huruf dan angka yang melengkung yang harus Anda tiru dengan mengetikkannya ke dalam kolom teks. Komputer tidak dapat melihat karakternya; manusia bisa melakukannya, meskipun sebagian besar dari kita harus menyipitkan mata untuk melakukannya dengan benar.
Perusahaan keuangan seperti PayPal dan e-mail penyedia seperti Yahoo menggunakan iterasi ini untuk menangkal bot otomatis. Semakin banyak situs web yang akhirnya menambahkan pembacaan audio untuk jawaban yang benar setelah menerima tekanan dari kelompok advokasi tunanetra dan gangguan penglihatan, yang anggotanya memang manusia yang menjelajahi web tetapi tidak dapat menyelesaikan tantangan berbasis penglihatan.
Bagaimana jika, alih-alih sekadar tes untuk mencegah bot, tantangan ini bisa menghasilkan data yang berguna? Itulah ide inti di balik peluncuran reCaptcha pada tahun 2007. Dengan reCaptcha, pengguna mengidentifikasi kata-kata yang tidak dapat dibaca oleh algoritma pembelajaran mesin pada saat itu. Hal ini mempercepat proses pemindahan media cetak ke bentuk online. Teknologi ini dengan cepat diakuisisi oleh Google, dan reCaptcha berperan penting dalam upaya perusahaan untuk mendigitalkan buku.
Seiring dengan meningkatnya kemampuan pembelajaran mesin—dan mereka belajar membaca teks yang funky—pos pemeriksaan keamanan online diadaptasi menjadi lebih sulit untuk dielakkan oleh bot jahat. Tantangan reCaptcha iterasi berikutnya mencakup kisi-kisi gambar di mana pengguna diminta untuk memilih opsi tertentu, seperti foto yang berisi pengendara sepeda motor. Google menggunakan data yang dikumpulkan di sini untuk meningkatkan peta online-nya.
Pada saat yang sama ketika tantangan keamanan online semakin meningkat, hal serupa juga terjadi frustrasi pengguna ketika mereka ditanyai pertanyaan-pertanyaan yang semakin kompleks dan esoterik untuk membuktikan kemanusiaan mereka. Pengguna online diminta untuk memilih semua “anjing yang tersenyum” dalam pertanyaan pelabelan gambar dari hCaptcha, alternatif layanan Google yang berfokus pada privasi. Sungguh membingungkan!
“Sepenuhnya Tak Terlihat”
peluncuran Google reCaptcha v3 pada tahun 2018 merupakan perubahan besar menuju penurunan frekuensi orang melihat tantangan saat online.
“Alih-alih mengganggu pengguna, teknologi kami menganalisis sinyal dan perilaku selama interaksi untuk menghasilkan skor risiko yang dapat digunakan oleh pemilik situs web untuk mengambil tindakan,” kata Tim Knudsen, direktur manajemen produk di Google Cloud, melalui email ke WIRED. Peralihan ini, yang secara akurat mengendus pengguna mana yang merupakan manusia dan mana yang silikon, menjadikan generasi teknologi pemblokiran bot ini “sama sekali tidak terlihat” oleh sebagian besar peselancar web.
Beberapa tahun kemudian, pada tahun 2022, Cloudflare menjatuhkan pintu putaralternatif reCaptcha lainnya. Ini merupakan langkah besar tambahan dari pengujian yang dilakukan manusia dan menuju analisis penggunaan berbasis pola. Mirip dengan reCaptcha versi standar, Pintu Putar dapat ditambahkan ke situs web secara gratis.
Anda mungkin tidak ingat namanya, tetapi Anda mungkin pernah menghadapi salah satu tantangan Pintu Putar ini sebelumnya. Ini adalah permintaan acak untuk mengklik kotak untuk membuktikan bahwa Anda manusia.
Di sisi pengguna, Pintu Putar terkadang muncul sebagai kotak centang dasar, namun lebih rumit dari itu. “Mengklik tombol tidak berarti Anda lulus,” kata Tatoris. “Itu adalah cara bagi kami untuk mengumpulkan lebih banyak informasi dari klien, dari perangkat, dari perangkat lunak untuk mencari tahu apa yang terjadi.” Setelah pengumpulan data, barulah diambil keputusan apakah pengguna diperbolehkan mengakses situs tersebut.
Perusahaan terkemuka memiliki alasan yang jelas untuk penerapan perangkat lunak keamanan mereka secara gratis. “Cloudflare memberikan Turnstile secara gratis ke seluruh internet karena kami menginginkan lebih banyak data pelatihan,” kata Tatoris. “Kami melihat 20 persen dari seluruh permintaan HTTP di internet. Jadi, mendapatkan kumpulan data pelatihan yang sangat besar membantu kami mengetahui seperti apa rupa manusia di laman dibandingkan dengan apa yang dilakukan bot.”
Knudsen dari Google memperkirakan bahwa tantangan visual akan tetap ada, namun tetap menjadi aspek yang kurang penting dan jarang terjadi dalam perlindungan situs web.
Tugas Ganjil
Meskipun sebagian besar metode penangkal bot tidak lagi memerlukan banyak masukan dari pengguna, jika ada, captcha yang tidak tertekuk tetap ada, meskipun jarang terjadi.
Entri lain yang lebih baru ke dalam permainan captcha adalah Laboratorium Arkosedan layanan MatchKey berbayar dari perusahaan keamanan tidak selalu berarti memblokir bot sama sekali. “Kami memiliki tantangan yang Anda definisikan sebagai captcha sebagai salah satu produk kami,” kata Kevin Gosschalk, CEO dan pendiri Arkose. “Tetapi tujuannya adalah untuk menghemat biaya, bukan untuk melindungi manusia.”
Tujuan dari tantangannya adalah membuat serangan terhadap situs web menjadi sangat mahal sehingga tidak lagi menguntungkan. Teka-teki ini dirancang untuk mendisinsentifkan serangan dalam konteks tertentu. Misalnya, jika seseorang dibayar untuk menyelesaikan tantangan keamanan secara manual, Arkose dapat mendeteksinya dan memberikan mereka tugas yang memakan banyak waktu untuk diselesaikan dan terkadang menolak jawabannya apa pun yang terjadi.
Sebagai bagian dari tindakan “pengamanan biaya” Arkose, perusahaan juga menjual versi MatchKey yang dirancang untuk menggagalkan serangan yang datang dari orang-orang yang menggunakan model bahasa besar atau alat AI generatif lainnya. “Anda mengalahkan LLM dengan memberikannya hal-hal baru dan tidak biasa yang tidak ada urusannya untuk diketahui atau pernah ditanyakan sebelumnya,” kata Gosschalk. Ia mencontohkan pengguna menjawab pertanyaan tentang kolase aneh, seperti foto palsu katak di kolam berkepala burung dan pantulan kuda. Gambar yang salah campur bukanlah sesuatu yang Anda punya model mungkin pernah melihat sebelumnya.
Untuk kasus yang jarang terjadi ketika Anda masih menghadapi tantangan keamanan online dalam beberapa bulan dan tahun mendatang, jangan berharap teka-teki tersebut akan kembali seperti semula. Selamat tinggal tumpukan huruf dan angka yang terdistorsi, aku tidak sadar aku akan merindukanmu sampai kamu sudah pergi.
Struktur tantangan yang lazim pada akhirnya mungkin akan hilang. “Meskipun teka-teki visual klasik sudah banyak diketahui, kami secara aktif memperkenalkan jenis tantangan baru—seperti meminta pengguna memindai kode QR atau melakukan gerakan tangan tertentu,” kata Knudsen dari Google. Hal ini memungkinkan perusahaan untuk tetap menambah gesekan tanpa membingungkan pengguna dengan tugas yang mustahil.
Keberhasilan dari langkah-langkah keamanan seperti ini tidak sepenuhnya diukur dalam menghentikan ancaman yang ada terhadap situs web. Hal ini bergantung pada seberapa cepat perusahaan dapat mendeteksi dan mencegah gelombang serangan yang terus berubah. “Kami tahu bahwa deteksi baru harus dilakukan dua tahun dari sekarang, dan ini benar-benar berbeda dari apa yang kami miliki sekarang,” kata Tatoris dari Cloudflare.
Apa pun tantangan keamanan yang akan terjadi selanjutnya, dengan semakin banyaknya keanehan dan sinyal di balik layar, saya hanya berharap saya selalu dapat membuktikan kemanusiaan saya secara online. Saya belum pernah sebaik itu dalam mengikuti tes.
