為了證明自己是人，以後得對著攝像頭揮手

### 為了證明自己是人，以後得對著攝像頭揮手——reCAPTCHA 新變革引發隱私與便利之爭

你是否有過這樣的經驗：在網站上勾選「我不是機器人」後，還得從九宮格圖片中選出紅綠燈、腳踏車，才能順利登入或留言？如今，這套驗證機制可能又要升級了——根據最新消息，Google 旗下的人機驗證工具 reCAPTCHA 正在測試一項新功能：要求使用者對著電腦或手機的攝像頭揮手、點頭或做出特定動作，來證明自己是活生生的人，而非自動化程式。這個變化看似新奇，卻引發了「是否真的必要」與「隱私安全」的討論。

#### 重點整理：動作驗證取代圖像點選

過去幾年，reCAPTCHA 從早期的扭曲文字輸入，進化到點選含有特定物體的圖片，再到後來的背景行為分析（例如滑鼠軌跡、瀏覽習慣），逐步降低對使用者主動操作的干擾。然而，隨著生成式 AI 與深度學習技術的進步，機器人已經能夠輕鬆破解圖像辨識與行為模擬。因此，Google 開始測試「人體動作驗證」，要求使用者透過攝像頭即時做出簡單揮手、轉頭或眨眼等動作，來確認帳號背後是真實人類。這項機制本質上是一種「主動式生物辨識」，希望利用人類獨有的肢體協調性與反應時間，抵擋日益精密的自動化攻擊。

#### 背景脈絡：從「隱形驗證」走回「顯性互動」

reCAPTCHA 的演變，其實是一段人類與機器人對抗的歷史。早期的文字驗證碼（CAPTCHA）源自 Carnegie Mellon University，目的是區分人類與程式。2014 年 Google 收購後推出 reCAPTCHA v2，以「點選圖片」降低輸入負擔；2018 年的 v3 版本則主打「無感驗證」，僅靠分析瀏覽器行為分數來判斷是否為機器人，幾乎不需使用者介入。然而，當前的 AI 已經能偽造滑鼠移動軌跡、模擬瀏覽器指紋，甚至用對抗樣本騙過圖像模型，讓無感驗證的可靠性大幅下降。這迫使 Google 重新引入「主動互動」，但這次不是點滑鼠，而是動身體——未來你可能得對著筆電鏡頭揮手，才能順利登入社群平台或電子信箱。

#### 可能影響：隱私憂慮與硬體門檻浮現

這項變革對一般使用者最直接的衝擊，就是隱私與便利性的雙重難題。首先，強制啟用攝像頭意味著網站能夠擷取你的即時影像，即便 Google 強調「僅分析動作輪廓，不儲存人臉照片」，但資料傳輸過程中的安全風險與後續使用方式仍讓外界擔憂。尤其台灣使用者對個資外洩向來敏感，一旦主流網站跟進，可能導致部分用戶拒絕使用相關服務。其次，並非所有裝置都配備高品質攝像頭——桌上型電腦常缺少鏡頭、老舊筆電解析度不足、部分使用者在公共場合不願開啟鏡頭，這些硬體與場景限制將形成新的使用門檻。此外，動作驗證能否真正擋住 AI 也有疑問：深度偽造（Deepfake）與人體姿勢合成技術已能產生逼真的揮手影片，惡意程式若結合即時渲染，仍可能繞過這道防線。

#### 讀者可關注的後續：測試範圍與替代方案

目前這項功能仍處於小規模測試階段，尚未全面部署。讀者可以留意以下幾個後續發展：第一，Google 是否會針對不同風險等級的網站（例如只有低風險的查詢行為）保留「無感驗證」或傳統圖片點選，避免每登入一次就要揮手一次。第二，隱私權政策更新——Google 是否承諾不在本地端之外處理影像，或提供「僅使用照片」與「即時串流」的選擇權。第三，第三方驗證服務（如 hCaptcha、Turnstile）是否會跟進類似機制，或者趁機推出更強調隱私的替代方案。對於一般用戶，短期內可以先確認自己常用服務的驗證方式有無變化，並考慮在瀏覽器中預先設定鏡頭權限的提醒功能，避免無預警被要求開啟攝像頭。

#### 結語：便利與安全