画像CAPTCHAはAIが突破｜防御設計の要点を解説

画像CAPTCHAはAIが突破｜防御設計の要点を解説 研究・論文

【更新 2026-08-24】本記事を見直し、修正しました。主な修正点：①出典論文がUSENIX Security '26（2026年8月12〜14日開催）の予稿集としてオープンアクセス公開されたため、掲載状況を最新化し出典に追加。②AIがまだ苦手な課題の例として挙げていた「経路の探索」は、論文では逆に突破されやすい型に分類されているため、認識中心の行へ移し、あわせて「回転の一致合わせ」の位置づけを補足。③IPA「中小企業の情報セキュリティ対策ガイドライン」のリンク先を、ガイドライン本体のページに修正。

画像を選ばせるタイプのCAPTCHAは、もう「人間かどうか」を判定できていません。USENIX Security 2026に採択された研究が、市販のマルチモーダルLLM（画像も読めるAI）7種を18種類のCAPTCHA課題にぶつけ、認識中心の課題は人間の代行業者と同等のコストと時間で安定して解けることを示しました。一方で、細かい位置指定や複数ステップの空間推論を含む課題は現在のAIでも難しく、課題の設計を変えるだけで突破率が95%超から0%に落ちたことも同じ研究が実証しています。

つまり「CAPTCHAはもうダメだ」でも「入れておけば安心」でもありません。どの型のCAPTCHAを使っているかで結論が変わる、というのが今回の要点です。

この記事でわかること

  • CAPTCHAが自社のどこで動いているのか（意外と自覚されていない設置箇所）
  • AIに破られる課題の型と、まだ耐えている課題の型
  • なぜ「正答率」より「1回あたりのコストと時間」で見るべきなのか
  • 設計変更で突破率を0%にできた実験と、その限界（全モデルが0%になったわけではない）
  • 情シスとして今週できる確認と、公的指針へのつなぎ方

CAPTCHAとは何者で、自社のどこで動いているのか

CAPTCHAとは、Webの画面上で「操作しているのが人間かプログラムか」を判定するための仕組みです。歪んだ文字を読ませる、信号機の写っているタイルを選ばせる、といった課題を出し、正しく答えられれば人間とみなします。

ここが「自分ごと」の分かれ目です。CAPTCHAはセキュリティ製品として買った覚えがなくても、すでに自社サイトで動いていることがほとんどです。よくある設置箇所は次のとおりです。

  • 問い合わせフォーム・資料請求フォーム：スパム投稿対策として、Web制作会社がCMSのプラグインで有効化しているケースが多い
  • 会員登録・ログイン・パスワードリセット：総当たりやパスワードリスト攻撃の緩和策として
  • 予約・応募・チケット購入：転売業者のbotによる買い占め対策として
  • 採用サイト・イベント申込ページ：本体サイトと別ドメイン・別ベンダーで運用され、情シスの管理台帳から漏れがち

「うちはCAPTCHAなんて導入していない」と即断せず、まず公開サイトのフォームを実際に送信してみて、どの画面でどの型の課題が出るかを確認してください。判定に画像パズルが出るなら、この記事の話が直接あてはまります。

何が調べられたのか

研究は「COGNITION: From Evaluation to Defense against Multimodal LLM CAPTCHA Solvers」（Junyu Wang ほか）。2026年8月12〜14日に米ボルチモアで開催された第35回USENIX Security Symposium（USENIX Security '26）で発表され、査読を通過した正式版が同学会のサイトでオープンアクセス公開されています（arXivにもプレプリントが公開されています）。arXiv掲載の論文は査読前のプレプリントであることが多いのですが、本研究は査読を通過している点で信頼度が一段高いといえます。ただし後述のとおり、対象モデルは日々更新されるため結果の賞味期限は短いと考えるべきです。

評価されたのは、GPT-5系、Claude Sonnet 4.5、Gemini 2.5 Pro／Flash、Qwen3-VLなど代表的なマルチモーダルLLM7種。これを18種類の実在するCAPTCHA課題に対して走らせ、次の4つを測っています。

  • 1回で正解できる割合（single-shot accuracy）
  • リトライ回数を制限した場合の成功率
  • 問題を受け取ってから解答するまでの実測時間（end-to-endレイテンシ）
  • 1回解くごとにかかるAPI利用料（per-solve cost）

加えて、セッションの記憶を持つ「適応型の攻撃者」を想定した条件や、プロンプトの作り込み・少数の例示（few-shot）が成功率をどう押し上げるかも検証しています。「最新モデルなら解けるか」ではなく「安く速く大量に解けるか」を測ったのがこの研究の実務的な価値です。

破られた課題と、まだ耐えている課題

結果ははっきり分かれました。論文の整理にそって、実務者向けに噛み砕くと次のようになります。

課題の型 具体例 現状の評価
認識中心・低操作 提示された画像から対象物を選ぶ、グリッドから該当タイルを選ぶ、大まかな経路をたどる 安定して突破される（対象動物の選択は主要モデルで9割超）
細かい位置指定 指定した点を数ピクセルの精度でクリックする、領域を正確に指定する 現在のモデルには難しい
複数ステップの空間推論 順序どおりのクリック、回転の一致合わせ 課題により差はあるが、総じて低い（ただし回転の一致合わせは、例示を2つ与えると5割程度まで上がり、論文は「いずれ完全に崩れる」型と位置づけている）
フレームをまたぐ一貫性 複数コマ・複数画面にわたる整合を要求する 現在のモデルには難しい

実感に照らすと納得のいく結果です。「この写真に犬はいますか」は画像認識モデルが最も得意とする問いそのものであり、そこに人間かどうかを見分ける力はもう残っていません。逆に「見えている目を全部、15ピクセルの精度でクリックせよ」のような課題は、対象を認識できても座標を出力する段階で崩れます。

なぜ「正答率」ではなく「コストと時間」で見るのか

CAPTCHAは、そもそも突破を不可能にする仕組みではありません。攻撃者にとって割に合わなくするための仕組みです。だから見るべき指標は正答率ではなく、1回突破するのにいくらかかるかです。

論文は比較の基準として、人間が代行してCAPTCHAを解くサービスの相場に触れています。1問あたり0.5〜2米セント、1回での正答率は8〜9割程度、所要時間は数秒から数十秒。この水準がすでに市場に存在している以上、AIによる自動解答が同等のコストと時間に収まるなら、防御としての意味は実質的に失われます。研究が「人間並みのコストとレイテンシで解ける」と述べているのは、まさにこの一線を越えたという指摘です。

逆にいえば、AI側の1回あたりのコストと時間を跳ね上げられれば防御は成立します。次の話につながります。

設計を変えると突破率は0%になった。ただし全モデルではない

この研究が単なる「破ってみた」報告に終わっていないのは、防御側の指針を導き、実際に検証している点です。論文が示す方針は4つに整理できます。

  1. 選択肢から選ばせる形式をやめ、正確な座標を答えさせる形式にする
  2. 「見る」だけで終わらせず、数える・集計するといった処理を組み合わせる
  3. 難しさの要因を1つの課題の中に複数重ねる
  4. 人間にとっての使いやすさを検証し、性能を監視して課題テンプレートを定期的に入れ替える

この方針にそって、突破率9割超だった「対象の動物を選ぶ」課題を、「対象の動物の見えている目をすべて、15ピクセルの許容範囲でクリックする」課題に作り替えたところ、GPT-5系とGemini 2.5 Proの成功率は0.0%に落ちました。姿勢によって見える目が1つか2つか変わるため、知識で当て推量できず、その場で数えるしかない設計になっているのがポイントです。

ただし、ここは正確に押さえておく必要があります。すべてのモデルが0%になったわけではありません。同じ課題でClaude Sonnet 4.5は23.3%、Qwen3-VLは20.0%が残ったと報告されています。論文の要旨は「95%超から0%へ」という最も強い数字を掲げていますが、本文まで読むとモデルによって2割前後の突破が残る。設計変更は決定打ではなく、突破コストを引き上げる緩和策と理解するのが実務的に安全です。

限界と留意点

  • モデルの進化で結果は変わります。「今は難しい」とされた課題も、次世代モデルで崩れる可能性があります。数字はあくまで検証時点のスナップショットです。
  • 評価は公開データセット上の再現課題が中心です。実サービスに組み込まれたCAPTCHAは、課題そのものに加えて挙動分析やレート制限を併用しており、論文の数値がそのまま自社サイトの突破率になるわけではありません。
  • 本記事の課題別の傾向は、論文の図表からの読み取りを含みます。個別の課題名ごとの細かいパーセンテージは原典を確認してください。
  • 研究の主眼は視覚型CAPTCHAです。後述するスコア方式の仕組みは評価対象ではありません。

現場目線の課題

正直なところ、この話でいちばん厄介なのは技術ではなく所在の把握だと感じます。CAPTCHAは情シスが導入を決めた記憶がないまま、制作会社やマーケティング部門の判断でフォームに入っていることが多い。しかも設置されているのは往々にして採用ページやキャンペーンサイトといった、本体サイトとは別ドメイン・別ベンダーの領域です。棚卸しをしようにも「誰がどのフォームに何を入れたか」の一覧が誰の手元にもない、という状態は珍しくありません。

もうひとつは、CAPTCHAを外す判断がしづらいことです。効果が薄いと分かっても、外した直後にスパムが増えれば責任問題になる。かといって強化のために課題を難しくすれば、今度は正規の利用者から「フォームが送れない」という問い合わせが来ます。アクセシビリティの観点でも、視覚型の課題は特定の利用者を確実に排除します。「難しくする」方向の強化には利用者側の負担という上限がある——この制約を無視した対策案は現場で通りません。

だからこそ、CAPTCHA単体で守ろうとしないことが答えになります。自社サイトへの入口全体をどう守るかという視点では、WAFの仕組みと導入時の注意点や、ログイン系であれば多要素認証（MFA）の仕組みと突破手口と組み合わせて考えるほうが現実的です。

情シスはどうすべきか

自前で長大なチェックリストを作る前に、次の順で確認するのが早道です。

  1. 棚卸し：公開しているフォームを列挙し、どこにどの型のCAPTCHAが入っているかを実際に送信して確かめる。外部ベンダー運用のページを忘れない。
  2. 型の判定：画像を選ばせる型なら、AIによる自動突破を前提に守りを組み直す。
  3. 多層化：CAPTCHAを唯一の関門にしない。IPやアカウント単位のレート制限、異常な試行の監視とアラート、ログイン系ならMFAの併用を優先する。
  4. 方式の見直し：課題を出さずに挙動から判定する方式への移行を検討する。GoogleのreCAPTCHA v3は利用者に課題を出さず0.0〜1.0のスコアを返し、その値をもとにサイト側が追加認証などの対応を決める設計です。Cloudflare Turnstileも、視覚的・対話的なパズルを出さない代替として公式に位置づけられています。いずれも万能ではありませんが、突破コストの掛かり方が視覚型とは異なります。

体制面の土台としては、公的な指針をそのまま使うのが社内説明も通りやすくなります。

あわせて、利用部門への地道な啓発も欠かせません。フォームを新設する際は情シスに一報を入れる、という運用が定着しているだけで、棚卸しの手間は大きく変わります。

なお、AIが人間向けの判定を素通りしてしまう構図は、CAPTCHAに限った話ではありません。同じ流れで押さえておきたいテーマとして、AIエージェントのセキュリティ上の弱点や、プロンプトインジェクションの完全防御が難しい理由も参考になります。

まとめ

  1. 画像を選ばせる型のCAPTCHAは、人間並みのコストと時間でAIに解かれる。USENIX Security 2026採択の研究が、市販モデル7種・課題18種で実測している。
  2. 課題の設計は効く。ただし決定打ではない。細かい位置指定と「その場で数える」要素を組み合わせた改造版では主要モデルの成功率が0%になった一方、モデルによっては2割前後の突破が残った。
  3. まず棚卸し、次に多層化。自社のどのフォームにどの型が入っているかを確認し、CAPTCHAを唯一の関門にせず、レート制限・監視・MFAと組み合わせる。

出典

タイトルとURLをコピーしました