「信号機を選べ」の数秒で何が残るのか
「信号機をすべて選択してください」「横断歩道を含む画像をクリックしてください」- Web サイトにログインするたびに表示されるこの画像認証。面倒ですよね。しかし、あの作業には「ロボットでないことを証明する」以外に、もう一つの結果が残ります。
あなたのクリックは、「この画像に信号機が写っている」という、人間にしか付けられないラベルとして蓄積されます。そのラベルが何に使われているのかについては、公式に確認できる事実と、ネット上で語られているだけの説が混在しています。この記事は、その線引きから始めます。
CAPTCHA の進化の歴史
CAPTCHA は「人間とコンピュータを区別するテスト」として 2000 年代初頭に登場しました。最初は歪んだ文字を読み取る方式でしたが、技術の進化とともに形を変えてきました。
- 第 1 世代 (2000 年代): 歪んだ文字を入力する。OCR 技術の進化で突破されるようになった
- 第 2 世代 (reCAPTCHA。Google による買収は 2009 年 9 月): 古い書籍のスキャン画像から、OCR が読み取れなかった単語を人間に読ませる。Google は買収を発表した記事に「コンピュータに読み方を教える」という題を付けており、集まった解答を書籍のデジタル化に使うと明言していた
- 第 3 世代 (reCAPTCHA v2、2014 年〜): 「私はロボットではありません」チェックボックス + 画像選択。信号機、横断歩道、バス、自転車の画像が登場
- 第 4 世代 (reCAPTCHA v3、2018 年〜): ユーザーの行動パターンをスコアリングし、怪しい場合のみ画像認証を表示。多くのユーザーは CAPTCHA を見ずに通過
なぜ「信号機」と「横断歩道」なのか
reCAPTCHA v2 で出題されるのは、信号機、横断歩道、バス、自転車、消火栓といった街の風景に写り込むものばかりです。ここから「自動運転車が認識しなければならないものと一致している」という指摘が生まれ、「あの作業は自動運転の訓練データ作りだ」という説が広く流通しました。
ただし、この説を裏づける一次資料は見つかりません。Google が reCAPTCHA を買収したのは 2009 年 9 月、Waymo が Alphabet 傘下の自動運転技術の会社として設立されたのは 2016 年で、時期が重なるのは事実です。しかし Waymo は自社の学習データの出どころとして reCAPTCHA を挙げたことがなく、Google も画像認証の解答を自動運転に使うとは説明していません。「街の風景が出題される」ことと「自動運転の訓練データである」ことの間には、誰も埋めていない飛躍があります。
確かなのは、あなたの解答が「この画像に信号機が写っている」という人間由来のラベルとして残ること、そしてその作業が世界中で毎日無償で行われていることです。用途は公開されていません。そして CAPTCHA の第一の役割は、クレデンシャルスタッフィングのような自動化攻撃からサービスを守ることにあります。
「私はロボットではありません」の裏側
「私はロボットではありません」のチェックボックスをクリックするだけで通過できることがあります。では、あの一瞬で何を見られているのか。ここが一番よく誤解されている部分です。
Google の公式ドキュメントの説明は「スコアはサイト上でのやり取りに基づく」「reCAPTCHA はそのサイトの実際のトラフィックを見て学習する」という水準にとどまり、どのシグナルをどう重み付けするかは公開されていません。「マウスの揺れ方を見ている」「クリック位置のずれで判定している」といった解説は広く流通していますが、Google がそう述べた一次資料はありません。判定の中身を公開すれば、それをすり抜けるボットが作られてしまうためです。
一方、仕組みの外形から確実に言えることもあります。reCAPTCHA はサイトに埋め込まれた Google のスクリプトとして動くため、そのリクエストには、あらゆる Web 通信と同じようにあなたの IP アドレスが渡ります。ブラウザから送られる情報が判定に関わることは、仕組みの上で避けられません。そして Cookie は、今も Web で最も基本的な識別の仕組みであり続けています。
判定の結果が「人間らしい」であればチェックボックスだけで通過し、「怪しい」と判定されると画像選択が追加で表示されます。画像を出されたからといって、何か悪いことをしたわけではありません。
CAPTCHA の未来 - 見えない認証へ
2018 年 10 月に公開された reCAPTCHA v3 は、ユーザーに何も操作させず、スコアだけを返す方式になりました。ここでも公式の説明は「スコアはサイトとのやり取りに基づく」というところまでで、何を見ているかは明かされていません。返ってきたスコアを見て、通すか、追加の確認を出すか、拒否するかを決めるのは導入したサイト側です。この仕組みはAPI セキュリティの観点からも重要で、ボットによる不正なリクエストを水際で防ぐ役割を果たしています。
将来的には、CAPTCHA は完全に「見えない」ものになり、ユーザーが意識することなく認証が完了する世界が来るかもしれません。
まとめ
CAPTCHA の画像選択は、人間にしか付けられないラベルを無償で生み出す仕組みです。ただし「あれは自動運転の訓練データだ」という説明には一次資料がなく、Google も Waymo もそう述べたことはありません。「私はロボットではありません」の裏で何を見られているかも非公開で、確かなのは、あらゆる Web 通信と同じように自分の IP アドレスが相手に渡っていることです。その IP アドレスがどう見えているかは、IP 確認さんで確認できます。次に CAPTCHA が表示されたら、その数秒が「何のためか」ではなく「何を確かに残しているのか」を考えてみてください。
この記事の関連用語
よくある質問
CAPTCHA で信号機や横断歩道を選ばせるのはなぜですか？
ロボットでないことの確認に加え、人間にしか付けられない画像ラベルが集まります。信号機や横断歩道が出題されることから「自動運転の訓練データだ」という説が広まりましたが、その説を裏づける一次資料はなく、Google も Waymo も公式にそう説明したことはありません。
「私はロボットではありません」のチェックだけで通過できるのはなぜですか？
Google の公式ドキュメントの説明は「スコアはサイト上でのやり取りに基づく」という水準にとどまり、どのシグナルをどう重み付けするかは公開されていません。「人間らしい」と判定されればチェックボックスだけで通過し、「怪しい」と判定されたときに画像選択が追加されます。
reCAPTCHA v3 とは何ですか？
ユーザーに何も操作させず、バックグラウンドでスコアだけを返す方式です。2018 年 10 月に公開されました。何を見てスコアを出しているかは公開されておらず、返ってきたスコアを通過・追加確認・拒否のどれに使うかは導入したサイト側が決めます。