我盯着那个歪歪扭扭的网页“X7kP”，第五次输入错误。验证网站提示还有两次机会，码自否则账号锁定十分钟。动识这破验证码，别输字母挤在一起，网页还带着一道横穿身体的验证斜线，人眼都费劲，码自更别提那些视觉障碍用户了。动识

验证码的别输本质是区分人和机器，可这些年它越来越难，网页倒像是验证专门跟人过不去。扭曲、码自变形、动识加噪点、别输穿插干扰线，甚至让你从九张红绿灯图里挑出所有带行人的——我见过最离谱的是让选“所有包含斑马线的”，而图里根本没有斑马线，全是人行横道。这已经不是安全验证，是视力测试，是智商筛选。

但有意思的是，技术对抗从未停止。我去年在GitHub上看到一个开源项目，用卷积神经网络做OCR识别，针对那种标准扭曲字符的验证码，准确率能到95%以上。训练数据哪来的？全是开发者自己手动标注的，几万张图，一张张框出字符，再训练模型。效果立竿见影，那种“X7kP”式的验证码，模型识别一次只要0.3秒，比人眼快得多。

更狠的是现在有浏览器插件，直接在你输入框旁边挂个“自动识别”按钮。点一下，它截取验证码图片，发送到本地跑着的小模型，几毫秒返回结果，自动填进输入框。全程无感，你甚至不用看那图一眼。我试过，识别率大概九成，偶尔翻车，但翻车了再点一次就行，比手动输入省力十倍。

这些工具的原理不复杂。先做图像预处理——灰度化、去噪点、二值化，把彩色背景剥掉，只留黑白字符。然后分割，把连在一起的字母切开。最难的是粘连字符，比如“m”和“n”贴在一起，或者“o”和“c”中间那点缝隙被干扰线填满。这时候就得靠语义，模型会猜，这位置到底是个完整的“m”还是“m”被切了一半。

我认识个做安全测试的朋友，他说现在正经大厂的验证码早迭代了。纯字符的几乎淘汰，改用行为验证——你滑动滑块时的轨迹、停顿、加速度，这些人类独有的不完美动作才是判断依据。机器生成的滑动轨迹太完美，匀速直线，反而暴露。所以现在很多自动识别工具，重点不在“认出字符”，而在“模拟人类行为”。

那网页验证码自动识别到底算不算坏事？从个人使用角度，它省时省力，尤其对付那些设计过度的验证码。但我也见过有人拿它批量注册账号，刷评论，薅羊毛。技术本身中立，看谁用、怎么用。我自己的态度是：如果是登录自己的账号，被验证码卡住，用工具自动识别没问题，这是对抗过度设计。但要拿它去做批量操作，那就是另一回事了。

最讽刺的是，有些验证码厂商自己也在用AI生成更复杂的验证码，而破解方用AI去识别。两边都是机器学习，就看谁的模型训练得更好。这场猫鼠游戏没有终点，只是苦了那些真的眼神不好、又不想装插件的人。

话说回来，我装那个插件之后，再没被验证码气到过。偶尔遇到识别失败的，我还会手动输一次，算是给模型当免费标注员。毕竟它帮我省了那么多时间，这点反馈还是要给的。