「画像の中から信号機をすべて選んでください」に苛立った経験は、開発者なら一度はあるはずだ。だが2026年に入り、この仕組みを支えてきた前提そのものが揺らぎ始めている。
2026年7月、GIGAZINEはLive Scienceの記事を引用し、スイス連邦工科大学チューリッヒ校の研究者による見解を紹介した。それによると、CAPTCHAは「人間には簡単だが機械には難しい問題」を作ることで成立してきたが、AIの進歩によってその前提自体が揺らいでおり、有効性が疑問視され始めているという。(GIGAZINEの記事)
数字にすると状況はさらにはっきりする。Akamaiが2026年7月に公開したState of the Internetレポートでは、2025年12月時点でコマーストラフィックの47.9%がAIボットによるものだったと報告されている。(stellagent.aiの解説記事)画像認識、音声認識、そして大規模言語モデルによる自然な受け答えが同時に進歩したことで、「人間らしい振る舞い」を機械が模倣するコストは年々下がり続けている。
判定の仕組みが機械に追いつかれてきた歴史
CAPTCHAの歴史には皮肉な逸話がある。Googleが音声を使った認証を導入した際、同社自身が提供するSpeech-to-Text APIを利用すれば85%の確率で突破できてしまう事例が報告された。判定する側と突破する側が同じ技術基盤を奪い合う構図は、生成AIの登場でさらに先鋭化している。歪んだ文字を読み取る、写真から特定の物体を選ぶといったタスク型の判定は、モデルが人間の平均正答率を上回る場面がすでに珍しくない。
デバイスのフィンガープリンティングやマウスの動きを見る行動的な判定に切り替えた現場も多いが、こちらも万能ではない。エージェント型AIがブラウザを直接操作するようになると、人間らしいカーソルの揺らぎやクリックの間隔まで再現できてしまうためだ。判定側が新しい指標を作るたびに、それを学習データとして取り込まれてしまう構図は変わっていない。
証明ベースの認証という発想
こうした状況を受けて、認証の設計思想そのものを見直す動きが出てきている。行動パターンの推測に頼らず、暗号学的な証明によって「この操作の背後に実在する一意の人間がいる」ことを直接示すアプローチだ。こうした考え方は「proof of human」と呼ばれ始めており、CAPTCHAが担ってきた役割の一部を検証可能な証明に置き換える試みとして注目されている。ボット対策の設計に関わる開発者であれば、この分野の解説には一度目を通しておく価値がある。(ボットと人間を区別する仕組みについての解説ページ)
CAPTCHAがすぐに姿を消すことはないだろう。ただし、機械に解けない問題を作るだけでは足りない場面が増えている。人間であることをどう証明するか。次にログインフォームやサインアップの認証設計を考えるとき、この問いは頭に入れておいて損はない。