今、画面の向こう側にいるのは人間か、それともボットか。2025年、その問いに対する答えが統計的に変わった。
Impervaが公開した2025年版の年次レポートによると、Webトラフィック全体に占めるボットの割合は51%に達し、統計開始以来初めて人間のトラフィックを超えた。2026年現在、大規模言語モデルの普及によってこの傾向はさらに加速している。
SNSにおけるフェイクアカウント、ECサイトにおける自動買い占め、オンライン投票における組織的操作。問題の本質はシンプルである。画面の向こう側にいるのが本物の人間なのか、それとも自動化されたプログラムなのかを、既存の技術では十分に判別できなくなってきている。
本記事では、この問題に対する主要な技術的アプローチを整理し、それぞれの仕組み、強み、課題を概観する。
第1世代：CAPTCHA
ボット対策の歴史は、CAPTCHAから始まったと言ってよい。
2000年代初頭にカーネギーメロン大学の研究チームによって考案されたCAPTCHAは、「歪んだ文字列を読み取る」という人間には容易だがコンピュータには困難なタスクを利用して、人間とボットを区別する仕組みである。その後、GoogleがreCAPTCHAとして発展させ、画像認識ベースの検証や、ユーザーの行動パターンを分析するreCAPTCHA v3へと進化した。
CAPTCHAは今日でも広く利用されているが、根本的な限界がある。CAPTCHAが証明するのは「このリクエストを送信した主体は、この瞬間においてボットではない可能性が高い」ということだけである。同一人物が1,000個のアカウントを作成し、それぞれでCAPTCHAに合格することは技術的に可能であり、ユーザーの一意性は保証されない。
AIの画像認識能力が向上するにつれて、CAPTCHAの突破率は年々上昇している。CAPTCHAはボット対策の基礎として引き続き有効だが、これだけでは不十分な時代に入りつつある。
第2世代：政府発行デジタルIDと制度的アプローチ
より強固な本人確認の手段として、政府が発行するデジタルIDの活用がある。
EUはeIDAS規則に基づき、加盟国間で相互運用可能な電子IDフレームワークを構築しており、2024年にはeIDAS 2.0が採択された。日本においても、マイナンバーカードを利用したオンライン本人確認の普及が進められている。インドのAadhaarは、13億人以上の国民に生体認証ベースのIDを発行し、世界最大規模のデジタルID基盤となっている。
政府発行IDの強みは、その信頼性と法的裏付けにある。しかし課題も存在する。政府発行IDはすべての国の市民が等しくアクセスできるわけではなく、世界銀行の推計では身分証明書を持たない人々は約8億5,000万人に上る。また、各国のIDシステムには互換性がなく、グローバルなインターネットサービスにおける統一的な認証基盤としては機能しにくい。
第3世代：分散型アイデンティティ（DID）
上記の課題に対する技術的応答として注目されているのが、分散型アイデンティティである。
W3C（World Wide Web Consortium）が標準化を進めるDID（Decentralized Identifiers）は、中央管理者に依存しない自己主権型のアイデンティティフレームワークを定義している。ユーザーが自分自身のIDを所有し、必要な情報だけを選択的に開示できるという設計思想は、プライバシーと利便性の両立を目指すものである。
DIDの基盤技術として、Ethereum Foundationをはじめとするブロックチェーンエコシステムが重要な役割を果たしている。Verifiable Credentials（検証可能な資格情報）とDIDを組み合わせることで、大学の学位、運転免許、職歴といった属性情報を、発行者に問い合わせることなく暗号学的に検証することが可能になる。
ただし、DIDが解決するのはアイデンティティの所有権と検証の問題であり、「この人物が唯一の人間であるか」という一意性の問題には直接的には対応していない。アイデンティティの仕組みと人格の一意性の証明は、関連はするが別の問題である。
第4世代：人間証明（Proof of Personhood）
ここで登場するのが、人間証明という概念である。
人間証明の目的は、「ある主体が唯一無二の実在する人間であること」を、その人物が誰であるかを明かすことなく証明することにある。従来のKYC（本人確認）が氏名や住所といった属性を検証するのに対し、人間証明が検証するのは一意性、つまり「1人の人間が1つのアカウントしか持たない」という事実のみである。
この分野における現時点で最も大規模な実装の一つが、Tools for Humanityが開発するWorld ID（ワールドID）である。World IDは、Orbと呼ばれる物理デバイスで虹彩パターンを読み取り、そこから生成されるアイリスコード（虹彩パターンの数学的ハッシュ値）によってユーザーの一意性を検証する。元の虹彩画像は処理後に削除され、アイリスコードのみが保持される。
技術的に注目すべきは、検証後のプライバシー保護にゼロ知識証明を採用している点である。ゼロ知識証明は、ある命題が真であることを、その命題以外の情報を一切開示せずに証明できる暗号技術である。World IDの場合、オープンソースのSemaphoreプロトコルをベースに、ユーザーが「認証済みの唯一の人間である」ことをサードパーティに対して証明する際、個人を特定する情報は一切送信されない仕組みとなっている。
World Networkには約4,000万人が参加しており、そのうち約半数がOrbによる生体認証を完了している。Orbは現在20カ国以上で稼働している。
なお、World IDに対しては、生体認証データの取り扱いに関して複数の国のデータ保護当局が調査や指導を行っており、規制面での対応は現在も進行中である。人間証明の技術的な価値と、各国の個人情報保護法制との調和は、この分野全体にとって重要な課題である。
各アプローチの比較
| アプローチ | 証明する内容 | プライバシー | グローバル対応 | 一意性の保証 |
|---|---|---|---|---|
| CAPTCHA | ボットではないこと | 高い | 高い | なし |
| 政府発行デジタルID | 法的な身元 | 低い（個人情報を要求） | 低い（国ごとに異なる） | あり（制度的に） |
| 分散型ID（DID） | 属性情報の所有と検証 | 高い（選択的開示） | 中程度 | なし（単独では） |
| 人間証明 | 唯一の人間であること | 高い（ゼロ知識証明） | 展開中（規制対応を含む） | あり（暗号学的に） |
今後の展望
ボット対策の技術は、単純なチャレンジレスポンスから、暗号学的な人間性の証明へと進化してきた。重要なのは、これらのアプローチは互いに排他的ではないということである。CAPTCHAは依然として最も手軽な第一防衛線であり、政府発行IDは法的な要件を満たす場面で不可欠であり、DIDは属性検証の標準化に貢献し、人間証明は一意性という未解決の問題に対する新たな解を提供している。
エンジニアとしてこの領域に関心がある方は、以下のリソースが参考になるだろう。