AIエージェント時代、CAPTCHAは消えるのか？ 次に来るWeb防御の正体：信号機を選ぶ時代は終わり

CAPTCHAは長年、「人間か機械か」を見分けるための仕組みとして使われてきた。だが、生成AIやブラウザエージェントの普及によって、その前提が揺らぎ始めている。CAPTCHAを巡る攻防は、今どこに向かっているのか。この技術の歴史をたどる。

[＠IT]

　Browserbaseは2026年6月18日（現地時間）、CAPTCHAを巡るWeb防御の考え方が変化しつつあるとの見解を示した。生成AIやブラウザエージェントが旅行予約や業務処理などを代行する場面が増える中、同社はCloudflareと連携し、ブラウザエージェントの身元を検証する仕組み「Web Bot Auth」の普及を目指している。

　従来のCAPTCHAは「人間か機械か」を判定することを目的としてきた。一方、Browserbaseは今後、Webサイトにとって重要なのは「人間かどうか」ではなく、「そのアクセス主体が信頼できる存在かどうか」を判断することだと主張している。

CAPTCHAの進化の道のり　単なる区別からゼロトラストへ

　CAPTCHAは、スパム投稿や偽アカウント作成、自動化されたスクレイピングなどを防ぐために普及した仕組みだ。名称は「Completely Automated Public Turing test to tell Computers and Humans Apart」の略称で、2003年にカーネギーメロン大学の研究者らが発表した論文で提唱された。

　初期のCAPTCHAは、ゆがんだ文字やノイズを含む画像を人間に読ませる方式だった。当時のOCR（光学文字認識）は変形した文字の認識を苦手としていたため、人間と機械を区別する手段として機能していた。

　しかし攻撃者は画像処理やOCR技術を組み合わせ、CAPTCHAを自動的に解読する手法を開発した。防御側も文字の変形やノイズを増やして対抗したが、その結果、人間にとっても判読しにくいCAPTCHAが増えた。

　その後、Googleの「reCAPTCHA」などが登場し、書籍のスキャン画像などを利用した認証方式が広がった。しかしML（機械学習）の発展に伴い、コンピュータによる文字認識精度は大きく向上した。

　2010年代には、信号機や横断歩道、自転車などを選択させる画像認識型CAPTCHAが主流となった。こうした方式は単純な文字認識ではなく物体認識能力を試すものだったが、深層学習技術の進歩によってコンピュータの画像認識性能も急速に向上した。

　Browserbaseは、この歴史を踏まえ、「正解が存在する課題は、いずれ自動化や学習の対象になる」と指摘する。人間だけが解ける問題を作ろうとしても、開発者はその能力を再現する方向へ進むためだ。

AIエージェント時代の課題　正規の自動化と悪意あるbotをどう見分けるか

　近年は、Webブラウザを操作するAIエージェントが実際の業務を代行する事例が増えている。旅行予約やコンプライアンス関連の書類作成、インフラ監視、社内業務の自動化など、人間の代わりにWebサービスにアクセスするケースも広がりつつある。

　こうした状況では「自動化されているかどうか」だけでは十分な判断基準にならない。正規ユーザーの代理として動作するエージェントと、悪用目的のbotを区別する必要があるためだ。

　現在のbot対策製品は、ブラウザフィンガープリントやCookie履歴やTLS通信の特徴、アクセス頻度、操作パターンなど複数のシグナルを組み合わせてリスクを評価している。「Cloudflare Turnstile」や「reCAPTCHA v3」も、ユーザーに毎回課題を出すのではなく、アクセス元の信頼性を推定して認証の有無を決定する仕組みを採用している。

　Browserbaseは、こうした流れを「人間判定から信頼判定への移行」と位置付けている。

CloudflareとBrowserbaseが目指す「名乗れるbot」の世界

　Browserbaseが提唱するWeb Bot Authは、ブラウザエージェントが自身の身元情報を暗号学的に証明できるようにする仕組みだ。

　同社によると、エージェントは署名付きの識別情報を提示し、Webサイト側はその情報の発行元や真正性を検証できるようになる。これによって、匿名の自動化ツールと、信頼された提供元が運用するエージェントを区別しやすくなるという。

　BrowserbaseはCloudflareとの協力を通じて、このような仕組みの実現を目指している。

　これまでのCAPTCHAは、人間だけが解ける問題を提示することでbotを排除しようとしてきた。しかし生成AIやブラウザエージェントが普及する中、今後は「課題を解けるかどうか」ではなく、「誰がアクセスしているのか」を確認する方向へ進む可能性がある。

　Browserbaseは、将来的にはCAPTCHAによる試験そのものよりも、アクセス主体の身元や信頼性を検証する仕組みが重要になるとの見方を示している。AIエージェントがWeb利用者の一部になる時代に向けて、Web認証の在り方そのものが変わろうとしている。