9 月 7 日，OpenAI Labs 成員 Sharif Shameem 展示了一段演示：GPT-6 Astra 連續完成了網頁遊戲《I'm Not a Robot》的全部 48 關，並拿到遊戲給出的“人類認證”。這則訊息來自雷鋒網的報道，核心看點不在於驗證碼本身，而在於 AI 在陌生圖形介面上的連續操作能力。
遊戲前半段是常見的圖片識別與文字判斷，後半段則迅速升級為拖拽、停車、視覺搜尋、節奏控制和邏輯小遊戲。Astra 全程通過看螢幕、操作滑鼠鍵盤，再根據頁面變化繼續執行下一步，直到通關。
CAPTCHA 過去依賴的能力差正在被填平。 傳統驗證碼假設機器難以看懂陌生介面、判斷空間關係並連續操作，而 Astra 展示的正是把視覺理解、GUI 定位、狀態保持和動作控制連成穩定閉環的能力。與此同時，現實網站的反自動化系統早已從圖片挑戰遷移到瀏覽器環境、服務端風險判斷和行為鏈分析。
從技術角度看，早期 CAPTCHA 近似一次靜態推理：模型看到圖片，輸出答案，任務結束。但 Computer Use 的輸入輸出關係完全不同——模型產生的動作會反過來改變下一次輸入。網頁存在一個內部狀態，截圖只是這個狀態暴露出來的觀測。Astra 在每一步產生點選、拖拽或鍵盤動作後，網頁進入新狀態，模型隨後看到新截圖，卻無法直接讀取瀏覽器內部完整狀態，只能利用當前畫面、此前畫面和動作歷史推斷自己處在任務的哪個位置。
停車關卡很能說明問題：當前畫面裡能看到汽車，卻看不到模型前幾步為什麼把汽車開到這裡；節奏任務更麻煩，因為環境在模型推理期間仍可能繼續變化。因此 GUI Agent 不只是識別螢幕內容，還需要維護一個隱含的狀態估計，把已執行動作和新的視覺反饋拼成連續世界。
報道提到，ScreenSpot-Pro 用於測試語義到空間的落地能力，Astra 在無工具條件下達到 92.7%，GPT-5.6 Sol 為 76.9%。但 grounding 分數高，並不能直接推出長流程穩定。點選一次按鈕時，一次定位錯誤隻影響一個動作；連續任務裡，一次錯誤會改變後面的環境。Agent 如果把取消點成確認，下一幀頁面已經進入另一條狀態分支，後續計劃即便推理正確，也可能建立在錯誤前提上。
所以長程 Computer Use 需要一個常被忽略的模組：動作後的狀態校驗。模型執行操作後，需要比較實際頁面和預期頁面是否一致。如果預期是彈窗關閉，新截圖裡彈窗仍然存在，系統應把這一步判為失敗，重新定位或修改策略。沒有這一層，單步誤差會沿任務鏈持續放大。
速度提升也有技術意義。Computer Use 每執行一步，通常要經歷重新獲取環境、模型推理、生成動作、執行動作，再讀取結果。報道引述 OpenAI 公佈的資料：Astra 在 OSWorld 2.0 得到 72.6%，GPT-5.6 Sol 為 65.7%；模擬任務耗時從約 75 分鐘降到約 40 分鐘。延遲下降影響的不只是等待時間——動態 GUI 存在狀態過期問題，模型依據截圖開始推理後，真實頁面可能已經繼續變化，推理越慢，最終動作作用在過期狀態上的機率越高。更快的感知-動作迴圈可以縮短觀測和執行之間的時間差，也允許 Agent 用更高頻率重新檢查結果。
報道同時指出一個技術邊界：Sharif 的公開影片沒有披露完整測試框架，也沒有公開說明整個過程是否嚴格限制為純畫素輸入，是否存在其他頁面結構輸入。因此 48/48 本身不能當成嚴謹的純視覺基準，Astra 在 ScreenSpot-Pro 和 OSWorld 上的正式成績才提供了更可比較的 Computer Use 證據。
現代 CAPTCHA 已經不把答案當成完整證據。 當視覺 Agent 可以識圖、拖拽和操作動態頁面，繼續把安全性押在一道認知題上會越來越脆弱。Google 和 Cloudflare 的技術路線已經把判斷向瀏覽器和伺服器內部遷移。reCAPTCHA v3 的設計中，瀏覽器針對 login、register 等 action 請求 reCAPTCHA，隨後把 token 交給後端驗證，服務端得到風險 score，並結合當前 action 決定後續處理。Google 沒有公開完整風險模型和全部輸入特徵，因此不能簡單把它描述成滑鼠軌跡檢測器；公開機制能夠確認的是，它採用基於互動上下文的 score，而不是依賴一次可見圖片題的二元結果。
Turnstile 把前端測量和後端決策拆得更清楚。瀏覽器會執行一組輕量 JavaScript challenge，包括計算挑戰、空間證明、Web API 探測、瀏覽器差異和行為訊號。完成客戶端挑戰後生成 token，網站後端仍然必須呼叫 Siteverify 驗證；token 有效期為 300 秒，並且只能兌換一次。Cloudflare 還明確指出，即便 bot 完成 challenge，其他 bot 訊號仍可能導致 token 無效。
這時的安全架構可能已經發生根本變化。圖片 CAPTCHA 的證據來自答案本身，Turnstile 的 token 更接近一次由挑戰平台簽發、需要伺服器再次確認的短期證明。攻擊者修改網頁 JavaScript 顯示驗證成功沒有意義，因為業務伺服器仍然拿不到一個可以通過 Siteverify 的有效結果；截獲別人已經使用過的 token 同樣會因為單次使用機制失敗。
防線繼續往下還能進入瀏覽器和網路層。Cloudflare Bot Management 暴露 JA3、JA4 等欄位，它們來自 TLS 客戶端握手特徵；JavaScript Detections 又可以持續採集瀏覽器側訊號。這樣一來，系統能夠同時看到頁面執行環境和網路連線特徵，而視覺 Agent 看到的螢幕只是其中一個層面。這也解釋了為什麼 Astra 通關 48 關和攻破現代反機器人系統之間還有很長距離——Astra 擅長的是介面層的感知和動作，但伺服器還可以觀察它看不到的狀態：請求來自怎樣的 TLS 客戶端、JavaScript 環境是否符合預期、token 有沒有過期、此前請求序列是否異常。
不過這層防線也不會永久穩定。Computer Use Agent 如果直接執行在完整 Chrome 環境中，它天然會繼承真實瀏覽器的大量協議和執行時特徵，和簡單的 Selenium 指令碼已經不是同一種自動化。Cloudflare 文件目前仍明確表示，Selenium、Puppeteer、Playwright 等自動化框架不支援用於生產 challenge，但未來 Agent 越來越深地執行在真實瀏覽器棧裡，單純依賴瀏覽器指紋區分機器也會越來越困難。因此現代 bot detection 正在進入一個更棘手的階段：認知訊號正在失效，瀏覽器訊號也可能逐漸趨同，伺服器只能把更多證據放進時間序列和業務上下文裡聯合判斷。
Agent 時代，Web 看的是機器身份和許可權。 還有一個更深的問題：未來大量機器訪問本身就是合法流量。使用者讓 Agent 查詢航班、填寫企業系統、修改 CRM 或跨網站處理任務時，伺服器面對的確實是一台機器，但把它攔下來反而會破壞正常功能。傳統 CAPTCHA 的人類/機器二元分類開始失去足夠的資訊量。
Cloudflare 今年上線的 Web Bot Auth 已經出現這種轉向。它基於 HTTP Message Signatures，讓 Agent 生成 Ed25519 金鑰，用私鑰給 HTTP 請求籤名，並通過公開目錄釋出對應公鑰。Cloudflare 收到請求後，可以根據公鑰驗證這次請求確實來自持有該私鑰的 Agent，同時檢查被簽名的請求內容是否被修改。不過這和 CAPTCHA 還是有區別的：CAPTCHA 依靠行為特徵做分類，本質上是在估計訪問者屬於哪一類；請求籤名解決的是密碼學認證，伺服器得到的是可驗證的主體身份。模型視覺能力繼續提高，並不會讓它憑空計算出另一個 Agent 私鑰對應的有效 Ed25519 簽名。
Web Bot Auth 還通過 created 和 expires 限制簽名請求的時間視窗，降低請求被截獲後重復提交的價值。Cloudflare 當前文件也說明，它暫未維護完整的 nonce 重放資料庫，因此短有效期仍承擔著重要防重放作用。這個細節說明 Agent 身份基礎設施還處在快速建設階段。
但機器身份只是認證，授權是另一層問題。一個伺服器確認請求確實來自某個 Agent，並不意味著這個 Agent 可以讀取和修改全部資源。更合理的模型是使用者把有限許可權委託給 Agent，例如允許讀取訂單和修改配送日期，同時不開放取消訂單；主 Agent 再呼叫子 Agent 時，下游拿到的許可權還應該繼續收窄。技術上，這會把 Web 安全從 bot classifier 推向一條可驗證的委託鏈。伺服器最終判斷的條件會更接近：Agent 身份有效、使用者委託有效、token 尚未過期、資源屬於授權範圍、當前 action 沒有越界，同時風險系統沒有發現異常。
這種結構和 CAPTCHA 差別很大。CAPTCHA 嘗試證明機器不在場；Agent 時代的安全體系反而需要承認機器就在這裡，然後嚴格限定它是誰、代表誰、可以做什麼。
CAPTCHA 的邊界到了協議層。 Astra 通關 48 關，其實沒有讓 reCAPTCHA 或 Turnstile 一夜失效。它削弱的是 CAPTCHA 很早依賴的一層假設：視覺理解、空間判斷和連續 GUI 操作足以把機器擋在介面之外。Computer Use 正在跨過這層門檻。ScreenSpot-Pro 反映 grounding，OSWorld 反映長程互動，Astra 的變化說明螢幕理解、狀態估計、動作執行和失敗恢復已經開始形成更穩定的閉環。
防禦體系則繼續向後遷移：從視覺題移動到瀏覽器訊號，從瀏覽器訊號移動到服務端驗證，再從人機分類移動到 Agent 的密碼學身份和細粒度授權。二十多年前，CAPTCHA 的問題是螢幕對面到底有沒有人。當機器也能穩定使用這塊屏幕後，Web 要解決的問題已經變成：這台機器是誰，誰把許可權交給了它，以及這一次請求究竟被允許做到哪裡。