CAPTCHA - это простая идея: поставить перед посетителем задачу, которую люди могут решить, а машины нет, и пропустить любого, кто справился. Долгие годы это был разумный компромисс. Люди теряли несколько секунд, а самая агрессивная автоматизация замедлялась.
Затем изменились три вещи. Машины научились решать такие задачи. Люди устали их решать. И появился новый тип посетителя: AI-агенты, действующие от имени реальных клиентов, и люди, работающие с AI-ассистентами. Тест, который спрашивает "are you a human?", не дает хорошего ответа ни для тех, ни для других.
Proof of Actor предлагает другой подход. Вместо того чтобы проверять каждого посетителя, он сообщает вашему приложению, кто или что действует, с доказательствами, лежащими в основе вывода, и позволяет вашему коду решить, нужна ли вообще проверка.
Кратко
| CAPTCHA | Proof of Actor | |
|---|---|---|
| Основной вопрос | Может ли этот посетитель пройти человеческий тест? | Кто или что действует, и каковы доказательства? |
| Кто несет издержки | Каждый посетитель, который видит проверку | Никто; классификация происходит в фоне |
| Возможные ответы | Пройдено или не пройдено | Human, Human + AI, Agent или Unknown, плюс основание |
| Легитимные AI-агенты | Останавливаются или вынуждены обходить тест | Распознаются и направляются в подходящий сценарий |
| Люди, использующие AI-ассистентов | Обрабатываются как любой другой посетитель | Отдельный класс, Human + AI |
| Неясный трафик | Должен пройти тот же тест | Unknown, с резервным вариантом, который вы выбираете для каждого маршрута |
| Где применяется | На страницах, где вы его разместили | На каждом маршруте, который покрывает ваша интеграция |
| Поведение по умолчанию при установке | Видимая проверка | Наблюдение; ничего не меняется, пока вы не добавите политику |
Тест против доказательств
CAPTCHA дает один бит информации: посетитель прошел или не прошел. Она не сообщает, кто был посетитель, работал ли он с ассистентом и насколько можно доверять результату. И этот бит получается за счет того, что посетителя просят выполнить работу.
Proof of Actor выдает классификацию и ее evidence basis. Результат Verified означает, что проверяемое утверждение было подтверждено, например подпись запроса сверена с опубликованным ключом. Результат Declared означает, что это сообщил клиент или ваше собственное приложение. Результат Inferred помечен как вывод. Unknown означает, что доказательств недостаточно для определения. Ваша команда может читать каждый результат и видеть, на чем он основан, а посетителю не нужно ничего делать.
Цена проверки всех подряд
Каждая проверка создает трение для ваших лучших пользователей, чтобы замедлить худших. На странице регистрации это снижает конверсию. На этапе оформления заказа это снижает выручку. С точки зрения доступности это может полностью лишить людей доступа. Команды соглашаются на такую цену только потому, что у них нет лучшего сигнала о том, кто находится по другую сторону.
С контекстом actor компромисс меняется. Вы можете оставить обычный сценарий для сессий, инициированных человеком, убрать проверку там, где доказательства сильные, и оставить ее для узкого набора случаев, где она по-прежнему полезна: например, при результате Unknown для смены пароля или действия с высокой ценностью. Большинство посетителей больше не увидят проверку.
Легитимным агентам нужен путь, а не головоломка
CAPTCHA создавалась, чтобы останавливать software. Это имело смысл, когда почти весь software, приходящий на ваши страницы, был нежелательным. Теперь это уже не так.
Сегодня ассистент может сравнить ваши тарифы для клиента, агент может забронировать встречу через ваше приложение, а AI-клиент может обратиться к вашему MCP server, чтобы завершить задачу. Остановка таких сценариев останавливает ваших клиентов. Принуждение их проходить страницы и головоломки, рассчитанные на людей, создает хрупкую автоматизацию, которая ломается при каждом редизайне.
Proof of Actor распознает agents, а с подписанными запросами может проверять, какой ключ и какой оператор стоят за ними. Затем ваше приложение может сделать нечто лучше, чем проверка: вернуть структурированный API, предложить поток, удобный для agent, или применить rate-limit, рассчитанный на automation. Руководство по обслуживанию AI-агентов структурированным контентом показывает, как это сделать.
Подтвержденная идентичность - это не то же самое, что разрешение. Действительная подпись говорит вам, каким ключом подписан запрос; может ли этот agent выполнить действие - это ваше authorization decision. Proof of Actor разделяет эти два вопроса.
Люди, работающие с AI, - все еще ваши пользователи
Человек, который готовит сообщение в поддержку с помощью ассистента или заполняет форму с помощью AI, - это клиент. Человеческий тест ничего полезного о нем не скажет: либо он пройдет, либо будет заблокирован, потому что его поведение выглядит необычно.
Proof of Actor дает таким пользователям свой класс - Human + AI, который сообщается, когда помощь объявлена явно или наблюдается через поддерживаемую интеграцию. Это позволяет помечать AI-сгенерированные обращения для нужной команды, изучать, как пользователи с помощью AI перемещаются по вашему продукту, и сохранять для них плавный опыт. Подробнее см. в глоссарной статье AI-assisted interaction.
Осознанная обработка неопределенных случаев
Часть трафика всегда будет неясной. CAPTCHA обрабатывает такие случаи одинаково везде: все проходят тест.
Proof of Actor возвращает Unknown как полноценный результат, который не считается человеком по умолчанию и не считается вредоносным по умолчанию. Вы выбираете fallback для каждого маршрута, в зависимости от риска:
- Публичные страницы и документация: allow, и сохраняйте стандартный опыт.
- Формы регистрации и контакта: allow, с вашими обычными средствами против злоупотреблений.
- Изменение учетной записи: сохраняйте существующий поток повторной аутентификации.
- Действия с высоким влиянием: направляйте на review или применяйте здесь challenge, если он вам все еще нужен.
Именно здесь проверка все еще может быть уместной: как один осознанный результат политики на чувствительном маршруте, а не как обязательный сбор с каждого посетителя.
Где принимается решение
Виджет CAPTCHA принимает решение в момент отображения, на странице, где вы его разместили, и только один раз.
С Proof of Actor решение принимает ваше приложение на каждом маршруте, который охватывает ваша интеграция: серверный middleware, Next.js, edge, утвержденная browser-интеграция, generic HTTP API или ваш MCP server. Политики используют класс actor и основание вместе: allow, adapt, challenge, review или rate-limit. Они живут в вашем коде, рядом с остальной бизнес-логикой, и вы можете менять их, не переделывая страницу.
Поэтапное внедрение
Proof of Actor начинается в observation mode. Установка ничего не меняет для ваших пользователей. Разумный путь ухода от тотальных проверок выглядит так:
- Observe. Оставьте существующие проверки на месте и добавьте Proof of Actor. Следите за составом actor и уровнем Unknown на каждом маршруте.
- Compare. Для каждого маршрута с проверкой посмотрите, какая доля проверок приходится на человеческие сессии, пользователей с AI-ассистентами и подтвержденных agents.
- Preview. Напишите политику, которая пропускает проверку там, где доказательства сильные, и оставляет ее для Unknown на чувствительных действиях. Посмотрите ее эффект на реальном трафике.
- Enforce. Включайте политику по одному маршруту за раз, с задокументированным fallback и переключателем отката.
Руководство по безопасному внедрению actor-aware policies подробно описывает каждый шаг.
Когда CAPTCHA все еще имеет смысл
Проверки по-прежнему полезны в нескольких случаях: всплеск неясного трафика на чувствительном действии, форма под активной атакой или маршрут, где у вас пока нет другого сигнала. Proof of Actor не предлагает выбросить этот инструмент. Он дает вам контекст, чтобы использовать его только там, где он помогает.
Начните работу
Proof of Actor находится в private beta. Отобранные founding developer teams могут получить до 12 месяцев бесплатного доступа в рамках согласованных лимитов использования, с прямой поддержкой команды, которая его создает. Подайте заявку на ранний доступ и расскажите, какие маршруты вы проверяете сегодня.