CAPTCHA là một ý tưởng đơn giản: đặt một nhiệm vụ trước khách truy cập mà con người có thể giải còn máy móc thì không, rồi cho qua bất kỳ ai vượt qua. Trong nhiều năm, đó là một đánh đổi hợp lý. Người dùng mất vài giây, còn dạng tự động hóa tệ nhất bị làm chậm lại.
Ba điều đã thay đổi. Máy móc đã giỏi hơn trong việc giải các nhiệm vụ. Con người chán việc phải giải chúng. Và một kiểu khách truy cập mới xuất hiện: các AI agent hành động thay cho khách hàng thật, và người dùng làm việc với trợ lý AI. Một bài kiểm tra hỏi "bạn có phải là con người không?" không có câu trả lời tốt cho cả hai nhóm đó.
Proof of Actor chọn một cách tiếp cận khác. Thay vì kiểm tra mọi khách truy cập, nó cho ứng dụng của bạn biết ai hoặc cái gì đang hành động, cùng với bằng chứng phía sau kết luận đó, rồi để code của bạn quyết định liệu có cần thử thách hay không.
Tóm tắt ngắn gọn
| CAPTCHA | Proof of Actor | |
|---|---|---|
| Câu hỏi chính | Khách truy cập này có vượt qua được bài kiểm tra dành cho con người không? | Ai hoặc cái gì đang hành động, và bằng chứng là gì? |
| Ai gánh chi phí | Mọi khách truy cập nhìn thấy thử thách | Không ai cả; việc phân loại diễn ra ở nền |
| Câu trả lời có thể có | Đạt hoặc không đạt | Human, Human + AI, Agent hoặc Unknown, cộng với basis |
| Các AI agent hợp lệ | Bị chặn, hoặc buộc phải tìm cách vượt qua bài kiểm tra | Được nhận diện, và được chuyển đến trải nghiệm phù hợp |
| Người dùng dùng trợ lý AI | Bị xử lý như mọi khách truy cập khác | Một lớp riêng, Human + AI |
| Traffic không rõ | Phải vượt qua cùng một bài kiểm tra | Unknown, với phương án dự phòng do bạn chọn theo từng route |
| Áp dụng ở đâu | Những trang bạn đặt nó | Mọi route mà tích hợp của bạn bao phủ |
| Hành vi mặc định khi cài đặt | Thử thách hiển thị | Quan sát; không có gì thay đổi cho đến khi bạn thêm policy |
Một bài kiểm tra so với bằng chứng
CAPTCHA tạo ra một bit thông tin: khách truy cập đạt hay không đạt. Nó không cho bạn biết khách truy cập là ai, họ có đang làm việc với một trợ lý hay không, hay bạn nên tin kết quả đến mức nào. Và nó tạo ra bit thông tin đó bằng cách yêu cầu khách truy cập làm việc.
Proof of Actor tạo ra một phân loại và cơ sở bằng chứng của nó. Một kết quả Verified nghĩa là một xác nhận có thể kiểm tra đã được xác thực, chẳng hạn như một request signature được kiểm tra đối chiếu với một public key đã công bố. Một kết quả Declared nghĩa là client hoặc chính ứng dụng của bạn đã khai báo điều đó. Một kết quả Inferred được gắn nhãn là một suy luận. Unknown nghĩa là bằng chứng không đủ để xác định. Đội ngũ của bạn có thể đọc mọi kết quả và xem nó dựa trên gì, còn khách truy cập thì không phải làm gì cả.
Cái giá của việc thách thức mọi người
Mỗi thử thách là một ma sát đặt lên người dùng tốt nhất của bạn để làm chậm những người tệ nhất. Trên trang đăng ký, nó làm giảm chuyển đổi. Ở bước thanh toán, nó làm giảm doanh thu. Về mặt khả năng tiếp cận, nó có thể chặn hoàn toàn một số người. Các đội chấp nhận cái giá đó chỉ vì họ không có tín hiệu tốt hơn về ai đang ở phía bên kia.
Khi có ngữ cảnh actor, phép đánh đổi thay đổi. Bạn có thể giữ trải nghiệm bình thường cho các phiên do con người điều hướng, bỏ qua thử thách ở nơi bằng chứng đủ mạnh, và chỉ giữ lại nó cho tập hợp hẹp các trường hợp mà nó vẫn tạo ra giá trị: ví dụ, kết quả Unknown trên một lần thay đổi mật khẩu hoặc một hành động có giá trị cao. Phần lớn khách truy cập sẽ không bao giờ thấy một thử thách nữa.
Các agent hợp lệ cần một lối đi, không phải một câu đố
CAPTCHA được xây dựng để chặn phần mềm. Điều đó có lý khi gần như mọi phần mềm truy cập các trang của bạn đều không mong muốn. Bây giờ thì không còn như vậy nữa.
Ngày nay, một trợ lý có thể so sánh các gói của bạn cho một khách hàng, một agent có thể đặt lịch họp qua app của bạn, và một client AI có thể gọi MCP server của bạn để hoàn tất một nhiệm vụ. Chặn chúng tức là chặn khách hàng của bạn. Ép chúng đi qua các trang và câu đố được thiết kế cho con người sẽ tạo ra tự động hóa mong manh, dễ vỡ khi giao diện thay đổi.
Proof of Actor nhận diện agent, và với các request đã ký, nó có thể xác minh khóa và operator nào đứng sau chúng. Sau đó ứng dụng của bạn có thể làm điều gì đó tốt hơn một thử thách: phục vụ một API có cấu trúc, cung cấp một luồng thân thiện với agent, hoặc áp dụng một rate limit phù hợp với tự động hóa. Hướng dẫn về phục vụ nội dung có cấu trúc cho AI agent cho thấy cách thực hiện.
Một danh tính đã được xác minh không đồng nghĩa với quyền truy cập. Một chữ ký hợp lệ cho bạn biết khóa nào đã ký request; việc agent đó có được phép thực hiện một hành động hay không là quyết định ủy quyền của bạn. Proof of Actor giữ hai câu hỏi đó tách biệt.
Người làm việc với AI vẫn là người dùng của bạn
Một người soạn tin nhắn hỗ trợ với trợ lý, hoặc điền biểu mẫu với sự hỗ trợ của AI, vẫn là khách hàng. Một bài kiểm tra dành cho con người không có gì hữu ích để nói về họ: либо họ vượt qua, hoặc họ bị chặn vì hành vi của họ có vẻ bất thường.
Proof of Actor cho họ một lớp riêng, Human + AI, được báo cáo khi có trợ giúp được khai báo hoặc có thể quan sát được thông qua một tích hợp được hỗ trợ. Điều đó cho phép bạn gắn nhãn các nội dung gửi do AI soạn cho đúng nhóm, nghiên cứu cách người dùng có hỗ trợ đi qua sản phẩm của bạn, và giữ trải nghiệm của họ mượt mà. Đọc thêm trong mục từ vựng tương tác có hỗ trợ AI.
Xử lý các trường hợp không chắc chắn một cách có chủ đích
Một số traffic sẽ luôn không rõ ràng. CAPTCHA xử lý theo cùng một cách ở mọi nơi: mọi người đều làm bài kiểm tra.
Proof of Actor trả về Unknown như một kết quả hạng nhất, không bao giờ mặc định coi là con người và cũng không bao giờ mặc định coi là độc hại. Bạn chọn phương án dự phòng theo từng route, phù hợp với mức độ rủi ro:
- Public pages and documentation: cho phép, và giữ trải nghiệm tiêu chuẩn.
- Sign-up and contact forms: cho phép, với các kiểm soát lạm dụng quen thuộc của bạn.
- Account changes: giữ nguyên luồng xác thực lại hiện có của bạn.
- High-impact actions: chuyển đến review, hoặc áp dụng challenge ở đây nếu bạn vẫn muốn dùng một thử thách.
Đây là nơi một thử thách vẫn có thể có chỗ đứng: như một kết quả policy có chủ đích trên một route nhạy cảm, chứ không phải một khoản phí bắt mọi khách truy cập phải trả.
Quyết định nằm ở đâu
Một widget CAPTCHA quyết định vào đúng lúc nó được hiển thị, trên trang bạn đặt nó, và chỉ một lần.
Với Proof of Actor, ứng dụng của bạn quyết định, trên mọi route mà tích hợp của bạn bao phủ: server middleware, Next.js, edge, một browser integration đã được phê duyệt, một HTTP API tổng quát hoặc MCP server của bạn. Policies sử dụng actor class và basis cùng nhau: allow, adapt, challenge, review hoặc rate-limit. Chúng nằm trong code của bạn, cạnh phần logic nghiệp vụ còn lại, và bạn có thể thay đổi chúng mà không cần thiết kế lại một trang.
Triển khai dần dần
Proof of Actor bắt đầu ở chế độ quan sát. Việc cài đặt nó không thay đổi bất kỳ thứ gì người dùng nhìn thấy. Một lộ trình hợp lý để rời khỏi các thử thách áp dụng đồng loạt sẽ như sau:
- Quan sát. Giữ các thử thách hiện tại và thêm Proof of Actor. Theo dõi thành phần actor và tỷ lệ Unknown trên từng route.
- So sánh. Với mỗi route đang có thử thách, xem bao nhiêu thử thách rơi vào các phiên của con người, người dùng có hỗ trợ AI và các agent đã được xác minh.
- Xem trước. Viết một policy bỏ qua thử thách khi bằng chứng đủ mạnh và giữ lại nó cho Unknown trên các hành động nhạy cảm. Xem trước tác động của nó trên traffic thực.
- Thực thi. Bật policy trên từng route một, với phương án dự phòng đã được ghi lại và một công tắc rollback.
Hướng dẫn về triển khai policy nhận biết actor một cách an toàn trình bày chi tiết từng bước.
Khi CAPTCHA vẫn hợp lý
Các thử thách vẫn là một công cụ hữu ích ở một vài nơi: một đợt traffic không rõ ràng đột biến nhắm vào một hành động nhạy cảm, một biểu mẫu đang bị lạm dụng tích cực, hoặc một route mà bạn chưa có tín hiệu nào khác. Proof of Actor không yêu cầu bạn vứt bỏ công cụ đó. Nó cho bạn ngữ cảnh để chỉ dùng nó ở nơi nó hữu ích.
Bắt đầu
Proof of Actor đang ở private beta. Các founding developer team được chọn có thể nhận tới 12 months truy cập miễn phí trong giới hạn sử dụng đã thỏa thuận, kèm hỗ trợ trực tiếp từ đội ngũ xây dựng sản phẩm. Đăng ký early access và cho chúng tôi biết bạn đang thách thức những route nào hôm nay.