본문으로 건너뛰기
J
피드

FCaptcha - 봇부터 비전 AI까지 전부 잡는 오픈소스 CAPTCHA

security 약 3분
tags
#captcha#bot-detection#open-source#security#ai
vote
0
댓글
북마크
원문 보기

봇, 헤드리스 브라우저, 비전 AI 에이전트까지 탐지하는 셀프호스팅 CAPTCHA 시스템. 40개 이상의 행동 시그널, SHA-256 Proof of Work, 비전 AI의 스크린샷-API-클릭 패턴 탐지 등을 결합하며 Go/Python/Node.js 서버를 지원함.

  • 1

    비전 AI 에이전트의 스크린샷→API→클릭 패턴을 API 왕복 지연과 마우스 궤적으로 탐지

  • 2

    40개 이상 행동 시그널 분석: 미세 떨림(3-25Hz), 속도 분산, 클릭 정밀도 등

  • 3

    SHA-256 Proof of Work로 크리덴셜 스터핑 공격에 연산 비용 부과

  • 4

    셀프호스팅, 프라이버시 퍼스트, 영구 핑거프린팅 없음

  • 5

    Go/Python/Node.js 서버 선택 가능, Docker 한 줄 배포, MIT 라이선스

  • FCaptcha는 봇, 비전 AI 에이전트, 자동화 도구를 전부 잡겠다는 오픈소스 CAPTCHA 시스템임. reCAPTCHA v2 같은 체크박스 모드와 v3 같은 인비저블 모드 둘 다 지원함
  • 핵심은 비전 AI 탐지임. 요즘 AI 에이전트가 스크린샷 찍고 → GPT-4V/Claude 같은 비전 API에 보내고 → 좌표 받아서 클릭하는 패턴을 쓰는데, 이 과정에서 생기는 API 왕복 지연(round-trip latency), 픽셀 단위 정확한 클릭, 너무 매끄러운 마우스 경로 등을 잡아냄
  • 40개 이상의 행동 시그널을 분석함. 사람 손의 자연적인 미세 떨림(micro-tremor, 3~25Hz), 속도 분산, 궤적 분석 등. 사람은 클릭 전에 탐색하고 망설이는데 봇은 바로 직선으로 가니까 구분 가능하다는 거임
  • Proof of Work도 걸어놓음. SHA-256 해시캐시 챌린지를 Web Worker에서 백그라운드로 풀게 하는데, 데이터센터 IP면 난이도를 올림. 크리덴셜 스터핑(credential stuffing) 공격 시 요청마다 100~500ms CPU 비용이 들게 만드는 구조
  • 시그널 가중치는 행동 40%, 환경 35%, 시간 15%, 폼 인터랙션 10%. 점수 0.3 미만이면 통과, 0.3~0.6이면 챌린지, 0.6 초과면 차단
  • 셀프호스팅 기반이고 프라이버시 퍼스트를 표방함. 영구 핑거프린팅 없고, 크로스사이트 트래킹 없고, PII 수집 안 함. 핑거프린트는 세션 스코프로만 사용
  • 서버는 Go(가장 빠름), Python(FastAPI), Node.js(Express) 세 가지 중 골라 쓸 수 있고, Docker 한 줄이면 배포 가능. Redis 연결하면 분산 상태 관리도 됨
  • MIT 라이선스이고, ML 기반 스코어링, React/Vue 통합 라이브러리, 어드민 대시보드 등은 아직 미구현이라 컨트리뷰션을 받고 있음

비전 AI 에이전트 시대에 CAPTCHA가 어떻게 진화해야 하는지를 보여주는 프로젝트. API 왕복 지연이나 너무 완벽한 클릭 좌표 같은 AI 특유의 약점을 공략하는 접근이 영리함.

prev

이전 기사 (P)

next

다음 기사 (N)

댓글

댓글

댓글을 불러오는 중...

관련 기사

security

윈도우 11 BitLocker 우회 취약점 ‘YellowKey’ 공개, WinRE 경로가 문제로 지목됨

YellowKey라는 BitLocker 우회 취약점 공개 글이 올라왔고, 작성자는 Windows Recovery Environment에만 있는 특정 구성요소가 보호된 볼륨 접근을 허용한다고 주장한다. 공개 내용은 Windows 11과 Windows Server 2022/2025가 영향권이고 Windows 10은 제외된다고 설명하며, Microsoft 보안 조직과의 공개 조율도 언급한다.

security

해고 직후 정부 DB 96개 삭제 혐의, 내부자 접근권 회수의 무서운 사례

미국 정부 고객을 상대하던 IT 업체에서 해고된 쌍둥이 형제가 몇 분 뒤 정부 정보가 담긴 데이터베이스 96개를 삭제한 혐의를 받고 있다. 기사에는 이들이 이전에도 컴퓨터 범죄 전력이 있었고, 회사 네트워크에서 5,400개 계정 정보를 모아 Python 스크립트로 외부 서비스 로그인을 시도했다는 정황도 나온다.

security

EFF, 국경 전자기기 수색에도 영장이 필요하다고 제4순회항소법원에 주장

EFF와 ACLU 등은 미국 제4순회항소법원에 국경에서 휴대폰·노트북 같은 전자기기를 수색하려면 영장이 필요하다는 의견서를 냄. 사건은 Dulles 공항에서 미국 시민의 휴대폰이 영장 없이 수색된 뒤 형사 사건으로 이어진 사례이며, EFF는 수동 수색과 포렌식 수색 모두 같은 높은 기준을 적용해야 한다고 주장함.

security

안드로이드 17, 내 폰 OS가 진짜인지 직접 보여준다

구글이 안드로이드 17에 OS 검증 기능을 넣는다. 사용자는 기기가 공식 안드로이드 빌드를 돌리고 있는지, 부트로더 상태와 빌드 정보까지 확인할 수 있고, 구글 앱과 API의 정식 배포 여부를 검증하는 공개 원장도 제공된다.

security

마이크로소프트 취약점 공개전이 또 터짐, 이번엔 2건

익명의 공개자가 마이크로소프트 관련 취약점 2건을 추가로 공개했다고 주장했어. 구체적인 기술 분석은 본문에 거의 없지만, 패치 튜즈데이를 앞두고 더 큰 공개를 예고해 윈도우 보안 운영팀 입장에선 신경 써야 할 신호야.