본문으로 건너뛰기
J
0
r/jeffnews • HN • • 약 3분

FCaptcha - 봇부터 비전 AI까지 전부 잡는 오픈소스 CAPTCHA

security

요약

봇, 헤드리스 브라우저, 비전 AI 에이전트까지 탐지하는 셀프호스팅 CAPTCHA 시스템. 40개 이상의 행동 시그널, SHA-256 Proof of Work, 비전 AI의 스크린샷-API-클릭 패턴 탐지 등을 결합하며 Go/Python/Node.js 서버를 지원함.

기사 전체 정리

  • FCaptcha는 봇, 비전 AI 에이전트, 자동화 도구를 전부 잡겠다는 오픈소스 CAPTCHA 시스템임. reCAPTCHA v2 같은 체크박스 모드와 v3 같은 인비저블 모드 둘 다 지원함
  • 핵심은 비전 AI 탐지임. 요즘 AI 에이전트가 스크린샷 찍고 → GPT-4V/Claude 같은 비전 API에 보내고 → 좌표 받아서 클릭하는 패턴을 쓰는데, 이 과정에서 생기는 API 왕복 지연(round-trip latency), 픽셀 단위 정확한 클릭, 너무 매끄러운 마우스 경로 등을 잡아냄
  • 40개 이상의 행동 시그널을 분석함. 사람 손의 자연적인 미세 떨림(micro-tremor, 3~25Hz), 속도 분산, 궤적 분석 등. 사람은 클릭 전에 탐색하고 망설이는데 봇은 바로 직선으로 가니까 구분 가능하다는 거임
  • Proof of Work도 걸어놓음. SHA-256 해시캐시 챌린지를 Web Worker에서 백그라운드로 풀게 하는데, 데이터센터 IP면 난이도를 올림. 크리덴셜 스터핑(credential stuffing) 공격 시 요청마다 100~500ms CPU 비용이 들게 만드는 구조
  • 시그널 가중치는 행동 40%, 환경 35%, 시간 15%, 폼 인터랙션 10%. 점수 0.3 미만이면 통과, 0.3~0.6이면 챌린지, 0.6 초과면 차단
  • 셀프호스팅 기반이고 프라이버시 퍼스트를 표방함. 영구 핑거프린팅 없고, 크로스사이트 트래킹 없고, PII 수집 안 함. 핑거프린트는 세션 스코프로만 사용
  • 서버는 Go(가장 빠름), Python(FastAPI), Node.js(Express) 세 가지 중 골라 쓸 수 있고, Docker 한 줄이면 배포 가능. Redis 연결하면 분산 상태 관리도 됨
  • MIT 라이선스이고, ML 기반 스코어링, React/Vue 통합 라이브러리, 어드민 대시보드 등은 아직 미구현이라 컨트리뷰션을 받고 있음

핵심 포인트

  • 비전 AI 에이전트의 스크린샷→API→클릭 패턴을 API 왕복 지연과 마우스 궤적으로 탐지
  • 40개 이상 행동 시그널 분석: 미세 떨림(3-25Hz), 속도 분산, 클릭 정밀도 등
  • SHA-256 Proof of Work로 크리덴셜 스터핑 공격에 연산 비용 부과
  • 셀프호스팅, 프라이버시 퍼스트, 영구 핑거프린팅 없음
  • Go/Python/Node.js 서버 선택 가능, Docker 한 줄 배포, MIT 라이선스

인사이트

비전 AI 에이전트 시대에 CAPTCHA가 어떻게 진화해야 하는지를 보여주는 프로젝트. API 왕복 지연이나 너무 완벽한 클릭 좌표 같은 AI 특유의 약점을 공략하는 접근이 영리함.

#captcha#bot-detection#open-source#security#ai
원문 보기
댓글 뒤로가기
이전 기사 (p) 다음 기사 (n)

댓글

댓글

댓글을 불러오는 중...

관련 기사

security

EU 의회, 'Chat Control' 대량 감시 단 1표 차로 최종 폐기 — 진짜 아동보호로의 전환점

EU 의회가 미국 빅테크의 개인 메시지 무차별 스캔(Chat Control)을 단 1표 차이로 최종 부결시킴. 4월 4일부터 Meta·Google·Microsoft의 유럽 시민 채팅 대량 감시가 중단됨. 다만 Chat Control 2.0 영구 규정 협상과 메신저 나이 인증 의무화가 다음 전투로 남아 있음.

security

Meta, 뉴멕시코 배심원 재판서 아동 성착취 방치 혐의 유죄 평결 ㄷㄷ — 3750억 배상 명령

미국 뉴멕시코주 배심원단이 Meta가 플랫폼에서 아동을 성적 포식자로부터 보호하지 않았다는 혐의에 대해 전 항목 유죄 평결을 내렸음. 배상액은 약 $3억 7500만(한화 약 5천억 원)으로 결정됐고, 이건 Meta가 배심원 재판에서 아동 안전 문제로 실제 책임을 진 최초의 사례임. Meta는 당연히 항소 예정 ㅋㅋ

security

EU가 또 당신 DM이랑 사진 뒤지려 함 ㄷㄷ (feat. 보수파의 역주행)

유럽의회가 한 번 NO라고 했는데 EPP(유럽국민당)가 3월 26일 목요일에 재표결 강행하려는 중임. 개인 메시지·사진 전수 스캔하는 법안인데, 이미 부결된 걸 뒤집으려는 거라 논란 ㄹㅇ 폭발.

security

Firefox, 월 50GB 무료 내장 VPN 추가 — 별도 구독 필요 없음

Firefox 149부터 월 50GB 무료 내장 VPN이 추가됨. Mozilla 계정만 있으면 사용 가능하며, 브라우저 트래픽만 보호하는 방식. 방문 사이트나 통신 내용은 로깅하지 않음.

security

토요일 새벽, 제로데이 때문에 경찰이 집에 찾아옴

PTC Windchill/FlexPLM의 CVSS 10.0 역직렬화 취약점(CVE-2026-4681) 때문에 독일 연방범죄수사청이 전국 1,000개 이상 기업에 새벽에 경찰을 보내 핫픽스 안내문을 전달하는 전례 없는 사태가 벌어짐. PTC는 '확인된 공격 없음'이라고 하면서 구체적 침해지표를 동시에 공개하는 모순적 태도를 보임.