CAPTCHA कैसे काम करता है? ‘I’m Not a Robot’ का सच और पूरा विज्ञान

AI and CAPTCHA: तमाम वेबसाइटें हमीं से हमारे इन्सान होने का सबूत मांगती हैं। पूछती हैं कि कहीं हम रोबोट तो नहीं? कोई वेबसाइट कुछ नम्बर और अक्षर दिखा कर लिखने को कहती हैं। इस तरह की पूछताछ को ‘कैप्चा’ नाम दिया गया है। वेबसाइट पर जब छोटा-सा डिब्बा आता है - “I’m not a robot” - और हम उस पर टिक लगा देते हैं, तो पहली नज़र में लगता है कि वेबसाइट बस हमारी बात मान रही है। लेकिन असल में वह टिक अपने आप कोई प्रमाण नहीं है। कैप्चा का पूरा उद्देश्य यह अनुमान लगाना है कि सामने वाला यूजर मनुष्य है या आटोमेटिक सॉफ्टवेयर, यानी बॉट। आधुनिक reCAPTCHA केवल टिक को नहीं देखता। वह उस पूरे अनुरोध और यूजर के व्यवहार से जुड़े अनेक संकेतों का जोखिम-मूल्यांकन करता है। गूगल स्वयं reCAPTCHA को ऐसी सेवा बताता है, जो एडवांस रिस्क एनालिसिस के जरिए मनुष्य और बॉट में फर्क करने की कोशिश करती है।

कहाँ से आया ये शब्द?

CAPTCHA का पूरा रूप है - “Completely Automated Public Turing Test to Tell Computers and Humans Apart”, अर्थात ऐसा पूर्णतः स्वचालित सार्वजनिक परीक्षण जो कंप्यूटर और मनुष्य में फर्क कर सके। यह नाम और आधुनिक अवधारणा सन 2000 के आसपास कार्नेगी मेलॉन विश्वविद्यालय के शोधकर्ताओं लुइस वॉन आन, मैनुअल ब्लम, निकोलस हॉपर और जॉन लैंगफोर्ड ने विकसित की। बाद में उनका शोध 2003 में यूरोक्रिप्ट में प्रकाशित हुआ और 2004 में Communications of the ACM में विस्तृत रूप से आया।

शुरुआती दौर से ही महसूस हुई जरूरत

लेकिन कैप्चा का विचार केवल 2000 में अचानक पैदा नहीं हुआ था। इंटरनेट के शुरुआती दौर से ही वेबसाइटों को ऐसी समस्या होने लगी थी कि कोई प्रोग्राम हजारों नकली खाते बना सकता है। ईमेल पते बना सकता है। टिकट खरीद सकता है। टिप्पणियों में स्पैम भर सकता है या पासवर्ड आजमा सकता है। इंसान एक मिनट में कुछ काम करता है। लेकिन स्वचालित प्रोग्राम वही काम लाखों बार कर सकता है। इसलिए मूल सवाल था कि ऐसा कौन-सा छोटा काम है जो इंसान आसानी से कर ले, लेकिन मशीन के लिए कठिन हो?

शुरुआती कैप्चा का जवाब था - टेढ़े-मेढ़े अक्षर पढ़ना। स्क्रीन पर ऐसे अक्षर दिखाए जाते थे, जिन पर रेखाएँ, बिंदु और विकृतियाँ होती थीं। मनुष्य उन्हें लगभग तुरंत पढ़ लेता था, जबकि उस समय की मशीनें अक्षर पहचानने में संघर्ष करती थीं। यही शुरुआती कैप्चा का मूल सिद्धांत था -मनुष्य की कोई ऐसी क्षमता खोजिए जिसमें मशीन अभी कमजोर हो।

लेकिन यहीं कैप्चा की सबसे बड़ी कमजोरी भी छिपी थी। जैसे-जैसे एआई और चित्र-पहचान बेहतर हुई, वे टेढ़े-मेढ़े अक्षर मशीनों के लिए भी पढ़ना आसान होने लगे। फिर कैप्चा और कठिन बनाया गया। अक्षर इतने खराब होने लगे कि कई बार इंसान खुद भी नहीं पढ़ पाता था। सुरक्षा बढ़ाने की कोशिश में यूजर अनुभव खराब हो गया।

कैप्चा का नया स्वरूप

इसी समस्या से आगे reCAPTCHA विकसित हुआ। इसका सबसे प्रसिद्ध शुरुआती रूप लुइस वॉन आन की टीम ने बनाया और बाद में 2009 में गूगल ने reCAPTCHA कंपनी का अधिग्रहण कर लिया। reCAPTCHA ने एक समय बहुत रोचक काम किया, लोगों से पुराने स्कैन किए गए दस्तावेजों के ऐसे शब्द पढ़वाए जिन्हें मशीन का अक्षर-पहचान तंत्र ठीक से नहीं पढ़ पा रहा था। इस तरह एक ही काम दो लाभ देता था - बॉट रोकना और पुरानी पुस्तकों तथा दस्तावेजों के डिजिटलीकरण में मदद करना। कार्नेगी मेलॉन के अभिलेख भी CAPTCHA और बाद में reCAPTCHA के विकास को इसी शोध परंपरा से जोड़ते हैं।

अब ‘मैं रोबोट नहीं हूँ’ वाले डिब्बे पर आएँ। इसे देखकर अक्सर पूछा जाता है कि रोबोट भी तो टिक कर सकता है, फिर इससे क्या साबित हुआ?

उत्तर है, टिक करना स्वयं परीक्षा नहीं है। टिक करना परीक्षा शुरू करने या उसका एक हिस्सा भर है।

reCAPTCHA का तंत्र यह देख सकता है कि अनुरोध कितना संदिग्ध है। गूगल के आधुनिक दस्तावेजों के अनुसार reCAPTCHA अलग-अलग प्रकार के जोखिम-संकेतों को देखकर निर्णय करता है और नए संस्करणों में सीधे एक जोखिम-स्कोर तक देता है। reCAPTCHA v3 में तो उपयोगकर्ता को टिक करने की जरूरत भी नहीं होती। वह पृष्ठभूमि में व्यवहार का विश्लेषण कर 0 से 1 के बीच जोखिम-स्कोर देता है। 1 के पास स्कोर कम जोखिम और वैध उपयोगकर्ता की अधिक संभावना दिखाता है, जबकि 0 के करीब स्कोर अधिक संदिग्ध गतिविधि की ओर संकेत करता है।

टिक वाले reCAPTCHA में क्या देखा जा सकता है?

गूगल सार्वजनिक रूप से अपने पूरे सुरक्षा सूत्र नहीं बताता और बताना भी सुरक्षा के लिहाज से उचित नहीं होगा लेकिन उसके आधिकारिक दस्तावेज स्पष्ट करते हैं कि उपयोगकर्ता की बातचीत, अनुरोध का संदर्भ और जोखिम-विश्लेषण निर्णय का हिस्सा होते हैं। यदि प्रणाली को पर्याप्त भरोसा हो कि व्यवहार मानवीय और सामान्य है, तो केवल टिक करते ही हरा निशान मिल सकता है। यदि संदेह अधिक हो, तो आगे चित्रों वाली चुनौती आ सकती है, ‘सभी ट्रैफिक लाइट चुनिए’ ‘साइकिल वाले खाने चुनिए’ ‘बस वाले चित्र चुनिए।’

इसलिए लोकप्रिय धारणा कि reCAPTCHA केवल यह देखता है कि माउस सीधी रेखा में चला या टेढ़ा, बहुत सरलीकृत है। माउस या स्पर्श व्यवहार संकेतों में शामिल हो सकते हैं, लेकिन आधुनिक तंत्र का निर्णय किसी एक हरकत पर नहीं टिका होता। वास्तविक सुरक्षा कई संकेतों के संयुक्त जोखिम-मूल्यांकन से आती है।

उदाहरण के लिए कोई सामान्य उपयोगकर्ता वेबसाइट खोलता है, थोड़ी देर सामग्री पढ़ता है, कुछ स्वाभाविक क्रियाएँ करता है और फिर कैप्चा टिक करता है। दूसरी तरफ कोई बॉट एक सेकंड में हजार पृष्ठ खोल रहा है, हर बार एक ही ढंग से फॉर्म भर रहा है और हजारों खातों से अनुरोध भेज रहा है। दोनों के व्यवहार का समग्र ढाँचा अलग दिखाई दे सकता है।

आधुनिक reCAPTCHA के स्कोर-आधारित संस्करण में यह फर्क और स्पष्ट हो गया है। अब सिद्धांत यह नहीं कि ‘इस व्यक्ति को एक पहेली दो और पास या फेल कर दो’। बल्कि इस गतिविधि का जोखिम कितना है? वेबसाइट फिर जोखिम के हिसाब से कार्रवाई कर सकती है। कम जोखिम पर काम सीधे होने दिया जाए। मध्यम जोखिम पर अतिरिक्त सत्यापन कराया जाए। अधिक जोखिम पर अनुरोध रोका जाए या धीमा किया जाए। गूगल के दस्तावेज भी इसी तरह स्कोर और साइट-विशिष्ट सीमा तय करने की सलाह देते हैं।

यह बदलाव इसलिए जरूरी हुआ क्योंकि आज बॉट बहुत अधिक बुद्धिमान हो गए हैं। पुराने कैप्चा में कोई बॉट टेढ़े अक्षर नहीं पढ़ सकता था। आज आधुनिक चित्र-पहचान तंत्र कई बार मनुष्य से भी अधिक सटीकता से वस्तुएँ पहचान लेते हैं। वे बस, मोटरसाइकिल, ट्रैफिक लाइट, जानवर और सड़क संकेत पहचान सकते हैं। बड़े भाषा मॉडल और दृश्य मॉडल ने मशीनों की क्षमता और बढ़ा दी है। इसलिए केवल “तस्वीर में बस ढूँढ़ो” जैसी चुनौती को सुरक्षा की अंतिम दीवार मानना अब संभव नहीं। इसीलिए 2026 में कैप्चा का अर्थ पहले जैसा नहीं रहा। पुराना कैप्चा परीक्षा था; आधुनिक बॉट-रोधी प्रणाली जोखिम-मूल्यांकन है।

अब बैकग्राउंड में चलता है कैप्चा

आज कई सेवाएँ तो उपयोगकर्ता को कोई प्रश्न ही नहीं दिखातीं। reCAPTCHA v3 पूरी तरह पृष्ठभूमि में चल सकता है और उपयोगकर्ता की हर महत्वपूर्ण क्रिया को जोखिम-स्कोर दे सकता है। गूगल के अनुसार यह बिना उपयोगकर्ता को बाधित किए गतिविधि की वैधता का आकलन कर सकता है। कैप्चा आज भी कारगर है लेकिन अकेला कैप्चा अब पर्याप्त सुरक्षा नहीं है।

कैप्चा लाखों साधारण बॉट, स्पैम स्क्रिप्ट और कम लागत वाले स्वचालित हमलों को रोकने में आज भी बहुत उपयोगी है। इसका अर्थ समझना जरूरी है। सुरक्षा का लक्ष्य हमेशा ऐसा ताला बनाना नहीं होता जिसे कोई भी कभी न तोड़ सके। कई बार लक्ष्य हमले की लागत इतनी बढ़ा देना होता है कि बड़े पैमाने पर हमला करना आर्थिक रूप से कठिन हो जाए।

मान लीजिए बिना कैप्चा कोई बॉट एक घंटे में दस लाख नकली खाते बना सकता है। कैप्चा के कारण वही प्रणाली हर कुछ प्रयास बाद चुनौती में फँस जाती है, अलग पहचान बनानी पड़ती है या मानव सहायता लेनी पड़ती है। हमले की लागत कई गुना बढ़ जाती है। यही सुरक्षा का वास्तविक लाभ है।

लेकिन उच्च स्तर के हमलावर कैप्चा पार भी कर सकते हैं। इसके कई तरीके हैं। मशीन दृष्टि चुनौती हल कर सकती है; संक्रमित वास्तविक ब्राउजर और उपकरण इस्तेमाल हो सकते हैं; हमलावर वास्तविक मनुष्यों से कैप्चा हल करवा सकते हैं। या वैध उपयोगकर्ता की पहचान चोरी करके उसके सत्र का दुरुपयोग किया जा सकता है। इसलिए कोई गंभीर बैंक, ईमेल सेवा या भुगतान मंच केवल कैप्चा पर निर्भर नहीं रहता।

वह कई परतें लगाता है - पासवर्ड, दो-स्तरीय प्रमाणीकरण, उपकरण पहचान, आईपी और नेटवर्क जोखिम, असामान्य व्यवहार की पहचान, गति सीमा, संदिग्ध लेन-देन विश्लेषण और जरूरत पड़ने पर कैप्चा। यानी कैप्चा मुख्य दरवाजे का चौकीदार है, पूरी सुरक्षा व्यवस्था नहीं।

इंसान और मशीन का अंतर

एक और महत्वपूर्ण समस्या है कि मनुष्य और बॉट की सीमा स्वयं धुंधली हो गई है। पहले हम सोचते थे ‘इंसान तस्वीर समझ सकता है, मशीन नहीं।’ आज मशीन भी तस्वीर समझ सकती है। इंसान भाषा समझता है, मशीन नहीं-यह फर्क भी लगभग समाप्त हो चुका है। इसलिए भविष्य का कैप्चा ऐसी पहेलियों पर कम निर्भर होगा जिनका समाधान केवल मनुष्य कर सके, क्योंकि ऐसी क्षमताएँ लगातार कम होती जा रही हैं।

भविष्य की दिशा अधिक संभावना से यह होगी कि वेबसाइट पूछेगी कि क्या यह गतिविधि वास्तविक उपयोगकर्ता के सामान्य व्यवहार जैसी है, या बड़े पैमाने पर स्वचालित दुरुपयोग जैसी? यही कारण है कि आज उपयोगकर्ता कई बार वेबसाइट खोलता है और उसे कैप्चा दिखाई ही नहीं देता, लेकिन पृष्ठभूमि में बॉट-रोधी विश्लेषण चल रहा होता है।

यहाँ निजता का प्रश्न भी आता है। यदि प्रणाली व्यवहार और अनुरोध के संदर्भ का विश्लेषण करती है तो स्वाभाविक है कि पूछा जाए कि वह कौन-सी जानकारी इस्तेमाल करती है। गूगल की reCAPTCHA FAQ के अनुसार reCAPTCHA जोखिम विश्लेषण के उद्देश्य से एक आवश्यक कुकी _GRECAPTCHA सेट करता है। इसलिए कैप्चा केवल चित्र-पहेली नहीं, वेब सुरक्षा और निजता के बीच संतुलन का प्रश्न भी है।

एक और समस्या है सुगम्यता। जिन लोगों की दृष्टि कमजोर है, उन्हें पुराने चित्र या विकृत अक्षर वाले कैप्चा बहुत कठिन पड़ते थे। ऑडियो कैप्चा इसका समाधान देने की कोशिश करते हैं, लेकिन उनमें भी शोर और अस्पष्ट आवाज समस्या बन सकती है। इसी कारण अदृश्य और स्कोर-आधारित प्रणालियाँ उपयोगकर्ता अनुभव की दृष्टि से महत्वपूर्ण सुधार हैं , सामान्य व्यक्ति को अनावश्यक परीक्षा ही न दी जाए।

अब मूल “I’m not a robot” वाक्य की ओर लौटें। यह वाक्य थोड़ा भ्रामक है। टिक करने से आप कोई शपथपत्र नहीं दे रहे कि आप मनुष्य हैं। वेबसाइट भी केवल आपकी घोषणा पर विश्वास नहीं करती। सही अर्थ में वह डिब्बा कह रहा है—“ मेरी इस गतिविधि का जोखिम-मूल्यांकन कीजिए और देखिए कि यह बॉट जैसी लगती है या सामान्य उपयोगकर्ता जैसी।”

यदि जोखिम कम है, हरा टिक। यदि निर्णय स्पष्ट नहीं है - अतिरिक्त चुनौती। यदि गतिविधि बहुत संदिग्ध है - परीक्षण बार-बार आएगा या अनुरोध अस्वीकार हो सकता है।

यही वजह है कि कभी एक ही व्यक्ति को एक वेबसाइट पर तुरंत हरा टिक मिल जाता है और दूसरी जगह दस तस्वीरें चुननी पड़ती हैं। कैप्चा आपकी बुद्धि की परीक्षा नहीं ले रहा; वह जोखिम की अनिश्चितता कम कर रहा है।

और इस पूरी कहानी में सबसे दिलचस्प बदलाव यह है कि 2000 में CAPTCHA ऐसे सवालों की खोज था जिन्हें मनुष्य हल कर सके और मशीन न कर सके। 2026 में कृत्रिम बुद्धिमत्ता इतनी आगे बढ़ चुकी है कि यह सीमा तेजी से मिट रही है। इसलिए आधुनिक कैप्चा अब अधिकाधिक यह पूछ रहा है—“कौन यह सवाल हल कर सकता है?” नहीं, बल्कि “यह व्यवहार वास्तविक उपयोगकर्ता जैसा कितना लगता है?”

इसीलिए कैप्चा अभी मरा नहीं है। लेकिन उसका रूप बदल चुका है। पुराने टेढ़े अक्षरों वाला कैप्चा तेजी से इतिहास बन चुका है। ‘मैं रोबोट नहीं हूँ’ वाला टिक मध्यवर्ती चरण है; और वर्तमान दिशा है अदृश्य, निरंतर जोखिम-मूल्यांकन, जहाँ संभव है कि भविष्य में हमें पता भी न चले कि किसी वेबसाइट ने कब हमें मनुष्य मान लिया और कब बॉट होने का संदेह किया।

टिक यह साबित नहीं करता कि आप इंसान हैं। पूरी प्रणाली आपके व्यवहार और अनुरोध से मिले संकेतों के आधार पर यह अनुमान लगाती है कि आप इंसान होने की कितनी संभावना रखते हैं। CAPTCHA को 2000 के आसपास कार्नेगी मेलॉन के लुइस वॉन आन, मैनुअल ब्लम, निकोलस हॉपर और जॉन लैंगफोर्ड ने नाम और वैज्ञानिक रूप दिया। और 2026 में यह अभी भी उपयोगी है, लेकिन अकेला पर्याप्त नहीं क्योंकि आज मशीनें भी वे बहुत-से काम कर सकती हैं जिन्हें कभी केवल इंसान कर सकता था।