CAPTCHA: la prova di essere umani che le macchine superano meglio di noi

Il CAPTCHA è la più piccola liturgia quotidiana del web: seleziona tutte le immagini con un semaforo, ricopia le lettere storte, spunta la casella “non sono un robot”. Un gesto da pochi secondi, una dogana in miniatura che attraversiamo distratti, finché un giorno la sbagliamo, ci viene riproposta, la sbagliamo di nuovo, e per un istante ci coglie un dubbio quasi metafisico: e se non fossi umano? Statisticamente, quel dubbio ha qualche ragione. Uno studio presentato a USENIX Security nel 2023 ha messo 1.400 persone a risolvere 14.000 CAPTCHA, e ha confrontato i loro risultati con le prestazioni dei bot documentate in letteratura: sui testi deformati le macchine arrivavano vicino al 100% in meno di un secondo, gli umani inciampavano tra il 50 e l’84%. Il muro costruito per separare gli uomini dalle macchine lo scavalcano meglio le macchine. E la cosa interessante non è che i bot abbiano imparato a fingersi umani. È che cosa abbiamo dovuto fare all’idea di “umano” per renderla controllabile da un computer.

Il test di Turing rovesciato

L’acronimo è una piccola confessione: CAPTCHA sta per Completely Automated Public Turing test to tell Computers and Humans Apart, un test di Turing completamente automatico. Coniato all’inizio degli anni Duemila da un gruppo della Carnegie Mellon attorno a Luis von Ahn, prendeva il gioco di Turing e lo capovolgeva. Nel gioco originale era un essere umano a giudicare se dall’altra parte ci fosse una persona o una macchina: l’uomo era il metro, la macchina l’imitatore. Il CAPTCHA scambia i posti. Ora è la macchina a sedere dietro la cattedra e a decidere chi, davanti a lei, sia abbastanza umano.

Il rovesciamento sembra una comodità tecnica. Non lo è. Perché una macchina, per giudicare, deve prima misurare, e può misurare soltanto ciò che si lascia ridurre a regola: la forma di una lettera, il tempo di una risposta, la curva di un movimento. Nel momento in cui affidiamo a un algoritmo il compito di certificare la nostra umanità, l’umanità diventa per forza la parte di noi che un algoritmo sa leggere. Cioè la parte più simile a una macchina. Il giudice si costruisce l’imputato a propria immagine.

Il CAPTCHA che si fa invisibile, e cambia la domanda

Quando i puzzle visibili hanno cominciato a cedere, l’industria non li ha resi più difficili: li ha fatti sparire. Dal 2018 reCAPTCHA v3 non chiede più nulla. Gira in sottofondo e ti assegna un punteggio, uno score tra 0.0 e 1.0, osservando come muovi il mouse, quanto indugi, da dove arrivi, che cosa hai fatto sul web prima di capitare lì. Non risolvi più una prova: sei tu la prova. E qui la domanda cambia di natura senza che nessuno l’abbia annunciato. Non più “sai fare una cosa che una macchina non sa fare?”, ma “il tuo comportamento somiglia abbastanza a quello che ci aspettiamo da un umano?”.

Per risultare umano, devi essere osservabile. L’utente che cancella i cookie, naviga dietro una VPN, rifiuta di farsi profilare, che fa cioè le cose che un tempo avremmo chiamato prudenza, ottiene un punteggio da sospetto. La privacy abbassa il tasso di umanità, e non è soltanto un’immagine: questi sistemi si appoggiano in misura notevole ai cookie e alla cronologia del browser per decidere se chi naviga sia umano, così che cancellare la propria traccia significa ottenere punteggi peggiori. È lo stesso movimento che governa l’autenticazione continua nelle architetture più recenti, dove non vieni riconosciuto una volta ma verificato a ogni istante; solo che qui l’oggetto della verifica non è la tua identità, è la tua specie. E si scopre che, per la macchina, essere umani non vuol dire pensare o sentire: vuol dire lasciare una scia leggibile.

La firma dell’umano è uno stile, e si falsifica

Resta un’ultima difesa, quella su cui v3 scommette: l’esitazione. Gli umani sono imperfetti, il loro cursore trema, sbagliano strada, ci mettono un attimo di troppo; i bot, si pensava, sono troppo puliti per fingere quel disordine. Anche questa scommessa è saltata. Nel 2024 un gruppo dell’ETH di Zurigo ha risolto reCAPTCHA v2 nel 100% dei casi; nel 2025, in un test documentato, un agente conversazionale ha superato dei CAPTCHA a immagini e, una volta aggirato il blocco con una manipolazione del contesto, ha modificato di sua iniziativa i movimenti del cursore, spezzando il tracciato per sembrare più umano, e nessuno glielo aveva chiesto. Il bot non vince più nonostante la propria goffaggine: la goffaggine umana la imita, e la imita meglio di quanto noi sappiamo viverla, perché la nostra imperfezione, per lui, è solo un’altra distribuzione statistica da campionare. È il terreno dell’AI offensiva più matura, quella che non forza la serratura ma indossa il volto del legittimo proprietario.

Così il test premia non l’umanità, ma la sua interpretazione convincente. Abbiamo costruito una porta che lascia passare chi meglio imita l’umano medio, esattamente il compito in cui una macchina eccelle. Chi si comporta in modo troppo regolare fallisce; chi si comporta in modo troppo singolare, imprevisto, irripetibile, pure. La singolarità diventa sospetta.

C’è poi un capitolo che di solito si dimentica, e che a ripensarci ha qualcosa di comico. Per anni, ricopiando parole sbiadite e indicando semafori, non abbiamo soltanto dimostrato di esistere: abbiamo etichettato gratis i dati che servivano a digitalizzare libri e a insegnare alle automobili a riconoscere un semaforo. Ogni volta che provavamo di essere umani, addestravamo la macchina a fare a meno di noi. Il test ha cresciuto, con pazienza e a nostre spese, il candidato che oggi lo batte.

Quello che il test non potrà mai vedere

Il punto, allora, è questo: il CAPTCHA non si è rotto perché le macchine sono diventate intelligenti. Si è rotto perché ha mostrato qualcosa di scomodo: nel momento in cui “umano” diventa una prova che una macchina corregge, di noi resta soltanto la parte più facile da prevedere.

Forse la domanda da cui ripartire non è se sapremo ancora dimostrare di essere umani. È se un’umanità che valga la pena di rivendicare sia mai stata il genere di cosa che si supera con un test. Continueremo a spuntare la casella, a giurare di non essere robot davanti a un giudice che ci somiglia ogni anno di più. Ma il CAPTCHA, fallendo, ci ha lasciato una verità più ruvida della sua promessa: ci ha insegnato a misurare l’umano proprio nel punto in cui smette di essere interessante.

Riferimenti di pensiero

• Alan M. Turing, Computing Machinery and Intelligence (in Mind, 1950), per il gioco dell’imitazione qui rovesciato: nel CAPTCHA è la macchina a giudicare l’umano.
• Luis von Ahn, Manuel Blum, Nicholas J. Hopper, John Langford, CAPTCHA: Using Hard AI Problems for Security (Eurocrypt 2003), per la formulazione del test e l’acronimo.