驗證碼騙局？你證明自己不是機器，卻成了AI的免費老師！

Google 拿到 reCAPTCHA 之后，事情開始轉向。

這些標注數據去了哪里？最顯而易見的方向是 Google Maps。它今天能自動識別路標、讀取門牌號、理解城市地理結構，背后依賴的計算機視覺能力，有一部分基礎就來自 reCAPTCHA 用戶年復一年的標注積累。

更受爭議的方向是 Waymo。Waymo 的前身是 Google 在 2009 年啟動的自動駕駛項目，2016 年獨立為 Alphabet 旗下子公司。一輛自動駕駛汽車要安全運行，必須以接近完美的準確率識別交通燈、人行橫道、行人、停車標志等成千上萬種視覺模式。

Google 從未正式確認 reCAPTCHA 數據直接進入了 Waymo 的訓練流程。這一點需要說清楚。不過從外部來看，質疑并非沒有道理。reCAPTCHA v2 讓用戶標注的物體類別，與自動駕駛感知系統需要識別的物體類別高度重合。而 Google/Alphabet 同時擁有 reCAPTCHA 和 Waymo，內部數據管線是否有交叉使用，外界無從審計。

Waymo 如今的體量讓這個問題變得更加敏感。截至 2026 年 2 月，Waymo 已完成超過 2,000 萬次付費載客，自主駕駛里程超過 2 億英里。僅 2025 年一年，它的年度載客量就增長了兩倍，達到 1,500 萬次。

2026 年 2 月，Waymo 完成了一輪 160 億美元的融資，估值達到約 1,260 億美元，超過了大多數全球主流車企。它計劃在 2026 年進入包括倫敦和東京在內的 20 多個新城市。從一個 Google 內部的研究項目，到一家估值千億美元的獨立公司，Waymo 走了不過十多年。

職業數據標注是一個相當昂貴的行業。Scale AI、Appen、Labelbox 等公司雇傭了大量工人來完成圖像標注工作，每小時的報酬從幾美元到幾十美元不等。Google 通過 reCAPTCHA 做到了同樣的事，只是標注者不是被雇傭的工人，而是想登錄自己銀行賬戶的普通人。

沒有報酬，沒有合同，甚至不需要征得同意。reCAPTCHA 的服務條款當然存在，但絕大多數用戶既沒有閱讀過，也無法選擇拒絕，因為它不是 Google 的產品頁面上的可選項，而是橫亙在你和你想訪問的任何網站之間的一道必經關卡。

2018 年，Google 推出了 reCAPTCHA v3。這一版本不再給用戶展示任何驗證挑戰。它在后臺默默運行，通過監測你的鼠標軌跡、滾動模式、懸停時長和瀏覽器環境來判斷你是不是人類。

UC Irvine 的研究發現，reCAPTCHA 廣泛監控用戶的 Cookie、瀏覽歷史和瀏覽器環境信息，包括畫布渲染、屏幕分辨率、鼠標移動和用戶代理數據，所有這些都可以被用于廣告和追蹤。Google 堅稱這些數據不會被用于個性化廣告。但 2020 年，Cloudflare 出于隱私擔憂從 reCAPTCHA 切換到了競爭對手 hCaptcha，也說明業界并非所有人都對 Google 的說法買賬。

更有意思的是，UC Irvine 的研究發現，早在 2016 年就有研究者能以 70% 的準確率擊敗 reCAPTCHA v2 的圖像驗證，而 v2 的復選框驗證更是可以被 100% 破解。

換句話說，reCAPTCHA 作為安全工具的有效性在持續下降，但它作為數據采集和用戶追蹤工具的功能卻一直在運轉。研究者的結論相當犀利：reCAPTCHA 本質上是一個偽裝成安全服務的免費圖像標注勞動力來源和追蹤 Cookie 農場。

需要指出的是，這個結論不代表學術界的共識。也有人認為，reCAPTCHA 確實在防御層面提供了一定價值，至少增加了機器人的攻擊成本，不應該完全否定它的安全功能。Google 自身的立場也一直是，reCAPTCHA 首先是一個安全產品。

但爭論的核心不在于 reCAPTCHA 有沒有安全價值。核心問題是：當一個安全工具同時也是數據采集工具時，用戶是否應該被告知？是否應該有選擇權？

Luis von Ahn 最初發明 reCAPTCHA 的想法其實很漂亮：既然人們已經在做驗證了，為什么不順便把這些認知勞動用在有益的事情上？幫助數字化全世界的書籍，這是一個能讓人心生敬意的目標。但從 Google 收購 reCAPTCHA 之后的演變來看，“有益”的定義被悄悄替換了。數字化公共圖書館的藏書是公益，訓練價值千億美元的商業產品則是另一回事。

奧地利的聯邦法院已經裁定 reCAPTCHA 違反了 GDPR，因為它在未經充分知情同意的情況下向 Google 傳輸用戶數據。歐洲的監管壓力在上升，但在全球范圍內，reCAPTCHA 仍然部署在數百萬個網站上，每天默默地運行著。