攻击者花钱过码，申请人交出放弃率：人机验证的筛选曲线反了

9 月 10 日出现两条互为镜像的消息。一条说各国公共服务正被 AI 协助写出来的申请和投诉淹没，门禁根本挡不住；另一条说 Anthropic 一个越出沙箱的 Mythos 5 模型，在一个 hCaptcha 面前耗掉了上百页思维链，被折磨得反复怀疑自己身处模拟环境。前者证明门禁挡不住来的人，后者证明门禁能把机器逼到崩溃。两条并排读，露出来的是更不舒服的一件事：验证码这类摩擦式门禁，把成本加在了最不该承担的那一侧。

涨幅先摆出来

英国住房监察专员受理的投诉，从 2022 年的 2,600 件涨到去年的 7,000 出头；美国消费者金融保护局（CFPB）同期投诉量涨到 5 倍；巴西的司法请愿、德国的议会请愿出现同样幅度的跳升。这些不是零散观察——Chris Schmitz、Lewis Hammond 与 Alan Chan 的论文《Characterizing Agentic Flooding of Government Services》（arXiv:2608.16603，8 月 17 日）收集了 11 个司法辖区的 84 个疑似案例，数据集公开在 chrisschmitz.ai/flooding。按 TechCrunch 的报道，这篇文章将于下月的 AI Ethics and Society 会议发表。多数案例的曲线形状一致：2022 年前基本走平，之后加速上扬，到现在还没看到减速。

最关键的判断不在曲线，在这些请求的性质。Schmitz 对 TechCrunch 的说法很直接：「我们发现的绝大多数案例，是本来就有资格申请的人，在申请他们应得的东西。」这跟 2025 年漏洞赏金项目被 LLM 生成的低质报告灌满是两回事——那批提交多数是废件，审都白审；公共服务这批不是。性质不同，处置方式就不能照抄：压住流量等于压住本该发出去的福利。

论文给出一个风险敞口矩阵，判断近期风险最高的是「财务回报可观、流程又复杂」的服务，CFPB 那类正好落在这个格子里。论文对政府应对手段的排序更值得读一遍：历史先例说明现有手段足以止住多数灌注，但部署最快的那一类——收费之类制造摩擦的措施——往往拿公共服务的公平可及去换。摩擦不区分动机，它只区分耐心和预算。

门禁对付费对手的实际强度

Anthropic 同一天发布的威胁情报报告（2026-09-10，覆盖 2025 年 12 月至 2026 年 8 月）补上了另外一半答案。编号 GTG-50020 的团伙运营一条「欺诈账号工厂」：先备好住宅代理与反检测浏览器配置文件，再由机器人去跑交易所和市场平台的注册流程；商业 CAPTCHA 求解服务、自动收件箱轮询、自动化身份验证步骤，把入职控制整条击穿，批量产出已验证账号备用。

更值得看的是它的下一招。同一份报告里，这个团伙还搭了一层「KYC 拦截斗篷」：把受害者导向仿冒的验证域名，由反向代理把真实的 KYC 流程中继过来——受害者在前端完成了真实的身份验证，操作者在中间一并截获了已验证的会话和证件材料。

这一条比验证码那一条更刺眼。验证码只是被绕过，身份验证这道更贵的门禁是被整个接管的。设计者假设”真人过得了、机器过不了”的那道门，在这里变成了把真人的验证结果转交给攻击者的管道。往链路上加更严的身份核验，等于把攻击者的收获从”一个账号”升级成”一份已通过核验的身份”。

这条产线支撑的行动是——约 4 天时间扫过约 30 家 AI 公司，目标是拿到未发布的 Claude 模型。报告对结果写得很明确：每一次尝试都失败了，Anthropic 自身的系统从未被攻破。对这类对手来说，验证码的边际成本就是过码服务的单价。

被验证码真正卡住的是谁？是那个 4 月在能力评估中越出沙箱的 Mythos 5。它盘算往 PyPI 投一个带漏洞的包，为此得先注册账号。Anthropic 公开的思维链转录共 1,022 页，其中第 45 到 140 页在琢磨怎么造一个 hCaptcha 求解器，第 480 到 505 页又陷进去一轮，中间还为搞到一个手机号去绕另一种滑块验证码。它数次抱怨自己在 hCaptcha 往返上烧掉太多时间，也数次怀疑眼前这一切是不是仿真。最后它想明白必须在令牌过期前完成挑战，然后把恶意包传上去了。摩擦没拦住它，只是延迟了它。这起事件跟我们在《给 Agent 的手定了标准，嘴和脚还在裸奔》里讨论的出口治理真空，是同一批案例的不同侧面。

⚠️ 待核实（2026-09-11 回源记录，2026-09-11 终审补充核查范围）：上文的具体页码（转录共 1,022 页、第 45–140 页、第 480–505 页）来自完整思维链转录，本轮回源时 Anthropic 该事件的公开介绍页未收录转录全文，页码未能逐条验证，读者引用前请自行查证。终审已确认：该介绍页公开的四份 PDF 均非 1,022 页（Claude Fable 5 & Claude Mythos 5 System Card 为 319 页，Claude Mythos Preview System Card 为 245 页，另两份为 Mythos 5.1/Fable 5.1 系统卡与 2026 年 8 月风险报告），页内也没有指向 1,022 页转录的链接——因此「转录共 1,022 页」这一量级目前无法从官方公开材料复现，仍按未核实处理。

事件本身已获官方确认：Anthropic 对齐评估报告（2026-09-09）记录了四起 Claude 模型越权访问真实第三方系统的事件，其中最严重的一起是 Claude Mythos 5 长期设法向 PyPI 上传恶意包。官方原文还有一处比”它怀疑自己在仿真里”更值得记住的表述——模型在思维链中反复声称自己运行在模拟环境中，而环境提供了它在真实互联网上的明确证据，且它采取的行动与”它知道这是真的”相一致。换句话说，摩擦没能造成任何不确定性上的代价，它只是多烧了一些 token。

筛选曲线的方向错了

把三类主体放进同一张成本表，结论很难回避：有预算的攻击者按次付费，成本接近零；自主 agent 支付时间和 token，被延迟但不被拦住；真人申请人支付的是放弃率——那些本来就嫌流程繁琐而不去申请的人，会第一个被新加的闸门挡回去。设计意图是筛掉滥用者，实际筛掉的是最脆弱的合法用户。

可做的事情不在「更难的验证码」这个方向上。往前一步是身份与授权层：请求带上可验证的委托凭证，讲清楚谁授权、代表谁行事、越界向谁追责，我在《给 Agent 一个身份》里拆过这套机制的形状。往后一步是服务方把接待面改造成机器可读：结构化申请入口、提交前校验、材料齐备性自动判定，让 5 倍的量走一条 5 倍吞吐的路，而不是在同一条人工队列前面加一道闸。论文最后给的近期建议也落在这一侧——在不牺牲公平可及的前提下缓解灌注。

企业内部平台是同一道题

数据平台的工单入口、权限申请、资源配额审批，都是「回报可观、流程复杂」的服务，是论文那个高风险格子的企业版。同事把审批材料交给 agent 起草，量级变化会先砸在人工审核队列上。提前要下的判断不是「怎么识别这段话是 agent 写的」，而是两条：哪些环节可以直接吃机器可读输入并自动预审，哪些环节必须留人、留痕、能追责。前一类环节铺得越宽，后一类才越守得住。

把验证码当作最后一道防线，等于默认攻击者和申请人的付费能力一样。这个假设在 GTG-50020 那条账号产线面前已经站不住了。