IT之家 6 月 30 日消息，谷歌个关过科技媒体 Neowin 于昨日（6 月 29 日）发布博文指出，测试测谷歌正在扩大 reCAPTCHA 的抓取证实手势验证范围，要求用户通过摄像头完成挥手或张开手掌等动作以证明身份。节人机验然而，用静实测发现该机制存在漏洞，态图攻击者可通过静态图片成功绕过验证。片绕

此前，谷歌个关过IT之家曾于 6 月 18 日报道，测试测谷歌正在测试全新的抓取证实 reCAPTCHA 人机验证系统，该系统要求用户面对电脑摄像头执行挥手或张开手掌等简单动作。节人机验

谷歌在 6 月 19 日更新的用静官方支持文档中详细说明了这一机制：当触发手势验证时，浏览器将请求摄像头权限。态图系统会引导用户完成特定手势，片绕并利用 AI 技术提取 21 个手部关节坐标以完成验证流程：

启用手势功能后，谷歌个关过reCAPTCHA 会收集以下数据：Google 会分析用户在执行各种操作或手势时的一段或多段手部视频。系统会处理视频以提取手部地标数据，其中包括 21 个指关节坐标。视频绝不会与用户的身份相关联，并且会在验证流程结束后删除。系统绝不会录制音频。

图源：谷歌

在隐私保护方面，谷歌明确表示：

验证流程结束后，Google 不会保留用户手势的任何图片或视频，也不会将这些数据用于任何其他目的。挑战完成后，视频或图片会自动删除。

尽管谷歌强调数据隐私，但安全性方面却遭遇挑战。据网友 @Patrosi73 反馈，该手势验证可通过静态素材图片绕过。具体操作为：将手部素材图片输入 OBS Virtual Camera（OBS 虚拟摄像头），即可成功通过挑战。

Neowin 作者随后复现了这一漏洞。在测试过程中，作者多次尝试并更换了不同的素材图片，最终通过在 OBS 中调整一张通用挥手人物图片的位置，成功诱导谷歌系统将其识别为有效手势。