El CAPTCHA de gestos de mano de Google cae ante una foto de archivo

El nuevo experimento reCAPTCHA de Google se suponía que complicaría la vida a los bots pidiendo a la gente que saludara a su webcam o mostrara la palma abierta. En cambio, el CAPTCHA de gestos de mano de Google fue vencido con una foto de archivo y un truco de cámara virtual, que es una manera bastante embarazosa para que una prueba de seguridad empiece su corta carrera.

La función, llamada Hand Gesture Verification, se introdujo a mediados de junio como una alternativa basada en cámara a los habituales semáforos y textos borrosos. Google dice que el breve clip es analizado por IA, que la grabación no se guarda y que se elimina inmediatamente después de la verificación. Ese argumento suena moderno y respetuoso con la privacidad, pero también presupone que el sistema puede distinguir entre una mano real y una imagen plana que pretende ser una.

Cómo funciona el CAPTCHA de gestos de mano de Google

En lugar de hacer clic en cuadros, a los usuarios se les pide que concedan acceso a la cámara y realicen el gesto que aparece en pantalla. La idea es simple: facilitar el desafío para los humanos y hacerlo más difícil para la automatización. Esa es la misma dirección general que la industria ha tomado durante años, porque los CAPTCHA clásicos se han vuelto cada vez más fáciles para los bots y cada vez más molestos para las personas.

Pero cualquier sistema que dependa de la entrada de la webcam ahora tiene que lidiar con software que puede falsificar esa entrada. Esa es la parte que Google parece haber subestimado, o al menos no ha cerrado lo bastante.

Recomendado

El fundador de Hinge, Justin McLeod, prepara Overtone, emparejador con IA

Bastó una imagen de archivo

Un usuario en X mostró el desafío siendo alimentado con una imagen de archivo de una persona con la mano levantada a través de OBS Virtual Camera, una herramienta que puede presentar cualquier imagen o vídeo como una cámara en directo. En el segundo intento, el sitio lo dejó pasar. Un periodista de Neowin reprodujo la prueba también, necesitando varios intentos y algunas fotos de archivo diferentes, además de cierto reposicionamiento en el encuadre, antes de que Google aceptara la imagen fija como un gesto en vivo.

Esa es la conclusión incómoda: la primera prueba ampliamente comentada del CAPTCHA de nueva generación de Google parece ser vulnerable al truco más antiguo del manual de seguridad informática, a saber, “muestra al sistema exactamente lo que quiere ver”. Si una foto estática puede pasar después de un poco de ajustes, los atacantes no necesitan afilar mucho sus herramientas.

Qué significa esto para los CAPTCHA en 2026

Google no está sola en el intento de alejarse de las rejillas de imágenes y los rompecabezas de texto. El cambio más amplio apunta a comprobaciones de comportamiento, señales del dispositivo y desafíos visuales de corta duración, porque las formas antiguas son fáciles de subcontratar a humanos o resolver con automatización. El problema es que cuanto más humano parece el control, más empieza a depender de supuestos frágiles sobre cámaras, iluminación y el software que haya entre el navegador y el hardware.

De momento, la lección es tajante: un CAPTCHA diseñado para detectar un gesto de mano todavía necesita saber qué es realmente un gesto de mano. Google podría endurecer las reglas antes de que la prueba se difunda más, pero si esta es la primera demostración pública, a los operadores de bots ya se les ha dado una hoja de ruta. El siguiente movimiento probablemente será alguna mezcla de detección de vivacidad más estricta y comprobaciones del dispositivo más agresivas, porque una mano que saluda que resulta ser un JPEG no constituye una gran barrera.