Google reCAPTCHA Hand Gesture Verification обойдена статичным изображением

Команда RTF Labs Studio обнаружила критическую уязвимость в новой биометрической системе Google — reCAPTCHA Hand Gesture Verification. Капча требует включить веб-камеру и выполнить жест (кулак, лайк, взмах), однако полностью обходится трансляцией обычного статичного файла через виртуальную камеру.


Несмотря на заявленный liveness detection и AI-трекинг анатомии руки, система не отличает живой видеопоток от "мёртвого" кадра.


Метод обхода:

1. Виртуальная камера инициализируется через pyvirtualcam
2. Статичный JPG/PNG с нужным жестом считывается через OpenCV
3. Кадр транслируется в бесконечном цикле с фиксированным FPS

Нейросеть Google сканирует неподвижное изображение, распознаёт жест и возвращает статус PASSED. Проверок на микротремор, текстуру кожи или динамику движения нет.


Видео-демонстрация:

"It was easier to bypass than a text CAPTCHA" — RTF Labs Studio