近日，Google正在测试一项用于强化 reCAPTCHA 验证的新功能——“手势验证”（Hand Gesture Verification，简称 HGV），通过采集用户手部视频来判断其是否为真人，但该功能在隐私和安全层面都迅速引发争议。
根据Google在官方文档中的说明，HGV 要求网站访客授权设备摄像头访问权限，以录制“一段或多段”手部视频片段。在验证过程中，用户需要对着摄像头挥手或做出指定手势，系统会从中提取关键生物特征，用于判断操作者是否为人类而非自动化脚本或机器人。
Google认为这种基于生物特征的识别方式可以提升 reCAPTCHA 的安全性，但实际测试结果表明，HGV 并未达到预期效果。有安全研究者和普通用户已经成功利用库存图片和虚拟摄像头功能绕过该系统：攻击者只需准备一张“挥手”或对应动作的手部照片，通过 OBS Studio 等软件的虚拟摄像头输出即可完成验证，而无需真实摄像头和真人配合。
随着机器学习和自动化技术的进步，现有的验证码系统已经频频被 AI 机器人“攻破”，多项研究显示复杂流量灯识别等传统图形验证码在多数情况下可以被自动化工具解决。HGV 的早期失效案例进一步凸显：即便引入生物识别，若交互流程和信道本身缺乏防伪设计，同样可能被虚拟摄像头、库存图片以及简单脚本批量绕过。
除技术有效性之外，隐私问题也成为争议焦点。批评者指出，这类基于摄像头和生物特征的验证方案，会在无形中“正常化”对用户的持续背景监控，让用户为了访问普通网站而向大型科技公司开放更加敏感的摄像头数据。在当前对隐私愈发敏感的环境下，要求用户频繁提供实时图像或视频，很可能被视为过度数据收集行为。
针对外界质疑，Google表示 HGV 在录制视频时只用于识别手势，不会采集或处理音频内容，且视频在验证完成后会被“尽快删除”。官方说明还强调，这些视频“不会”与用户身份直接关联。不过，部分安全和隐私专家认为，这种承诺难以消除疑虑——一方面，普通用户无法验证后端系统的实际数据保留策略；另一方面，大型平台的云基础设施往往具有冗余备份和灾难恢复机制，实际数据生命周期可能远比前端界面显示的要复杂。
这一担忧并非空穴来风。此前在一起备受关注的案件中，Google旗下 Nest 摄像头的“已删除”视频被重新在云端系统中找回，用于协助调查高风险绑架事件。这一案例被视为证明：即便前端界面显示内容已删除，后端系统仍可能在特定条件下保留相应数据副本。批评者据此怀疑，类似 HGV 录制的视频数据是否也会在某些场景下被保留或用于训练包括 Gemini 在内的各类模型，从而放大潜在隐私风险。
随着自动化流量和恶意机器人活动不断增长，验证码技术的演进显然仍是各大平台面临的重要课题。但从 HGV 的早期表现来看，仅靠引入摄像头和生物识别并不能保证更高的安全性，反而可能在技术尚未成熟时提前将用户暴露在更大的隐私风险之下。在包括 Cloudflare、浏览器厂商等业界参与者积极探索“去验证码化”方案以减少用户摩擦的同时，如何在安全性、防滥用和隐私保护之间取得平衡，正在成为整个行业必须直面的问题。