CAPTCHA умирает. Cloudflare, Google и Shopify строят ей замену — и попутно решают, кому доверять в интернете

Cloudflare объявил о разработке открытого протокола PACT — Private Access Control Tokens — стандарта, который должен решить одну из ключевых проблем агентского интернета: как отличить легитимного ИИ-агента с человеком в петле от вредоносного бота. К инициативе уже присоединились Google Chrome, Microsoft Edge, Mozilla Firefox и Shopify.

В чем проблема

Традиционные защитные механизмы интернета — CAPTCHA, принудительные логины, браузерный фингерпринтинг — строились для мира, где за каждым кликом стоит человек. Агентский ИИ ломает эту логику: теперь боты выполняют именно те действия, для которых строился веб, — ищут информацию, оформляют заказы, взаимодействуют с формами. Блокировать все нечеловеческое нельзя: легитимные агенты нужны. Пропускать все — тоже нельзя: вредоносные боты никуда не делись.

Как работает PACT

Протокол строится на системе анонимных токенов доверия. Сайты с «сильным знанием о личности пользователя» — например, аутентифицированные платформы — выпускают анонимные токены. Браузер пользователя предъявляет эти токены другим сайтам как доказательство того, что за агентом стоит реальный человек. Система спроектирована так, чтобы сайты не могли использовать ее для отслеживания или идентификации пользователей.

Иными словами: пользователь авторизован на платформе X, которая выдает ему анонимный токен. Когда его агент взаимодействует с сайтом Y, браузер предъявляет токен — Y видит «здесь человек», не зная, кто именно. Это снимает необходимость в CAPTCHA без жертвы приватностью.

Почему это важно для Shopify

Инженер Shopify Илья Григорик объяснил позицию компании: в коммерции каждая лишняя проверка и задержка превращает покупку в брошенную корзину. Мерчантам нужна защита от автоматизированных злоупотреблений, но покупатели не должны за это расплачиваться трением или инвазивным трекингом. PACT решает именно это противоречие — легитимные покупатели и авторизованные агенты проходят без препятствий, вредоносный трафик блокируется.

Нераскрытый вопрос

У протокола есть принципиальная неопределенность, на которую обращают внимание наблюдатели: Cloudflare говорит о «сайтах с сильным знанием о личности», которые будут выпускать токены, — но не объясняет, кто именно это будет. Сами платформы? Cloudflare? Браузеры? Это важная деталь: если роль эмитента токенов достанется платформам-посредникам и инфраструктурным провайдерам, именно они де-факто будут решать, какие люди, боты и агенты считаются доверенными в интернете. Центр управления доверием смещается с отдельных сайтов на уровень инфраструктуры — со всеми вытекающими вопросами о концентрации контроля.

PACT пока не имеет ни готового продукта, ни объявленных сроков. Это ранний черновик протокола с сильной коалицией за спиной — и потенциально один из самых значимых инфраструктурных сдвигов в архитектуре доверия в интернете со времен SSL.