Twój stos antyfraudowy został zbudowany pod kątem ludzkich przeciwników

Od ostatnich 30 lat CAPTCHA spełniało jedną rolę: sprawić, że maszyna nie przejdzie testu, który człowiek zalicza bez zastanowienia. Ta rola dobiegła końca. Badacze, testujący automatyczne rozwiązania przeciwko obrazkowym wyzwaniom reCAPTCHA v2 Google, zgłosili 100% skuteczność, w porównaniu do około 68%‑71% w wcześniejszych pracach, i nie stwierdzili istotnej różnicy między liczbą wyzwań, które bot musiał rozwiązać, a liczbą, które rozwiązał człowiek.

Jeśli postrzegamy CAPTCHA jako reprezentację całej kategorii kontroli opartej na tym samym założeniu – że pewne zadania są trywialne dla człowieka i trudne dla maszyny, a ich pomyślne wykonanie dowodzi, że jesteś człowiekiem – nadszedł czas, aby ponownie przeanalizować parametry kontroli. Agenci AI cicho wymazały to założenie w rozpoznawaniu obrazów, wypełnianiu formularzy i wieloetapowej nawigacji, a większość zespołów ryzyka nie zaktualizowała jeszcze swojego stosu w odpowiedzi.

Skalibrowane przeciw niewłaściwemu wrogowi

Każda reguła w dojrzałym stosie antyfraudowym była dostrojona pod kątem konkretnego przeciwnika, czy to człowieka podszywającego się pod innego człowieka, czy farmy botów podszywających się pod wielu ludzi jednocześnie. Kontrole prędkości wykrywają kogoś, kto otwiera konta szybciej, niż człowiek mógłby to plausibility zrobić. Reguły ponownego użycia urządzeń wykrywają kogoś, który recyklinguje sprzęt pomiędzy tożsamościami. Obie były oparte na ludzkich ograniczeniach: fizycznym czasie potrzebnym na wypełnienie formularza i praktycznym koszcie zakupu nowych urządzeń.

Te same ograniczenia nie dotyczą agenta AI tak, jak nas, ludzi. Może on wypełnić formularz w czasie, w którym człowiek czyta pierwsze pole, a może być provisionowany, użyty jednorazowo i odrzucony przy koszcie bliskim zeru. Automatyczny ruch stanowi już ponad 53% całego ruchu internetowego, w porównaniu do 51% rok wcześniej, podczas gdy aktywność ludzka spadła do 47% i nadal maleje. Ponad jedna czwarta ataków botów (27%) skierowana jest bezpośrednio do API, omijając interfejs użytkownika i działając z prędkością maszyny, a same usługi finansowe pochłonęły 24% wszystkich ataków botów i 46% incydentów przejęcia kont w 2025 roku. Reguły oparte na ludzkim tempie nigdy nie złapią klasy ruchu, która nie ma w ogóle tempa.

Gdzie pojawiają się pęknięcia

Wczesny instynkt branży polegał na zwalczaniu AI kolejnym AI, traktując model czarnej skrzynki jako srebrny pocisk przeciw czarnej skrzynce przeciwnika. Ten instynkt sam w sobie pogarsza problem. Model fraudowy, który nie potrafi wyjaśnić własnej decyzji, jest prawie niemożliwy do obrony przed regulatorem, klientem czy wewnętrznym audytorem, gdy decyzja zostaje zakwestionowana, i model nieprzezroczysty, wytrenowany do wykrywania nieprzezroczystego zagrożenia, zwiększa nieprzezroczystość zamiast ją rozwiązywać. Obrona tutaj nie jest jedynie filozoficzną uprzejmością; oznacza także możliwość wykazania zarządzania modelem: dokładnie, który model jest aktywny, co zmieniło się w stosunku do poprzedniej wersji, na jakich danych model był trenowany, kto zatwierdził zmianę i dlaczego. System zaprojektowany do automatycznej aktualizacji samego modelu AI nigdy nie został stworzony, aby generować taką ścieżkę dokumentacji.

Kolejną obroną wymaganą do odróżnienia dobrego od psotnego jest warstwowa inteligencja: głębokość sygnału w wystarczającej liczbie niezależnych wymiarów, tak aby sfabrykowana tożsamość, przejęte konto lub „money mule” nie miały już miejsc do ukrycia. Każdy dodatkowy wymiar to osobna szansa na wykrycie niespójności, wspólnej infrastruktury fraudowej lub zachowania, które nie pasuje do osoby w bazie. Żaden pojedynczy sygnał nie musi nieść całej wagi decyzji. Im szerszy kontekst, tym bardziej odizolowana, niejednoznaczna wskazówka staje się czymś, co zespół fraudowy może faktycznie poprzeć.

Ta sama zasada obowiązuje, niezależnie od tego, czy decyzję podejmuje człowiek, czy model. Silnik ryzyka AI nie jest mądrzejszy niż dane, które otrzymuje. Usuń połowę wymiarów, a otrzymasz system rozumujący z całkowitą pewnością na podstawie połowy obrazu, i to samo dotyczy modelu uczenia maszynowego oceniającego transakcję w milisekundy, jak i analityka pracującego nad sprawą ręcznie. Staje się to bardziej prawdziwe, a nie mniej, gdy coraz większa część decyzji przenosi się na systemy agentowe podejmujące decyzję bez udziału człowieka. Głębokość kontekstu nie jest jedynie sposobem na złapanie agenta popełniającego oszustwo. To warunek wstępny, aby ufać decyzji agenta w każdej kwestii.

Dostarcz ten kontekst modelowi, którego rozumowanie pozostaje czytelne, zamiast pojedynczego czarnej skrzynki zgadującej intencję na podstawie jednego sygnału, a decyzja przestaje być jedynie trafna. Staje się ona obronna. To rozróżnienie ma większe znaczenie w walce z agentami AI niż z ludzkimi grupami przestępczymi, ponieważ agent zostawia inny rodzaj śladu. Nie drży, nie waha się ani nie popełnia drobnych błędów, które biometryka behawioralna ma wykrywać. Zostawia natomiast odcisk – w erze poświadczeń, które używa, oraz spójności historii urządzenia, które albo sięga dalej niż bieżąca transakcja, albo nie. Uruchamia w tle ciche narzędzie zdalnego dostępu, podczas gdy czyjeś poświadczenia są wydatkowane. Nic z tego nie wymaga odczytywania twarzy. Wystarczy zdolność odczytania pełnych szczegółów sesji w oparciu o szeroki zestaw sygnałów.

Ludzki sygnał, którego już nie ma

Nigdzie recalibracja nie jest tak pilna jak w weryfikacji tożsamości, gdzie zespoły fraudowe zbudowały całą dyscyplinę wokół wykrywania ludzkich sygnałów, takich jak nienaturalna częstotliwość mrugania, niesynchronizowane ruchy warg czy teksturowany artefakt na zdjęciu. Narzędzia deepfake zamknęły większość tych luk, a przestępcy nie muszą już sami tworzyć takich narzędzi.

Globalna Ocena Zagrożeń Finansowych Interpolu, opublikowana w marcu, wykazała, że oszustwa finansowe wyssąły z globalnej gospodarki ponad 442 miliardy dolarów w 2025 roku, a oszustwa wzbogacone AI są teraz około 4,5‑krotnie bardziej opłacalne niż tradycyjne metody. Raport identyfikuje operacje „deepfake-as-a-service” na rynkach dark web, sprzedające zestawy tożsamości syntetycznych, wraz z awatarami wideo generowanymi przez AI, klonami głosu i danymi biometrycznymi, które pozwalają atakującemu zbudować przekonujący cyfrowy klon zaledwie z 10‑sekundowego nagrania audio pobranego z posta w mediach społecznościowych.

Niezawodnym sygnałem nigdy nie był dokument tożsamości. To ciągłość: cyfrowa przeszłość prawdziwej tożsamości gromadzona jest latami zwykłej aktywności konta i wzorców zachowań, czego syntetyczna tożsamość lub agent ją reprezentujący nie mają czasu zbudować. System szukający wyłącznie sfabrykowanego dokumentu tożsamości będzie ciągle zawodził. System szukający brakującej historii ma trudniejszy cel do podrobienia.

Przebudowa pod innego przeciwnika

To nie jest wezwanie do paniki, ani argument, że oszustwa ludzkie zniknęły. Nie zniknęły. To argument, że stos całkowicie dostrojony do ludzkich ograniczeń, tempa i sygnałów ma strukturalną ślepotę dokładnie tam, gdzie działają agenci AI, i ta ślepa plamka nie zamknie się sama. Każda z tych kontroli, testowana samodzielnie, może nadal wyjść czysta. Dopiero gdy te kontrole są analizowane razem, w wystarczającej liczbie niezależnych wymiarów, wzorzec, którego pojedyncza kontrola nie była w stanie wykryć, staje się widoczny.

Systemy AI o charakterze agentic mogą teraz autonomicznie planować i realizować pełną kampanię oszustwa, od rozpoznania po żądanie okupu, w dużej mierze bez udziału człowieka w pętli. Rozwiązanie nie jest kolejną regułą przytwieraną do starego stosu. To odbudowana podstawa. Test nie polega już na tym, czy coś wygląda jak ludzki oszust – chodzi o to, czy kiedykolwiek za tym stał prawdziwy człowiek.