Google expérimente une nouvelle vérification reCAPTCHA qui demande à l’utilisateur d’activer sa caméra et d’effectuer un geste de la main pour prouver qu’il est un humain et non un robot. L’idée vise à freiner les bots, mais le test a déjà été contourné en quelques jours avec une simple photo, ce qui relance d’emblée les doutes sur sa robustesse et sur son coût en matière de vie privée.
Vous êtes un humain ? Agitez votre main
Le dispositif repose sur la reconnaissance des mouvements de la main à partir de 21 points de repère correspondant aux doigts et aux articulations. L’utilisateur doit effectuer un geste simple, comme agiter la main ou présenter une paume ouverte, pendant qu’un module dérivé de MediaPipe analyse la séquence. Google présente cette approche comme une réponse aux scénarios où les défis traditionnels ne suffisent plus, notamment contre la création automatisée de comptes.
Le problème est apparu presque immédiatement. Des testeurs ont réussi à tromper le système avec une image fixe affichée via la caméra virtuelle d’OBS, sans recourir à l’intelligence artificielle ni à une vidéo en direct. Dans ces conditions, la promesse sécuritaire du geste s’effondre rapidement, alors même que la procédure ajoute une friction supplémentaire pour l’utilisateur.
Google précise que le test n’utilise pas l’audio et que la vidéo est supprimée après la vérification. La collecte entre toutefois dans le cadre de sa politique de confidentialité, ce qui suffit à soulever des questions sur l’usage de données proches de la biométrie. L’expérimentation ouvre donc un double front de critique : une efficacité contestable face aux attaquants et une sensibilité accrue sur la protection des données.
Les CAPTCHA classiques arrivent à saturation
Cette tentative intervient dans un contexte où les systèmes anti-bot classiques perdent du terrain. Les robots représentent désormais 58 % des requêtes HTTP mondiales, un seuil atteint plus tôt que ce que Cloudflare anticipait encore pour 2027. Les anciens CAPTCHA sont eux aussi de plus en plus vulnérables : en 2024, des modèles de détection d’objets ont obtenu 100 % de réussite contre reCAPTCHAv2, et en 2025 un agent d’OpenAI a franchi un test de Cloudflare en décrivant chaque étape à voix haute.
Dans ce climat, le test où de Google où il faut montrer sa main ressemble à une transition incertaine. Il déplace le contrôle de l’image vers le geste, sans régler le problème de fond : une machine peut aujourd’hui simuler ou contourner la plupart des preuves visuelles avec une rapidité croissante. Le résultat est un système plus intrusif, sans garantie de résistance supérieure.
Pendant que Google expérimente cette voie, l’industrie travaille déjà sur un changement plus profond. Cloudflare, Google, Mozilla et Microsoft poussent un nouveau standard cryptographique baptisé Private Access Control Tokens (PACT). L’objectif est de remplacer les CAPTCHA par une preuve de légitimité émise de manière plus discrète, sans imposer de test visuel ou gestuel à l’utilisateur.
Cette approche cherche à sortir du cycle infernal où chaque nouveau défi finit rapidement battu par les bots. Si PACT aboutit, la vérification humaine pourrait devenir plus simple, plus respectueuse de la vie privée et mieux adaptée à un Web où l’automatisation malveillante dépasse déjà la moitié du trafic. Le test de la main par Google montre surtout une chose : la bataille contre les bots ne se gagnera plus avec un simple obstacle supplémentaire à l’écran.
