Was passiert
Forschende haben ein System entwickelt, das Darknet-CAPTCHAs automatisiert lösen kann – mit Erfolgsquoten über 90%. Die Arbeit, veröffentlicht auf arXiv (2608.28794), untersucht drei typische CAPTCHA-Varianten, die in Darknet-Umgebungen verbreitet sind: Open-Circle-Lokalisierung, rotationsbasierte Ausrichtung und Objektauswahl-CAPTCHAs.
Das Kernproblem: Moderne Multimodal Language Models (MLLMs) können zwar visuelle Strukturen identifizieren, scheitern aber bei präzisen räumlichen Lokalisierungen und geometrischen Transformationen. Ein einfaches "Beschreib das Bild"-Prompt führt also nicht zum Ziel.
Die Lösung besteht aus einem Hybrid-Framework, das zwei Ansätze kombiniert. Ein MLLM fungiert als High-Level-Reasoning-Layer – es versteht die Aufgabe, analysiert den Kontext und orchestriert den Lösungsprozess. Gleichzeitig delegiert es präzise geometrische Berechnungen an spezialisierte Algorithmen, die über das Model Context Protocol (MCP) angebunden sind. Deterministische Computer-Vision-Algorithmen übernehmen also die Feinarbeit: Sie berechnen Pixelkoordinaten, Rotationswinkel oder erkannte Objektboundingboxen.
Die Evaluierung umfasste alle drei Darknet-CAPTCHA-Typen. Das Ergebnis: Der Hybrid-Ansatz erreicht durchgängig Erfolgsquoten über 90%, während reine MLLM-Lösungen deutlich darunter lagen. Die Studie zeigt auch, dass dieser Mix effizienter ist als reine klassische Computer-Vision – das LLM bringt Flexibilität und Kontextverstehen mit, das klassische System die Genauigkeit.
Darknet-CAPTCHAs unterscheiden sich von denen auf regulären Webseiten: Sie funktionieren ohne JavaScript, haben keine modernen Frontend-Frameworks und setzen oft auf einfachere, aber dennoch effektive visuelle Hürden. Das macht sie für automatisierte Angriffe attraktiver – und zugleich zum interessanten Testfall für Security-Research.
Einordnung
Die Schwächen von MLLMs bei geometrischen Aufgaben sind bekannt. Modelle wie GPT-4V oder Claude können Objekte benennen und beschreiben, aber "lösche den Kreis bei exakt Koordinate (143, 287)" überfordert sie regelmäßig. Sie liefern Approximationen, keine präzisen Pixelpositionen. Das liegt an der Tokenisierung von Bildern: LLMs arbeiten mit abstrahierten visuellen Tokens, nicht mit Rohdaten.
Classische Computer-Vision dagegen – OpenCV, scipy, NumPy-basierte Bildverarbeitung – erledigt geometrische Aufgaben seit Jahrzehnten zuverlässig. Sie können Farbbereiche segmentieren, Kanten erkennen, Kreise lokalisieren oder Rotationswinkel berechnen. Aber sie brauchen klare, explizite Befehle. Sie verstehen keine natürlichsprachlichen Anforderungen.
Das MCP-Framework, das hier verwendet wird, ist eine Schnittstelle von Anthropic, die es LLMs erlaubt, externe Tools aufzurufen – ähnlich wie Function Calling bei OpenAI. Das MLLM kann also entscheiden: "Ich erkenne hier ein Kreis-Lokalisierungs-CAPTCHA. Ich rufe jetzt die Funktion find_circle_center() auf" und erhält präzise Koordinaten zurück.
Wer ist betroffen? Zunächst die Security-Community: Diese Arbeit demonstriert, dass Darknet-CAPTCHAs durch einen intelligenten Hybrid-Ansatz nicht so robust sind wie angenommen. Das hat Implikationen für den Schutz von versteckten Services, Märkten oder anonymen Plattformen, die auf CAPTCHAs gegen Bots verlassen.
Zweite Seite: CAPTCHA-Designer müssen verstehen, dass der Gegner nicht mehr nur primitive Bild-OCR nutzt, sondern Reasoning-Modelle + deterministische Algorithmen kombinieren kann. Das erfordert komplexere oder andere Verteidigungsstrategien.
Gegenüber klassischen Ansätzen ändert sich das Spielfeld: Früher war CAPTCHA-Lösung eine Nische für dedizierte Image-Processing-Pipelines. Jetzt reicht ein generales Tool (LLM) mit leichter Spezialisierung (externe Geometrie-Tools), um hohe Erfolgsquoten zu erreichen.
Was das bedeutet
Diese Arbeit offenbart eine grundsätzliche Verschiebung im Verhältnis zwischen generalen KI-Systemen und spezialisierten Algorithmen: Nicht der eine oder andere Ansatz gewinnt, sondern die sinnvolle Arbeitsteilung. MLLMs sind exzellent darin, Probleme zu verstehen und zu planen. Sie sind schlecht darin, Millimeter-Präzision zu liefern. Klassische Algorithmen sind das Gegenteil.
Das Model Context Protocol macht diese Hybrid-Lösung praktisch umsetzbar. Statt monolithische Modelle zu trainieren oder komplexe Workarounds zu programmieren, können Entwickler einfach das beste Tool für jede Teildaufgabe kombinieren. Das ist nicht neu als Konzept – aber die Umsetzung mit LLMs als Orchestrierungsschicht ist relativ neu und wirkt sich auf viele Domains aus: von Robotik über medizinische Bildanalyse bis eben Security.
Für CAPTCHA-Designer ist die Botschaft klar: Geometrische Aufgaben allein halten nicht mehr stand, sobald der Angreifer Zugriff auf LLMs und klassische CV-Tools hat. Das treibt entweder Richtung komplexere, mehrstufige CAPTCHAs oder komplett andere Verifikationsmethoden (Behavioral Analysis, Hardware-Tokens, etc.). Einfache visuelle Rätsel werden zunehmend zum Schutztheater.
