Los CAPTCHAs se diseñaron como una prueba que las personas superan y los ordenadores no. Veinte años después, esa descripción es difícil de defender. Investigaciones publicadas muestran que los sistemas automatizados igualan o superan a las personas en la mayoría de los tipos de CAPTCHA, mientras que las personas siguen dedicando segundos, a veces casi un minuto entero, a cada desafío.
Entonces, ¿los CAPTCHAs siguen deteniendo a los bots? La investigación apunta a una respuesta más precisa: rara vez detienen a un operador decidido, pero añaden coste y fricción, tanto a los atacantes como a los usuarios legítimos. Este estudio reúne las mediciones detrás de esa respuesta: cuánto tardan los humanos en resolver los CAPTCHAs, con qué frecuencia los resuelven las máquinas, qué logran hoy los agentes de IA, y cómo la defensa ha pasado de los rompecabezas a la puntuación de riesgo.
Cada cifra que aparece a continuación procede del texto o las tablas originales del estudio correspondiente. Varios resultados recientes son preprints, que señalamos como tales. Esto es un resumen de investigación publicada, no una guía para resolver CAPTCHAs.
Conclusiones clave
- Los humanos pagan en segundos. En el mayor estudio de laboratorio reciente, los tiempos medios de resolución oscilaron entre 3,6 y 42,7 segundos por CAPTCHA, según el tipo. En un despliegue en producción, los desafíos de imágenes tardaron a las personas 10,3 segundos de media, frente a 1,85 segundos para una casilla de verificación.
- Las máquinas igualan o superan a los humanos en precisión. El mismo estudio de laboratorio comparó sus resultados humanos con resultados de bots de investigaciones anteriores y concluyó que “los bots pueden superar a los humanos, tanto en tiempo de resolución como en precisión, en todos estos tipos de CAPTCHA”.
- Los agentes de IA de propósito general todavía se quedan cortos, los solucionadores diseñados a medida no. En un benchmark de 2025, el mejor agente general resolvió el 40% de los CAPTCHAs interactivos, frente al 93,3% de los humanos. Los sistemas diseñados para familias específicas de CAPTCHA presentan resultados cercanos o superiores al nivel humano.
- El mecanismo real es el coste. Ya en 2010, los investigadores concluyeron que un CAPTCHA “reduce el beneficio esperado de un atacante en la cuantía del coste de resolver el CAPTCHA”, en lugar de impedir el acceso automatizado.
- Las defensas se han trasladado a un segundo plano. Los principales proveedores ahora puntúan las solicitudes sin mostrar un rompecabezas, y solo muestran un desafío cuando la puntuación es dudosa.
Lo que cuestan los CAPTCHAs a los humanos
La medición más detallada de los CAPTCHAs modernos es un estudio de 2023 de USENIX Security realizado por Searles y colegas. En él, 1.400 participantes resolvieron 14.000 CAPTCHAs de diez tipos distintos.
| Tipo de CAPTCHA | Tiempo de resolución humano (segundos) |
|---|---|
| Casilla de verificación (clic) | 3,1 a 4,9 |
| Texto distorsionado | 9 a 15,3 |
| Selección de imágenes (reCAPTCHA) | 15 a 26 |
| Selección de imágenes (hCaptcha) | 18 a 32 |
| Basado en juego | 18 a 42 |
| Rompecabezas deslizante | 28 a 30 |
Fuente: Searles et al. (2023), Tabla 3. Los rangos cubren los distintos escenarios del estudio.
La precisión humana estuvo lejos de ser perfecta: alrededor del 81% en los desafíos de imágenes, y entre el 50% y el 85% en los tipos donde se pudo medir la precisión. Presentar el CAPTCHA como parte de un proceso de registro de cuenta, en lugar de como una tarea independiente, hizo que las personas fueran más lentas, un 26,7% de media entre los tipos.
Las personas también abandonan. En un estudio de seguimiento dentro del mismo artículo, el 30% de los participantes abandonó antes de terminar, y quienes vieron los CAPTCHAs como parte de un registro de cuenta tuvieron un 120% más de probabilidades de abandonar. Se trataba de participantes de estudio remunerados, por lo que las cifras describen abandono de tareas y no ventas perdidas, pero la tendencia es clara.
Un estudio de 2025 de Searles, Prapty y Tsudik midió lo mismo en producción. A lo largo de 13 meses, más de 3.600 usuarios reales de un servicio de cuentas universitario pasaron por reCAPTCHA v2 sin saber que estaban siendo estudiados:
| Medida | Resultado |
|---|---|
| Sesiones resueltas solo con la casilla de verificación | 79,98% |
| Tiempo medio de resolución, casilla de verificación | 1,85 segundos |
| Tiempo medio de resolución, desafío de imagen | 10,3 segundos |
| Desafíos de imagen superados | 92,96% |
| Encuestados que consideraron molestos los desafíos de imagen | 40% (menos del 10% para la casilla) |
Los autores también estimaron el tiempo humano total dedicado a reCAPTCHA a lo largo de su vida útil en 819 millones de horas, equivalentes a al menos 6.100 millones de dólares a un salario por hora de 7,50 dólares. Describen la estimación como un límite inferior aproximado basado en supuestos, incluyendo una cifra de 2010 de 100 millones de CAPTCHAs al día mantenida constante, por lo que es mejor leerla como un orden de magnitud. A modo de comparación, los creadores de reCAPTCHA informaron en 2008 que las personas resolvían más de 100 millones de CAPTCHAs al día, “cientos de miles de horas humanas al día”.
Lo que logran las máquinas
La resolución automatizada ha seguido el ritmo de cada generación de CAPTCHA. El estudio de 2023 comparó sus resultados humanos con resultados de bots reportados en investigaciones anteriores:
| Tipo de CAPTCHA | Precisión humana (estudio de 2023) | Precisión de bots (estudios anteriores) | Tiempo de resolución del bot |
|---|---|---|---|
| Casilla de verificación (clic) | no medida directamente | 100% | 1,4 s |
| Rompecabezas deslizante | no medida directamente | 96% | 5,3 s |
| Texto distorsionado | 50% a 85% | 99,8% | menos de 1 s |
| Selección de imágenes (reCAPTCHA) | 81% | 85% | 17,5 s |
| Selección de imágenes (hCaptcha) | 71% a 81% | 98% | 14,9 s |
Fuente: Searles et al. (2023), Tabla 3 y sección 5.5, citando estudios anteriores para los resultados de bots.
Las cifras de bots proceden de artículos distintos en condiciones distintas, por lo que no se trata de una comparación directa controlada. Pero la conclusión de los autores es directa: los bots “pueden superar a los humanos, tanto en tiempo de resolución como en precisión”. El texto distorsionado cayó primero; un equipo de investigación de Google reportó una precisión del 99,8% en la categoría más difícil de los rompecabezas de texto de reCAPTCHA en 2014.
Un estudio de 2024 de ETH Zurich informó que un sistema automatizado superó todas las sesiones de reCAPTCHA v2 que intentó, a veces tras varias rondas de imágenes, y necesitó un número de desafíos similar al de un evaluador humano (una persona, en su comparación). Su hallazgo más revelador tiene que ver con lo que el sistema realmente está midiendo: los autores concluyeron que reCAPTCHA v2 “se basa en gran medida en datos de cookies e historial del navegador al evaluar si un usuario es humano o no”. En sus pruebas, un navegador sin historial necesitó muchos más desafíos que uno con un historial establecido. El ejercicio de imágenes, en otras palabras, importa menos que el aspecto que ya presenta el navegador.
Lo que logran hoy los agentes de IA
Desde 2024, los investigadores han puesto a prueba modelos y agentes de IA de propósito general en CAPTCHAs, con resultados mixtos.
| Estudio | Estado | Resultado |
|---|---|---|
| Open CaptchaWorld (2025) | Preprint | El mejor agente web general resolvió el 40,0% de 225 CAPTCHAs interactivos; los humanos, el 93,3% |
| MCA-Bench (2026) | AAAI 2026 | Un modelo de visión ajustado obtuvo 0,025 en selección aritmética frente a 0,78 de los humanos, pero 0,985 en palabras distorsionadas frente a 0,84 de los humanos |
| Oedipus (2024) | Preprint | Los modelos generales resolvieron del 12% al 21% de los CAPTCHAs de razonamiento sin ayuda, y del 51% al 64% con un marco de descomposición de tareas |
| VIPERStrike (2026) | Aceptado, USENIX Security 2026 | Hasta el 93,2% en CAPTCHAs de razonamiento visual de seis proveedores, frente al 87,6% al 95,4% de un pequeño grupo de voluntarios humanos |
El patrón es consistente. Los agentes genéricos tienen dificultades con desafíos interactivos de varios pasos. Los sistemas diseñados para una familia específica de CAPTCHAs cierran la mayor parte de la brecha con los humanos, y en tareas visuales sencillas los superan. Un resultado alentador para los defensores: en el artículo de VIPERStrike, aleatorizar la redacción de las indicaciones de los desafíos redujo la tasa de éxito de todos los solucionadores en una prueba preliminar, entre 4,5 y 20,5 puntos porcentuales.
La disuasión es un coste, no un muro
Si las máquinas pueden resolver los CAPTCHAs, ¿por qué siguen existiendo? Un estudio de 2010 de USENIX Security realizado por Motoyama y colegas respondió a esa pregunta antes de la era de la IA. Al medir el mercado del trabajo humano de resolución de CAPTCHAs, descubrieron que la resolución estaba disponible a precios minoristas “tan bajos como 1 dólar por mil”, con un tiempo de respuesta medio de 14 segundos y una precisión del 86% al 89% en la mayoría de los servicios que probaron. Su conclusión sigue enmarcando el debate:
“En un sentido absoluto, los CAPTCHAs no impiden el acceso automatizado a gran escala a un sitio.” Un CAPTCHA “reduce el beneficio esperado de un atacante en la cuantía del coste de resolver el CAPTCHA”.
Eso convierte al CAPTCHA en un control económico. Funciona donde el valor de cada acción automatizada es pequeño en comparación con el coste de superar el desafío, como la creación masiva de cuentas o el spam, y falla donde cada acción es valiosa. También cuesta a cada usuario legítimo los mismos segundos y la misma frustración.
Investigaciones recientes en forma de preprint sitúan la resolución basada en IA en el mismo rango de coste: los autores de Oedipus estimaron entre unos pocos dólares y unos veinte dólares por cada cien CAPTCHAs de razonamiento resueltos, según el modelo y el tipo, lo que describieron como dentro del mismo orden de magnitud que el trabajo humano.
De los rompecabezas a las puntuaciones de riesgo
El sector ha aceptado en gran medida esta situación, y ha trasladado la decisión fuera de la vista.
- Google reCAPTCHA v3 “devuelve una puntuación para cada solicitud sin fricción para el usuario”, de 0,0 (muy probablemente un bot) a 1,0 (muy probablemente una interacción buena), con un umbral predeterminado de 0,5. La documentación de Google sugiere usar la puntuación para decidir qué hacer, como exigir autenticación de dos factores en un inicio de sesión de riesgo o enviar un comentario de riesgo a moderación, en lugar de bloquear directamente.
- Cloudflare Turnstile “funciona sin mostrar un CAPTCHA a los visitantes”, ejecutando pequeños desafíos de navegador no interactivos en segundo plano y escalando a una casilla de verificación solo cuando es necesario.
El rompecabezas se ha convertido en el recurso de último nivel, mostrado cuando la puntuación en segundo plano es dudosa. Eso coincide con el hallazgo de ETH Zurich sobre el historial del navegador, y con el cambio más amplio en la defensa contra bots descrito en nuestro artículo sobre cómo evolucionó la defensa antibots más allá de los CAPTCHAs.
Qué significa esto
Para los propietarios de sitios web, la investigación sugiere tratar los CAPTCHAs como una capa más que eleva el coste, no como una barrera:
- Mostrar desafíos solo en las acciones que merece la pena proteger, como registros, inicios de sesión y pagos, y solo cuando una puntuación de riesgo sea dudosa.
- Medir qué coste tienen los desafíos. El abandono en los estudios anteriores alcanzó cifras de dos dígitos con holgura.
- Esperar que un operador decidido logre pasar, y combinar los desafíos con límites de frecuencia, controles a nivel de cuenta y comprobaciones del lado del servidor sobre las propias acciones.
Para los equipos de datos, un CAPTCHA es una señal clara: el sitio ha juzgado que vuestro tráfico es automatizado y no lo quiere en esa vía a ese ritmo. La respuesta correcta es ralentizar, comprobar si existe una API oficial o una licencia de datos, y mantenerse dentro de lo que el sitio permite, no buscar una forma de sortear el desafío. Nuestras buenas prácticas de web scraping y nuestra guía sobre robots.txt y las exclusiones voluntarias de IA explican cómo interpretar esas señales.
Preguntas frecuentes
¿Siguen funcionando los CAPTCHAs?
Como barrera estricta, no de forma fiable: la investigación muestra que los sistemas automatizados igualan o superan la precisión humana en la mayoría de los tipos de CAPTCHA. Como coste que ralentiza el abuso automatizado de bajo valor, como los registros masivos, todavía tienen un papel, especialmente combinados con puntuación de riesgo en segundo plano.
¿Cuánto tardan los humanos en resolver los CAPTCHAs?
En un estudio de 2023 con 1.400 personas, los tiempos medios de resolución oscilaron entre 3,6 y 42,7 segundos según el tipo. En un despliegue en producción de reCAPTCHA v2, una casilla de verificación tardó 1,85 segundos de media y un desafío de imagen 10,3 segundos.
¿Puede la IA resolver CAPTCHAs?
Los agentes de IA de propósito general todavía van por detrás de los humanos en los CAPTCHAs interactivos; en un benchmark de 2025 el mejor agente resolvió el 40% frente al 93,3% de los humanos. Los sistemas diseñados para tipos específicos de CAPTCHA presentan resultados cercanos al nivel humano.
¿Por qué se están sustituyendo los CAPTCHAs?
Porque cuestan tiempo y conversiones a los usuarios reales mientras los bots decididos logran pasar. Los proveedores ahora puntúan las solicitudes en segundo plano y muestran un desafío solo cuando la puntuación es incierta.
Conclusión final
Los CAPTCHAs ya no separan a los humanos de las máquinas de forma fiable; en la mayoría de los tipos, las máquinas son ahora al menos igual de precisas. Lo que todavía hacen es añadir coste: segundos y frustración para las personas, dinero y esfuerzo para el tráfico automatizado. Eso los hace útiles donde cada acción automatizada vale poco, y débiles donde vale mucho. El sector ha respondido trasladando la decisión real a una puntuación de riesgo invisible y manteniendo el rompecabezas como recurso de último nivel.
Fuentes y referencias
- Searles, A. et al. (2023). An Empirical Study & Evaluation of Modern CAPTCHAs. USENIX Security 2023.
- Searles, A., Prapty, R. T. y Tsudik, G. (2025). Understanding reCAPTCHAv2 via a Large-Scale Live User Study. NDSS Symposium on Usable Security and Privacy (USEC) 2025.
- Plesner, A., Vontobel, T. y Wattenhofer, R. (2024). Breaking reCAPTCHAv2. COMPSAC 2024.
- Motoyama, M. et al. (2010). Re: CAPTCHAs: Understanding CAPTCHA-Solving Services in an Economic Context. USENIX Security 2010.
- von Ahn, L. et al. (2008). reCAPTCHA: Human-Based Character Recognition via Web Security Measures. Science 321.
- Goodfellow, I. et al. (2014). Multi-digit Number Recognition from Street View Imagery using Deep Convolutional Neural Networks.
- Luo et al. (2025). Open CaptchaWorld. Preprint.
- Wu et al. (2026). MCA-Bench. AAAI 2026.
- Deng et al. (2024). Oedipus. Preprint.
- Qi et al. (2026). VIPERStrike. Aceptado en USENIX Security 2026.
- Google, documentación de reCAPTCHA v3; Cloudflare, documentación de Turnstile.