Rendering on Real Silicon: GPU Render-Timing as a Passive, AI-Resistant CAPTCHA Signal

Resumen Técnico: Renderizado en Silicio Real como una Señal de CAPTCHA Pasiva y Resistente a la IA

Planteamiento del Problema
El paradigma tradicional de los CAPTCHA, que se basa en acertijos perceptivos o cognitivos, se ha erosionado debido a las capacidades de los modelos de lenguaje-visión (VLM) modernos y los sistemas de IA agéntica que resuelven desafíos de imagen, texto y audio con alta precisión. Si bien la biometría del comportamiento y la atestación criptográfica (p. ej., TPM, WebAuthn) ofrecen alternativas, sufren de problemas de privacidad, filtración de identificadores persistentes o altos costos de inscripción. Además, las defensas existentes son vulnerables al mimetismo o al spoofing de canal lateral. Los autores identifican una brecha: los clientes automatizados a menudo carecen de las propiedades de ejecución de hardware físico de los dispositivos genuinos, pero los métodos de detección actuales no explotan eficazmente esta distinción de la capa física sin comprometer la privacidad del usuario.

Metodología
El artículo propone un enfoque de atestación de hardware pasivo que mide el comportamiento de temporización física del GPU de un cliente bajo una carga de trabajo de renderizado WebGL controlada. A diferencia del fingerprinting de WebGL, que genera un hash de la salida de píxeles para crear un identificador de dispositivo persistente, este método clasifica el tráfico basándose en la dinámica de temporización de renderizado sin retener ninguna identidad persistente.

La metodología emplea una estrategia de recolección de punto final único para asegurar la consistencia de la medición:

1. Recolección de Datos: Un punto final público sirve un arnés WebGL compartido. Los usuarios reales de navegadores (clase positiva) envían voluntariamente registros de temporización. La automatización sin cabeza (clase negativa) es dirigida a la misma URL por una herramienta de barrido mediante un secreto del lado del servidor, asegurando etiquetas confiables.
2. El Arnés: El sistema emite una carga de trabajo WebGL determinista, vinculada a un shader de fragmentos. Registra los tiempos de renderizado por cuadro sobre una ventana fija después de un periodo de calentamiento. Crucialmente, cada cuadro fuerza la finalización del pipeline mediante una lectura de píxeles sincrónica, asegurando que el tiempo medido refleje la ejecución real del GPU en lugar de una entrega asíncrona de la cola.
3. Extracción de Características: El sistema deriva estadísticas distribucionales de la serie de per cuadro, incluyendo media/mediana del tiempo de renderizado, dispersión (desviación estándar, coeficiente de variación), forma (asimetría, curtosis), jitter entre cuadros e indicador de cuantización del temporizador.
4. Matriz de Clase Negativa: Para evitar que los clasificadores dependan únicamente de cadenas de renderizadores de software, el estudio incluye una clase de "negativo difícil": automatización sin cabeza ejecutándose en GPUs físicas. Esto aisla la señal de automatización de la señal de renderizado de software.
5. Disciplina de Evaluación: La generalización se evalúa utilizando una división de dispositivos retenidos (held-out), donde GPUs enteras se asignan ya sea al entrenamiento o a las pruebas, evitando la fuga de datos de la identidad del dispositivo.

Contribuciones Clave

1. Caracterización Empírica de Amenazas: Un despliegue pasivo de 12 horas reveló que el adversario "en el mundo real" es abrumadoramente libre de renderizado (86% de las solicitudes no solicitadas). Estos clientes no ejecutan JavaScript en el lado del cliente ni alcanzan una etapa de renderizado, lo que significa que no generan datos de temporización.
2. Etiquetas de Clase Negativa Confiables: Los autores establecieron una metodología para recolectar muestras de temporización medidas de manera idéntica tanto de navegadores reales como de automatización sin cabeza, incluyendo el caso difícil de la automatación en hardware real.
3. Análisis Piloto de Firmas de Temporización: El estudio demuestra una separación clara entre los bots renderizados por software y los GPUs genuinos, e identifica una firma de temporización medible y controlada por confusores que distingue la automatización sin cabeza en hardware real del uso humano interactivo.

Resultados
El conjunto de datos piloto, recolectado en una única arquitectura de GPU (GPUs integradas de Intel), arrojó los siguientes hallazgos:

• Software vs. Hardware: Los bots renderizados por software (p. ej., SwiftShader) son significativamente más lentos que los GPUs genuinos, exhibiendo un tiempo de renderizado medio de ~26.3 ms frente a los ~5.1 ms de los humanos (una brecha de 5.2×). También muestran mayor jitter y cuantización.
• Sin Cabeza vs. Interactivo en Hardware Real: Incluso cuando se ejecutan en hardware genuino, la automatización sin cabeza exhibe una firma de temporización distinta en comparación con el uso humano interactivo. En una comparación controlada por confusores (misma familia de GPU y motor de navegador):
  • Las sesiones sin cabeza mostraron una relación de cuantización de temporizador 3.3× mayor.
  • Un jitter de cuadro 2.6× mayor.
  • Un coeficiente de variación (CV) 2.2× mayor.
• Mecanismo: Los autores atribuyen el aumento de la rugosidad en la temporización sin cabeza a la falta de un compositor de pantalla y de un ritmo de refresco, que normalmente regularizan la temporización de los cuadros en el uso interactivo. Esto contradice la intuición ingenua de que la automatización produciría una temporización más "plana"; en su lugar, produce más ruido de temporización.

Significancia y Reivindicaciones
El artículo posiciona este enfoque como una variante de atestación de hardware pasiva y de capa física. Su significancia radica en tres áreas:

1. Ortogonalidad a la Evasión Existente: La señal es ortogonal al "stack de spoofing" actual (navegadores antidetect, inyección de ruido de canvas, spoofing de cadenas de renderizador). Mientras que un atacante podría forjar perfectamente la cadena del renderizador y la salida de píxeles de una "NVIDIA RTX 4070", no puede forjar la distribución de temporización física del hardware que no posee.
2. Preservación de la Privacidad: A diferencia del fingerprinting, este método realiza clasificación (humano vs. automatizado) en lugar de identificación, sin filtrar identificadores persistentes.
3. Complementariedad: Sirve como una señal de baja fricción y difícil de falsificar que puede combinarse con biometría del comportamiento y otros puntajes de riesgo.

Limitaciones y Alcance
Los autores declaran explícitamente su modestia respecto a sus afirmaciones:

• Arquitectura Única: La firma controlada por confusores se demuestra únicamente en GPUs integradas de Intel. La generalización a través de arquitecturas (como GPUs discretas NVIDIA/AMD o Apple Silicon) sigue siendo una pregunta abierta, ya que los GPUs discretos más rápidos podrían comprimir las diferencias de temporización por debajo de la capacidad de medición.
• Escala Piloto: Los resultados se basan en un conjunto de datos limitado (13 GPUs para humanos, 2 para negativos difíciles). El estudio respalda la separabilidad en principio, pero no reclama un discriminador entrenado con tasas de error caracterizadas.
• Adaptación del Adversario: Aunque el método filtra eficazmente la automatización sin renderizado, un adversario sofisticado podría teóricamente renderizar en hardware real (aumentando el costo) o inyectar jitter sintético. Los autores ven el método como un componente de una evaluación de riesgo de múltiples señales en lugar de una solución definitiva independiente.
• Endurecimiento de Temporizadores: El endurecimiento o la adición de jitter de los temporizadores en los navegadores podría comprimir la señal, un impacto que aún no se ha cuantificado plenamente a nivel de población.