@marianoggg
No es tan simple, me paso a explicar:
Ningún bot tiene inteligencia propia, esto quiere decir que para actuar necesita instrucciones de un programador; que dicho programador defina la secuencia de análisis del ataque, etc.
Si yo deseo atacar un sistema de comentarios protegido por un sistema Captcha-CSS lo primero que hago yo es analizar el sitio, examinar el sistema de comentarios y repetir dicho proceso al menos 10 veces mas.
Una ves defino que el sistema es predecible comienza la diversión, si se que dicho campo es intencionalmente invisible simplemente lo ignoro en mi programación deliberadamente.
¿Que impide al bot de spammear un sistema de comentarios?
Simple, la misma habilidad del programador.
En definitiva yo no usaría solo captchas, también control en el servidor como CSRF básicamente.