dediğin gibi bu cok basit olmu. resimli güvenlik yapmak bundan daha sağlam duruyor.
fakat: x,y yi hidden ile gondermek yerine.
$cevap=$x+$y;
$_SESSION['cevap'] = $cevap;

diye cevabi session a atsan,
kontrol ederken de
if ($_SESSION['cevap'] == '$formdan_gelen_cevap')

şeklinde kontrol edersen daha iyi olur.