图像文字抗OCR识别的双层隐写技术解析

一、问题背景：OCR 的处理流程及其“固定性”

通用 OCR 技术的处理流程通常高度工程化，可以粗略拆分为两个阶段：文本检测（定位图中所有可能的文字区域）与文本识别（对每个区域逐行输出字符结果）。以百度智能云文字识别为代表的云端识别服务，以及各类本地识别引擎，基本都遵循这一“检测+识别”的两段式范式。

流程的固定性带来了两个可被利用的特点：

1. 检测与识别的粒度是预设的。模型对“多大算一行字”“多小算背景噪点”存在隐含假设，超出训练分布的极端字号、极端排布往往不在其重点处理范围内。
2. 检测具有“一次即满足”倾向。某个区域一旦被判定为文字并完成识别，后续流程通常不会在同一位置再进行跨尺度的二次复查。

而人眼的感知方式与此完全不同：人类视觉擅长低频、整体性的形状感知（即格式塔效应），可以在一定距离外把成千上万个细小笔画聚合成一个完整的大字形。这种机器与人在感知尺度上的差异，正是图像文字隐写对抗 OCR 的立足点。

二、核心思路：与其让 OCR 看不见，不如让它“看错”

直觉上的对抗手段是“堵”：加噪点、打马赛克、加模糊，让 OCR 什么都识别不出来。但这类方法有明显缺陷——预处理（如去噪、超分、自适应二值化）是 OCR 工程链路中的常见环节，简单的破坏性处理很容易被通用增强手段还原或绕过；而且过度破坏画质的图片，人眼阅读体验也会同步受损。

更有效的思路是“疏”：主动让 OCR 识别出文字，但识别出来的是我们安排好的干扰文本。当干扰文本铺满整个画面区域后，OCR 的检测模块会认为“该位置已经检测并识别完毕”，从而放弃更深粒度的二次扫描。真实信息则存在于另一个感知尺度上，只对人眼可见，对机器“隐形”。

这套机制的本质是构造一个双层结构：

• 呈现层：人类可读的信息（以大字形或字形组合的方式呈现）；
• 干扰层：机器可读的文本（以极小字号铺满画面，内容可自由设定）。

两个层次在物理上重叠于同一张图，但在感知上被彻底分离。

三、两种典型实现路径

根据目标 OCR 系统“擅长看大字”还是“擅长看小字”，可以选择不同的层次安排方式：

1. 大字藏小字

将真实信息渲染为超大字形（例如 300～400 像素级别的字号），再以极小字号（例如 12 像素）的干扰文本填满大字形的笔画内部，行间距与字间距压缩至 0～1 像素，使小字在视觉上融为笔画的一部分。

• 人眼视角：看到的是完整、清晰的大字；
• 机器视角：检测到的全是密集排布的小字文本行，识别输出的是干扰内容。

这种方式适合应对全局检测能力较强的 OCR：因为画面被小字完全覆盖，检测模块在任何区域都能“找到字”，自然不会怀疑大字形的轮廓本身也是一个待识别对象。

2. 小字藏大字

真实信息的大字形不直接绘制，而是由大量正常排布的小字文本块“拼”出来——每个小字相当于大字形上的一个“像素点”，远看时小字块在空间上聚合出大字轮廓。

• 人眼视角：退后一步或缩小图片，能看到大字形浮现；
• 机器视角：逐行扫描只能读出小字本身的连贯文本。

这种方式适合应对对小字检测非常精确的 OCR：既然它一定会把小字读出来，那就让小字成为完整的诱饵，而大字形因缺乏直接的笔画连通性，反而不会被当作文字区域。

3. 选型逻辑

两种路径的取舍可以概括为一句话：观察目标 OCR 在哪个尺度上最强，就把哪个尺度做成诱饵层。一般来说，各家的处理流程是固定且可复测的，因此只需少量试错，就能确定总有一种方式能让识别结果落在干扰层上，见招拆招即可。

四、关键工程参数与调优要点

实际构造时，以下参数决定了成败：

• 字号比例：大字与小字的尺寸比越大，层次分离越彻底。常见的组合如 400:12、300:12、200:12、400:30 等，比例不同，人眼与机器的“锁定层”也会不同。
• 行间距与字间距：压缩到 0～1 像素可以提升画面的视觉连续性，让小字层更均匀地铺满笔画区域，同时压缩 OCR 对行切分的空间。
• 填充顺序：早期实现常采用“全局从上到下、从左到右”的铺排顺序，但这样小字会跨大字连续排布，人眼扫读小字层时容易串行。改进为逐个大字独立填充后，每个大字内部的小字自成一段，可读性与视觉整洁度都明显提升。
• 字体与笔画粗细：笔画越粗，可供小字填充的面积越大，干扰层的容量越充足；细笔画字体则可能填不下几个小字，导致层次失衡。
• 前景背景对比度：需保证两个层次在不同观察距离下都有足够的对比度支持。

一段示意性的核心流程如下（仅为原理说明，非可直接运行的完整实现）：

输入: 真实文本 real_text, 干扰文本 decoy_text, 参数(大字号, 小字号, 间距)
1. 将 real_text 以大字号栅格化，生成字形蒙版 mask
2. 以小字号对 decoy_text 做紧排布局，布局区域约束在 mask 内
   （按"逐字填充"顺序，行间距/字间距取 0~1 像素）
3. 将布局后的小字逐个绘制到画布
4. 输出图像，并用目标 OCR 做回归验证：
   - 期望输出 = 干扰层文本
   - 若输出为空或混合结果，则调整字号比例与间距后重试

五、效果验证与测试注意事项

验证标准非常明确：人眼读到的应当是呈现层，OCR 输出的应当是干扰层。测试时建议区分两种结构分别构造样张，确认识别结果落在预期的那一层上，而不是笼统地看“识别没识别出来”。

一个容易被忽视的细节是图像压缩：12 像素级别的小字对有损压缩和缩放非常敏感，经过压缩后小字可能糊成噪点，导致 OCR 连干扰层都读不出来，测试结果失真。因此在评估时应尽量使用原始分辨率的图片，移动端测试结果与桌面端可能存在系统性差异，竖版大图相对更容易保留细节。

六、局限性与对抗升级

这套方法并非无懈可击，其有效性建立在几个前提之上：

1. 没有专门针对此类隐写训练的检测模型。一旦防御方收集样本、训练专门的“双层文字隐写检测”模型，识别出异常的字号双峰分布或笔画密度特征，该方法即告失效。
2. 预处理环节不主动介入。如果识别链路在检测前加入自适应的模糊、降采样等操作，大小字层可能被“抹平”到同一尺度。当然，无差别地增强对所有正常文档同样是破坏性的，防御方需要在误伤率与检出率之间权衡。
3. 人工复核可以完全穿透。只要有人参与内容审核，人眼一眼就能读出呈现层，隐写便失去意义——这类方法从设计之初针对的就是纯自动化流程，而非人类。

从防御视角看，OCR 系统的加固方向也很清晰：引入多尺度二次扫描、对画面中字号分布异常（例如同时存在极端大字与极端小字）的图像触发告警、在检测后对高密度小字区域做跨尺度复核等。

七、合规与风险提示

必须强调：此类技术的滥用场景——规避内容审核、传播违规信息——在多数司法辖区都可能触碰法律红线，平台规则对此类行为也有明确约束。曾有开发者在公开分享此类方案后，出于被用于不当用途的顾虑而主动删除了可运行的代码，只保留原理讨论，这个谨慎态度值得借鉴。

对安全研究者而言，理解这类对抗手法的价值在于揭示通用 OCR 系统的边界条件，推动识别服务在多尺度检测、异常排版感知等方向持续加固；对普通开发者而言，了解这些原理则有助于在设计内容安全方案时不把“OCR 能读出来”当作唯一防线。技术的攻防从来是成对出现的，看清矛，才能造好盾。