基于视觉错觉与对抗扰动的图片防OCR识别实践

一、背景：图片文字正在成为“易泄露面”

如今OCR技术已相当成熟，主流云平台普遍将文字识别作为基础能力开放——例如百度智能云提供的通用文字识别服务，以及各类本地识别引擎，都让“从图片里把字抠出来”变成几行代码就能完成的事。这在带来便利的同时，也催生了一个反向需求：当我们需要分享截图、发布素材、展示单据时，如何保证图中文字“人能看清，机器看不清”？

典型应用场景包括：

• 验证码：必须做到真人可通过、自动化程序难以通过；
• 隐私截图脱敏：聊天记录、证件、内部文档对外展示时，防止被批量抓取与自动识别；
• 内容防盗用：阻止素材被爬虫自动提取正文与关键信息。

需要强调的是，这里讨论的并不是加密，而是一种“对抗性降质”思路：通过图像处理手段，利用人眼与机器视觉的本质差异，把机器端的识别率显著压低，同时尽量不牺牲人眼的阅读体验。

二、核心原理：人眼和机器“看图”的差异在哪

要构造有效的防御，先要理解攻防双方各自的感知机制。

1. 人眼：知觉组织与轮廓补全

格式塔心理学指出，人类视觉系统具有强大的“知觉组织”能力，能够从局部、不连续的线索中脑补出完整的形状。其中“虚幻轮廓”是代表性现象：即使画面中并不存在连续的真实线条，只要局部线索的组织方式符合规律，人眼仍会“看见”一条清晰的轮廓，并据此识别出整体形状。

2. 机器：依赖边缘、颜色与相位的流水线

传统OCR的处理链路大致为：预处理（去噪、灰度化、二值化）→ 文本检测（基于边缘、连通域或特征图）→ 字符切分与分类。多模态大模型则通常先将图像切分为小块，送入视觉编码器提取特征，再与语言模型对齐后生成文本。两类方法的共同点是：强依赖像素级的边缘连续性、颜色分布与相位信息，而这些信息在缩放、下采样、特征池化等环节中非常容易被削弱。

3. 关键推论

防御的突破口不在于“把字涂花”，而在于构造一种“人眼可补全、机器难还原”的纹理结构——把字符信息从“显式的边缘与对比度”，转移到“隐藏在相位关系中的细微线索”里。这正是近年计算机视觉研究所验证的方向。

三、方案一：彩色对接光栅——利用错觉实现“隐形笔画”

设计思路：将文字与背景分别用两组空间频率、方向完全相同、仅相位相差半个周期的彩色光栅填充。如此一来，字符内外的颜色统计分布几乎一致，一切基于颜色、阈值、对比度的前处理都会失效；而原本连续的笔画边缘被“相位错位”所取代——机器提取不到连续边缘，人眼却能依据虚幻轮廓机制把字符“脑补”出来。

图像在像素 (x, y) 处可抽象为：

I(x,y) = A · sin( 2πf·(x·cosθ + y·sinθ) + φ )，其中背景取 φ=0，字符内部取 φ=π

实现步骤：

1. 将原图灰度化，用最大类间方差法做阈值分割，得到文字的二值掩码；
2. 用正弦函数叠加低频随机位移场，对掩码轮廓做轻微局部形变——既能进一步破坏字符切分，又保持人眼可读；
3. 生成周期性彩色光栅，颜色随相位平滑变化，相邻相位颜色相近；
4. 依据掩码将字符内部的光栅相位反转半个周期，使文字与背景颜色分布相近、仅在笔画边界处形成条纹错位；
5. 进阶技巧：把不同方向、不同频率的光栅分别编码到 R/G/B 三个颜色通道，并叠加局部条纹扰动，最后合成为彩色图像。

示意伪代码（与具体图像库无关）：

输入: 原图 img, 光栅频率 f, 方向 theta, 幅值 A
1  gray <- grayscale(img)                       # 灰度化
2  mask <- otsu_binarize(gray)                  # 提取文字二值掩码
3  mask <- warp(mask, sin_wave + low_freq_noise) # 轮廓轻微局部形变
4  for each pixel (x, y):
5      base = 2 * pi * f * (x*cos(theta) + y*sin(theta))
6      if mask[x, y] == 1:
7          phase = base + pi                    # 字符内部: 相位反转半周期
8      else:
9          phase = base                         # 背景: 基准相位
10     for c in {R, G, B}:
11         out[c][x, y] = A * sin(phase + offset_c)  # 各通道不同方向/频率
12 out += local_stripe_perturbation()           # 叠加局部条纹扰动
13 输出 out

为什么有效（逐条对应机器流程）：

• 颜色层面：字符内外颜色直方图几乎不变，阈值化与颜色聚类失效；
• 边缘层面：笔画处不存在连续的梯度边界，只有周期性错位条纹，边缘检测与连通域分析难以还原笔画；
• 特征层面：字符形状信息被编码进细微的相位关系中，缩放、重采样与视觉特征提取会显著削弱这类高频线索，导致模型对字符形状的判断失准；
• 人眼层面：知觉组织机制会把错位条纹组织成完整的虚幻轮廓，即便笔画经过轻微形变，依然可读。

四、方案二：对抗扰动——在特征空间“带偏”视觉编码器

光栅方案作用于物理纹理层，对抗扰动则在特征表示层进一步施压：通过优化图像扰动，让视觉编码器提取的特征偏向指定的错误语义，从而降低正确文本的生成概率。

• 白盒场景：能够访问目标模型参数时，可直接利用目标模型的梯度更新扰动，提高指定文本的生成概率、压低正确识别的概率；
• 黑盒场景：无法获取参数时，可借助多个通用图文预训练模型作为代理，优化图像特征与目标文本特征之间的相似度，使扰动向其他视觉语言模型迁移的可能性增强。

工程上常用的鲁棒性技巧包括：在优化过程中对扰动施加随机缩放、压缩、加噪等变换（即“期望变换”思想），使扰动对这些常见预处理不敏感；同时限制扰动幅值，在攻击强度与视觉质量之间取得平衡。

两条方案可以叠加使用：光栅负责摧毁底层的边缘与阈值线索，对抗扰动负责在特征层制造语义偏差，形成“物理纹理 + 特征表示”的双重防御。

五、落地评估与工程建议

1. 建立评估闭环：准备多套测试图（不同字号、字体、背景复杂度），分别用若干主流OCR引擎与多模态大模型做回归测试，统计字符错误率与整图识别失败率；同时邀请真人做可读性主观评分，确保“防机器”没有牺牲“给人看”。
2. 干扰强度分级：按信息敏感度选择参数——普通内容用轻度光栅即可；高敏内容可提高光栅对比度，叠加几何形变与对抗扰动。
3. 组合传统手段：光栅与对抗扰动可与艺术字、异体字替换、断行换行等“文本层”抗OCR手段并用，形成多维度干扰。
4. 认清能力边界：对于绝对不可泄露的信息（完整证件号、密钥等），任何图像层手段都只是提高攻击成本，最稳妥的做法仍是物理遮挡或干脆不展示。
5. 合规边界：此类技术仅应用于隐私保护、验证码、授权范围内的内容防护等合法场景，不得用于规避内容安全审核或传播违法违规信息。

六、局限与展望

没有一劳永逸的防识别方案。一方面，多模态模型的轮廓补全与去噪能力在持续增强，今天有效的错觉结构，明天可能被更强的模型“看穿”；另一方面，对抗扰动对压缩、缩放等常见预处理天然敏感，其鲁棒性与可迁移性仍是活跃的研究方向。

更合理的定位是：把“防OCR”视为提高自动化攻击成本的手段之一，纳入整体数据安全体系——配合访问控制、水印溯源、泄露监控等通用能力，构建纵深防御，而不是指望单一图像处理技巧解决所有问题。