对抗OCR的视觉混淆技术：原理、策略与实践

一、问题的本质：OCR为什么会“看错”

在讨论具体方法之前，有必要先厘清OCR（光学字符识别）系统的基本工作流程。一个典型的OCR流水线大致包含以下阶段：

1. 图像预处理：灰度化、二值化、去噪、倾斜校正等；
2. 文本区域检测：定位图像中可能存在文字的区域（TextBox Detection）；
3. 文本行/字符分割：将检测到的区域切分为行或单字；
4. 字符识别：对切分后的图像块进行分类，输出字符序列；
5. 后处理：语言模型纠错、版面还原等。

关键点在于：大多数OCR系统的检测阶段是有“预算”的。为了控制计算成本，检测模型通常会在找到若干文本区域后停止进一步搜索，或者对已标记为“已处理”的区域不再重复检测。这一设计在正常场景下是合理的优化，但在面对刻意构造的对抗性图像时，就变成了可被利用的弱点。

核心思路可以概括为一句话：让OCR识别出一些文字，但用这些文字占据它的“注意力”，使其忽略真正需要被识别的目标文字。

这与传统对抗样本（Adversarial Example）的区别在于：传统对抗样本通过添加人眼不可见的噪声来欺骗模型，而本文讨论的方法完全不依赖梯度信息或模型内部结构，属于一种“视觉层面的社会工程学”——它欺骗的是OCR系统的检测策略，而非识别精度。

二、两种基本策略

根据OCR系统对不同尺度文字的检测能力差异，可以将混淆方法分为两类：

2.1 大字藏小字

原理：在图像中放置大量大号字体文字，同时在间隙中嵌入小号字体文字。OCR系统优先检测到大字并将其标记为文本区域，由于大字的覆盖率较高，检测模型认为该区域已被充分处理，从而跳过了对小字的二次检测。

适用场景：OCR系统对小字检测能力较弱，或检测模型采用“先大后小”的优先级策略。

参数示例：

大字：400px，小字：12px，行间距：1px，字间距：1px
大字：200px，小字：12px，行间距：1px，字间距：1px

大字号的作用是“占位”——它不需要承载有意义的信息，只需要足够大、足够密集，让OCR的检测模型认为这块区域已经被处理完毕。

2.2 小字藏大字

原理：与上述策略相反，用大量小号字体文字铺满图像，在其中有意识地留出空隙，用大号字体填充目标文字。由于小字数量极多，OCR系统将大量计算资源消耗在小字检测上，可能触发检测上限而提前终止，导致大字的漏检。

适用场景：OCR系统对小字检测非常精确（如某些针对文档场景优化的引擎），但对全局版面理解能力有限。

参数示例：

大字：300px，小字：12px，行间距：1px，字间距：1px
大字：400px，小字：30px，行间距：0px，字间距：0px

2.3 为什么两种策略总有一种有效

不同OCR系统的检测策略差异很大。有的采用基于区域提议（Region Proposal）的两阶段方法，有的采用端到端的密集预测方法，有的对小字敏感，有的对大字体更鲁棒。由于每家OCR的处理流程相对固定，攻击者可以通过试错确定哪种策略对该系统有效。

关键洞察：这两种策略并非互斥，而是互补的。实际应用中，可以同时使用——在一张图中既有大字藏小字区域，也有小字藏大字区域，进一步提高混淆成功率。

三、实现细节与调参方法

3.1 字体填充算法

原始思路中提到的一个重要改进是：将小字的填充顺序从“全局由上至下、由左至右”改为“按大字逐字填充”。这一改进的意义在于：

• 全局顺序填充：小字均匀分布在整个画布上，人眼难以快速定位到大字内容；
• 逐字填充：每个大字周围的空隙集中填充小字，形成明显的视觉分组，人眼可以更容易地忽略小字、聚焦大字。

以下是一个示意性的伪代码描述：

def embed_small_text_in_large(large_text, small_text, 
                               large_font_size, small_font_size,
                               line_gap, char_gap):
    canvas = create_blank_canvas()
    small_idx = 0
    for each large_char in large_text:
        # 在当前位置绘制大字
        draw_large_char(canvas, large_char, 
                       large_font_size, line_gap, char_gap)
        # 计算大字周围的空隙区域
        gaps = compute_surrounding_gaps(canvas, large_char)
        # 在空隙中逐字填充小字
        for gap in gaps:
            while has_space(gap):
                draw_small_char(canvas, small_text[small_idx],
                               small_font_size, line_gap, char_gap)
                small_idx = (small_idx + 1) % len(small_text)
    return canvas

3.2 参数调优建议

参数	作用	建议范围
大字号	占据检测区域	200-500px
小字号	填充空隙、消耗检测资源	8-16px
行间距	控制文字密度	0-2px
字间距	控制文字密度	0-2px
对比度	影响二值化效果	适中，避免过于极端

需要注意的是，行间距和字间距设为0或1px时，文字会非常密集，这对人眼阅读大字有一定干扰，但可以通过调整颜色对比度来缓解——例如大字用深色、小字用浅灰色，人眼容易区分，但OCR二值化后两者可能都变成前景。

3.3 颜色与对比度的利用

一个值得补充的技巧是：利用颜色通道差异进一步干扰OCR。例如：

• 大字使用高对比度的黑色；
• 小字使用低对比度的灰色或与背景接近的颜色；
• 人眼可以区分两者，但OCR在灰度化后可能将两者混为一谈。

这种方法的有效性取决于OCR预处理阶段的具体实现，但在实践中确实可以增加识别失败的概率。

四、该方法的边界与局限性

4.1 不防人类

必须明确：这种方法的设计目标是防止自动化OCR识别，而非防止人类阅读。 任何人眼能够看到的文字，人类都可以直接读取。因此，它适用于以下场景：

• 需要防止爬虫自动提取文字内容；
• 需要增加自动化数据采集的成本；
• 需要在公开图片中嵌入仅供人类阅读的信息。

但它不适用于：

• 需要对人类隐藏信息的场景（那是隐写术的范畴）；
• 需要长期安全保护的场景（该方法没有密钥，任何人都可以读取）。

4.2 依赖OCR的固定流程

该方法的有效性建立在一个前提上：OCR系统的检测流程是固定的，且没有针对这类对抗性输入进行专门训练。 如果OCR厂商针对“大字藏小字”或“小字藏大字”进行了专项优化（例如多尺度检测、滑动窗口重检等），方法的有效性会大幅下降。

因此，原文作者也特别注明：成功的前提是目前没有针对这种隐写术专门训练的模型。

4.3 图像压缩的影响

移动端平台通常会对上传图片进行压缩，这可能导致小字模糊、行间距消失，从而影响混淆效果。建议：

• 尽量使用电脑端上传原图；
• 如果必须在移动端使用，适当增大字号和间距；
• 使用竖版布局可能有助于减少压缩带来的信息损失。

4.4 法律与合规风险

原文作者提到，有人建议删除代码，因为可能被用于不当用途。这一提醒是必要的。从技术角度，这类方法本身是中性的，但使用者需要注意：

• 不得用于伪造证件、票据等法律文件；
• 不得用于规避合法的内容审核机制；
• 不得用于传播违法信息。

技术社区对此类方法的讨论应当保持在研究和防御的框架内。

五、防御视角：如何应对这类混淆

从OCR系统开发者的角度，可以采取以下措施提高对这类对抗性输入的鲁棒性：

1. 多尺度检测：在不同缩放比例下分别检测，避免因单一尺度导致的漏检；
2. 滑动窗口重检：对已检测区域进行二次扫描，使用不同参数；
3. 注意力机制：引入基于内容的注意力，而非仅依赖位置优先级；
4. 对抗训练：在训练数据中加入类似的混淆样本，提高模型鲁棒性；
5. 后处理校验：对识别结果进行语义一致性检查，发现异常时触发人工复核。

这些措施会增加计算成本，但可以有效降低被混淆的概率。

六、总结

本文讨论的核心方法可以归纳为以下几点：

1. 利用OCR检测的资源限制：通过构造特定尺度的文字，使OCR在检测阶段就“满足”并停止搜索；
2. 两种互补策略：大字藏小字与小字藏大字，根据目标OCR的特性灵活选用；
3. 参数灵活可调：字体大小、间距、颜色均可调整，通过试错找到最优组合；
4. 明确边界：不防人类、依赖OCR流程固定、需要关注合规风险。

这类方法的价值不在于“攻破”某个具体系统，而在于揭示了一个普遍存在的设计张力：在计算效率和检测完整性之间，任何系统都需要做出权衡，而权衡点就是潜在的弱点。 理解这一点，对于设计更鲁棒的系统和更合理的使用策略，都有重要意义。