图片文字防OCR识别：错觉光栅与对抗扰动

一、需求背景：要的不是“打码”，而是“非对称干扰”

图片中的文字正在被越来越多地“机器化消费”：电商图片里的价格与活动规则被爬虫批量提取；社交截图中的联系方式被自动化脚本收集；企业以图片形式外发的报价单、内部通知，可能被第三方批量索引，甚至流入多模态模型的训练语料。

面对这些场景，很多人的第一反应是“把文字糊掉”。但糊掉是一种对称破坏——机器读不了的同时，人也读不了，信息本身的价值被一起消灭。更理想的目标是一种非对称干扰：人眼阅读几乎不受影响，而 OCR 与多模态模型的识别率显著下降。本文围绕这个目标，给出一套可落地的完整技术路线。

二、常规手段为什么挡不住现代识别器

在讲新方法之前，先说清楚老方法为什么失效：

1. 降低分辨率：现代 OCR 普遍内置放大、去模糊甚至超分辨率预处理。把图整体缩小，往往机器照读不误，而小字号对人眼的伤害反而更直接。
2. 叠加噪声与模糊：识别流水线中的灰度化、去噪、二值化、形态学操作对中低强度噪声非常鲁棒；要把噪声加到让机器失效的量级，人眼通常也已经无法辨认。
3. 字符扭曲与干扰线：这是传统验证码的思路。但基于深度学习的文本识别模型经过大量合成数据训练后，对这类规则性形变的破解能力早已成熟。
4. 遮挡与覆盖：直接破坏信息完整性，本质上仍是对称破坏。

这些路径走不通的共同原因是：它们都在像素层面破坏图像，而破坏是不分对象的。要打破僵局，就要换一个攻击面——不破坏图像本身，而是攻击机器读取图像的方式。

三、核心思路：人机视觉的感知差异

近期多模态安全方向的一篇学术研究给出了很有启发性的路线，其核心洞察是：人类视觉系统与神经网络编码器，对同一幅图的“读取方式”存在系统性差异。

• 人类一侧：人脑擅长“知觉组织”。格式塔心理学的经典结论是，视觉系统会依据连续性、闭合性等原则，把局部不连续的线索自动补全为完整轮廓——这就是“虚幻轮廓”效应：并没有真实边缘存在，但人就是“看见”了轮廓。
• 机器一侧：视觉编码器依赖局部像素统计、纹理方向、边缘梯度等底层特征；且推理链路上要经历缩放插值、压缩、特征下采样，字符信息一旦被编码在细微的高频结构里，经过这些环节会被大幅削弱。

据此，防护可以分成两层：感知层，构造人眼能“脑补”出、但机器特征提取器难以稳定还原的文字形态；特征层，叠加对抗性扰动，主动把编码器特征推向错误语义。下文分别展开。

四、感知层方案：彩色对接光栅

4.1 原理

把文字区域与背景区域，分别填充为两组空间频率相同、方向相同、但相位相差半个周期的彩色光栅。用公式表达：

G(x, y) = B + A · sin( 2πf · (x·cosθ + y·sinθ) + φ + π · M(x, y) )

其中 M(x, y) 为文字二值掩码（文字区取 1，背景取 0）。由于掩码内外恒定相差半个周期：

• 颜色分布同质化：字符与背景在统计意义上（直方图、均值、方差）几乎一致，基于颜色或亮度对比度的分割方法直接失效；
• 边缘被替换为相位错位：原本连续的笔画轮廓不复存在，取而代之的是两组条纹在交界处的半周期错动。

人眼面对这种错位条纹时，会按格式塔原则把局部不连续组织成完整字符轮廓，阅读毫无障碍；而卷积类编码器需要从细微的条纹相位关系中还原字符形状，一旦图像经过缩放或特征下采样，相位线索即被破坏，识别随之失稳。这正是“人能读、机器读不出”的关键机制。

4.2 实现步骤

1. 提取文字掩码：灰度化后，用 Otsu（大津法）自适应阈值做二值分割。Otsu 按类间方差最大化自动确定阈值，对光照不均有一定容忍度，适合作为通用默认选择。
2. 轮廓微形变：用正弦函数叠加低频随机位移场，对文字轮廓做轻微局部形变。目的有二：一是破坏笔画几何的规则性，防止识别端通过形状先验恢复字符；二是让掩码与光栅的交界更“有机”，减少可被检测的规律边界。
3. 光栅填充：按上式生成周期性彩色光栅，掩码内外相位相差半个周期，实现颜色分布同质化。
4. 多通道编码：将不同方向、不同频率的光栅分别写入 R、G、B 三个通道。任何单一通道内的纹理相对“干净”，但通道间的相位关系彼此独立，机器无论做通道合并还是单通道分析，都更难还原字符结构。
5. 局部条纹扰动：在条纹上叠加小幅、低频的局部错动，保证干扰在经历缩放、压缩等传播环节后仍然存活。
6. 合成输出：各通道合并为彩色图，并裁剪到合法像素取值范围。

4.3 参考实现（伪代码）

# 伪代码：表达核心逻辑，矩阵运算与图像读写可基于任意主流图像库实现
# 1) 提取文字二值掩码
gray = to_gray(img)
thr  = otsu_threshold(gray)          # 自适应阈值
mask = gray < thr                    # True = 文字区域
# 2) 轻微局部形变：正弦 + 低频随机位移场
dx = amp * sin(2*pi*f_s*y/H + p1) + low_freq_random_field()
dy = amp * sin(2*pi*f_s*x/W + p2) + low_freq_random_field()
img, mask = warp_bilinear(img, dx, dy), warp_bilinear(mask, dx, dy)
# 3) 多通道光栅填充：掩码内外相位相差半个周期
channels = {
    "R": (0,      f_r),    # 水平条纹
    "G": (pi/3,  f_g),     # 斜向条纹
    "B": (2*pi/3, f_b),    # 另一方向斜条纹
}
for ch, (theta, f) in channels.items():
    proj = X*cos(theta) + Y*sin(theta)      # 各像素的条纹相位坐标
    out[ch] = B + A * sin(2*pi*f*proj + pi * mask)
# 4) 局部条纹扰动并合成
jitter = local_stripe_jitter(strength)      # 小幅、低频的条纹错动
result = clip(out + jitter, 0, 255)

关于参数的经验：光栅周期要明显小于字符笔画宽度，保证笔画内部包含若干完整条纹周期，人眼补全才自然；又不能小到接近采样极限，否则图像压缩后条纹本身先被抹掉，干扰随之失效。具体取值不存在普适常数，应按目标分辨率实测调优。

五、特征层方案：对抗错觉扰动

光栅方案让机器“读不出形状”，对抗扰动则更进一步：让机器“读出错误内容”。

做法是在光栅图像上再叠加一层幅度受限的对抗扰动，使视觉编码器提取的特征偏向指定的错误语义（例如一段与真实文字无关的描述）。这样即使模型输出了文本，内容也是被诱导的。按对目标模型的掌握程度，分两种实施路径：

1. 白盒场景（可访问模型参数）：利用梯度信息迭代优化扰动，采用投影梯度一类的优化方法，直接最大化指定错误输出的生成概率。效果最强，但前提苛刻——实际防护中通常拿不到第三方识别引擎的参数。
2. 黑盒场景（不可访问参数）：采用代理迁移思路：用多个基于对比学习的图文对齐模型作为代理，优化图像特征与目标文本特征之间的相似度。由于不同视觉语言模型的特征空间存在共性，在多个代理上同时有效的扰动，有较大概率迁移到真实目标模型上。集成多个代理、约束扰动范数，是提升迁移性的常见做法。

无论哪种场景，扰动幅度都必须严格受限（逐像素微小变化），确保人眼基本无法察觉——这正是“错觉”一词的由来：干扰被藏在人眼不敏感的维度里。

需要清醒认识的是：对抗扰动的迁移性天然有限，且识别端一旦做针对性加固（如对抗训练），效果就会衰减。因此工程上更合理的定位是光栅方案做主力、对抗扰动做增强，而不是单独依赖后者。

六、组合使用与效果评估

一套严肃的方案必须可度量，建议按以下维度搭建评估流程：

• 测试面要广：同时测多款主流 OCR 引擎与多模态大模型。只测一家得出的结论没有意义——你要防的是“未知的识别器”，不是某一个已知引擎。
• 指标分层：字符级准确率反映“读得多准”，整串正确识别率反映“结果能不能被利用”，编辑距离反映错误的严重程度；机器侧指标之外，做小规模人眼可读性评分，确认人这一侧没有退化。
• 消融验证：分别测试“仅光栅”“仅扰动”“光栅+扰动”，量化每个组件的真实贡献，剔除组合方案中的无效复杂度。
• 传播链路鲁棒性：处理后的图片通常会经历 JPEG 压缩、等比缩放、亮度调整，必须在这几种操作之后复测，确认干扰没有在传播过程中失效。

七、工程落地建议

• 批处理流水线：批量场景可把上述算法封装为独立处理服务，配合对象存储的事件触发与函数计算，实现“上传即处理、处理即归档”的自动化流程。百度智能云等云平台提供的对象存储、函数计算类通用能力可以支撑这类流水线的搭建，避免自建基础设施的运维负担。
• 参数调优以实测为准：光栅频率、形变幅度、扰动强度三个旋钮共同决定“人眼可读性—机器识别率”的平衡点。建议固定一批代表性样图，做参数扫描实验来确定最终取值。
• 纵深防御：把该技术与半透明水印、访问权限控制、分发溯源等手段组合使用。任何单一技术都会被针对性攻破，而组合防御会让攻击成本成倍上升。
• 持续运营：这是动态博弈。识别端在进步，干扰手段也要定期回归测试、迭代升级，不能指望一次处理一劳永逸。

八、局限性与使用边界

最后必须说清楚两件事：

1. 技术局限：这类方法的本质是利用当前的人机感知差异与模型脆弱性，而二者都不是永恒的。多模态模型持续进化，未来完全可能通过针对性训练适应条纹相位编码；对抗扰动也会随对抗训练的普及而衰减。它能显著抬高对方的成本，但不是密码学意义上的绝对安全。
2. 使用边界：合理用途包括防爬虫批量提取、个人信息保护、验证码设计、防止内容被未经授权用于训练语料等；不得用于规避内容审核、传播违法违规信息，或损害他人合法权益。技术是中性的，边界掌握在使用者手里。

结语

“防止图中文字被 OCR 识别”这件事，正确的打开方式不是与机器比拼谁更能忍受模糊，而是利用人机感知的结构性差异做非对称设计：感知层用彩色对接光栅制造“人能脑补、机器失稳”的字符形态，特征层用对抗扰动诱导错误输出，再辅以规范的效果评估与工程化落地。这条路线防护上限更高、对人的代价更小，也更符合“保护信息而非销毁信息”的初衷。