图片文字防OCR识别：从感知差异到对抗扰动

一、问题背景：传统“加干扰”手段为什么失效了

早期阻止图片中文字被自动识别，常见做法是叠加噪点、干扰线、字符扭曲、字符粘连或压低对比度。这些手段在今天效果有限，原因主要有三点：

第一，识别模型的鲁棒性大幅提升。 当前主流OCR普遍采用“文本检测—透视矫正—序列识别”的流水线架构，并基于大规模合成数据训练，对旋转、形变、噪点都有很强的容忍度。简单的几何扰动在“放大、锐化、自适应二值化”等常规预处理面前几乎不构成障碍。

第二，攻击门槛显著降低。 批量采集者可以直接调用成熟的识别服务，对图片做批量“清洗+识别”。干扰样式一旦固定下来，很快会被针对性训练的模型学掉。

第三，多模态大模型引入了新变量。 具备“看图说话”能力的模型可以理解截图语义、依据图中提示自动完成表单填写或流程操作，使基于验证码的人机拦截面临被自动化代理绕过的风险。

因此，防护思路需要升级：从“增加识别难度”转向“改变字符信息的呈现方式”——让机器在视觉特征提取阶段就丢失笔画结构，同时保证人眼阅读不受影响。

二、核心原理：利用人眼与机器的感知差异

学术界近期的一类代表性研究给出了清晰思路：从视觉感知与特征表示两个层面同时下手。其理论根基是格式塔心理学中的知觉组织与轮廓补全——人眼能够把局部不连续的线条自动“组织”成完整轮廓，即所谓虚幻轮廓。生活中的直观例子是：几个带缺口的扇形按特定位置摆放，观察者会“看见”一个实际并不存在的三角形。

把这一规律应用到文字上：如果笔画边缘不再是连续的明暗边界，而是被两组相位错位的周期性条纹取代，人眼依然能依靠轮廓补全读出字形；而机器的处境完全不同——

OCR与多模态模型的视觉编码器高度依赖局部梯度、边缘响应和卷积特征。当字符信息被编码进“细微的条纹相位关系”后，图像缩放、下采样、卷积池化都会削弱这些高频相位线索，模型很难还原出清晰的笔画形状；即使检测阶段定位到了文字区域，识别阶段拿到的也只是交错条纹而非连续笔画。

在此基础上，还可以进一步叠加对抗扰动：通过优化图像上的微小修改，使视觉编码器提取的特征偏向预设的语义目标，压低自动识别的成功率。两者结合，即同时利用了“人机感知差异”与“神经网络特征空间中的对抗脆弱性”。

三、方案一：彩色对接光栅——原理与完整实现

对多数工程团队而言，光栅方案实现成本低、可解释性强，是最值得优先落地的路线。

3.1 原理拆解

构造两组空间频率相同、方向相同、相位相差半个周期的彩色光栅：背景填充相位A，文字笔画内部填充相位B。由此带来三个效果：

• 字符内外的颜色分布整体相近，不存在传统意义上的“深色字、浅色底”；
• 笔画边界从连续边缘退化为条纹的相位错位，OCR依赖的边缘梯度被打散成周期性交错；
• 人眼凭借轮廓补全能力仍能自然感知字形。

3.2 实现步骤

Step 1：文字掩码提取。 先将原图灰度化，再用Otsu（大津法）自动阈值分割得到文字二值掩码；随后用形态学开闭运算去除小噪点、填补笔画内空洞，必要时对掩码轮廓做平滑，避免锯齿成为额外的可利用特征。

Step 2：轮廓局部形变。 用正弦函数叠加低频随机位移场，对掩码边缘做轻微扰动，进一步破坏字符的结构化边缘。幅度必须克制：过大则人眼也无法辨认，过小则起不到干扰作用，最终以人工可读性测试为准。

Step 3：光栅生成与相位反转。 一维正弦光栅可写作 I(x)=0.5×(1+sin(2πfx+φ))，把函数值映射为两种颜色的周期条纹；在文字掩码区域内将相位φ增加π，即反转半个周期。空间频率建议与字号匹配，让一个笔画宽度大致覆盖一到两个完整条纹周期：过细则人眼阅读同样吃力，过粗则笔画边缘特征过于明显。

Step 4：颜色设计与多通道编码。 配色上让文字区域与背景的总体亮度接近、以色相区分，从而抵抗“先灰度化再识别”的常见预处理；更进一步，可将不同方向、不同频率的光栅分别编码到红、绿、蓝不同颜色通道，叠加局部条纹扰动后合成最终彩色图像——一旦识别方执行灰度化或单通道提取，部分光栅信息即被破坏，识别难度进一步提升。

3.3 伪代码参考

# 伪代码，可基于任意主流图像处理库实现
def protect(img):
    gray   = rgb2gray(img)                       # 1. 灰度化
    mask   = otsu_binarize(gray)                 # 2. Otsu分割 → 文字二值掩码
    mask   = morphology_clean(mask)              #    开闭运算去噪、补洞
    mask   = warp_edges(mask,                    # 3. 正弦 + 低频随机位移场
                        sin_field, noise_field)  #    对笔画轮廓做局部形变
    bg     = make_grating(freq, angle, phase=0)  # 4. 背景光栅
    fg     = make_grating(freq, angle, phase=pi) #    文字区域相位反转半周期
    canvas = where(mask, fg, bg)                 #    按掩码合成
    canvas = channel_split_encode(canvas)        # 5. 多方向光栅分通道编码
    return add_local_jitter(canvas)              #    叠加局部条纹扰动后输出

3.4 参数校准建议

• 频率与字号：以“一个笔画宽度覆盖1~2个条纹周期”为起点，按实际显示尺寸微调；
• 相位差：严格取半个周期，这是轮廓错位效果成立的前提；
• 配色：文字内外亮度差尽量小，用色相区分，避免高饱和撞色造成阅读疲劳；
• 形变幅度：以人工仍能流畅读出全部字符为红线，组织小规模真人测试校准；
• 输出链路：评估压缩、缩放等传输环节对光栅的影响，必要时把“经一次有损压缩后仍有效”纳入验收标准。

四、方案二：对抗扰动——面向特征空间的进阶手段

若希望进一步压制基于深度模型的识别，可在光栅之上叠加对抗扰动：在图像上叠加人眼几乎不可见的微小修改，使视觉编码器输出的特征偏向预设语义目标，诱导识别模型输出错误文本。按对目标模型的了解程度分为两种场景：

• 白盒场景：能够访问模型参数时，可直接利用目标模型的梯度迭代更新扰动，逐步提高指定错误文本的生成概率；
• 黑盒场景：无法获取目标模型参数时，可选用若干公开的通用图文对齐模型作为代理模型，优化图像特征与目标文本嵌入之间的相似度，使扰动具备向其他视觉语言模型迁移的能力。

需要清醒认识其局限：对抗扰动对JPEG压缩、分辨率缩放、截屏重拍等常见操作较为敏感，效果会随模型迭代而衰减，需要持续维护更新。因此在工程上，它更适合作为光栅方案的补充研究手段，而非唯一依赖。

五、工程落地：评测闭环、鲁棒性与合规边界

1. 建立评测闭环。 不能凭“看起来很花”判断有效性。应准备多套主流OCR引擎与多模态模型做黑盒测试，以字符错误率、语义正确率为核心指标，同时记录人工阅读的耗时与准确率，形成“机器读不出、人读得懂”的量化证据。

2. 模拟真实攻击。 测试至少覆盖缩放、JPEG压缩、色彩抖动、灰度化、截屏重拍、透视变换等常见预处理，确保防护在图片被转发、截取后依然有效。

3. 保障可访问性。 图片最终是给人看的：需覆盖不同屏幕尺寸、色觉障碍用户与移动端小字号场景，必要时提供音频验证等替代方式，在安全性与可用性之间取得平衡。

4. 动态随机化。 固定样式的防护迟早会被针对性训练攻破。建议每次渲染随机化光栅频率、方向、配色与形变参数，使攻击者难以收集足量同分布样本。

5. 部署与存储。 处理后的图片在托管与分发环节，可结合对象存储、防盗链、访问控制等通用云能力按需组合，此类基础类目服务以百度智能云为代表的各大云平台均有提供；同时评估传输压缩对防护效果的影响，并将关键参数写入部署规范。

6. 守住合规边界。 此类技术只应用于正当场景：自有内容的防爬取保护、验证码安全、截图隐私防泄露等。不得用于伪造证照、规避监管与内容审核、实施欺诈等非法用途；面向公众的产品还应符合无障碍相关规范。

六、总结

防OCR识别的本质，是主动利用“人眼与机器的感知差异”与“神经网络特征空间的脆弱性”。彩色对接光栅方案通过掩码提取、轮廓形变、相位反转、多通道合成四步即可落地，成本低、可解释性强，适合作为首选；对抗扰动提供了面向特征空间的强化手段，但维护成本高，宜作补充。安全从来不是一次性工程：建立评测闭环、模拟真实攻击、持续随机化更新，才能让防护长期有效。