图片文字如何规避机器识别？光栅相位与对抗扰动实践

一、问题的由来：为什么机器能“读”出图中的字

光学字符识别与多模态视觉语言模型之所以能稳定读取图像中的文字，本质上依赖两点：一是字符区域与背景之间存在显著的边缘与对比度差异，二是模型在训练中学会了把这些边缘组合成字符结构。传统 OCR 通常经历灰度化、二值化、连通域分析或文本检测框回归，再进入序列识别；而多模态模型则通过视觉编码器把图像切分为 patch，再将 patch 特征与文本 token 对齐。

这意味着，如果我们要让机器”读不出来”，可以从两个层面动手：

• 视觉感知层面：破坏字符与背景之间的连续边缘，使二值化与检测环节失去稳定的分割依据；
• 特征表示层面：让视觉编码器提取到的特征偏离文字语义，向攻击者指定的方向偏移。

前者的优势是无需访问任何模型、纯图像处理即可完成，通用性强；后者效果更”定向”，但需要模型梯度或代理模型。工程实践中，前者往往是首选基线，后者作为增强手段。下文围绕一套可复现的实现路径展开。

二、核心思路：彩色对接光栅与虚幻轮廓

人类视觉系统有一个著名特性：当若干局部不连续的线段按特定规律排列时，大脑会主动”补全”出连续的轮廓，这类被感知到但物理上并不存在的边界称为虚幻轮廓（Illusory Contour），其心理机制与知觉组织中的轮廓补全密切相关。

利用这一差异，可以构造如下方案：

1. 从原图中提取字符的二值掩码，明确”字内”与”字外”区域；
2. 生成两组空间频率相同、方向相同、相位相差半个周期的周期性彩色光栅；
3. 用其中一组填充字符内部，另一组填充背景。

这样处理后，字符内外具有相近的颜色分布与亮度统计，全局对比度被大幅压低，原本连续的笔画边缘被替换为光栅条纹之间的相位错位。人眼仍能把这些错位组织成完整字符，而机器视觉管线在经历图像缩放、归一化、特征提取后，条纹相位这类细粒度线索极易被削弱或混叠，从而影响字符形状判断。

值得强调的是，这里的”相位差半个周期”是关键：它保证了在字符边界处条纹恰好”接反”，形成视觉上可辨、统计上不显著的错位。若相位差为整数周期，边界处条纹连续，人眼也难以辨认。

三、实现步骤拆解

下面给出一套参考实现流程，语言以 Python 为例，仅使用通用图像处理与数值计算库。

3.1 预处理与掩码提取

先灰度化，再用 Otsu 自适应阈值分割得到文字掩码。Otsu 的优点是不需要人工设定阈值，对光照较均匀的图较稳健；若原图背景复杂，可先做轻度高斯模糊抑制噪声。

import cv2
import numpy as np
gray = cv2.cvtColor(img, cv2.COLOR_BGR2GRAY)
blur = cv2.GaussianBlur(gray, (3, 3), 0)
_, mask = cv2.threshold(blur, 0, 255, cv2.THRESH_BINARY + cv2.THRESH_OTSU)
# 视前景亮度决定是否反相，保证文字区域为 255

3.2 轮廓的局部形变

直接使用原始掩码会让边界过于”硬”，条纹错位规律性太强，机器仍可能通过频域分析恢复结构。可引入低频随机位移场对掩码做轻微局部形变：

h, w = mask.shape
# 生成低频随机场并上采样，控制形变幅度在几个像素内
low = np.random.randn(h // 32, w // 32).astype(np.float32)
dx = cv2.resize(low, (w, h)) * amp
dy = cv2.resize(np.roll(low, 7, axis=0), (w, h)) * amp
grid_x, grid_y = np.meshgrid(np.arange(w), np.arange(h))
map_x = (grid_x + dx).astype(np.float32)
map_y = (grid_y + dy).astype(np.float32)
mask_warp = cv2.remap(mask, map_x, map_y, cv2.INTER_LINEAR)

形变幅度建议控制在字符笔画宽度的 10%～20%，既能打散规则性，又不至于让人眼无法辨认。

3.3 周期性彩色光栅生成与相位反转

用正弦函数生成光栅，三个颜色通道可使用不同方向或不同频率，以增加机器复原难度：

yy, xx = np.mgrid[0:h, 0:w].astype(np.float32)
def grating(freq, theta, phase):
    return 0.5 + 0.5 * np.sin(2 * np.pi * freq *
           (xx * np.cos(theta) + yy * np.sin(theta)) + phase)
g_r = grating(0.12, 0.0, 0.0)
g_g = grating(0.12, np.pi / 3, 0.0)
g_b = grating(0.12, 2 * np.pi / 3, 0.0)

然后按掩码做相位反转：字内区域相位加 π（即半个周期），字外保持原相位。

m = (mask_warp > 127).astype(np.float32)
def apply_phase(base):
    inv = 0.5 + 0.5 * np.sin(2 * np.pi * 0.12 *
          (xx * np.cos(0) + yy * np.sin(0)) + np.pi)
    # 更通用写法：对每个通道用其自身方向重算反相分量
    return base * (1 - m) + inv * m

实际编码时应对每个通道分别用其方向参数重算反相分量，避免方向混用导致边界错位不成立。最后将三通道合成为彩色图，并叠加小幅局部条纹扰动，进一步削弱周期性。

3.4 参数选择的经验

• 频率：过低则条纹粗、人眼易疲劳且机器易分割；过高则在缩放后直接混叠消失，人眼也难辨认。经验区间约为图像短边的 1/20 至 1/8 周期。
• 方向：三通道取不同方向（如 0、60°、120°）比同方向更难被单一滤波器复原。
• 颜色分布：字内外应保持接近的均值与方差，否则简单的全局阈值仍能分割。
• 形变幅度：小幅即可，重点是破坏规则性而非破坏可读性。

四、效果评估与常见失效场景

评估应至少覆盖三类对象：传统 OCR 管线、通用多模态模型的文字读取能力、以及人眼可读性。实践中常见失效场景包括：

1. 图像被强缩放或重采样：高频条纹混叠后可能退化为均匀灰块，人眼也不可读，需在目标分辨率下调试频率；
2. 压缩失真：有损压缩会抹平相位细节，建议以高质量参数输出；
3. 掩码不完整：细笔画或抗锯齿边缘漏检时，边界处会出现明显色块突变，反而提示机器此处有文字；
4. 背景本身含强纹理：光栅与背景纹理叠加后统计特性改变，需重新校准相位与幅度。

因此工程上建议做一轮小规模对照测试：固定一组参数，分别在原图与处理后图像上比较识别结果与人眼可读性评分，取平衡点。

五、进阶：对抗扰动优化思路

光栅方案属于”感知层”混淆，若希望进一步提升对特定模型的规避效果，可叠加对抗扰动：通过优化像素级扰动，使视觉编码器提取的特征偏向攻击者指定的语义目标。

• 白盒场景（可访问目标模型参数）：直接利用目标模型梯度迭代更新扰动，提高指定文本的生成概率，典型做法是沿梯度符号方向做多步小幅更新并裁剪到允许范围；
• 黑盒场景（无法获取参数）：使用多个通用图文对齐模型作为代理，优化图像特征与目标文本特征之间的相似度，借助特征空间的共性提升向其他视觉语言模型的迁移可能性。

需要注意，对抗扰动对图像质量的影响与迁移性之间存在权衡：扰动幅度越大越易被察觉，越小则迁移越不稳定。工程上通常把扰动幅度约束在肉眼不敏感的范围内，并与光栅方案叠加使用，形成”结构混淆 + 特征偏移”的双层防护。

六、合规与使用边界

上述技术应仅用于正当场景，例如：保护个人图文内容不被自动化抓取、验证码类人机区分设计、以及对自有素材做机器读取防护测试。使用者需自行确保符合所在地区法律法规与平台规则，不得用于规避合法的内容审核、伪造凭证或侵犯他人权益。技术在防御与滥用之间往往只有一线之隔，明确边界比追求效果更重要。

七、小结

本文给出的路径可归纳为四步：掩码提取 → 局部形变 → 相位反转彩色光栅合成 → 可选对抗扰动增强。其核心洞察是人机视觉感知差异：人眼擅长轮廓补全，机器依赖稳定的边缘与统计特征。把连续边缘转换为条纹相位错位、把字内外颜色分布拉平，就能在不明显损害人眼可读性的前提下，显著削弱机器读取的稳定性。工程落地时，频率、方向、形变幅度与输出质量四个参数需要围绕目标分辨率联合调试，并通过小规模对照测试确认效果。