巧用人机视觉差异：让图中文字避开OCR识别

一、问题的由来：传统打码方式为什么失效了

提到“不想让机器读出图里的文字”，多数人的直觉是加噪点、高斯模糊，或者在文字上贴一层杂乱的花纹。但在多模态大模型能力快速提升的今天，这些手段的防护效果明显下降：模型对噪声和轻度模糊有很强的容忍度，甚至能对中等程度扭曲的文字进行还原。而另一方面，真实需求反而在增多：

• 内容反爬与版权保护：图文内容被批量截图、转写，原创文字资产流失严重；
• 隐私信息脱敏：票据、证件、聊天截图在二次传播时，手机号、姓名、住址等字段容易被自动化工具批量抽取；
• 人机验证（验证码）设计：验证码的本质就是“人能读懂、机器难还原”的文字图像，是防OCR最经典的应用场景；
• 拦截自动化代理：一些自动化流程会先截图、再借助多模态模型解读图像内容，在图像层面设置障碍可以显著抬高其成本。

因此，问题可以被更精确地表述为：如何构造一种图像，人眼仍能轻松读出文字，而OCR与多模态模型却难以准确还原？ 近年来计算机视觉领域有公开研究给出了一条有意思的路线：不再和识别算法“拼算力”，而是利用人眼与机器视觉机制的系统性差异，构造“选择性可读”的图像。下面分别拆解其两条技术路线，并给出可落地的实现方案。

二、核心原理：人眼与模型“看图”的方式存在系统性差异

1. 人眼：靠“知觉组织”与轮廓补全看图。
格式塔心理学指出，人类视觉并非逐像素采样，而是主动把局部线索分组、组织成整体结构。其中最典型的现象是“虚幻轮廓”（Illusory Contour）：即使笔画边缘并不真实连续，只要局部线索的排布方式合适，大脑也会自动补全出完整的形状认知。这意味着，把文字拆散成大量局部线索再重新排布，人眼仍可能读出内容。

2. 模型：靠“统计特征”看图，精细线索容易被抹掉。
多模态模型处理图像的典型流程是：缩放到固定分辨率 → 视觉编码器提取特征 → 与语言模块对齐后生成文本。在此过程中，图像会被大幅下采样与池化，许多精细线索——例如两组条纹之间相差半个周期的相位关系、一两个像素宽的局部错位——会在特征图里被平滑掉。模型“看见”的是统计意义上的颜色与纹理分布，而人眼“看见”的是被组织起来的结构。

3. 由此派生出两条防御路线：

• 结构错觉路线：把文字信息编码进“人眼会补全、机器会丢失”的线索中；
• 对抗扰动路线：主动优化像素级扰动，把模型提取的特征推向错误语义，使其输出被指定的文本。

三、方案一：彩色对接光栅——把文字藏进条纹的相位里

该方案借鉴虚幻轮廓的思想：用两组空间频率、方向完全一致，但相位相差半个周期的彩色光栅，分别填充文字区域与背景区域。此时：

• 文字内外颜色分布高度接近，基于颜色或亮度的分割手段难以奏效；
• 原本连续的笔画边缘被替换为“条纹错位”，人眼会把这种局部不连续组织成完整轮廓，从而仍能读字；
• 模型在缩放与特征提取后，编码在相位关系中的字符线索被显著削弱。

实现流程（任意主流图像处理库均可实现）：

1. 提取文字掩码：将原图灰度化，用大津法自适应阈值分割得到二值掩码；若背景复杂，可补充形态学开闭运算清理噪点。
2. 轻度轮廓形变：用正弦函数叠加低频随机位移场，对文字轮廓做轻微局部扭曲，打散规整的字形特征，同时保持人眼可读。
3. 生成光栅并做相位处理：生成周期性彩色光栅，依据掩码将字符内部的光栅相位反转半个周期，使文字与背景颜色分布相近、边界处形成条纹错位。
4. 多通道增强（可选）：将不同方向、不同频率的光栅分别编码到不同颜色通道，并叠加局部条纹扰动，最后合成彩色图像，进一步提高自动滤除的难度。

# 流程伪代码（具体API以所用图像处理库为准）
img   = 读入图像("input.png")
gray  = 灰度化(img)
mask  = 大津法二值化(gray)                    # 1=文字区域, 0=背景
mask  = 轻度形变(mask, 正弦位移 + 低频随机场)   # 打散规整笔画边缘
bg    = 生成光栅(频率=f, 方向=θ, 相位=0)
fg    = 生成光栅(频率=f, 方向=θ, 相位=π)       # 反转半个周期
out   = fg * mask + bg * (1 - mask)           # 按掩码拼接两组光栅
out   = 相近色系上色(out)                      # 让文字内外颜色分布接近
# 可选增强：不同方向/频率光栅写入不同颜色通道，并叠加局部条纹扰动
out   = 通道合成(光栅(f1,θ1), 光栅(f2,θ2), 光栅(f3,θ3)) + 局部条纹扰动
保存图像("output.png", out)

关键参数经验：

• 光栅频率：取“人眼可清晰分辨、但图像缩放后容易混叠”的频段效果最佳；频率过低机器易恢复，过高则人眼也读不出；
• 相位差：固定为半个周期是效果核心，偏大或偏小都会让轮廓错觉明显减弱；
• 形变幅度：以“人眼仍无障碍阅读”为上限，过度形变会同时伤及可读性；
• 配色：尽量让文字与背景在亮度、饱和度上接近，仅靠色相微差组织条纹，进一步压缩颜色分割类攻击的空间。

四、方案二：对抗扰动——直接“欺骗”视觉编码器

光栅方案属于“被动隐匿”，对抗扰动则是“主动误导”：在图像上叠加人眼难以察觉的像素级扰动，使视觉编码器把图像特征拉向被指定的语义，从而让模型输出错误的文字内容。

• 白盒场景：能够访问目标模型的参数与梯度时，可在约束扰动幅度的前提下，沿“提高指定文本生成概率”的方向迭代更新像素值；
• 黑盒场景：无法获取目标模型参数时，常用做法是挑选若干通用视觉-语言模型作为代理模型，优化图像特征与目标文本特征之间的相似度，并在优化过程中加入随机缩放、裁剪等变换，让扰动获得跨模型迁移能力。

需要清醒认识到：对抗样本的迁移性并不保证对所有模型生效，输入端随机缩放、去噪等常见防御手段也会削弱其效果。实践中通常将其与光栅方案叠加使用，形成“结构错觉 + 特征误导”的双重防线。

五、效果验证：建议按四步做闭环

1. 构建多样测试集：覆盖不同字号、字体、背景复杂度与分辨率，避免只在一两张图上“看起来有效”；
2. 多模型交叉测试：选取若干主流多模态模型逐一识别，统计字符识别准确率的下降幅度；
3. 人眼可读性评估：邀请真实用户确认仍能无障碍读出文字，防护不能以牺牲可读性为代价；
4. 鲁棒性复测：对生成图做截图、缩放、有损压缩、重采样后再识别，确认防护在常见操作后依然稳定。

根据测试结果回调光栅频率、相位处理方式与扰动强度，形成“生成 → 测试 → 调参”的迭代闭环。

六、局限性与使用边界

1. 不是绝对防护：周期性图案在频域上有明显特征，攻击者可尝试用频域滤波去除光栅后再识别；引入非严格周期的条纹、低频随机位移与多方向叠加可提高滤除难度，但攻防会持续演进，没有一劳永逸的方案。
2. 对辅助功能的影响：依赖OCR的读屏等无障碍辅助工具同样会被“屏蔽”，面向公众的产品需评估可访问性影响，必要时提供替代的信息获取方式。
3. 仅限正当用途：该技术适用于自有内容保护、隐私脱敏、验证码设计等场景，不应被用于欺诈、规避监管或侵害他人权益。
4. 建议组合纵深防御：图像级防护之外，配合访问控制、请求限流、水印溯源等通用手段，比单一手段更可靠。

七、小结

防OCR的本质，是在“人眼可读”与“机器难读”之间做工程化平衡。彩色对接光栅利用人眼的轮廓补全能力与模型对相位线索的不敏感性，实现了低成本、可解释的图像级防护；对抗扰动则从特征空间主动施压，两者结合可以显著抬高自动化识别的成本。对开发者而言，理解“人机视觉差异”这一设计视角，比记住某个具体参数更有价值——它同样适用于水印设计、人机验证、内容保护等诸多场景。