巧用视觉错觉：防止图片文字被OCR识别的实践

在“机器越来越会读图”的时代，让图片里的文字保持“人眼可读、机器难识”，正在从一个小众技巧变成一类真实的工程需求。近期多模态安全领域的一项学术研究，为这个问题提供了一个颇具启发性的答案：不是把文字藏起来，而是换一种只有人类视觉系统才能“解出来”的编码方式。本文将拆解其原理，并给出一套可落地的完整处理流程。

一、需求场景与防护定位

“防止图中文字被OCR识别”通常出现在三类场景中：

1. 截图脱敏：聊天记录、工单、账单截图中常包含姓名、手机号、订单号等敏感字段。涂抹打码虽然安全，但当图片同时需要供真人阅读时，大面积遮挡会严重破坏阅读体验。
2. 素材防爬取：原创插画、教程配图、付费专栏插图，不希望被批量抓取后经OCR转成文字二次传播。
3. 人机验证设计：验证码的本质就是“人能过、机器过不去”，学术界研究自动化智能体检测时提出的思路，正与本文主题同源。

需要先明确定位：这类技术属于“提高自动化识别成本”，而不是加密。若信息本身高度机密，正确做法依然是不可逆处理（涂抹、裁剪、移除）。它的价值在于——在必须保留人类可读性的前提下，尽可能抬高机器识别的门槛。

二、常规手段为什么越来越难奏效

提到防OCR，多数人的第一反应是：加噪点、降低对比度、缩小字号、轻度旋转扭曲，或在背景铺一层干扰纹理。这些手段在模板匹配时代确实有效，但面对深度学习OCR已十分吃力：

• 现代OCR普遍采用“文本检测 + 文本识别”两阶段架构，检测网络本身就在大规模扭曲、模糊、低对比度样本上训练而来，对常见干扰的鲁棒性很强；
• 预训练多模态大模型进一步拉高了识别上限，即使是透视形变、艺术字体、复杂背景，也常有不错的识别率；
• 更关键的是，这些手段只改变信噪比，不改变信息的编码方式——文字仍以“笔画边界”的形式存在于像素中，统计模型总能学到。

因此，思路需要从“破坏信息”转向“更换编码”：把字符信息从机器擅长的几何边缘中抽离，编码进机器不擅长、而人类视觉天然擅长的感知线索里。

三、核心原理：把字符藏进“幻觉轮廓”

3.1 人眼的“脑补”能力

人类视觉系统存在一种著名的知觉现象：当画面中只有一些不完整的碎片（如若干缺口圆环或错位线段），大脑会依据闭合性与连续性原则，自动“补全”出一条并不存在的边界。这就是幻觉轮廓（Illusory Contour），属于格式塔心理学中知觉组织与轮廓补全的典型表现。经典错觉图里“浮现”出的虚拟三角形、虚拟圆形，都是这一机制的作用结果。

3.2 彩色对接光栅

前述学术研究提出的做法可概括为“彩色对接光栅”：

• 生成两组周期性彩色条纹光栅，空间频率相同、条纹方向相同，但相位相差恰好半个周期；
• 一组填充文字内部，另一组填充背景。

效果是：字符内外的颜色分布高度接近，原本清晰的笔画物理边缘被彻底抹掉，取而代之的只有两组条纹在字符边界处的“错位拼接”。

3.3 人机在此分道扬镳

人眼看到这类图像时，会自动把局部不连续的条纹组织成完整的字符轮廓，阅读几乎不受影响。而机器这边，字符信息被编码在条纹间细微的相位关系里：图像送入模型前通常要经历缩放插值、下采样与多层卷积特征提取，这些操作天然会削弱高频、微弱的相位线索，导致模型无法从条纹中还原字符形状。

一句话总结原理：把识别难度从“内容语义层面”转移到“感知机制层面”——比拼的不再是模型的语言能力，而是它是否具备一套类似人类的知觉组织能力。

四、完整处理流程与实现要点

工程落地不必复现研究的全部组件，仅实现光栅部分即可获得主要收益，整体分五步。

4.1 提取文字二值掩码

先将原图灰度化，再用 Otsu 自动阈值法做二值分割。Otsu 方法通过最大化前景与背景的类间方差自动确定最优阈值，无需手工调参，对白底黑字、深底浅字均能较好适应。分割后建议追加一次形态学闭运算，填补笔画内部细小孔洞，保证掩码完整。

4.2 对文字轮廓做轻度形变

用正弦位移场叠加低频随机扰动，对掩码做小幅局部形变，幅度控制在光栅周期的较小比例内。这一步旨在打破笔画的规则几何形态——规则形状是OCR检测框与骨架提取的强先验，轻度不规则化能进一步提高识别难度，且不影响人类阅读。

4.3 生成光栅并执行相位反转

光栅亮度可用余弦函数描述：

G(x, y) = 0.5 + 0.5 · cos( 2πf · ( x·cosθ + y·sinθ ) + φ )

其中 f 为空间频率，θ 为条纹方向，φ 为初相位。对文字掩码覆盖的像素，将 φ 反转半个周期（即加上 π）：字符与背景颜色分布趋于一致，边界处形成条纹错位。

4.4 多通道编码与扰动叠加

进一步增强：把不同方向、不同频率的光栅分别编入 R、G、B 三个颜色通道，并为每个通道叠加小幅局部相位抖动。如此一来，单通道分析、灰度化处理、简单滤波都难以还原字符信息，而彩色合成后人眼依然能完成轮廓补全。

4.5 参考伪代码

输入: 原图 src
1  gray ← 灰度化(src)
2  mask ← Otsu阈值分割(gray)          # 文字像素 = 1
3  mask ← 形态学闭运算(mask)
4  # 低频正弦位移场，打破笔画规则几何
5  dx ← A·sin(2πfx·x + φx);  dy ← A·sin(2πfy·y + φy)
6  mask ← 位移场重采样(mask)
7  for 通道 c ∈ {R, G, B}:
8      (θc, fc) ← 该通道预设的条纹方向与频率
9      Gc ← 0.5 + 0.5·cos( 2πfc·(x·cosθc + y·sinθc) )
10     Gc ← Gc + 局部随机相位抖动(x, y)
11     对 mask=1 的像素: Gc 的相位 φ 加 π
12 输出: 按 R/G/B 通道合成彩色图像

4.6 参数选择建议

• 条纹宽度：在目标显示尺寸下建议控制在几个像素量级。过细会被有损压缩与缩放直接抹平，过粗则机器可能直接分辨出字符形状。
• 相位差：固定为半周期，这是人眼轮廓补全效果最稳定的取值。
• 颜色分布：字符内外的颜色统计应尽量接近，可用直方图对比验证。
• 形变幅度：宁小勿大，形变过强会先伤到人类可读性。

五、进阶思路：叠加对抗性扰动

该研究在光栅基础上还引入了“对抗错觉”，即通过优化图像扰动，使视觉编码器提取到的特征偏向指定语义方向，属于对抗样本技术在多模态领域的延伸：

• 白盒场景：可访问目标模型时，直接基于梯度更新扰动，提升指定文本的生成概率；
• 黑盒场景：无法获取模型参数时，用多个图文对比学习模型作为代理，优化图像特征与目标文本特征的相似度，以增强扰动在不同视觉语言模型间的迁移性。

对普通开发者而言，这一层实现门槛较高（需要模型访问权限与扰动优化经验），投入产出比一般。工程实践中把光栅层做扎实，通常已能覆盖大部分防护诉求。

六、如何验证防护效果

上线前建议建立三条测试基线：

• 机器侧：选取多款主流OCR引擎与通用多模态大模型，统计处理前后的字符识别准确率。重点关注整句可读比例而非单字错误率——只要模型能“连蒙带猜”读出整句，防护即告失效。
• 人类侧：抽样做可读性测试，统计正确辨认率与阅读耗时，并覆盖不同屏幕尺寸与观察距离。
• 环境侧：模拟真实传播链路，包括即时通讯场景的有损压缩、二次截图缩放等，确认效果衰减在可接受范围内。

七、局限性与工程建议

最后必须坦诚这套方案的边界：

1. 它不是加密。人工转述、逐字抄录永远防不住；随着模型进化，某天被新模型破解也属正常，防护需要定期回归测试。
2. 分辨率敏感。幻觉轮廓依赖精确的条纹相位关系，大幅缩放、打印扫描会同时削弱机器难度与人类可读性，务必锁定目标显示场景。
3. 建议分层防护。对高价值内容，可将本技术与数字水印、访问控制、法律声明组合使用，而非单点依赖。
4. 合规使用。该技术应仅用于隐私脱敏、版权保护、人机验证等合法正当场景，不得用于规避监管、欺骗审核或其它不当目的。

八、小结

防OCR的本质，是一场关于“感知机制”的错位竞争：机器赢在统计与规模，人类赢在知觉组织。彩色对接光栅正是把战场从前者拉到后者——用相位错位的条纹替代笔画边缘，让文字只对具备轮廓补全能力的“读者”可见。理解了这一点，无论是做截图脱敏、素材防爬，还是设计新一代人机验证，都能获得一个更本质的思考框架。