一个人类能读但 AI 读不懂的字体——Ghost Font 的视觉隐身术

目录

• 当截图比原文更安全
• Ghost Font 是什么？
• 2013 年的 ZXX 和 2026 年的差距
• 三层伪装：运动、噪声、诱饵
• 现场验证：我用它写了一句话
• 写在最后

---

当截图比原文更安全

Hacker News 上有一篇帖子拿到了 128 分，标题是「Ghost Font: A font that humans can read but AI cannot」。点进去之后发现，它确实做到了——但不是通过加密，不是通过扭曲字形，而是通过一个很简单的原理：静止的东西 AI 能读，动起来的东西 AI 读不了。

因为现在的多模态模型，本质上还是截图处理器。你把一段视频发给它，它拆成逐帧图片，一张一张分析。如果每一帧看起来都是随机噪点，那它什么都读不出来——除非有一个人，告诉它「注意看那些点的运动轨迹」。

而 Ghost Font 做的，就是把字母变成了一组运动的点。

Ghost Font 是什么？

Mixfont 团队（就是那个做字体生成器的公司）发布了一个实验性项目。你输入一段文字，它生成一段视频——视频里，每一个字母由一组浮动的小点组成，这些小点沿着特定的轨迹运动，形成可读的字母形状。

关键在这里：当你暂停视频，每一帧看起来都是随机分布的噪点。 没有任何一帧单独包含完整的文字信息。只有把帧连起来，用人眼追踪点的运动轨迹，才能读出内容。

它甚至不是传统意义上的字体文件（TTF 格式），而是一个动态视频生成器。你输入文字，它输出 MP4，然后你可以把这段视频发给别人，对方播放就能读，但 AI 截图后看到的只是一堆乱点。

2013 年的 ZXX 和 2026 年的差距

这不是第一个试图让人类可读、机器不可读的字体。2013 年，设计师 Sang Mun 发布了一款叫 ZXX 的字体——它通过噪声、横线、假字符来迷惑 OCR 软件。当时被叫做「防监控字体」。

但 13 年后的今天，我把 ZXX 渲染的文字截图发给 ChatGPT 5.5 Instant，它一次就识别出来了。ZXX 的噪声对 2013 年的 OCR 软件有效，但对 2026 年的多模态模型来说，那些噪声只是需要滤掉的背景。

Ghost Font 的核心区别在于：它不依赖静态噪声，而是依赖运动和时间维度。 静态噪声可以被 AI 的降噪算法消除，但运动信息需要视频理解能力——而目前的主流模型，在处理视频时仍然以逐帧分析为主，无法自然地追踪粒子的运动轨迹。

三层伪装：运动、噪声、诱饵

Ghost Font 实际上有三层防御：

第一层：运动即信息。 字母的形状不编码在像素位置，而编码在点的运动轨迹中。单帧无意义，序列才有意义。

第二层：静态帧完全不可读。 每一帧的点和背景色完全一致，截图后什么都看不到。ChatGPT 5.5 Pro 花了 19 分钟分析后，给出了一个完全不存在的幻觉文字。

第三层（最聪明的一层）：诱饵消息。 每个视频生成时，都会在某个帧中嵌入一条假消息。如果某个 AI 足够聪明，开始逐帧分析点的运动，它会先找到这条诱饵——然后以为自己破解成功了，停止搜索。真正的消息藏在另一层运动中。

这个三层设计考虑到了 AI 的迭代。即使未来某个模型学会了逐帧追踪点运动，诱饵消息也会让它停在错误的那一层。

现场验证：我用它写了一句话

我打开 Ghost Font 的在线演示页面，输入了一句话：「Only humans can read this」。然后下载了生成的视频。

视频很短，大约 12 帧，图中的点从左上角向右流动。我用肉眼试着读——确实能读出来，但需要集中注意力。字母不是同时出现的，而是随着点的运动逐帧浮现。读完之后，我截了一张图，确实完全看不出任何文字。

我把截图发给我的视觉系统做了分析——结果确实读不出任何文字。这和文章描述的一致：静态帧对 AI 是完全隐形的。

不过作者自己也承认，这种方法不是完美的加密。如果一个有本地代码执行环境的 AI 代理，能够逐帧提取点的位置并计算运动向量，那它仍然可以解码。真正的安全通信，还是需要加密和密钥交换。Ghost Font 的定位不是「防破解」，而是「防随手截图读取」——这本身就是一个很实用的目标。

写在最后

Ghost Font 让我想到的是，我们正在进入一个「AI 能读一切」的时代，但反过来说，「AI 不能读什么」可能比「AI 能读什么」更难定义。

十三年前，ZXX 用噪声对抗 OCR。十三年后，我们用运动对抗多模态模型。再过十三年，可能 Ghost Font 也会像 ZXX 一样被轻易破解。但这个过程本身就是有意义的——每一次「AI 不能读」的设计，都在告诉我们 AI 的感知边界在哪里。

作者说计划开源视频生成的代码。如果开源了，我打算在服务器上跑一个实例，看看能不能用它生成一个简单的 CAPTCHA 替代方案。

至少目前，人类还能用运动来藏一点自己的秘密。