一张打了马赛克的兑换券二维码交给AI处理，几分钟后被完整复原，扫码即可使用。2026年10月23日前后，这条帖文引发多家媒体报道，讨论的焦点很实际：AI能不能还原二维码，取决于你怎么打码；想防复原，最好直接把二维码裁除。 这不是新警报，人民网早在6月就提醒过：打了马赛克的照片几秒钟就能被还原，打码不等于保密。 这场争论的答案其实不在"AI有多强"，而在一句更朴素的判断上：能不能被破解，取决于你打码之后图片里残留的信息，还够不够算法发力。马赛克和模糊只是把信息"搅浑"，不是把信息"删掉"；真正可靠的遮挡，归根到底只有两种做法。微博小红书
马赛克为什么拦不住AI
马赛克的工作原理，是把一个方块范围内所有原始像素的色彩取平均值，用这个平均色填充整个方块——原始像素没有被丢弃，只是被混合、压缩进均值里。每一块马赛克的颜色，恰恰就是它覆盖区域内黑白模块的灰度平均，AI要做的就是从这些混叠信号里反推原来的排列。整体高斯模糊、低强度像素化，本质上都是信息混淆，不是信息删除。
二维码又是最容易被反推的对象，因为它规则性极强：模块只有黑白两种取值，三个角落的"回"字形定位图形位置和形状固定，排布规则和纠错码字全由编码规范严格定义。AI在海量样本里学到的就是"合法二维码应该长什么样"，它是在无数满足灰度约束的可行解里，挑一个最符合规范的答案。技术分析给出的实测结论与此一致：整体高斯模糊、小方块低强度像素化处理的二维码，AI 有很大概率还原。知乎
这几种打码姿势，等于没打
只遮二维码中间或定位角。二维码有四级纠错：L、M、Q、H，分别可承受约 7%、15%、25%、30% 的码字损坏，日常默认 M 级。涂掉一小块，相当于给算法留了一道带约束的填空题；三个角上的定位图形更是全世界的二维码都长得一样，抠下来贴回去就能补齐结构。知乎
只涂局部还不算完，纠错等级也靠不住。2025年ICML研讨会上展示的一项研究发现，基于 Transformer 的二维码解码器甚至可以突破二维码标称的理论纠错极限，读出里面的内容。它不依赖规范里的纠错码字，而是学习承载文本本身的语言规律，传统扫码器"超过容错阈值就归零"的曲线，不能拿来预判AI的成功率。知乎
半透明蒙版、透明度不足的黑块。半透明蒙版是典型的假遮挡，底层原始像素原封不动，很多时候不需要 AI，仅调整亮度、对比度、色阶，二维码就会重新显现。同理，在文档或截图工具里"画一个黑框盖住"也不安全——遮挡物如果是悬浮的可移动图层，鼠标一拽就复原了，必须合并图层、导出成一张拍平的图。知乎
只遮主码，漏掉旁边的辅码。二维码盖得严实，但旁边条形码、兑换码数字串还亮着，等于信息照样在传播载体上躺着。遮挡要盖就把所有互为冗余的凭证信息一起处理干净。
人脸照片上的"还原"，其实是AI在编
工具生态也已经落地：GitHub开源项目Jasna不是普通的画质增强工具，而是专门针对视频和图片中的马赛克区域进行检测和修复，支持GPU加速和跨帧追踪。但要区分两类"还原"的严重性：对二维码、文字、车牌这类有规范可校验的符号，AI反推出内容就是真实泄露；对人脸和场景纹理，被抹掉的像素确实找不回来——真正"还原"马赛克基本做不到，AI补出来的也只是它猜的样子。猜出来的脸不能当原图看，但这不意味着人脸打码可以高枕无忧：模型靠半张脸的光影和残存轮廓"编"出一个高度合理的假象，外泄风险仍在，而这类工具已经开源、能本地跑。知乎知乎
正确的遮挡姿势：就两种可靠
技术分析的结论很干脆：真正靠得住的二维码脱敏只有两种——直接裁掉，或者用完全不透明的纯色块把二维码完整盖死。 第一优先是裁除：图片里不需要出现二维码、证件号，就干脆把它剪掉——原始信号从载体上消失，算法再强也没有可供反推的东西。媒体给出的建议同样是能不展示就不展示，这是最保险的方法。 必须留底时，用100%不透明的纯色实心块完整覆盖目标、边缘再多盖出去一圈，然后合并图层导出成拍平的PNG或JPG。两张完全不同的二维码盖上同样的纯黑方块，处理后的图片长得一模一样——把信息真正清零，才是防AI破解的含义。知乎小红书
至于群照里批量给路人打码这类场景，只能退而求其次：用马赛克方块尺寸明显大于目标最小有意义单元的高强度像素化。当然，高强度像素化的安全性依赖参数，不能当成绝对保险。攻击算法每迭代一轮，原本拦得住的参数配置随时可能失效，这类做法只适合作为大量非关键信息的批量处理，不能用于支付码、兑换券这类高价值凭证。知乎
回头看引爆讨论的这件事，它的教训不是"AI无所不能"——南京邮电大学黄海平教授把标准说得很直接：关键看打码之后，图片里残留的信息总量，够不够支撑还原出原始数据。我们一直把"搅浑"当成了"删除"，而AI只是把这道判断题重新摆在了每个人发图前的三秒钟里。对支付码、兑换券、证件信息，最稳的遮挡姿势从来只有一条：别让它以任何可恢复的形式，留在你发出去的那张图上。知乎
