Una scritta che si legge strizzando gli occhi, e i modelli AI che dicono che non c’è

Per vedere meglio un quadro c’è un vecchio trucco: socchiudere gli occhi, oppure allontanarsi di qualche passo. I dettagli fini si confondono, restano le grandi masse di luce e d’ombra, e a volte quelle masse compongono una parola che prima non si notava. Nelle foto profilo che passano attraverso un vero sistema di moderazione dei contenuti, chi fa promozioni illecite nasconde proprio lì indirizzi web e recapiti. Negli esempi di un nuovo articolo scientifico, chiamati a trascrivere il testo, Gemini 3.1 Pro, Claude Opus 5 e GPT-6 Astra hanno dato la stessa risposta: «There is no text in this image», in questa immagine non c’è testo.

Gli esempi vengono da un preprint pubblicato su arXiv il 9 ottobre da ricercatori della Beijing University of Posts and Telecommunications e del gruppo anti-cheat di Tencent. Il fenomeno lo chiamano squint text, testo da leggere strizzando gli occhi. Il loro benchmark, SquintBench, raccoglie 1.076 immagini prese da un sistema di moderazione realmente utilizzato, per lo più foto profilo, con tutte le scritte visibili e nascoste trascritte da persone. Per le prove controllate hanno anche generato immagini proprie con QR Code Monster, un componente aperto per Stable Diffusion uscito nel 2023 per nascondere una forma dentro un’immagine generata.

I punteggi sono bassi per tutti, e il più basso di tutti è quello di GPT-6 Astra. Su una scala da 0 a 100 che misura quanto una trascrizione si avvicina al testo giusto, il piccolo modello aperto Qwen3.5-9B ha ottenuto 26,5, Claude Opus 5 22,3, Gemini 3.1 Pro 18,2 e GPT-6 Astra 8,3. Il rimedio più ovvio è strizzare gli occhi al posto del modello: rimpicciolire l’immagine prima di mostrargliela. Ridotte a 40 per 40 pixel, le immagini hanno portato Qwen a 68,6 e Gemini a 44,9. Claude è sceso a 11,1 e Astra a 6,3. La didascalia della prima figura dell’articolo lo dice senza giri di parole: la difesa già in uso non elimina il problema.

La parte strana è quello che succede dentro. Gli autori hanno congelato i parametri del piccolo modello Qwen e collegato una semplice sonda al suo codificatore visivo, lo stadio che trasforma i pixel nella rappresentazione che il modello linguistico poi legge. Davanti a coppie di immagini generate identiche tranne che per una scritta nascosta, la sonda le distingueva quasi sempre, con un’AUC tra 0,96 e 0,98, dove 0,5 corrisponde a una classificazione casuale. Quali lettere ci fossero, invece, emergeva molto più debolmente. L’occhio del modello registra che c’è qualcosa di scritto; tra il vedere e il dire, l’informazione si perde. La causa sembra essere la trama minuta della superficie: eliminando le alte frequenze a parità di dimensione dell’input, il punteggio del modello piccolo è salito da 29,2 a 67,0.

Il rimedio proposto insegna al modello a strizzare gli occhi da solo. Durante l’addestramento una copia di Qwen3.5-9B con i parametri congelati vede l’immagine originale, una versione rimpicciolita e la trascrizione corretta, mentre il modello studente, quello che si addestra, vede solo l’originale. Dopo l’addestramento lo studente legge le immagini originali con 88,6 punti, contro i 26,5 di partenza, perdendo qualcosa nella lettura di documenti normali: in un test standard di lettura del testo è passato da 879 a 833 punti.

Lo stesso scarto tra vicino e lontano viene già usato nel senso opposto. A luglio l’azienda di caratteri generati con l’AI Mixfont ha pubblicato Decoy Font, un carattere gratuito che disegna una sottile lettera civetta sopra una lettera nascosta e sfocata: chi si allontana legge un messaggio, un modello AI che legge lo screenshot ne legge un altro. Entrambi si basano sulle immagini ibride, descritte nel 2006 da Aude Oliva, Antonio Torralba e Philippe Schyns, che mostrano una figura da vicino e un’altra da lontano. Ciò che protegge un messaggio privato da chi raccoglie dati in automatico fa passare anche un indirizzo sotto il naso di un moderatore; e i sistemi di moderazione, per ora, sono quelli che non riescono a fare un passo indietro.

Che cosa non ho potuto verificare: le immagini di produzione, accessibili solo su richiesta, per cui non ho potuto vedere quanto facilmente una persona le legga davvero; l’articolo non riporta un punteggio umano su SquintBench, e su un altro benchmark di testo nascosto due lettori umani, liberi di strizzare gli occhi, hanno recuperato solo il 36% delle scritte. Nelle parti che ho letto l’articolo non dice come siano stati interrogati i modelli commerciali né se qualche rifiuto abbia pesato, e i modelli di prompt erano originariamente in cinese. Buona parte del testo è probabilmente in cinese, una scrittura su cui i modelli occidentali possono essere più deboli in generale. È un solo studio, di autori che lavorano sulla moderazione. Le cifre sono quelle dell’articolo; ho controllato che il codice pubblicato sia online.