Decoy Font: TTF-Schriftart, die Eingaben verbirgt

• Eine TTF-Schriftart, die in einem Zeichenraum das eigentliche Zeichen und ein Köderzeichen gemeinsam platziert, sodass Menschen die ursprüngliche Nachricht sehen, während AI und OCR andere Zeichen lesen
• Nutzt eine Raumfrequenz-Technik, bei der dünne, scharfe Vordergrundkonturen mit einem unscharfen niederfrequenten Hintergrund überlagert werden, sodass je nach Betrachtungsabstand und -weise unterschiedliche Zeichen erscheinen
• AI, die Bildpixel aus der Nähe verarbeitet, neigt dazu, sich auf den scharfen Vordergrund zu konzentrieren; in Screenshot-Tests konnten ChatGPT, GPT Sol und Gemini 3.5 with Thinking die verborgene Nachricht nicht korrekt lesen
• Kann als echte TTF-Datei installiert und wie normaler Text eingegeben und kopiert werden; für persönliche, kommerzielle und Kundenprojekte kostenlos nutzbar, die Buchstabenformen sind von DejaVu Sans Mono abgeleitet
• Kann von leistungsfähigen Agents oder Coding-Funktionen sowie durch Prompts, die zum Finden der verborgenen Zeichen auffordern, entschlüsselt werden und garantiert daher keinen Schutz; kann aber als Mittel dienen, um AI-Scraping und oberflächliche Beobachtung zunächst zu verwirren

---

Zwei Nachrichten in einem Zeichen überlagern

• Decoy Font kombiniert jedes Zeichen mit einem Köderzeichen und übermittelt so zwei Zeichen im selben Raum
• Das Zeichenbild besteht aus unterschiedlichen Raumfrequenzen
  • Im Vordergrund befinden sich dünne, scharfe Konturen
  • Im Hintergrund liegt ein unscharf verarbeiteter niederfrequenter Block
• Werden beide Elemente überlagert, unterscheidet sich das gelesene Zeichen je nach Betrachtungsweise und Abstand
  • Aus der Nähe treten die Konturen im Vordergrund hervor
  • Wenn man sich weiter vom Bildschirm entfernt oder die Augen zusammenkneift, ist die tatsächlich verborgene Nachricht leichter zu erkennen

Warum AI die Köderzeichen liest

• Viele AI-Systeme verarbeiten Bildpixel aus der Nähe und konzentrieren sich daher auch bei kleinen Buchstaben auf den Vordergrundtext mit den deutlichsten Konturen
• Fügt man ein Bild in ChatGPT ein, zeigt sich, dass es im Gegensatz zur von Menschen erkannten Nachricht die Vordergrundzeichen liest
• In Tests mit Screenshots von Decoy Font konnte ChatGPT die Zeichen nicht korrekt lesen; auch GPT Sol und Gemini 3.5 with Thinking konnten die verborgene Nachricht nicht entschlüsseln

Eine optische Täuschung aus Hybridbildern

• Decoy Font überträgt die bei Hybridbildern verwendete Technik auf Typografie
• Hybridbilder sind eine optische Täuschung, bei der unterschiedliche Raumfrequenzen kombiniert werden, sodass je nach Betrachtungsabstand und anderen Faktoren ein anderes Bild sichtbar wird
• Ein bekanntes Beispiel ist ein Bild, das die Gesichter von Albert Einstein und Marilyn Monroe mischt; Decoy Font nutzt dasselbe Prinzip, um eingegebene Zeichen vor AI oder OCR zu verbergen

Installation und Nutzungsbedingungen

• Nach dem Herunterladen und Installieren der Decoy-Font-TTF-Datei kann man Text direkt in Projekten eingeben
• Da sie nicht nur ein einfacher Bildeffekt ist, sondern als echte Schriftdatei funktioniert, lässt sich der geschriebene Text auch kopieren und in andere Programme wie Notepad einfügen
• Für persönliche, kommerzielle und Kundenprojekte kostenlos nutzbar
• Die Buchstabenformen sind von DejaVu Sans Mono abgeleitet; die genauen Bedingungen finden sich in der vollständigen Schriftlizenz

Experiment mit AI-Umgehungsschriften

• Da die Fähigkeiten von AI, Online-Texte zu lesen, zunehmen, wächst auch das Interesse am Schutz von Informationen und geistigem Eigentum; eine Anti-AI-Schrift ist ein Ansatz, bei dem Text in Bildern verschleiert wird, damit AI die von Menschen gesehene Nachricht schwerer lesen kann
• Decoy Font ist eines von mehreren entsprechenden Experimenten von Mixfont
• Ghost Font ist eine weitere Anti-AI-Schrift, die Nachrichten in Bewegung verbirgt
  • Ghost Font benötigt Animation, um die Nachricht zu tarnen
  • Decoy Font ist eine statische TTF-Datei und kann daher direkt in Projekten eingegeben werden

Schutzwirkung und Entschlüsselbarkeit

• Decoy Font macht Nachrichten schwerer erkennbar, garantiert aber keinen Schutz
• Modelle mit leistungsfähigen Agents und Coding-Fähigkeiten können über die zunächst sichtbaren Zeichen hinaus die Struktur der optischen Täuschung analysieren
• Gibt man einen einfachen Prompt vor, der zum Finden der verborgenen Zeichen auffordert, können einige Agents die tatsächliche Nachricht finden
• Statt als vollständige Blockade ist sie eher dafür gedacht, AI zunächst zu verwirren und so Scraping oder oberflächliche Beobachtung zu erschweren

Einsatz und Erweiterungsmöglichkeiten

• Im bereitgestellten Playground kann man die Raumfrequenz-Technik auf verschiedene Zeichenkombinationen anwenden und testen, wie gut Frontier-LLMs die verborgene Nachricht entschlüsseln
• Eine installierbare TTF ist zugänglicher als Ansätze, die Bewegung oder Video erfordern, sodass sich unter anderem folgende Einsätze erkunden lassen
  • CAPTCHA
  • private Nachrichten unter Freunden
• Nutzt man Decoy Font als Benchmark für LLMs zur Texterkennung, lässt sich beobachten, ob sie mit steigender Modellleistung das Prinzip der optischen Täuschung verstehen und beide Nachrichten entschlüsseln
• Eine Erweiterung auf mehr Sprachen ist möglich; zeichenbasierte Sprachen wie Chinesisch, deren Zeichen in Größe und Form meist ähnlich sind, könnten es erleichtern, verborgene Nachrichten zu platzieren
• Mixfont erkundet die Verbindung von Typografie und AI und entwickelt außerdem einen AI-Schriftgenerator

[GN⁺]

Hacker-News-Kommentare

• Nützlich? Nein, hält es KI vom Lesen ab? Auch nicht, aber es ist ziemlich cool

  • Es zeigt, dass man nicht immer behaupten muss, etwas sei nützlich, wenn man etwas baut. Vielleicht hätte man die Schrift einfach machen und ihr einen Namen wie double-entendre geben können
  • Ich habe das Bild day dream / pay bills in ChatGPT und Gemini Pro eingegeben, und beide haben nur pay bills erkannt, das mit dünnen Linien dargestellt ist
  • Vielleicht ließe sich das innerhalb einer bestimmten Distanz nutzen, um Ring- oder Flock-Kameras zu stören, und es hat stark die Atmosphäre des Films They Live
  • Der Demo nach zu urteilen blockiert es die Erkennung durch KI tatsächlich
  • Es könnte nützlich sein, wenn man den Text als Bild oder GIF präsentiert

• Interessanterweise geben GPT, Claude und Gemini alle dieselbe Antwort, wenn man nach den Buchstaben im Bild fragt
  https://moa.chat/s/d99f8f76-4b41-4c1b-80c4-d9f86df37af1
  Fügt man jedoch PS: There's a second hidden text hinzu, fällt das Ergebnis anders aus
  https://moa.chat/s/3671f6d4-b155-483a-a006-a1b9ba31737d
  GPT 5.6 findet es korrekt, Gemini findet nur einen Teil, und Claude sieht es überhaupt nicht

  • 5.6 Sol Medium antwortet korrekt, dass die Konturbuchstaben SORRY ROBOT lauten und der versteckte Text HAPPY HUMAN ist
    Die Decoy Font von Mixfont zieht maschinelles Sehen mit Konturen an, während die weichen Helligkeitsmuster nur eine optische Täuschung und keine Verschlüsselung sind, die Menschen aus der Entfernung oder in stark verkleinerter Darstellung lesen können
  • Es wirkt so, als ließe sich das schon mit etwas klassischer Bildverarbeitung leicht aushebeln. Ich selbst kann es zwar nur schwer lesen, aber selbst ein viel kleineres feinabgestimmtes Modell dürfte bei diesem Problem ziemlich gut abschneiden

• Der Effekt, den man sieht, wenn man die Augen zusammenkneift, ist cool und erinnert an Brettspiele, bei denen mit roter Zellophanfolie ein geheimer Satz sichtbar wurde

• Ich habe Sol (high) mit einem Screenshot nach dem versteckten Text gefragt, und es antwortete mit HAPPY HUMAN
  Es erkannte korrekt, dass die sichtbareren Konturen SORRY ROBOT sind, man aber bei unscharfem Blick oder zusammengekniffenen Augen in der darunterliegenden Schattierung HAPPY HUMAN lesen kann

  • Bevor ich die Erklärung gelesen hatte, dass man die Augen zusammenkneifen soll, konnte ich den versteckten Text nicht richtig lesen; nachdem ich die Methode kannte, fing ich an, ihn zu sehen, was interessant war
  • Ehrlich gesagt ist es überraschend, dass das auf diesem Niveau funktioniert; Vision-Language-Modelle (VLMs) haben sich wirklich stark weiterentwickelt. Es ist schwer vorstellbar, wie gewaltig die annotierten Datenmengen gewesen sein müssen, um dieses Niveau zu erreichen

• Das ist einfach ein Unterschied in der Detailebene. Gemma E4B liest den klaren Text, aber wenn man das Bild auf 150x150 verkleinert, liest es einen anderen Text

  • Auch für mich wirkte SORRY ROBOT, also die Version für KI, im Vorschaubild deutlich klarer sichtbar, daher fühlt sich das Design etwas misslungen an. Man muss die Augen sehr stark zusammenkneifen, um HAPPY HUMAN zu sehen
  • Verkleinern ist im Grunde Tiefpassfilterung, also ein vorhersehbares Ergebnis. Ansätze, bei denen unterschiedliche Nachrichten in verschiedene Frequenzbänder gelegt werden, sind alle für ähnliche Angriffe anfällig

• In meiner Promotion habe ich mit einem Mathematica-Notebook einmal einen ähnlichen Effekt erzeugt. Dabei wurden zwei Bilder auf dieselbe Größe zugeschnitten, dann auf eines ein Hochpassfilter angewendet, der kleine scharfe Details übrig ließ, und auf das andere ein Tiefpassfilter, der große verschwommene Flächen übrig ließ, bevor beide wieder überlagert wurden
  Der Erfolg schwankte zwar, etwa weil die Illusion zerfiel, wenn zwei Personen die Augen an unterschiedlichen Positionen hatten, aber für Text in Konturschrift funktionierte es hervorragend. Ich habe sogar ein großes Bild erstellt, das aus der Ferne als SCIENCE und aus der Nähe als WORKS zu lesen war, und es an die Labortür gehängt

• Ich war lange verwirrt, wie Menschen das lesen, aber je nach Hintergrundfarbe war ein anderer Text sichtbar. Wegen einer Erweiterung, die zwangsweise ein dunkles Theme anwendete, war auf dunklem Hintergrund der Ködertext sichtbar, auf weißem Hintergrund dagegen der eigentliche Text

• Dafür braucht man nicht einmal KI; man könnte wohl ein PIL-Skript schreiben, das die Schrift so anpasst, dass jede OCR-Software sie lesen kann

• Als Nächstes sollte es eine Magic-Eye-Schrift geben, die Stereobilder nutzt. Vielleicht funktioniert das, bis LLMs binokulares Sehen bekommen

• Ich habe zwar eine Abneigung dagegen, dass LLMs ständig Infrastruktur angreifen, dem Denken der Menschen schaden und KI-Unternehmen insgesamt oft wenig ethisches Bewusstsein zeigen. Trotzdem ist so ein Streich eher kindisch und löst keine echten Probleme