Путь, который традиционный DLP не может закрыть: скриншот
Каждая хорошо управляемая организация уже контролирует известные пути выхода данных. Копирование-вставка отслеживается, скачивание файлов регистрируется, письма сканируются, печать ограничивается. Эти меры останавливают подавляющее большинство случаев случайного раскрытия данных.
Остаётся единственный путь, который никто из них не видит: скриншот. Пользователь, имеющий только право просмотра, фотографирует экран — телефоном в руке, сочетанием клавиш скриншота операционной системы или записью экрана с отдельного устройства. Изображение покидает организацию в виде пикселей. Пиксель — это не событие копирования-вставки, не скачивание файла и не письмо; ни одно из существующих средств не распознаёт его как выход данных.
То, что можно сделать с таким изображением, за последние несколько лет изменилось радикально. Классические OCR-движки (вроде Tesseract, AWS Textract) извлекают из изображения текст производственного качества. Современные AI-модели зрения — такие как GPT-4V, Claude Vision, Gemini — идут ещё дальше: они смотрят на изображение целостно, выводят структуру таблицы, разделы договора, поля формы, иногда прочитывая больше, чем хорошо обученный человек.
Часто предлагаемые против этой угрозы средства защиты — видимый водяной знак, некопируемый DOM, обнаружение записи экрана, контроль буфера обмена через управление мобильными устройствами — опираются на допущения, которые больше не выдерживают проверки. Видимый водяной знак не мешает прочитать окружающий текст. Некопируемый DOM не останавливает камеру мобильного телефона. Обнаружение записи экрана не видит запись, сделанную отдельным устройством.
Единственное место, где этот путь действительно закрывается, — сами пиксели, отображаемые на экране: то, что видит пользователь, упорядочивается так, чтобы из сделанного снимка нельзя было извлечь осмысленный текст.
Как ZeroLeak закрывает путь утечки через скриншот
ZeroLeak запускает защищаемое веб-приложение в браузере на сервере и пропускает отрендеренные кадры через пиксельные вмешательства до того, как они достигнут пользователя. Браузер пользователя получает поток пикселей — не HTML, DOM или JavaScript, — а значит, единственный способ извлечь контент — это сфотографировать то, что на экране. А это изображение по замыслу нечитаемо для OCR и AI-моделей зрения.
Приложение работает не в браузере пользователя, а внутри ZeroLeak
ZeroLeak открывает защищаемое веб-приложение на собственном сервере, внутри безголового (headless) браузера. Браузер пользователя вообще не получает ни HTML страницы, ни её JavaScript, ни DOM — только поток пикселей с отрендеренным видом этой страницы. Можно представить это как просмотр видео: клики и ввод с клавиатуры отправляются назад, в браузер на сервере; новое изображение, возвращённое им, передаётся пользователю.
Восемь различных изменений пиксельного уровня сбивают OCR-движки
Каждая страница, отрендеренная на сервере, перед отправкой пользователю проходит через восемь независимых пиксельных вмешательств. Незаметный для глаза пользователя шум, тонкие линии, размещённые на границах символов, разделение цветовых каналов и подобные техники применяются вместе. Каждая техника нацелена на свой этап работы OCR-движков; наложенные друг на друга, они таковы, что слой, который преодолел один движок, останавливает другой.
Отдельный слой защиты специально нацелен на современные AI-модели зрения
Модели вроде GPT-4V, Claude Vision, Gemini смотрят на изображение целостно — они не читают по буквам, а пытаются вывести макет страницы, заголовки, таблицы. Поэтому одного только пиксельного вмешательства на уровне букв недостаточно. ZeroLeak разбивает изображение на маленькие кадры, вращающиеся со скоростью, незаметной для пользователя, и пикселизирует каждый кадр независимым паттерном. Зрительная система человека сливает вращающиеся кадры в устойчивое и читаемое изображение; AI-модель зрения не может уловить устойчивый текст или макет даже по одному кадру.
Может быть настроена как единая политика вместе с защитами форензик-водяного знака и шифрования текста
Anti-OCR защита работает в той же конфигурации, что и другие защиты экранного слоя ZeroLeak. Страница может нести скрытый идентификатор пользователя, оставляющий след даже при обрезке или масштабировании (форензик-водяной знак); а соответствие видимого текста в DOM может выдавать бессмысленный результат при копировании (шифрование текста). Каждый слой включается и выключается независимо для каждого защищаемого сервиса — комбинация выбирается по сценарию использования.
Восемь различных пиксельных вмешательств, применяемых к каждой странице
Восемь приведённых ниже техник применяются к каждой странице, отрендеренной на сервере, перед отправкой пользователю. Каждая нацелена на отдельное слабое место OCR-движков и AI-моделей зрения. Наложенные друг на друга, они дают суммарную поверхность, которую злоумышленнику нужно преодолеть для извлечения текста из снимка, гораздо большую, чем эффект отдельных техник.
Случайный пиксельный шум, незаметный для человеческого глаза
Каждый пиксель получает случайное изменение яркости в очень малом диапазоне. Человек воспринимает это как лёгкую текстуру, не влияющую на чтение; но чистых, согласованных границ пикселей, на которые OCR-движки опираются для различения краёв текста и форм букв, там больше нет.
Искажение частотной полосы, в которой OCR ищет границы букв
Классические и современные OCR-движки ищут границы букв и толщину линий в изображении в определённой пространственной частотной полосе. По этой полосе наносится тонкое частотное искажение. Общая структура изображения остаётся чёткой для человека-читателя, а модуль обнаружения краёв OCR не находит надёжной границы.
Разное представление одной и той же буквы в красном, зелёном и синем каналах
Обработка текста применяется по-разному в цветовых каналах с малыми различиями; один и тот же символ рендерится по-разному в красном, зелёном и синем каналах. Человеческий глаз сливает три канала и видит один читаемый символ. Большинство OCR-движков сначала переводят изображение в оттенки серого — в этом процессе теряется нужная им межканальная информация о буквах.
Тонкое наложение линий на границах букв
Где заканчивается одна буква и начинается другая — критический этап для корректной работы OCR. На изображение страницы добавляются очень тонкие линии, попадающие на эти межбуквенные границы и выглядящие для пользователя как фоновая текстура. Человеческий глаз принимает линии за фон и пропускает их; OCR же разделяет две буквы как одну или одну букву как две и неправильно сегментирует текст.
Незаметный для глаза субпиксельный сдвиг каждой буквы
Каждая буква смещается на величину, слишком малую для восприятия человеком — ниже масштаба пикселя. Опыт чтения не меняется. Поскольку базовое положение линии и выравнивание тела, которые OCR-движки используют для распознавания букв, нарушаются, точность распознавания падает.
Ограниченное перемешивание пикселей внутри каждой буквы
Внутри собственной области каждой буквы применяется ограниченное смещение пикселей. На расстоянии чтения буква выглядит для глаза такой же. Но пиксельная статистика, которую OCR-движки используют, определяя, «A» это или «R», нарушается.
Низкоинтенсивные паттерны вмешательства, размещённые на фоне текста
В нетекстовые области помещаются специальные паттерны, которые человеческий глаз почти не замечает. Эти паттерны сбивают этап, на котором OCR сначала находит области текста, а затем выполняет чтение, — контраст между текстом и фоном в восприятии OCR снижается, и движок не может определить, где начинается текст.
Вмешательство, рассчитанное с прицелом на внутреннюю структуру OCR и AI-моделей
Берётся репрезентативный OCR или AI-модель зрения, и применяются пиксельные изменения, рассчитанные по внутренней рабочей структуре этой модели (градиенту). Результат влияет и на другие модели того же семейства. В сочетании с семью техниками выше суммарный эффект больше суммы отдельных техник.
Отдельный слой для современных AI-моделей зрения — вращающаяся сегментация кадров
AI-модели зрения (GPT-4V, Claude Vision, Gemini и им подобные) смотрят на изображение иначе, чем OCR. Вместо чтения по буквам они смотрят на страницу целостно и пытаются восстановить макет, таблицу, форму. Восемь техник выше надёжно останавливают классический OCR, но не делают этих целостных читателей полностью бессильными. Вращающаяся сегментация кадров — это слой, спроектированный для таких читателей.
Изображение разбивается на маленькие кадры, каждый кадр пикселизируется отдельным паттерном
Каждое изображение, отрендеренное на сервере, разбивается на невидимую сетку (обычно 3×3). Каждый кадр обрабатывается независимым паттерном пикселизации и независимой фазой паттерна. Между двумя соседними кадрами нет общей структуры.
Паттерны вращаются со скоростью, незаметной для человека
Паттерн пикселизации вращается между кадрами быстрее, чем способна заметить зрительная система человека, но на скорости, при которой глаз всё ещё формирует устойчивое изображение. Пользователь читает страницу нормально. AI-модель зрения, смотрящая на один кадр или короткую последовательность кадров, не может уловить устойчивую структуру текста или макета.
Каждый кадр независим — расшифровка одного кадра не помогает с другим
Кадры не разделяют друг с другом паттерн или фазу. Даже если AI-модель расшифрует паттерн пикселизации одного кадра, эту информацию нельзя применить к соседним кадрам. Чтобы расшифровать всё изображение, нужно расшифровать каждый кадр по отдельности; это означает объём работы, прямо пропорциональный числу кадров.
Работает как дополнительный слой поверх восьми пиксельных техник
Вращающаяся сегментация кадров — это не самостоятельная защита, она добавляется поверх восьмитехнического пиксельного слоя выше. Даже если AI-модель частично преодолеет верхний слой, под ним всё ещё лежит восьмитехнический слой, нацеленный на уровень букв. Злоумышленнику нужно одолеть два разных вида защиты на одном и том же изображении.
Число кадров, скорость вращения и интенсивность настраиваются отдельно для каждого защищаемого сервиса
Плотность сетки, скорость вращения, интенсивность паттерна и геометрия сетки задаются отдельно для каждого защищаемого веб-сервиса. Для высокочувствительного контента (юридические дела, финансовые отчёты) защита ужесточается; для повседневного контента достаточно базовых настроек.
Работает там, где видимый водяной знак и защиты на основе DOM могут быть взломаны
Полупрозрачные водяные знаки и некопируемые элементы DOM можно обойти обрезкой или фильтрацией — под ними всё ещё есть чистое изображение. Вращающаяся сегментация кадров же изменяет сами пиксели контента, скрытого под ними «чистого» изображения нет.
Где это создаёт разницу
Экраны с данными пациентов для клинического персонала
Клинические сотрудники по долгу службы должны видеть данные пациентов на экране, но эти данные не должны покидать организацию. С ZeroLeak данные остаются читаемыми внутри сессии, а из сделанного скриншота нельзя извлечь осмысленную информацию. Для ролей только с правом просмотра это соответствует принципу минимального раскрытия HIPAA.
Финансовые отчёты, договоры и документы дата-рум
Контент, который нужно читать, но который не должен попасть никому на телефон, — финансовые отчёты, тексты договоров, файлы due diligence. При совместном применении anti-OCR и вращающейся сегментации кадров документ свободно читается на экране, а сделанный снимок становится бесполезным.
Государственные и разведывательные операционные консоли
Засекреченный контент, который аналитики должны видеть, но который не должен выйти наружу. Изменение пиксельного уровня закрывает путь утечки через скриншот на той же границе, что и политика доступа.
Доступ подрядчиков и третьих сторон
Внешние пользователи, получающие кратковременный доступ к клиентской панели, аудиторскому интерфейсу или исследовательской консоли. Пользователь читает контент; даже сделав скриншот, он не сможет перенести содержимое в другую среду.
Исследовательские и клинические дата-румы
Исследователям необходимо видеть данные исследований, записи пациентов, результаты лабораторий. Граница раскрытия в большинстве случаев запрещает вынос наружу. Anti-OCR превращает этот запретительный рубеж из политики в технический контроль.
Программы инсайдерского риска в эпоху AI
Программы по риску сотрудников больше не могут считать сделанный скриншот безобидным. Для любого, у кого AI в кармане, каждый контент на экране — потенциальный вектор экспорта. Anti-OCR и вращающаяся сегментация кадров возвращают этот риск к уровню, который был в чисто человеческих средах до эпохи AI.
Часто задаваемые вопросы
Влияют ли anti-OCR техники на чтение человеком?
Работает ли это против моделей вроде GPT-4V, Claude Vision, Gemini Pro Vision?
Остаётся ли страница интерактивной — клики, прокрутка, формы?
Может ли упорный злоумышленник обучить специальную OCR-модель под пиксельное вмешательство ZeroLeak?
Защищается ли также текст, который пользователь вводит в поля формы?
Как эта защита связана с форензик-водяным знаком и шифрованием текста?
Каково влияние на производительность?
Нужно ли пользователю устанавливать специальный браузер или расширение?
Закройте путь утечки через скриншот
Посмотрите anti-OCR пиксельный слой ZeroLeak и вращающуюся сегментацию кадров в живой демонстрации. Мы передадим одну и ту же страницу в Tesseract, AWS Textract, GPT-4V и Claude Vision и покажем, что выходит с другого конца.