2026 年 9 月 29 日，知名开源开发者 Simon Willison 发布了一款名为 Photo Scrubber 的实验性浏览器本地工具，专门用于自动识别人脸并进行模糊处理，同时剥离照片内嵌的全部元数据。该工具由 Simon Willison 借助 GPT-6 Astra 辅助生成，技术核心是将 Google MediaPipe C++ 视觉库通过 WebAssembly 编译进前端，配合短距检测模型 BlazeFace，在用户设备本地离线完成所有运算。
这看似是一次端侧 AI 工具的漂亮实验，起因也很简单：Willison 在拍摄街头抗议者后，不希望未经同意公开陌生人面孔。然而，从命令行时代的清洗逻辑走到端侧大模型自动化，这类工具真正带来的不仅是便利，还有一层可能引发严重后果的假性安全感。
浏览器里的端侧脱敏：GPT-6 Astra 攒出完整工具链
Photo Scrubber 的工作机制完全运行在浏览器单页内。利用 JavaScript 与 WebAssembly，工具可以直接载入 Google MediaPipe 的 @mediapipe/tasks-vision 库，并在客户端调用 BlazeFace 短距检测模型。它支持 JPEG、PNG 和 WebP 格式，检测到人脸后会自动打上模糊滤镜或纯色色块，同时也支持用户手动框选调整。脱敏后的图像会在画布中被重新编码输出，从而物理抹除原始文件携带的 EXIF、XMP、IPTC、用户注释以及相机内嵌的缩略图预览。
在这一开发过程中，GPT-6 Astra 扮演了底层胶水代码编写者的角色。把原本用于原生桌面或后端的复杂 C++ 视觉库编译进前端 WebAssembly 运行时，向来有着较高的工程调试门槛。AI 辅助编码直接抹平了环境胶水层的繁复工作，Willison 将成果开源于 GitHub 的 simonw/tools 代码库，迅速将这类端侧隐私工具的构建成本降到了普通程序员甚至业余爱好者的射程之内。
模糊不是掩盖：学术界早已证明的去匿名化陷阱
大众对图片脱敏最大的误区，就是认为把脸部打上高斯模糊或马赛克就万无一失。在计算机视觉对抗领域，这早已被证明是防君子不防算法的薄弱屏障。
相关学术研究证实，单纯的高斯模糊与马赛克像素化保留了底层面部结构的绝大部分空间频率与梯度信息。对于专门训练的逆向面部识别神经网络，只要输入模糊图像与原特征空间比对，模型依然能够以惊人的准确率完成去匿名化关联。在存在人身风险或法律责任的敏感场景中，只有通过彻底替换像素值的不透明纯色遮盖，才能真正切断特征向量的数学连续性。
虽然 Photo Scrubber 在功能上提供了纯色遮盖选项，但其默认与首要卖点仍然是面部模糊。一旦用户因视觉直觉选择了模糊处理，实际上就落入了算法层面的破译盲区。
- 风险.BlazeFace 本身是一款面向前置摄像头优化的短距轻量模型，在复杂街头、侧脸、弱光、部分佩戴口罩或头盔的抗议现场，其自动检测极易产生漏检。若使用者未进行严格的人工复核，漏检的面孔便会连同虚假的安心感一同公开发布。
从 EXIF 到物理线索：脱敏对抗的真实代际
在数字隐私保护的历史中，Photo Scrubber 绝非孤例。2020 年反种族主义抗议浪潮中，Everest Pipkin 开发的 Image Scrubber 曾广为流传，它同样运行在离线网页端，但受制于当时的浏览器算力，只能完全依赖纯手动涂抹，且超过 2500×2500 像素的图片会被迫缩小。同在 2020 年 6 月 3 日，加密通讯工具 Signal 也在客户端内上线了端侧自动人脸模糊与手动擦除，但那始终是即时通讯内部的功能组件，无法作为严肃的桌面级元数据深度审计工具。
更早之前，专业从业者依赖的是命令行组合拳。用 ImageMagick 清洗图像时，其 -strip 参数会直接清除色彩配置文件并引发色偏，且执行前必须先跑 -auto-orient，否则丢弃方向标签会导致整张照片颠倒；而要确认底片是否真正安全，往往需要动用 ExifTool 运行类似 exiftool -a -u -g1 的指令，逐项排查制造商标注（MakerNotes）、相机序列号和内嵌预览。
抹掉 EXIF 只能防住基础脚本，防不住基于现场环境的二次数字取证。
现实中多项抗议安全指南反复强调，剥离元数据绝不等于匿名。抗议者的服饰搭配、特定纹身、随身标语字迹、身后建筑的玻璃反光、阴影朝向，乃至发布图片的时间差，都构成了无法被元数据清理器抹除的物理指纹。更致命的盲区在于硬件本身：很多用户在手机浏览器里清洗完照片的同时，相册原图早已经被系统后台静默同步到了云端备份之中。
- 建议.端侧脱敏只能视作对抗数据爬取的最小防线，在发布敏感纪实影像前，强制选用不透明遮块覆盖面部与识别性标记，并在飞行模式下关闭云同步进行物理脱敏，才是经得起检验的操作闭环。