UNLABELED 的反 AI 服装无法干扰每一台安防摄像头

UNLABELED 凭借一项引人注目的承诺登上 Google News：让穿着者更难被 AI 安防摄像头检测到的服装。这个日本纺织项目将对抗性机器学习应用于 T 恤、卫衣，并借此对自动化监控发表互动式宣言。然而，这些服装针对的是特定检测模型，而不是街头所有摄像头。

这一限定改变了故事的性质。尽管“隐形斗篷”的说法颇具视觉吸引力，UNLABELED 并未出售通用型隐身装备。其图案试图降低软件判断图像中是否有人时的置信度。其他摄像头、模型、拍摄角度和传感器仍可能完成检测。

因此，这种张力远不止于一个时装系列。随着摄像头运营方采用更新的模型、热成像传感器、追踪系统和防御性训练方法，研究人员也持续开发更强的服装。最终形成了一场格外直观的较量：一方是个人抵抗，另一方则是为适应而生的监控系统。

UNLABELED 实际改变了什么

UNLABELED 将对抗性服装从研究演示带入公开时装系列，但其公布的测试范围仍较为有限。

UNLABELED 将自己定位为艺术团体和纺织品牌，为监控资本主义社会开发伪装方案。该项目列出 Makoto Amano、Yuka Sai、Ryosuke Nakajima 和 Hanako Hirata 为合作研究人员。其机构背景包括 Qosmo、Dentsu Lab Tokyo 和庆应义塾大学的 Computational Creativity Lab。

该团队最早于 2020 年开发出面向机器的伪装技术。之后，它与日本服装品牌 NEXUSVII（亦称 NX7）合作，将这些图案转化为产品。其最新系列则将这项工作与 1995 年动画电影 Ghost in the Shell 联系起来。

这一组合并不只是授权合作。数十年来，Ghost in the Shell 一直探讨身份、具身性、网络和国家监控。UNLABELED 将影片静帧作为图案素材，设计出旨在干扰机器感知的纹样。

该系列在东京 Tokyo Node 举办的 Ghost and the Shell 展览中亮相。展览于 2026 年 1 月 30 日至 4 月 5 日举行。服装线包含五种迷彩图案，应用于 T 恤、长袖衫和卫衣。

官方系列概览称，这些服装采用对抗性机器学习。这一领域研究的是经刻意设计、可使机器学习系统出错的输入。在这里，输入就是被摄像头拍到的印花织物。

UNLABELED 将其方法称为对抗性补丁。这种图案不会在物理上禁用摄像头，也不会抹除底层视频。相反，它试图操纵逐帧分析画面的目标检测器。

目标检测器会在图像中发现并标注物体。当它识别出行人时，通常会在人身上绘制边界框，并赋予置信度评分。下游软件可以利用这一结果统计人数、触发警报，或启动其他识别流程。

这款服装旨在降低最初的“人”类评分。如果该评分低于系统配置的阈值，检测器可能不会绘制边界框。但对观看原始视频的人类而言，穿着者依然可见。

这一区别很重要，因为媒体报道常常将多项技术压缩为“AI 摄像头”这一说法。人员检测、人脸识别、行人重识别、行为分析和车牌识别是不同任务。攻破其中一项，并不自动意味着能攻破其他项目。

UNLABELED 公布的实验页面表明，其目标检测器是 YOLOv2。YOLO 的含义是“You Only Look Once”，它是一类能在单次处理过程中预测物体及其位置的模型。

YOLOv2 的推出时间早于 2026 年这一系列许多年。它仍可作为研究目标和演示平台，但并不代表现代安防产品中部署的所有模型。

该页面列出了于 2025 年 12 月进行的五项实验。页面显示的物体识别评分介于 72.18% 至 78.79% 之间。UNLABELED 表示，穿上最终设计可降低被识别为人的概率，但该页面未提供完整的独立基准测试。

它没有公布未穿图案服装时相同场景下的对照评分，也未展示在多款商用摄像头产品、较新的检测器系列、不同光照条件、压缩设置或拥挤环境中的测试结果。

该项目依然具有意义。它让人们能够切实看到，机器感知既不天然中立，也并非毫无漏洞。这件服装同时成为测试输入和政治性对象。

真正的改变并不是摄像头突然变得容易被攻破。UNLABELED 将一个晦涩的模型安全问题变得可穿戴、可销售，也更容易被文化语境理解。Google News 的关注将这场讨论带出了计算机视觉实验室。

Google News 的关注为何提高了风险

这些服装给监控厂商带来压力，因为它们揭示了一项普通用户无需阅读机器学习论文也能看见的弱点。

计算机视觉已经从记录场景转向解读场景。传统摄像头存储图像以供日后查看。AI 辅助系统则可以标记人员、搜索视频、估算人流，并跨时间关联观察结果。

这一转变让检测错误带来了运营层面的后果。漏检人员可能削弱安防警报；误检则可能浪费操作员时间，或引发缺乏正当性的干预。这两种结果都挑战了“自动化能让监控始终更可靠”的说法。

面向公众的对抗性服装将这一可靠性问题变成现场演示。穿着者可以站在装置前，看着检测框变弱或消失。模型的不确定性因此实时可见。

这种可见性给摄像头厂商、系统集成商和企业买家带来压力。厂商必须决定，是将对抗性服装视为罕见奇观，还是视为可信的安全威胁。买家则必须问：基准准确率是否反映其自有建筑中的实际条件？

这种压力也延伸至监管机构。监控系统能够大规模处理身份识别信息，其规模远超人类保安所能做到的程度。英国 Information Commissioner 指出，人脸识别会测量面部特征，以创建生物特征模板。

UNLABELED 目前的服装并不能证明其能够击败整个生物特征识别流程。其声明的目标是更早的人员检测阶段。如果系统仍能捕捉到清晰面孔，即使目标检测器遇到困难，另一组件仍可能识别出该面孔。

反过来，人员检测器失效有时可能使后续阶段无法获得预期的图像裁剪区域。摄像头处理流程各不相同，因此影响取决于其架构。一款产品可能在整帧画面中运行人脸分析，也可能将运动检测作为备用方案。

这正是“干扰所有摄像头”这一技术框架不正确的原因。安防摄像头并不共享同一模型、同一阈值或同一传感器。有些将视频传送至中央服务器，另一些则直接在摄像头端运行检测。

现代部署还可以将可见光视频与红外成像结合。针对 RGB 摄像头优化的彩色印花补丁，在热成像检测器眼中可能毫不起眼。运动传感器和人工操作员还可提供更多冗余。

即便如此，UNLABELED 仍让厂商面对一个令人不安的事实：AI 模型可能在测试数据上高度准确，却依然对经过精心优化的输入敏感。统计性能并不保证能够抵御主动对手。

这个问题类似于其他安全对抗。垃圾邮件过滤器不断改进，发件人随之调整信息，过滤器再继续改进。攻击者发现规避方法后，恶意软件扫描器会收到新的特征签名。对抗性服装在现实世界中形成了类似的反馈循环。

与修改后的数字图像不同，一件衬衫必须经受褶皱、运动、阴影、洗涤、面料拉伸和摄像头压缩。图案可能只占画面很小一部分，包袋、外套或其他人也可能遮住其最重要的特征。

这些限制有利于防御方，也让研究人员能更清楚地检验攻击是否能在受控计算机模拟之外生效。

Google News 的叙事让该项目获得了更广泛的影响力，但也容易引发夸大。读者很容易将一次针对 YOLOv2 的成功攻击，误认为对人脸识别、警方身份识别或录像证据的免疫力。现有结果并不支持这些结论。

更深层的意义在于其他地方。一件消费级服装如今向企业买家提出了一个安全问题：当摄像头前的人了解其软件如何“看见”时，会发生什么？

这个问题迫使人们作出回应。厂商可以针对已知图案重新训练检测器、组合多个模型，或增加异常检测。操作员可以降低阈值，但这样做可能会带来更多误报。

他们也可以将漏检视为一种信号，而非最终结论。系统可以将目标检测与运动、深度、热量和场景变化进行比较。这些层次会使规避更困难，但也会增加成本和数据收集。

隐私倡导者同样面临取舍。针对对抗性服装的更强防御，可能造成更持久的监控。经过训练、可忽略服装变化的检测器，可能会在不同环境中更可靠地追踪人们，包括那些从未尝试规避的人。

因此，UNLABELED 给双方都带来压力。监控厂商必须承认自动化视觉存在攻击面。隐私倡导者则必须考虑，揭示这一弱点最终是否会鼓励更具侵入性的系统。

对抗性服装与自适应监控

主要的较量并非服装对抗摄像头，而是固定的对抗性图案对抗可重新训练并实现多样化的监控系统。

对抗性服装始于对目标模型或其近似替代模型的访问。设计者会优化像素，让模型的预测朝预期方向变化。在训练中，变换可以模拟距离、旋转、光照和形变。

最终图像还必须转化为实体布料。印刷会改变颜色数值，褶皱则会改变形状。摄像头会引入模糊、曝光差异、传感器噪声和压缩。每一项变化都会扩大优化图像与部署模型实际接收画面之间的差距。

早期攻击通常使用单个显眼的补丁。穿着者必须让它始终朝向摄像头。这种方法可作为概念验证，但难以应对移动和侧面视角。

2019 年的一项对抗性 T 恤研究明确建模了穿戴者移动造成的非刚性形变。作者报告称，针对 YOLOv2，其攻击在数字测试中的成功率为 74%，在物理测试中为 57%。

这两种环境之间的落差揭示了核心问题：数字优化可以控制每一个像素，物理攻击则必须应对真实世界。

后续研究将这一模式扩展到更大面积的服装。清华大学研究人员开发了一种重复性对抗纹理，旨在从更多观察角度保持有效。他们的 CVPR 2022 论文描述了当摄像头只能看到局部或发生形变的片段时，孤立补丁为何会失效。

团队将这种纹理印在衬衫、裙子和连衣裙上。覆盖更多布料，能让摄像头更有可能捕捉到攻击中仍然有效的部分；但也让这种视觉设计更难逃过人类观察者的注意。

此后，研究人员开始追求看起来更自然的图案。如果一件服装的所谓隐私防护看上去像醒目的彩色警示标志，它本身就会吸引注意。对人类而言的隐蔽性与对机器的规避效果，并不总是由同一种设计获得最佳回报。

UNLABELED 通过艺术来处理这一问题。《攻壳机动队》的视觉元素为这种不寻常的图案提供了文化层面的解释。路人可以把它理解为图案服装，而非技术工具。

然而，监控系统拥有结构性优势。印花服装在制造完成后便固定下来，而模型可以获得更新。一旦防御方收集到该图案的图像，就可以将这些图像加入训练数据。

对抗训练会让检测器接触攻击样本，并训练它维持所需的预测结果。供应商还可以构建单独的模型来寻找可疑补丁。两种应对方式都无法保证完全防护，但都能缩短公开设计的预期有效期。

模型多样性又带来另一重障碍。针对 YOLOv2 优化的图案可能会迁移到相关检测器，也就是影响一个它从未直接见过的模型。迁移性对攻击者很有价值，因为部署中的系统往往并不透明。

不过，迁移效果并不稳定。不同模型架构会学习不同的图像特征。一件能压低某个模型人物评分的服装，可能几乎不影响另一个模型，甚至可能让穿戴者更容易被定位。

阈值进一步增加了结果的复杂性。一名摄像头操作员可能接受置信度为 25% 的人物检测，另一名则要求更高的数值。如果评分仍高于本地阈值，降低评分就没有实际意义。

时序处理同样可以弥补漏检帧。一件衬衫可能在某一时刻、某一角度成功逃过检测，但跟踪器可以利用前后观测结果填补这一空档。

除非摄像头本身被遮挡或数据被抹除，否则录制的视频仍然可供查看。人工审核人员可以在事件发生后检查画面，并根据服装、步态、同行者、行进方向或其他上下文信号进行追踪。

这并不意味着攻击毫无意义。自动化监控依赖规模化运行：人类无法持续盯住每一路视频，因此可靠的自动检测依然重要。

即使只是间歇性失效，也可能降低分析质量，打断计数、破坏轨迹，或延迟警报。因此，经过审慎评估的服装或许能针对特定部署提供有限保护。

“特定”一词承载了绝大部分含义。购买者应要求针对所涉的确切摄像头、模型、分辨率、传感器、固件和运行条件进行测试。穿戴者不应假定实验室中的成功会迁移到陌生街头摄像头上。

UNLABELED 最强的贡献，在于它拒绝将这种对抗隐藏在技术语言之中。它把对抗性输入放到人体上，并将模型的反应置于其旁。观众可以同时看到抵抗的可能性与脆弱性。

真正的问题是验证鸿沟

UNLABELED 展示了一种可信的机制，但其公开证据不足以支持“普遍”或“可靠隐身”的说法。

该项目发布的材料标明了一个模型，并提供了若干识别评分。这种透明度是有用的。许多面向消费者的反监控产品宣称，提供的技术细节甚至更少。

不过，仅凭识别评分无法证明有效性。读者需要了解同一穿戴者在未穿对抗性服装时，以相同姿势、距离和环境获得的基线评分；还需要重复试验，而非挑选出的案例。

有意义的评估应报告检测器在大量帧中漏检该人物的频率，并将完全漏检与置信度暂时下降区分开来，同时说明系统采用的决策阈值。

测试应涵盖多名参与者和不同体型。服装的贴合度会改变图案的拉伸和褶皱方式。穿戴者行走、坐下、转身或携带物品时，有效区域也可能移动。

光照值得单独分析。明亮阳光、室内照明、浓重阴影和夜间成像都会改变传感器接收到的色彩。湿润布料可能呈现另一种外观，反复洗涤也可能改变印刷材料。

距离和分辨率同样重要。在远距离下，图案可能坍缩为少数几个像素；在近距离下，摄像头可能捕捉到面部及足够的身体结构，从而恢复检测能力。

一份稳健的报告应测试 YOLOv2 之外的现代模型，并纳入图案生成期间未知的检测器，这能提供更强的迁移性衡量。在法律许可和测试条件允许的情况下，也应纳入商用系统。

评估还必须将人物检测与人脸识别区分开来。人脸识别用于识别或验证一张面孔；人物检测仅仅是在场景中找出“人”这一类别。

一件衬衫可以干扰人物检测器所使用的躯干特征，同时让面部毫无遮挡。将这两类任务混为一谈的营销语言，可能造成危险的安全错觉。

热成像带来了额外挑战。普通印花图案操控的是可见光颜色，却未必会改变人体散发的热量。双传感器装置可以对比可见光与红外通道。

发表于 CVPR 2026 的研究表明，研究人员如今正围绕这一限制展开工程设计。一项热感服装研究将热致变色染料与柔性加热单元结合起来。

该衬衫在激活前呈黑色。加热后会显现旨在同时影响可见光和红外检测的图案。研究人员报告称，在其测试环境中，激活时间在 50 秒以内，对抗成功率超过 80%。

这些结果并不能验证 UNLABELED 的服装。它们说明，研究目标正迅速扩展。原本针对单一可见光检测器的图案，如今已与为多种感知模式设计的主动式服装并列。

同样的谨慎也适用于这些较新的论文。报告的成功率反映的是特定模型、数据集、阈值和实验条件，并不意味着一件服装能对抗所有双模态安防摄像头。

这一验证鸿沟有两层后果。第一，消费者应将对抗性服装视为实验性的隐私技术，而不是防护装备。在检测会带来严重风险的情境下，它绝不应取代更安全的操作性决策。

第二，安防供应商不应仅因这类服装缺乏普遍可靠性就将其忽视。攻击者很少需要一种在任何地方都奏效的方法；他们可能只需要让某个已知系统出现可重复的失效。

公开图案还可以成为诊断工具。建筑运营方可在获授权的红队测试中使用它们，通过模拟攻击来发现弱点。一次成功的测试可以暴露系统对单一检测器或单一视角的依赖。

这种防御性用途不如隐身那样吸引眼球，却更实用。组织可以测试其系统是否能够安全失效、保留原始录像、通知人工人员，并抵御重复规避。

伦理边界同样重要。测试应在获得许可并遵守适用法律的前提下进行。无论服装本身是否受到限制，蓄意规避安防监控都可能带来法律和人身风险。

将规避视为唯一隐私策略还存在政策风险。负担被转移给个人，他们必须购买特殊服装，并理解不断变化的技术系统；与此同时，机构仍继续默认收集数据。

当隐私保护同时限制收集、留存、访问和二次使用时，效果会更好。服装可以表达抵抗，但无法建立这些治理规则。

UNLABELED 的设计之所以仍有价值，恰恰是因为它揭示了这种失衡。穿戴者必须为一个隐藏的模型优化自己的外观，而运营方可以在不通知的情况下更换该模型。

这才是真正的不对称性。一件公开的衬衫可被检查、收集和用于训练；监控流水线往往是专有的、分布式的，并可远程更新。

Google News 读者接下来应关注什么

下一阶段将由独立测试、跨模型表现，以及监控行业对公开对抗性图案的回应决定。

第一个信号是独立复现。研究人员或获得认证的测试机构需要在受控及真实世界条件下评估 UNLABELED 服装，并披露摄像头、模型版本、阈值、距离、角度和基线结果。

若能在多种当前检测器上成功复现，将强化这些设计能够提供实用抵抗力的说法；若在 YOLOv2 之外失败，则将证实该系列主要作为定向艺术和研究而发挥作用。

第二个信号是跨感知模式的迁移。近期研究越来越多地同时针对可见光与热成像检测器。这一转变承认，现代监控可以结合多个通道，而非依赖单一 RGB 图像。

一件能够影响多个未知模型、同时影响可见光与热传感器的服装，将缩小防御方的优势；而需要主动加热、精确朝向或显眼材料的设计，则会保留这种现实差距。

第三个信号是供应商的回应。摄像头公司可以将对抗样本加入训练、检测已知补丁结构、融合多个传感器，或使用时序跟踪来恢复漏检帧。若公开记录这些防御措施，将表明这一威胁已进入常规产品测试。

防御更新也会随时间削弱任何固定服装的效果。UNLABELED 可以用新图案回应，从而形成类似恶意软件特征库与反垃圾规则的循环。

购买者应关注供应商是否提供对抗鲁棒性评估，而非笼统的准确率宣称。模型在正常视频上的平均得分，几乎无法说明它对蓄意操控的反应。

监管者应从另一个方向关注同样的循环。更具韧性的跟踪可以减少安防失效，但也可能让所有人都更难避开监控。技术防御并不能决定一个系统的部署是否合乎比例或合法。

对个人而言，最有用的结论应当保持克制：对抗性服装能够利用机器视觉中真实存在的弱点，但无法保证摄像头、另一种模型、人工审核人员或不同传感器会漏掉其穿戴者。

Google News 让更多人注意到 UNLABELED 提出的问题，但答案并非简单的“是”。这些服装能在特定条件下干扰部分检测器，却无法扰乱所有 AI 安防摄像头。

该项目仍为读者提供了一个有建设性的下一步：了解正在监控的模型是什么、它保留哪些数据，以及其运营方如何测试失败情形。应将每一项“隐身”声明视为一个基准测试问题，而非一项时尚承诺。接下来关注独立测试结果，看看抗 AI 服装究竟会成为可用的隐私防护手段，还是仍只是一则印在布料上的有力警示。