一张看似普通的互联风景照，右下角却嵌着一行几乎看不见的网存白色小字：“内部资料，请勿外传”。全风这不是险图电影桥段。去年某地警方通报的互联一起案件中，嫌疑人正是网存从某社交平台一张聚餐合影里，通过放大背景里的全风白板内容，获取了某单位的险图值班安排表。图片，互联这个互联网上最直观、网存最常被分享的全风媒介，恰恰成了安全链条上最松的险图那一环。

很多人以为打上马赛克就万事大吉。互联现实是网存，马赛克可以还原。全风开源工具早已能通过分析像素块的排列规律，对简单马赛克进行逆向重构。更别提那些用涂抹笔随手画几道的“遮挡”，在专业软件里几乎等于没遮。我见过一张网传的证件照，当事人用手机自带的编辑功能把身份证号涂成了黑色，结果因为涂抹层是半透明的PNG格式，下载后用看图软件调高对比度，数字清晰可见。这种“伪安全”操作，每天都在发生。

图片里的元数据是另一个被严重低估的泄密渠道。手机拍完照，EXIF信息里默认记录着精确到秒的拍摄时间、经纬度坐标、设备型号，甚至镜头参数。有人把家里猫的照片发到二手交易平台，结果被买家顺着GPS信息找到了小区楼栋。这不是危言耸听，是2019年真实发生的案例。后来平台虽然默认抹掉了部分信息，但通过微信原图发送、邮件附件、网盘分享等路径，元数据依然完整保留。你以为只是分享生活，实际上是在公开自己的行动轨迹。

截图也是重灾区。工作群里领导发了一段话，你截个图发给同事吐槽，看似只截了对话内容。但截图上方的时间、群名称、甚至其他群成员的昵称，都跟着一起被复制了。更危险的是手机状态栏——运营商名称、WiFi热点名、电量百分比、某些App的通知预览。去年某互联网公司内部泄密事件，就是员工把工作截图发到外部群，状态栏里赫然显示着公司内网VPN的图标和连接时长，直接暴露了内网访问状态。这种细节，截图的人根本注意不到。

修图软件和在线图片编辑器同样值得警惕。你把一张带敏感信息的图片上传到某个免费去水印网站，处理完下载回来，看似没问题。但那张原图已经留在了对方的服务器上。很多这类网站靠什么盈利？就是靠收集用户上传的图片数据。合同扫描件、身份证正反面、银行卡照片——这些本不该出现在公网编辑器里的东西，每天都在被批量上传。我跟踪过几个此类平台的隐私政策，里面用极小字号写着“用户上传内容可能用于服务优化”，至于怎么优化、优化给谁看，只字不提。

还有人喜欢用图片藏文件。把压缩包改后缀名嵌进JPG里，以为神不知鬼不觉。这种雕虫小技在文件检测系统面前形同虚设。更常见的是二维码。一张海报上的二维码，扫出来是公众号关注页面，但用解码工具一读，原始字符串里可能藏着跳转参数、推广渠道ID，甚至内网地址。有人把公司内部系统的登录二维码拍照发到技术论坛求教，结果二维码里的session token还没过期，被人直接登进了后台。

图片安全的核心矛盾在于：视觉信息太容易被人类大脑处理，却太难被安全系统精确管控。文字可以关键词过滤，代码可以静态扫描，但一张图里藏了什么，机器看不懂，人又容易看漏。所以别再把图片当成无害的分享素材。发之前问自己一句：这张图里有没有我不想让陌生人知道的东西？如果有，别发原图，别信马赛克，别用在线工具。最笨的办法往往最安全——裁剪掉所有无关区域，用不透明的纯色块覆盖，然后另存为新的文件。多花三十秒，省掉后面三十天的麻烦。