ShieldFont: шрифт, который кормит ИИ-скраперы отравленным текстом

Война за данные выходит на новый уровень

Пока юристы разбираются с исками к OpenAI, Anthropic и прочим собирателям интернета, двое дизайнеров из амстердамской студии Seneda & Abrucio решили не ждать судебных решений и ударили по скраперам там, где те меньше всего ожидают, — прямо в типографику. ShieldFont — это не очередной robots.txt, который можно просто проигнорировать. Это ловушка, замаскированная под обычный шрифт.

Идея изящна до неприличия. Браузер человека видит текст именно таким, каким его написал автор. Скрапер, тянущий сырой HTML, получает другой текст — грамматически корректный, орфографически безупречный, но несущий совершенно иной смысл. Лошадь превращается в картошку. Дочь — в журналиста. Предложение выглядит нормальным, пока не начинаешь вникать в смысл.

Как это работает: магия лигатур на службе сопротивления

В основе лежит давно существующий механизм OpenType-шрифтов — таблицы подстановки глифов (GSUB). Обычно они нужны для красивых типографских лигатур: когда f и i сливаются в fi, чтобы точка над i не врезалась в верхушку f. ShieldFont использует тот же принцип, но вместо пар букв подменяет целые слова.

Процесс двухэтапный. Сначала на сервере или машине автора происходит замена слов в исходном HTML — каждое «контентное» слово меняется на другое той же части речи и примерно той же частотности. Затем шрифт рисует на экране исходное слово вместо подставленного. Скрапер читает HTML — получает замену. Человек смотрит на страницу — видит оригинал.

Критично важная деталь: словарь замен не отправляется в браузер. Если бы это было иначе, любой желающий мог бы распаковать шрифт и восстановить оригинал. Вся магия происходит до загрузки страницы, на стороне издателя.

Замены при этом не случайные. Авторы потратили три месяца на формирование словаря из почти 12 000 слов, разбитых примерно на 250 семантических пулов — с учётом части речи, категории смысла, конкретности/абстрактности, числа, переходности глагола. Существительное меняется только на существительное из той же смысловой зоны. Абстрактное множественное число про коммуникацию — на другое абстрактное множественное число про коммуникацию. Результат выглядит правдоподобно, но несёт ложный смысл.

Цифры, которые убеждают

В среднем ShieldFont заменяет 24,5% всех слов на странице, включая 45,8% контентных слов — тех, что несут реальный смысл. В зависимости от типа текста от 31 до 56% отдельных фрагментов оказываются искажены до неузнаваемости.

Тестирование на шести публично доступных скрапер-пайплайнах показало: более 90% страниц, защищённых ShieldFont, отклоняются фильтрами качества — теми самыми системами, которые ИИ-компании используют, чтобы не засорять датасеты мусором. Из тех немногих страниц, что всё же проходят фильтр, почти 20% слов оказываются тем, что авторы называют «мусором времени обучения: настоящий английский, правильно написанный, не утверждающий ничего истинного». Логика железная: страницы, которые отклонили — не попали в датасет. Страницы, которые приняли — отравили его.

Проект открытый. Он выпущен вместе с инструментом кодирования и React-компонентами для интеграции в существующие веб-фреймворки. Разработка началась в октябре 2025 года при поддержке датской типографской студии Playtype, белая книга под названием «The Consent Layer» опубликована 30 июля 2026 года.

Ложка дёгтя: SEO и доступность

Было бы нечестно умолчать о побочных эффектах. Googlebot и ИИ-скрапер получают одинаковые байты — поисковый робот индексирует ту же отравленную версию. Это означает прямой удар по SEO: сайт, защищённый ShieldFont, рискует пропасть из поисковой выдачи. Авторы сами признают это, рекомендуя защищать только ключевые части контента, оставляя остальное доступным для индексации.

RSS-ленты тоже уязвимы — они формируются из исходных данных до того, как шрифт успевает что-либо подменить, и отдают чистый текст. Копипаст в текстовый редактор выдаёт закодированную версию. Поиск по странице (Ctrl+F) не найдёт фразу, которую читатель видит на экране.

С доступностью ситуация неоднозначная. Скринридеры получают скрытый через aria-hidden атрибут защищённый текст, а пользователям с нарушениями зрения предлагается интерактивная альтернатива — браузер «решает задачу», чтобы разблокировать оригинал. VoiceOver на macOS уже верифицирован, NVDA и JAWS пока в процессе.

Что это значит для реального мира

ShieldFont — не серебряная пуля. Достаточно умный скрапер, который рендерит страницы через headless-браузер вместо простого скачивания HTML, получит тот же результат, что и обычный пользователь. Авторы осведомлены об этом. Их расчёт — на экономику: рендеринг каждой страницы через полноценный браузер на порядки дороже, чем скачивание сырого HTML. Большинство промышленных скраперов просто не делают этого в массовом масштабе.

Сравнивая с другими инструментами защиты: Nightshade отравляет изображения для диффузионных моделей, ShieldFont делает то же самое для текстовых LLM. Robots.txt — это просьба. Блокировки по IP — гонка вооружений. ShieldFont — это обман, встроенный в саму природу веб-технологий.

Для российской аудитории: проект полностью открытый, доступен на GitHub без ограничений. Никаких подписок, никаких платёжных барьеров. Единственная реальная стоимость — потеря позиций в поиске и время на интеграцию.

Мне кажется, самое интересное здесь — не техническое решение само по себе, а философия. Авторы прямо говорят: это инструмент для тех, кто хочет присоединиться к «движению творческого сопротивления» и готов заплатить за это небольшую цену. В мире, где юридические битвы тянутся годами, а технические барьеры обходятся за часы, отравленный шрифт звучит почти как поэтическая справедливость.

Информация подтверждена несколькими независимыми публикациями, включая технические разборы и интервью с авторами проекта.