8月13日、Ars Technicaが「The web's newest weapon against AI scrapers is a font」と題した記事を公開した。AIスクレイパーによる無断データ収集を阻止するために開発されたフォント技術「ShieldFont」を詳しく紹介している。

フォントでAIスクレイパーを欺く仕組み

ShieldFontは、Webフォントの字形マッピングを意図的に入れ替えることで、人間がブラウザ上で読むテキストと、スクレイパーがHTMLから取得するテキストを意図的に乖離させる技術だ。

具体的には、フォントファイル内の文字コードと字形（グリフ）の対応関係を組み替えることで実現する。ブラウザはShieldFontをレンダリングする際、正しい字形を画面に描画するため、人間の目には正常なテキストとして映る。一方、HTMLソースをプレーンテキストとして取得するスクレイパーは、フォントのレンダリングを経ない生の文字コードを受け取るため、まったく異なる内容を読み込むことになる。つまり、「テキストをどう見せるか」はフォントが制御するが、「HTMLに書かれている文字コード列」は別物、という構造を利用した手法だ。

現在、多くのAIスクレイパーはWebページを「ブラウザでレンダリングせず、HTMLをプレーンテキストとして大量取得する」という手法を取っている。ShieldFontはこの挙動を突く。記事中には実例として、スクレイパーが受け取る文字列として「とても州間の南部エンジニアがソファカーと一緒に…」という意味不明な文が紹介されている。

スクレイパーが迂回しようとするとコストが跳ね上がる

ShieldFontが完全な防壁ではないことは、開発者自身も認めている。ブラウザのレンダリングを再現したうえで画面をOCR（Optical Character Recognition＝光学文字認識。画像上の文字をテキストデータに変換する技術）処理するAIスクレイパーには突破される。

ただし、その迂回策には大きなコスト増が伴う。記事によれば、サードパーティのスクレイピングツールのAPIコストを参照すると、事前レンダリングを挟むアプローチは、生のHTMLスクレイピングに比べて5〜13倍のコストがかかるという。大規模にスクレイピングを行う事業者にとって、これは無視できない負担だ。

開発者の主張：「発見可能であることは、AI学習への同意ではない」

ShieldFontの開発者が明確に標的にしているのは、「無差別かつ大規模なスクレイピング」だ。

「私たちの根本的な目的は、AIエシックスの基本原則を実施することにある。クリエイターは、自分の作品がAIの学習に使われるかどうかについて、意味ある発言権を持つべきだ。同意が尊重されない場合、技術的な設計によって、許可なく作品を持ち去ることをより無益でコスト高にできる。……インターネット上で発見可能であることは、AIの学習への同意を意味しない。」

この主張は、robots.txtによるクロール拒否設定をAI企業が無視しているとして問題になっている昨今の文脈と直結する。robots.txtはWebサーバーがクローラーのアクセスを制御するための標準的な仕組みだが、OpenAIやAnthropicなどのAI企業のクローラーがこの設定を無視してデータを収集していたとして、複数のメディアや出版社が問題を指摘・提訴してきた経緯がある。ShieldFontは、こうした合意形成の失敗に対して、法的手段ではなく技術的手段で応じようという試みとも言える。

類似した発想の対抗手段としては、AIスクレイパーに汚染データを読ませて学習モデルを毒する「データポイズニング」系ツール（Nightshadeなど）や、クローラーを架空のページに誘い込む「ハニーポット」手法、視覚的に読めても機械解析を妨げる「グリッチテキスト」など、様々なアプローチが研究・実装されている。ShieldFontはその中でも、エンドユーザーの閲覧体験を損なわずに実装できる点が特徴だ。

副作用：意図した読者への影響も

ShieldFontには副作用もある。フォントの字形マッピングを入れ替えるという性質上、検索エンジンのインデクサ、スクリーンリーダー、コピー＆ペーストツール、翻訳ソフトといった正規のツール群も誤動作する可能性がある。特にスクリーンリーダーへの影響はアクセシビリティ上の問題として無視できない。SEOの観点でも、Googleのクローラーがページ内容を正しく評価できなくなるリスクがある。

「人間には一つのもの、機械には別のものを」

開発者は、ShieldFontの基本的なアイデア——「人間向けには一つのものを表示し、機械向けには別のものを見せる」——を、他の開発者にも別の形で実装してほしいと呼びかけている。多様な手法がWeb上に散在すればするほど、AIスクレイパーがすべての迂回策を学習・対処するのは難しくなる、という戦略だ。

一つの技術で解決するのではなく、多様な抵抗手段を組み合わせていく方向性は、セキュリティ分野における「多層防御（Defense in Depth＝単一の防御に依存せず、複数の独立した防御策を重ねることでリスクを分散する考え方）」の発想に近い。robots.txtという紳士協定が機能しない局面で、技術コストという現実的な障壁を積み上げることに意義を見出す姿勢と言える。

詳細はThe web's newest weapon against AI scrapers is a fontを参照していただきたい。