ShieldFont: fonte que envenena raspadores de IA com texto falso
Uma nova fonte chamada ShieldFont promete ser uma arma de editores web contra raspadores de IA: para leitores humanos, a página aparece perfeitamente legível, mas o HTML bruto recebido por bots ganha palavras trocadas, gerando texto sem sentido para treinar modelos. Os designers Isaque Seneda e Gabriel Abrucio descrevem o projeto como uma forma prática de opt-out de treinamento não autorizado de IA e de sabotagem dos dados quando essa escolha é ignorada.
Como funciona
A técnica usa ligaduras, recurso clássico de fontes que substitui sequências de caracteres por glifos especiais. No ShieldFont, essas ligaduras substituem palavras inteiras somente quando o motor de renderização desenha a página na tela. Assim, um scraper que baixa apenas o código-fonte em texto plano captura uma versão adulterada, invisível ao usuário final.
Para evitar que filtros inteligentes revertam ou detectem facilmente a alteração, o sistema troca palavras por termos da mesma classe gramatical, mas em contexto informacional completamente diferente - por exemplo, "horse" vira "potato". A frase raspada parece semanticamente correta, mas carrega significado errado, podendo envenenar o conjunto de dados de treinamento.
Números e limites
Depois de três meses de refinamento, os criadores chegaram a quase 12 mil palavras comuns substituíveis por ligaduras. Editores podem escolher entre três mapeamentos diferentes por palavra e alterá-los parágrafo a parágrafo. Em média, o ShieldFont substitui 24,5% de todas as palavras de uma página e 45,8% das "palavras de conteúdo", afetando de 31% a 56% das passagens, dependendo do corpus. Em testes com seis pipelines públicos de scraping, mais de 90% das páginas que antes seriam aceitas passaram a ser rejeitadas pelos filtros de qualidade. Das poucas aceitas, quase 20% das palavras são classificadas pelos autores como "lixo de treinamento": inglês real, corretamente grafado, mas sem afirmação verdadeira.
O artigo reconhece efeitos colaterais: mecanismos de busca, leitores de tela, ferramentas de copiar/colar e tradutores podem se confundir com o HTML alterado. A defesa também não é infalível, pois um raspador poderia renderizar a página e usar OCR, embora isso custe de 5 a 13 vezes mais do que baixar HTML simples. Para os autores, o objetivo é tornar o scraping em massa não autorizado menos útil e mais caro, afirmando que "ser descobrível não significa consentir com treinamento de IA".