人間には馬、AIには芋に見える 合字を武器にしたフォント

3行まとめ

• ShieldFontは画面に描くときだけ、本来の文章に見せる
• HTMLソース側では単語がすげ替わり、機械は別の内容を持ち帰る
• 仕掛けは合字という、書体の古い機能の転用

何が起きたか

AIによるウェブ収集を邪魔するために、フォントが作られました。デザイナーのIsaque SenedaとGabriel Abrucioが公開したShieldFontです。人間がブラウザで開けば、ページはそのまま読めます。

同じページのHTMLソースを機械が読むと、単語がすげ替えられた別の文章になっています。置換はフォントエンジンが文字を画面に描く瞬間だけ起きるからです。ソースコードをそのまま落とすスクレイパーは、読者が一度も見ていない版を手にします。

2人はホワイトペーパーで、無許可のAI学習から抜けるための実用的な手段だと説明しています。その選択が無視されたときには、集まる中身のほうを壊す構えです。

なぜ難しい・何がすごいか

合字はもともと、見た目を整えるための機能です。「fi」のように隣り合うと窮屈になる文字の組を、つながった1つの字形に差し替える。書体の世界で長く使われてきた仕組みです。

ShieldFontは、この差し替え先を単語まるごとに広げました。難所は、どんな語に化けさせるかです。

類義語や反対語に替えるだけなら、賢い収集側に元へ戻されます。逆に無意味な文字列を並べると、おかしなページだと気づかれて弾かれます。

そこでShieldFontは、品詞は同じで情報の文脈がまるで違う語を当てます。「horse（馬）」に対して「potato（芋）」といった具合です。文としては自然なまま、崩れるのは中身だけです。

たとえ話

鍵を持つ人にだけ読める暗号に近い形です。ふつうの暗号は、受け取った側が鍵で解いて中身を取り出します。ShieldFontでは、鍵にあたるフォントがブラウザ側に配られています。

ページを開いた人はフォントごしに元の文章を読みます。ソースだけをさらう機械は鍵を通らないので、化けたままの文字列を持ち帰ります。同じ1ページが、通る経路で別物になります。

用語ミニ辞典

• 合字（リガチャ）: 隣り合う文字の組を、つながった1つの字形に置き換えるフォントの機能。もとは読みやすさのための仕組み。
• スクレイピング: ウェブページを機械で大量に集めること。AIの学習データ集めにも使われる。
• 品質フィルタ: 集めたページを学習データとして使うかどうか、収集側が自動で選り分ける工程。
• オプトアウト: 対象から自分を外す意思表示。ここでは自分の文章をAI学習に使わせない選択。

技術者向けの深掘り

置換辞書は3か月かけて磨かれ、対象になる一般的な単語は1万2千語近くまで増えました。1語につき3通りの置換先から選べ、発行者が独自の対応表を書くことも、段落ごとに対応を切り替えることもできます。同じ語が毎回同じ語に化けると、対応表を作られて戻されるためです。

効果は数字で出ています。ページ全体の単語では平均24.5%、内容語に限れば45.8%が置き換わります。コーパスによって、31〜56%の文章が意味を損ないます。

公開されている6本のスクレイパー処理系での試験では、本来なら受け入れられるページの9割超が品質フィルタ品質フィルタ集めたページを学習データとして使うかどうか、収集側が自動で選り分ける工程。で弾かれました。通過した少数のページも無傷ではありません。単語の2割近くが、綴りも英語も正しいのに何ひとつ正しいことを述べていない語になります。

限界もあります。ページを実際に描画してOCRにかければ、人間と同じように読めてしまう。

ただし描画を挟む収集は、HTMLを平文で落とす場合の5〜13倍の費用と見積もられています。大量に集めるほど割に合いません。

これは自分に関係ある？

• 記事や作品を公開している人: 副作用が付いてきます。検索エンジン、スクリーンリーダー、コピペ用のツール、翻訳ソフトは化けたHTMLのほうを読みます。届けたい相手にとって使いにくいページになります。
• ふだんウェブを読む人: 画面の表示は変わらないので、読む分には影響しません。本文をコピーしたり翻訳にかけたりしたときだけ、中身が入れ替わっている可能性があります。
• 収集する側を作る開発者: HTMLを平文で落とせばよい、という前提が崩れます。描画を伴う収集は費用も時間も跳ね上がります。