Jedes Wort auf einer Webseite ist für zwei sehr unterschiedliche Zielgruppen lesbar: für den menschlichen Besucher, der einen Browser öffnet, und für den automatisierten Scraper, der rohes HTML herunterlädt, um eine KI-Trainingspipeline zu füttern. Jahrelang sahen diese beiden Zielgruppen exakt dasselbe. ShieldFont, ein Projekt der Designer Isaque Seneda und Gabriel Abrucio, basiert auf einer einfachen, aber disruptiven Prämisse: Sie müssen das nicht.
Der typografische Trick im Versteckten
Um zu verstehen, wie ShieldFont funktioniert, hilft es, Ligaturen zu verstehen. In der Typografie ist eine Ligatur ein Feature, das bestimmte Buchstabenpaare automatisch zu einer einzigen, optisch harmonischeren Glyphe zusammenfügt, wenn sie nebeneinanderstehen. Dies ist ein jahrhundertealtes Werkzeug, das in professionellen Schriftarten Standard ist und für den Leser völlig unsichtbar bleibt.
ShieldFont zweckentfremdet diesen Mechanismus für ein völlig anderes Ziel. Anstatt Buchstabenpaare aus ästhetischen Gründen zusammenzuführen, nutzt es Ligaturen, um ganze Wörter gegen andere auszutauschen. Die Ersetzung findet in der Renderphase statt, wenn die Font-Engine die Seite auf dem Bildschirm darstellt. Ein menschlicher Besucher sieht den ursprünglichen, gewollten Text. Ein Scraper, der den rohen HTML-Quellcode herunterzieht (wie es die meisten tun), erhält stattdessen die veränderte Version.
Die Ersetzungen der Wörter sind nicht zufällig. Das einfache Austauschen von Synonymen wäre zu leicht rückgängig zu machen. Wörter durch Kauderwelsch zu ersetzen wäre zu leicht zu erkennen und herauszufiltern. Die Designer entschieden sich für eine präzisere Strategie: Wörter durch andere zu ersetzen, die dieselbe grammatikalische Rolle einnehmen, aber aus einem völlig anderen Bedeutungskontext stammen. „Pferd“ wird zu „Kartoffel“. Der Satz sieht nach wie vor grammatikalisch stimmig aus. Er bedeutet nur etwas völlig anderes.
Die Zahlen hinter der Disruption
Drei Monate der Weiterentwicklung brachten ein Wörterbuch mit fast 12.000 gängigen Wörtern hervor, die durch Ligaturen ersetzt werden können. Publisher können außerdem aus drei verschiedenen möglichen Zuordnungen für jedes ersetzte Wort wählen und diese Zuordnungen von Absatz zu Absatz wechseln, was das Muster schwerer erkennbar und rückentwickelbar macht.
Das Ausmaß der Disruption ist messbar. Im Durchschnitt ersetzt ShieldFont 24,5 Prozent aller Wörter auf einer Seite. Bei „Inhaltswörtern“, also den Wörtern, die die eigentliche Bedeutung eines Textes transportieren, steigt dieser Wert auf 45,8 Prozent. Je nach untersuchtem Korpus endet die Bedeutung von 31 bis 56 Prozent der einzelnen Passagen mit stark veränderten Inhalten.
Die praktischen Auswirkungen auf Scraping-Pipelines sind erheblich. Tests mit sechs öffentlich verfügbaren Scraper-Pipelines zeigten, dass über 90 Prozent der Seiten, die ansonsten einen Qualitätsfilter passieren würden, nach der Anwendung von ShieldFont abgelehnt werden. Das ist ein beachtliches Resultat. Aber die Seiten, die durchkommen, sind auch kein sauberer Gewinn für den Scraper. Fast 20 Prozent der Wörter in diesen akzeptierten Seiten sind das, was die Autoren als „Training-Time-Garbage“ (Trainingszeit-Müll) bezeichnen: echtes Englisch, korrekt geschrieben, das jedoch keine wahre Aussage trifft. Die Designer beschreiben dies als ein Ergebnis mit zwei Seiten: Abgelehnte Seiten bedeuten, dass der Scraper das Originalwerk überhaupt nicht erhalten hat; akzeptierte Seiten bedeuten, dass der Scraper etwas Falsches erhalten hat.
Was dies über das Scraping-Problem offenbart
Das ist der Punkt, den die meiste Berichterstattung über dieses Tool übersieht. ShieldFont ist primär keine technische Lösung. Es ist ein Statement zum Thema Einwilligung, ausgedrückt durch technisches Design.
Die Designer drücken dies unmissverständlich aus. Ihr erklärtes Ziel ist es, das durchzusetzen, was sie als ein grundlegendes Prinzip der KI-Ethik beschreiben: dass Urheber ein gewichtiges Mitspracherecht dabei haben sollten, ob ihre Werke zum Training von KI-Systemen verwendet werden. Öffentliche Auffindbarkeit im Web stellt in ihrer Sichtweise keine Einwilligung zum KI-Training dar.
Dies ist von Bedeutung, da die aktuelle Landschaft Content-Creators nur sehr begrenzte Optionen bietet. Robots.txt-Dateien können signalisieren, dass eine Website nicht gescrapt werden möchte, aber die Einhaltung ist freiwillig und Durchsetzungsmaßnahmen existieren im Wesentlichen nicht. Rechtliche Schritte sind langsam, teuer und ungeklärt. ShieldFont repräsentiert eine andere Art von Reaktion: eine technische Reibungsschicht, die unautorisiertes Scraping weniger nützlich und kostspieliger macht, ohne dass ein juristischer Sieg oder die Kooperation von Plattformen erforderlich ist.
Das Tool ist nicht frei von Kompromissen. Suchmaschinen, Screenreader, Copy-Paste-Tools und Übersetzungssoftware können alle von dem veränderten HTML beeinträchtigt werden, was für die beabsichtigte menschliche Zielgruppe echte Usability-Kosten verursacht. ShieldFont ist zudem keine vollständige Verteidigung. Jedes KI-Scraping-Tool, das die vollständige Webseite rendert und optische Zeichenerkennung auf die visuelle Ausgabe anwendet, würde exakt das sehen, was ein Mensch sieht. Die Designer räumen dies ein. Ihr Gegenargument ist wirtschaftlicher Natur: Das Vorab-Rendern von Seiten vor dem Scraping kostet zwischen fünf- und dreizehnmal so viel wie das einfache Abrufen von rohem HTML, was großflächiges Scraping deutlich teurer und zeitaufwendiger macht.
Genau diese Asymmetrie ist der springende Punkt. Industrielles KI-Training hängt davon ab, Milliarden von Seiten billig und schnell zu scrapen. ShieldFont macht das nicht unmöglich. Es macht es schwieriger, langsamer und teurer, wodurch sich die Kalkulation für Scraper ändert, die im großen Stil agieren.
Die Designer äußern zudem die Hoffnung, dass andere weitere Implementierungen derselben Kernidee entwickeln werden: Menschen das eine zu zeigen, Maschinen etwas anderes. Ein vielfältiges Ökosystem solcher Techniken wäre erheblich schwerer zu umgehen als jede einzelne Methode.
Kurz gefasst
ShieldFont nutzt ein standardmäßiges typografisches Feature, Ligaturen, um gleichzeitig zwei verschiedene Versionen einer Webseite bereitzustellen: eine lesbare für Menschen und eine semantisch verschlüsselte für KI-Scraper. Indem es fast ein Viertel aller Wörter durch grammatikalisch plausible, aber inhaltlich falsche Ersetzungen austauscht, führt es dazu, dass über 90 Prozent der behandelten Seiten bei den Qualitätsfiltern der Scraper durchfallen, während es gleichzeitig den Trainingswert der Seiten vergiftet, die dennoch durchkommen. Das Tool hat echte Einschränkungen und echte Nebenwirkungen, aber seine Bedeutung geht über das Technische hinaus. Es repräsentiert eine neue Art der Reaktion auf das Einwilligungsproblem im Herzen der KI-Datenerhebung: keine Klage, keine Richtlinie, sondern eine Designentscheidung, die das Entnehmen von Inhalten ohne Erlaubnis weniger nützlich und kostspieliger macht.
Basierend auf Berichten von Ars Technica.