Chaque mot d’une page Web peut être lu par deux publics très différents : le visiteur humain qui ouvre un navigateur, et le web scraper automatisé qui télécharge le code HTML brut pour alimenter un pipeline d’entraînement en IA. Pendant des années, ces deux publics ont vu exactement la même chose. ShieldFont, un projet mené par les designers Isaque Seneda et Gabriel Abrucio, repose sur un postulat simple mais perturbateur : ils n’y sont pas obligés.
L’astuce typographique cachée à la vue de tous
Pour comprendre le fonctionnement de ShieldFont, il est utile de comprendre les ligatures. En typographie, une ligature est une fonctionnalité qui associe automatiquement certaines paires de lettres en un seul glyphe plus harmonieux sur le plan visuel lorsqu’elles se trouvent côte à côte. C’est un outil vieux de plusieurs siècles, standard dans les polices professionnelles, et totalement invisible pour le lecteur.
ShieldFont réutilise ce mécanisme dans un tout autre but. Au lieu de fusionner des paires de lettres pour des raisons esthétiques, il utilise des ligatures pour remplacer des mots entiers par d’autres. La substitution se produit au stade du rendu, lorsque le moteur de police affiche la page à l’écran. Un visiteur humain voit le texte original voulu. Un scraper qui extrait le code source HTML brut, comme le font la plupart d’entre eux, récupère à la place la version modifiée.
Les remplacements de mots ne sont pas aléatoires. Un simple échange de synonymes serait trop facile à inverser. Remplacer des mots par du charabia serait trop facile à détecter et à filtrer. Les designers ont opté pour une stratégie plus précise : remplacer des mots par d’autres qui partagent le même rôle grammatical mais appartiennent à un contexte informationnel complètement différent. « Cheval » devient « patate ». La phrase conserve une cohérence grammaticale. Elle signifie simplement quelque chose de totalement différent.
Les chiffres derrière la perturbation
Trois mois de perfectionnement ont permis de produire un dictionnaire de près de 12 000 mots courants pouvant être substitués grâce à des ligatures. Les éditeurs peuvent également choisir parmi trois correspondances possibles pour chaque mot remplacé, et faire varier ces correspondances d’un paragraphe à l’autre, ce qui rend le modèle plus difficile à détecter et à rétroconcevoir.
L’ampleur de la perturbation est mesurable. En moyenne, ShieldFont remplace 24,5 pour cent de tous les mots d’une page. Pour les « mots de contenu », c’est-à-dire ceux qui portent le sens réel d’un texte, ce chiffre monte à 45,8 pour cent. Selon le corpus étudié, entre 31 et 56 percent des passages individuels finissent par voir leur sens considérablement altéré.
L’effet pratique sur les pipelines de scraping est considérable. Des tests menés sur six pipelines de scraping disponibles publiquement ont montré que plus de 90 pour cent des pages qui passeraient normalement un filtre de qualité sont rejetées après l’application de ShieldFont. C’est un résultat significatif. Mais les pages qui parviennent à passer ne constituent pas pour autant une victoire nette pour le scraper. Près de 20 pour cent des mots de ces pages acceptées sont ce que les auteurs appellent des « déchets d’entraînement » (training-time garbage) : du vrai anglais, correctement orthographié, mais qui n’affirme rien de vrai. Les designers présentent cela comme un résultat à double tranchant : les pages rejetées signifient que le scraper n’a pas du tout obtenu l’œuvre originale ; les pages acceptées signifient que le scraper a obtenu une information erronée.
Ce que cela révèle sur le problème du scraping
Voici ce que la plupart des articles consacrés à cet outil oublient. ShieldFont n’est pas principalement une solution technique. C’est une prise de position sur le consentement, exprimée par le design technique.
Les designers sont explicites à ce sujet. Leur objectif déclaré est d’imposer ce qu’ils décrivent comme un principe fondamental de l’éthique de l’IA : les créateurs devraient avoir un droit de regard significatif sur l’utilisation de leurs œuvres pour entraîner des systèmes d’IA. Selon leur vision, le simple fait d’être accessible publiquement sur le Web ne constitue pas un consentement à l’entraînement en IA.
C’est important car le paysage actuel offre aux créateurs de contenu des options très limitées. Les fichiers Robots.txt peuvent indiquer qu’un site refuse d’être scrapé, mais le respect de cette consigne est volontaire et son application est pour ainsi dire inexistante. Les recours juridiques sont lents, coûteux et non résolus. ShieldFont représente une autre catégorie de réponse : une couche de friction technique qui rend le scraping non autorisé moins utile et plus coûteux, sans nécessiter de victoire juridique ni de coopération de la part des plateformes.
L’outil n’est pas sans compromis. Les moteurs de recherche, les lecteurs d’écran, les outils de copier-coller et les logiciels de traduction peuvent tous être perturbés par le code HTML modifié, ce qui engendre de réels coûts d’utilisabilité pour le public humain visé. ShieldFont ne constitue pas non plus une défense absolue. Tout outil de scraping d’IA qui restitue la page Web complète et applique une reconnaissance optique de caractères sur le rendu visuel verrait exactement ce qu’un humain voit. Les designers le reconnaissent. Leur contre-argument est d’ordre économique : pré-rendre les pages avant de les scraper coûte entre cinq et treize fois plus cher que de simplement récupérer le HTML brut, ce qui rend le scraping à grande échelle nettement plus coûteux et chronophage.
Cette asymétrie est le véritable enjeu. L’entraînement en IA à l’échelle industrielle repose sur le scraping de milliards de pages à bas coût et rapidement. ShieldFont ne rend pas cela impossible. Il le rend plus difficile, plus lent et plus coûteux, ce qui modifie les calculs pour les scrapers opérant à grande échelle.
Les designers expriment également l’espoir que d’autres développeront des applications supplémentaires de cette même idée de base : montrer une chose aux humains, et autre chose aux machines. Un écosystème diversifié de telles techniques serait considérablement plus difficile à contourner qu’une méthode unique.
En bref
ShieldFont utilise une fonctionnalité typographique standard, les ligatures, pour servir simultanément deux versions d’une page Web : une version lisible pour les humains, et une version brouillée sémantiquement pour les web scrapers de l’IA. En remplaçant près d’un quart de tous les mots par des substituts grammaticalement plausibles mais faux sur le plan informationnel, il provoque l’échec des filtres de qualité des scrapers pour plus de 90 pour cent des pages traitées, tout en empoisonnant la valeur d’entraînement des pages qui parviennent à passer. L’outil présente de réelles limites et de véritables effets secondaires, mais sa portée va au-delà de la technique. Il représente une nouvelle catégorie de réponse au problème du consentement qui se trouve au cœur de la collecte de données pour l’IA : ni une action en justice, ni une politique, mais un choix de conception qui rend l’appropriation de contenu sans autorisation moins utile et plus coûteuse.
D’après un reportage de Ars Technica.