Kopenhaska odlewnia czcionek Playtype i niezależne studio kreatywne S&A wypuściły 30 lipca krój pisma, który rozgrywa różnicę między tym, co widzi człowiek, a tym, co pobiera robot. Na ekranie tekst wygląda normalnie, w kodzie HTML prawie połowa słów niosących znaczenie jest już inna.
Kluczowe fakty:
- ShieldFont to krój pisma stworzony przez Playtype i S&A, który sprawia, że tekst wyświetlany w przeglądarce różni się od tekstu zapisanego w kodzie HTML – prawie połowa słów niosących znaczenie jest w kodzie zastąpiona innymi wyrazami.
- Mechanizm działa w oparciu o standard OpenType (GSUB) z 1996 roku, który normalnie służy do tworzenia ligatur – ShieldFont wykorzystuje go do podmiany całych słów na kohiponimy, czyli wyrazy z tej samej kategorii znaczeniowej, co zaburza uczenie się modeli językowych na podstawie kontekstu.
- Słownik podstawień w wersji v18 zawiera blisko dwanaście tysięcy par słów, a 113 najczęstszych angielskich słów funkcyjnych (m.in. przedimki, zaimki i spójniki) jest wyłączonych z podmiany.
Projekt nazywa się ShieldFont i można go sprawdzić samodzielnie na żywym demo, gdzie po skopiowaniu akapitu do schowka trafiają słowa, których nie ma na ekranie. Twórcy udostępnili też krótki materiał instruktażowy pokazujący wdrożenie krok po kroku.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Trzydziestoletni mechanizm typograficzny wycelowany w całe słowa
Pomysł opiera się na funkcji, którą ma praktycznie każda czcionka na świecie. Kiedy litera „f” sąsiaduje z „i”, haczyk pierwszej wchodzi w kropkę drugiej, więc krój rysuje jeden połączony znak zamiast dwóch. To ligatura, a tablica podstawień w standardzie OpenType, znana jako GSUB, mówi programowi rysującemu stronę, co czym zastąpić. Standard powstał w 1996 roku we współpracy Microsoftu i Adobe.
ShieldFont kieruje ten sam mechanizm nie na pary liter, lecz na całe wyrazy. W kodzie strony zapisane jest słowo „engine”, a czcionka rysuje kształt słowa „horse”. Przeglądarka pokazuje zdanie autora. Scraper, który pobiera surowy plik HTML i nigdy nie rysuje strony, zabiera wersję z podmienionym rzeczownikiem.
Podstawienia nie są przypadkowe. Rzeczownik zamienia się w rzeczownik, czasownik w czasownik, a dobór idzie po tak zwanych kohiponimach, czyli słowach z tej samej kategorii, które nie są ani synonimami, ani antonimami. „Horse” nie staje się „steed”, bo to niczego by nie zmieniło. Staje się „potato”, bo model językowy uczy się znaczenia z sąsiedztwa, a koń otoczony frytkami i puree ląduje w zupełnie innym miejscu przestrzeni znaczeń.
Słownik w wersji v18 liczy blisko dwanaście tysięcy par. Sto trzynaście najczęstszych angielskich słów, czyli przedimki, zaimki, spójniki i formy „be”, „have”, „do”, jest wyłączonych z podmiany na sztywno. Twórcy sprawdzili, co się dzieje bez tej listy: perplexity tekstu rosło o 1076 procent i każdy testowany filtr jakości wyrzucał stronę do kosza.
Liczby, które twórcy sami opublikowali
Biała księga projektu, zatytułowana „The Consent Layer”, zawiera dane z testów na czterech korpusach po tysiąc fragmentów każdy. Miarą jest klasyfikator wnioskowania logicznego uruchamiany w obu kierunkach: fragment liczy się jako złamany dopiero wtedy, gdy oryginał nie implikuje wersji zakodowanej i odwrotnie.
| Korpus | Rodzaj tekstu | Fragmenty, które przestały twierdzić to samo |
|---|---|---|
| Kontrola z synonimami | ta sama liczba podmian, synonimy | 2,1 proc. |
| PG-19 | starsza beletrystyka | 31,1 proc. |
| BookCorpus | beletrystyka | 34,5 proc. |
| OpenWebText | ogólne treści webowe | 51,9 proc. |
| CC-News | teksty prasowe | 55,8 proc. |
Teksty dziennikarskie wypadają najgorzej, co ma sens: opierają się na nazwiskach, liczbach i konkretnych twierdzeniach, a nie na nastroju. Podmiana ćwierci wyrazów rozbija je dwadzieścia siedem razy skuteczniej niż wymiana tych samych słów na synonimy.
Drugi wynik dotyczy filtrów jakości. Najostrzejszy publicznie dostępny filtr, ten używany przy budowie zbioru FineWeb-Edu, odrzuca 92 procent zwykłych stron internetowych. Po zastosowaniu ShieldFont przez to sito przechodzi 9,7 procent stron, które wcześniej przechodziły bez problemu. Trzynaście na sto trzydzieści cztery. Twórcy sami zaznaczają, że mianownik jest mały, a przedział ufności rozciąga się od 5,8 do 15,9 procent.
Z punktu widzenia wydawcy oba wyniki są korzystne. Dziewięć stron na dziesięć nigdy nie trafia do treningu. Ta dziesiąta trafia, ale 19,4 procent jej słów nie stwierdza niczego prawdziwego.
Autorem kroju jest Jeppe Pendrup z Playtype, który tak opisał zadanie: „Każdy szczegół miał służyć ludzkiemu oku, podczas gdy ukryty pod spodem system służył zupełnie innemu celowi” / „Every detail had to serve the human eye, while the hidden system underneath served an entirely different purpose.”
Dlaczego podmiana, a nie zwykła blokada
Isaque Seneda i Gabriel Abrucio, założyciele S&A, ustawiają projekt wprost przeciwko logice pliku robots.txt: „ShieldFont nie jest projektem wymierzonym w sztuczną inteligencję. Jesteśmy po prostu przeciwni założeniu, że publikowanie oznacza zgodę” / „ShieldFont is not an anti-AI project. We’re simply against the idea that publishing is the same as consenting.”
Argument opiera się na badaniu przedstawionym na konferencji ACM Internet Measurement Conference w 2025 roku. Autorzy obserwowali sto trzydzieści botów przez czterdzieści dni i ustalili, że roboty firm rozwijających AI należą do bardziej zdyscyplinowanych kategorii, a mimo to zgodność z pełną blokadą zatrzymuje się na poziomie 26 procent. Sam standard RFC 9309 mówi wprost, że reguły w robots.txt są prośbą, nie formą autoryzacji dostępu.
Ekonomia całej obrony sprowadza się do jednej liczby. Wyrenderowanie strony zamiast pobrania jej jako pliku tekstowego kosztuje od pięciu do trzynastu razy więcej, co widać w cennikach ScrapingBee, ScraperAPI i Zyte. Twórcy policzyli, że przepuszczenie trzech miliardów stron przez najtańsze publicznie dostępne OCR kosztowałoby około 528 tysięcy dolarów, podczas gdy cały roczny budżet fundacji Common Crawl wyniósł w 2024 roku 1 326 638 dolarów przy 26,67 miliarda pobranych stron. Sam przebieg OCR zjadłby zatem 40 procent rocznych pieniędzy fundacji, żeby dotrzeć do 11 procent jej materiału.
Sześć głównych opublikowanych potoków budowy zbiorów treningowych (FineWeb, DCLM, RefinedWeb, C4, The Pile i Dolma) wyciąga tekst z surowego HTML. Żaden nie uruchamia przeglądarki. Dane firmy Vercel zebrane wspólnie z MERJ pokazały, że w ciągu jednego miesiąca robot OpenAI wykonał 569 milionów pobrań, a robot Anthropic 370 milionów, i żaden z nich nie wykonywał JavaScriptu.
Podoba mi się elegancja tego pomysłu. Nie ma tu żadnej nowej technologii, jest trzydziestoletnia funkcja typograficzna użyta w sposób, o którym nikt wcześniej nie pomyślał. Podoba mi się też uczciwość dokumentacji: twórcy sami piszą, że font jest własnym kluczem i że każdy, kto go pobierze, odczyta z niego tablicę podstawień. Sami odtworzyli wszystkie 11 962 pary bez jednego błędu i napisali o tym w białej księdze, zamiast liczyć, że nikt nie sprawdzi.
Mam jednak dwa pytania, na które nie znajduję dobrej odpowiedzi. Pierwsze dotyczy czytelników niewidomych. Czytniki ekranu pracują na tym samym kodzie co scrapery, więc domyślnie chroniony blok jest przed nimi ukrywany, a wersja alternatywna każe przeglądarce liczyć zagadkę kryptograficzną nawet przez dwadzieścia sekund. Koszt obrony spada na osobę, która ma z tym najmniej wspólnego. Twórcy nazywają to swoim największym problemem i proszą o pomoc, i to jest w porządku, ale problem istnieje dziś, a rozwiązanie jest w becie.
Drugie pytanie jest brzydsze. Skoro tekst chroniony jest tak skonstruowany, żeby przechodzić przez filtry jakości i wyglądać na wiarygodny, to co się stanie, kiedy taką techniką posłuży się ktoś, kto nie chroni własnej twórczości, tylko chce wpuścić do obiegu fałszywe zdania o konkretnej firmie albo osobie? Marcowe badanie LayerX Security pokazało dokładnie tę samą lukę użytą ofensywnie, tyle że w drugą stronę: człowiek widział ładunek, a asystent AI czytający stronę widział coś nieszkodliwego. Jedenaście na jedenaście testowanych asystentów tego nie wychwyciło. Narzędzie jest tym samym narzędziem, zmienia się tylko intencja.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Czego ShieldFont nie potrafi
Twórcy wyliczają ograniczenia sami i robią to precyzyjniej niż większość komentujących ten projekt:
- Zdjęcie ekranu i OCR odzyskują oryginał w całości, bo obraz zawiera prawdziwe litery. Obrona jest ekonomiczna, nie kryptograficzna.
- Wyszukiwarki czytają ten sam kod co scrapery, więc indeksują tekst zastępczy. Twórcy radzą chronić archiwa i teksty spoza lejka wyszukiwarkowego, a strony sprzedażowe zostawić bez zabezpieczenia.
- Kopiowanie i wklejanie zwraca podmienione słowa, co utrudnia życie każdemu, kto chce autora zacytować.
- Narzędzia do tłumaczenia maszynowego czytają z kodu, więc przetłumaczą cudze zdania, nie autora.
- Krój obsługuje wyłącznie angielski. Słowniki alfa, beta i gamma liczą odpowiednio 11 970, 12 034 i 12 036 par, wszystkie angielskie. Wyrazy w innych językach przechodzą nietknięte.
- Zaawansowane roboty, które rzeczywiście rysują całe strony, w tym AppleBot i crawler Gemini, prawdopodobnie omijają zabezpieczenie już dziś.
W białej księdze pada też zdanie, którego zwykle nie ma w materiałach prasowych. Twórcy przypominają wyrok, jaki Ross Anderson, profesor inżynierii bezpieczeństwa z Cambridge, wydał w 2013 roku na temat kroju ZXX, wcześniejszej próby oszukania maszynowego odczytu: „Nie sądzę, żeby to było coś więcej niż teatr prywatności. Te czcionki prawdopodobnie da się złamać” / „I don’t think any of this is more than privacy theater. The fonts could probably be broken.” I dodają: miał rację, a wobec naszego projektu jest tak samo.
Skala problemu, na który to odpowiada
Na początku czerwca Matthew Prince, prezes Cloudflare, opublikował dane z Cloudflare Radar, według których automaty odpowiadają już za 57,5 procent ruchu HTML, a ludzie za pozostałe 42,5 procent. Sam przyznał, że przewidywał to skrzyżowanie krzywych rok później.
Proporcje wymiany między crawlerami a wydawcami mierzy się wskaźnikiem crawl-to-refer, czyli liczbą pobranych stron przypadających na jedno odesłanie użytkownika. Publikowane odczyty rozjeżdżają się drastycznie w zależności od okna pomiarowego: dla robota Anthropic pojawiały się w tym roku wartości od kilku do kilkudziesięciu tysięcy stron na jedno odesłanie, dla GPTBota od kilkuset do ponad tysiąca. Googlebot mieści się w okolicach pięciu. Rozrzut jest na tyle duży, że traktowałbym te liczby jako ilustrację kierunku, nie jako precyzyjny pomiar, ale kierunek jest jednoznaczny i pogarsza się od dwóch lat.
Do tego dochodzi twardy argument o wartości tekstu. Zespół Epoch AI szacował w pracy przedstawionej na ICML 2024, że zasób publicznie dostępnego tekstu napisanego przez ludzi zostanie wyczerpany przez modele między 2026 a 2032 rokiem, z medianą w 2028. Podaż dobrego pisarstwa rośnie wolniej niż moc obliczeniowa, która za nim goni.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co to oznacza dla polskich wydawców
Najkrócej: dziś nic. Słowniki ShieldFont są wyłącznie angielskie, a polski tekst przechodzi przez krój bez zmiany. Strona po polsku z włączonym zabezpieczeniem wygląda na chronioną, a nie jest. Twórcy piszą wprost, że przeniesienie słownika na inny język nie jest zadaniem tłumaczeniowym, tylko wymaga native speakerów dobierających podstawienia tak, żeby zdania nadal brzmiały naturalnie, i że jest to najbardziej wartościowy wkład, jaki ktoś z zewnątrz może wnieść. Polska fleksja czyni to zadanie trudniejszym niż w angielskim, bo każda para musiałaby działać w siedmiu przypadkach i obu liczbach.
Druga sprawa dotyczy prawa. Polska wdrożyła dyrektywę DSM w 2024 roku i od tego czasu komercyjne wykorzystanie utworów do eksploracji tekstów i danych jest dozwolone, o ile uprawniony nie zastrzegł inaczej. Zastrzeżenie musi być czytelne maszynowo, czyli zapisane w metadanych albo w pliku robots.txt. Izba Wydawców Prasy przygotowała wzór noty wydawniczej, ZAiKS ogłosił opt-out w grudniu 2024 roku, a Ringier Axel Springer Polska umieścił własną klauzulę w serwisach grupy.
Z polskiej perspektywy najważniejsza jest kolejność. ShieldFont nie zastępuje zastrzeżenia TDM i sam nie jest zastrzeżeniem w rozumieniu polskiej ustawy, bo jego działanie nie jest deklaracją prawną, tylko techniczną przeszkodą. Twórcy zresztą sami umieszczają robots.txt jako pierwszy punkt instrukcji wdrożenia i nazywają swój projekt tym, co się robi, gdy prośba zostaje zignorowana. Wydawca, który wdrożyłby podmianę bez wcześniejszego zastrzeżenia, miałby zabezpieczenie techniczne i zero podstawy do dochodzenia czegokolwiek.
Trzecia rzecz to pozycjonowanie. Polski rynek reklamy cyfrowej wciąż w dużej mierze opiera się na ruchu z wyszukiwarki, a Google indeksuje ten sam kod, który czytają scrapery. Dla portalu informacyjnego oznacza to, że chronić można archiwum i teksty publicystyczne sprzed lat, a nie bieżące newsy, z których żyje reklama. Bilans wychodzi na korzyść tych wydawców, którzy mają duże, wartościowe archiwa i nie liczą już na ruch z wyszukiwarki do starych materiałów.
Kod projektu jest dostępny na licencji AGPL-3.0, biała księga na CC BY 4.0, a wszystkie dane porównawcze leżą w repozytorium do sprawdzenia. Jeśli ktoś w Polsce chciałby zbudować polski słownik, materiał wyjściowy jest kompletny i otwarty. Nie znam nikogo, kto by się za to zabrał, i szczerze mówiąc byłbym ciekaw, ile z tych 55 procent skuteczności zostałoby po zderzeniu z polską odmianą.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym białej księgi projektu The Consent Layer autorstwa Isaque Sanedy i Gabriela Abrucio z dnia 30.07.2026, materiałów prasowych opublikowanych przez ShieldFont z dnia 28.07.2026 oraz relacji serwisów TechSpot, The Register, Creative Bloq i Dieline. Kontekst prawny dotyczący zastrzeżenia TDM opracowano między innymi na podstawie materiałów Wirtualnych Mediów, Press.pl oraz akademii ZAiKS. Cytaty Jeppe Pendrupa, Isaque Sanedy, Gabriela Abrucio i Ross Andersona zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Dane o udziale ruchu automatycznego pochodzą z Cloudflare Radar. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji na temat ShieldFont i technik ochrony treści przed scrapingiem.
