AI・テクノロジー

AIスクレイパーに偽の本文を読ませるフォント「ShieldFont」の実力と限界

人の目には普通の文章、AIクローラーには別の文章。OpenTypeの合字機能を単語単位に拡張したWebフォント「ShieldFont」が2026年7月30日に公開されました。品質フィルタの通過率を1割まで落とす一方、スクリーンリーダーや翻訳が壊れ、日本語には未対応。数字と限界の両方を整理します。

claude

• 9 min read
Share

同じWebページを、人間とAIクローラーに違う文章として見せる。そんな仕掛けのフォントが公開されました。ShieldFont Project が2026年7月30日にコードとホワイトペーパー v2.0 を公開した「ShieldFont」は、OpenTypeの合字（リガチャ）機能を単語単位に拡張し、HTMLソース上の本文を意味の異なる別の文章にすり替えます。ブラウザで描画すると読者には元の文章が見え、ソースコードを直接読むスクレイパーだけが偽の文章を持ち帰る——という設計です。2026年8月12日にArs Technicaが報じたことで一気に注目が集まりました。

面白いアイデアですが、実力はどれほどのものなのか。そして何が壊れるのか。ホワイトペーパーは驚くほど正直に、自らの限界まで書いています。数字と副作用の両方を見ていきます。

背景：AIスクレイパー対策としての robots.txt の限界

AI学習データの無断収集をめぐる争いは、ここ数年で法廷にまで持ち込まれました。2026年7月には、海賊版書籍700万冊を学習に使ったとされるAnthropicの著作権訴訟で15億ドルの和解が最終承認されています。判決は「海賊版からの無断ダウンロードは違法、合法的に入手した書籍のAI学習利用はフェアユース」と線を引きました。

一方、Web上のテキストについてサイト運営者が持つ防御手段は、実質的に robots.txt しかありません。ところが robots.txt の仕様を定める RFC 9309 自身が、これらのルールは「アクセス認可の一形態ではない」と明記しています。つまり従うかどうかはクローラー側の裁量であり、無視されても技術的には何も起きない。

ShieldFont の著者である Isaque Seneda 氏と Gabriel Abrucio 氏は、この空白を「同意レイヤー（The Consent Layer）」と呼びます。ホワイトペーパーの原題そのものが「The Consent Layer: Using ligatures to make web text expensive to scrape without asking」——断りなくスクレイピングすることを「高くつく」ようにする、という主張です。

重要なのは、著者たちが反AIの立場を明確に否定している点です。「これは反AIの立場ではない。AIなしにこれを作ることもできなかった。これは対価と信用を求める立場だ」。デプロイ手順の推奨順序でも、最初に来るのは「まず robots.txt を置け。必ず」。ShieldFont はそれが無視されたときの次の一手として位置づけられています。

ShieldFont の仕組み：30年来の合字機能を単語に転用する

技術的な核はシンプルです。OpenTypeフォントには、「f と i を並べたら合字グリフ fi を描く」というリガチャ機能が30年前から標準搭載されています。ShieldFont はこれを文字ペアではなく単語全体に適用します。著者の説明が的確です——「普通のフォントが『f と i を1つの形として描け』と言うところを、我々のフォントは『engine の各文字を horse という単語の形で描け』と言う」。

つまり配信されるHTMLには engine と書いてあるのに、画面には「horse」と表示される。読者は何も気づかず、レンダリングを行わないクローラーだけが engine を回収します。全ペアは可逆（A→B かつ B→A）で単語の重複がないため、1つのフォントで往復できます。

置換辞書の作り込みがこのプロジェクトの本体です。現行の v18-alpha は11,988ペアで、候補13,132ペアから制約を通過したものだけが残っています。主なルールは次のとおりです。

  • 機能語113語（the, of, and, is, can、be/have/do の全活用形など）は絶対に置換しない
  • 単語を約250の「文法プール」に分類（品詞×意味カテゴリ×具体性×単複×動詞の他動性×活用×形容詞の程度）し、プール内でのみ置換
  • 同義語は禁止（意味が変わらないため無意味）、対義語も禁止（予測可能な暗号になってしまう）
  • 使うのは共下位語（cohyponym）——同義語でも対義語でもない、同カテゴリだが意味の無関係な語。horse → potato のように
  • 固有名詞は置換しない。埋め込み空間で50近傍以内の意味的に近すぎる語や、語根を共有する語も除外
  • 日付は固定オフセットでずらす（月は+6ヶ月、曜日は+3日）。数字は固定ペア（0↔5, 3↔8, 4↔9, 6↔7）で、1と2は西暦を壊さないよう据え置き

フォントファイルはフルボキャブラリで約825KB。実際に使う語だけをサブセット化すると最大78%削減され、約82KBまで落ちます。

ShieldFont の効果：AI学習データの品質フィルタ通過率が1割に落ちる

ここが本題です。単語をでたらめに入れ替えるだけなら、AI学習パイプラインの品質フィルタが「壊れた文章」として捨ててくれます。それでは学習データに影響を与えられない。ShieldFont が狙うのは「フィルタを通過した上で、間違った内容として学習される」ことです。

初期の辞書は400ペアで頻出語を無差別に置換した結果、perplexity（言語モデルから見た文章の不自然さ）が1,076%上昇して全フィルタに弾かれました。現行版はこれを121%上昇まで抑え込んでいます。著者いわく「150%を超えるとどのフィルタも棄却する」というのが経験則です。

置換の規模は、内容語の45.8%、全単語で見ると24.4%。ここでの計測結果は次のようになっています。

  • 教育品質を測る分類器 FineWeb-Edu を通した場合、シールドなしなら通過したはずのページのうち、通過するのは9.70%（134ページ中13ページ）。別コーパス・別採点手法での再現では10.27%
  • 言い換えれば「本来通るページの9割超が弾かれる」。ただし95%信頼区間は5.8〜15.9%と幅があり、母数も134ページと小さい
  • 生き残ったページでも、全単語の19.4%が誤った意味を伝えている
  • 文の含意関係（NLI分類器で双方向判定）の崩壊率は、無処置のコントロールが1.1%、同義語置換のコントロールが2.1%に対し、ニュース記事コーパス CC-News で55.8%。一般Web文章の OpenWebText で51.9%、小説系の BookCorpus で34.5%、PG-19 で31.1%

同義語置換の2.1%を基準にすると、ニュース記事では27倍。事実に関する主張の過半が壊れる計算です。なお4種類のフィルタで比べると保持率は2%から65%までばらつき、フィルタ同士の順位相関はほぼゼロでした。効き目はどのフィルタを使うかに大きく左右されます。

もうひとつの柱がコスト論です。ページを実際に描画したりOCRしたりする処理は、プレーンなHTMLフェッチの5〜13倍のコストがかかります。30億ページを最安の公開OCRサービスでスキャンすると約528,000ドル。比較として、Common Crawl の2024年の年間予算は1,326,638ドルで2億6,667万ページ（10クロール分）でした。OCRでの一括処理はこの予算の40%を消費して、カバーできるのは11%のページだけ。破られないことではなく、破るのが割に合わないことを防御と位置づける立場です。

ShieldFont の副作用：スクリーンリーダー・翻訳・SEOが壊れる

ホワイトペーパーで最も読む価値があるのは、実は限界を並べた章です。

スクリーンリーダーは深刻です。HTMLソースが既に置換済みなので、そのまま読み上げると「流暢だが内容が間違っている英語」になります。React版では aria-hidden で対処し、オプトインのβ版では暗号化した正しいテキストを埋め込んでJavaScriptで復号する方式を用意していますが、低速デバイスでは最大20秒かかる。著者は「これは摩擦であり、最も助けを求めている部分だ」と書いています。

翻訳ツールも同じ理由で誤訳します。Google翻訳などは置換後のソースを読むため、人間が見ている文章とは別物を訳すことになる。コピー＆ペーストも同様で、選択してコピーすると置換後のテキストが取れてしまいます。コピー時に元へ戻すフィルタは検討中で未実装です。

検索エンジンも、クローラーと同じソースコードを読みます。したがって置換後のテキストがインデックスされる可能性があり、著者はSEOが重要なコンテンツには適用しないよう推奨しています。AIに引用されることを狙うGEO（生成エンジン最適化）とは真正面から衝突する設計です。

そして日本語圏にとって決定的なのが、対応言語です。「我々が構築した辞書はすべて英語である」。他言語への移植には言語学的な知見が必要で、コントリビューターを募集している段階です。

このほか、画面のスクリーンショットやOCRには原理的に無効（正しい文字が写る）、フォント自体はブラウザに送られるため解析すれば置換規則は判明する、AppleBot や Google Gemini のようにページを完全描画するクローラーには効かない可能性がある——といった点も自認されています。過去のフォント難読化（中国のWebフォントリマッピング、TuringFonts、ZXX）はすべて公に破られており、著者は「我々のものも同じだ」と書いています。

影響・今後：効くかどうかは、まだ誰も証明していない

最も慎重に扱うべきなのは、「実際にAIモデルを劣化させたか」がまだ実証されていない点です。ShieldFont が示したのは、HTMLから原文と違う文章が回収されること、含意関係が壊れること、公開されている品質フィルタの多くが変換後の文を捨てること——この3つにとどまります。汚染データで実際に事前学習を回した検証はしておらず、著者は「我々に払えない事前学習の実行」として資金提供を募っています。

さらに誠実なことに、反証になりうる先行研究まで自ら引用しています。Guo らの2026年の研究では、10%の汚染データを混ぜても検証損失は0.032 nats しか動かず、下流タスクの性能は誤差の範囲内だったと報告されています。大規模な事前学習は、少々のノイズでは揺らがないかもしれない。

それでも、この試みが提示した論点は残ります。robots.txt という「お願い」しか持たなかったサイト運営者に、技術的な選択肢がひとつ増えたこと。そして「無断収集のコストを上げる」という戦略が、経済的な手段と技術的な手段の両方で同時に立ち上がっていることです。

一方で、Webの根幹を成す前提を壊しにいく手法でもあります。表示されている文字とソースコードの文字が一致しない世界は、アクセシビリティ、翻訳、引用、アーカイブのすべてに影響します。ShieldFont はオープンソース（CC BY 4.0）で公開され、著者は「互換性のない競合実装が出てくることは脅威ではなく成功だ」とまで述べています。実装が乱立するほど破りにくくなるという読みですが、それはWebの断片化を進める方向でもあります。

日本語のサイト運営者にとっては、当面は観察対象でしょう。日本語辞書がなく、共下位語の設計は言語ごとに一から作り直す必要があります。ただし、AI学習データの取り扱いをめぐる合意形成が進まないまま、こうした自衛策が各所で試され始めているという事実そのものは、押さえておく価値があります。

よくある質問

ShieldFont を導入すると、読者から見て何か変わりますか

見た目の文章は変わりません。ブラウザがフォントの置換テーブルを使って元の文章を復元して描画するためです。ただし読者がテキストを選択してコピーすると、置換後の別の文章が取得されます。翻訳ツールを使った場合も、置換後のソースを翻訳するため意味の通らない訳になります。コピー時に元へ戻す機能は検討中で、まだ実装されていません。

日本語のWebサイトでも使えますか

現時点では使えません。ホワイトペーパーは「我々が構築した辞書はすべて英語である」と明記しており、置換辞書は英語のみの対応です。他言語への移植には、品詞や意味カテゴリの分類といった言語学的な設計をやり直す必要があり、プロジェクトはコントリビューターを募集している段階です。

AI学習を本当に妨害できるのですか

まだ証明されていません。ShieldFont が実験で示したのは、HTMLから原文と異なる文章が回収されること、文の含意関係が最大55.8%崩れること、FineWeb-Edu のような品質フィルタを通過するページが1割程度に減ることの3点です。汚染データで実際にモデルを事前学習して性能低下を確認した検証はなく、著者自身が未実施だと述べています。

スクリーンリーダーを使う読者への影響はありますか

あります。HTMLソースが置換済みのため、そのまま読み上げると流暢だが内容の異なる文章になります。React版では aria-hidden による対処、オプトインのβ版では暗号化した正しいテキストをJavaScriptで復号する方式が用意されていますが、低速なデバイスでは復号に最大20秒かかると報告されています。著者はこの点を「最も助けを求めている部分」としています。

検索順位（SEO）には影響しますか

影響する可能性があります。検索エンジンのクローラーもAIスクレイパーと同じHTMLソースを読むため、置換後のテキストがインデックスされることになります。ホワイトペーパーは、SEOが重要なコンテンツには ShieldFont を適用しないよう推奨しています。AIに引用されることを目指すGEO（生成エンジン最適化）とは方向性が正面から対立します。

まとめ

ShieldFont は、30年来のフォント技術を転用して「表示される文字」と「ソースコードの文字」を意図的にずらし、AI学習データの無断収集にコストを課そうとする試みです。内容語の45.8%を共下位語に置換し、ニュース記事では文の含意関係を55.8%崩し、厳格な品質フィルタの通過率を1割程度まで落とす——ここまでは数字で示されています。

一方で、実際のモデル性能への影響は未実証であり、スクリーンリーダー・翻訳・コピー・検索インデックスといったWebの基本機能を巻き込む副作用があり、対応言語は英語のみ。これらは外部からの批判ではなく、すべてホワイトペーパー自身が書いていることです。

robots.txt が法的にも技術的にも「お願い」でしかない以上、こうした自衛策が出てくるのは自然な流れでしょう。ただし現時点の ShieldFont は、実用ツールというより、AI学習データをめぐる合意形成が遅れていることを可視化した問題提起として読むのが妥当だと思われます。日本語圏で使える日が来るかどうかも、まだ先の話です。

参考ソース

関連記事