ShieldFont, la police anti scraping testée contre zéro entraînement d'IA

Publié en octobre 2025 par Isaque Seneda et Gabriel Abrucio, ShieldFont propose une police de caractères qui livre aux aspirateurs des IA un texte faux mais crédible. Son livre blanc autopublié reconnaît onze limites, un taux mesuré sur 134 pages et aucun test contre un entraînement réel de modèle. Posté sur Hacker News le 31 juillet 2026 : 2 points, zéro commentaire.

Il existe un geste que personne ne green lighte : publier son outil, et publier dans le même mouvement la liste des raisons pour lesquelles il ne tiendra pas. Un outil qui promet de mentir aux robots. Un livre blanc qui détaille onze façons de le contourner. Une ligne, au milieu, qui reconnaît que le seul test décisif n'a jamais été mené, faute d'argent. ShieldFont est un objet technique public, documenté, vérifiable · code sous licence, police téléchargeable, chiffres consultables. C'est surtout un aveu.

Le mécanisme n'est pas une astuce d'affichage. Le HTML n'est pas maquillé, il est remplacé : un encodeur substitue aux mots du texte d'autres mots grammaticalement compatibles, belongs devient determines, puis la police restitue à l'écran des glyphes composites ayant la forme des mots d'origine, via la fonctionnalité OpenType ccmp, ce qui la fait fonctionner jusque dans Microsoft Word. Le dépôt le formule ainsi : the browser applies ShieldFont's OpenType GSUB rules at render time and swaps the encoded words for glyphs shaped like the originals. Le lecteur humain lit le vrai texte. L'aspirateur emporte le faux.

Un leurre crédible, surtout pas du charabia

Et ce faux n'est pas du charabia, c'est là toute l'idée. La description officielle du dépôt dit : humans see the text, scrapers see a plausible decoy. Un texte incohérent serait éliminé par les filtres qualité qui nettoient les jeux d'entraînement, donc inutile. ShieldFont vise le mensonge plausible, pas le bruit. Le dictionnaire par défaut, mapping v18 alpha, compte 11 970 entrées, augmentées de règles de rotation des chiffres, avec quatre variantes : alpha, beta, gamma, maxhide. Version 0.3.x, étiquetée alpha par ses propres auteurs, Isaque Seneda, qui indique Amsterdam sur son profil public, et Gabriel Abrucio, réunis sous le studio S&A.

Zéro, et un intervalle qui va du simple au triple

Le chiffre qui tient la pièce est zéro. Zéro entraînement réel de modèle contre lequel ShieldFont a été testé, de l'aveu de ses créateurs dans leur propre livre blanc. Le motif tient en trois mots : we cannot afford. À la place, deux substituts : un classifieur public d'implication textuelle, cross-encoder/nli-deberta-v3-base, et quatre filtres qualité que les auteurs admettent ne pas pouvoir identifier complètement. Selon ce même livre blanc, autopublié sur shieldfont.org, 45,8 % des mots de contenu sont permutés, 24,4 % de l'ensemble des mots courants, et 31,1 % à 55,8 % des passages voient leur sens cassé.

Reste le chiffre le plus avancé du projet, celui qu'on citerait dans une levée de fonds : 9,70 % des pages qui passaient les filtres qualité y survivent encore. Il repose sur 134 pages. Son intervalle de confiance à 95 % va de 5,8 % à 15,9 %. Les quatre correcteurs utilisés affichent une corrélation de rang proche de zéro, c'est à dire un désaccord quasi total entre eux. Tout cela est écrit par les auteurs, dans leur document, sans relecture par les pairs, sans vérification indépendante, sans publication scientifique. On peut appeler ça de la probité. On peut aussi y lire une ligne budgétaire.

We do not claim encoded text damages the model that trains on it.

C'est ce qui sépare ShieldFont du folklore de l'empoisonnement des données, ce fantasme à la Bartleby où le texte refuserait en silence et abîmerait la machine qui le lit. Une page du projet vend l'idée de sabotage. Le README des mêmes auteurs la retire, noir sur blanc, dans la phrase ci dessus. Le site officiel, lui, parle de friction, not a lock. Rares sont les producteurs qui coupent eux mêmes leur bande annonce.

La clé est livrée avec la serrure

Le plus bel aveu se trouve ailleurs, dans la documentation technique : the font you hand the browser IS the codebook. Pour que le lecteur voie le vrai texte, il faut lui livrer la police, et cette police contient des glyphes composites dessinés à partir des lettres du mot d'origine. Le système expédie donc sa pierre de Rosette avec le hiéroglyphe. Les auteurs estiment eux mêmes l'inversion réalisable en une à trois semaines d'ingénierie. Et pour les impatients, une photo de l'écran suffit : l'OCR ne connaît pas le chiffrement, il ne connaît que la forme.

La facture est payée par ceux qui ne pillent rien

Le copier coller rend le texte brouillé. Les outils de traduction lisent le leurre. Les moteurs de recherche indexent le leurre. Les lecteurs d'écran, toujours selon les limites listées par les auteurs, peuvent attendre jusqu'à vingt secondes sur un appareil lent, ce qui, traduit du langage produit, signifie qu'un lecteur aveugle paie la protection d'un texte qu'il n'a pas écrit. Le système ne fonctionne qu'en anglais. Ajoutons la question des licences, que le projet ne dissimule pas davantage : le code est sous AGPL v3.0, les polices générées sous SIL Open Font License 1.1 uniquement lorsqu'elles sont construites à partir de bases OFL, et la police par défaut, ShieldFont Optik, embarque Optik, propriété de la fonderie danoise Playtype, sous forme modifiée et hors OFL. L'outil d'émancipation transporte un actif propriétaire.

Le 31 juillet 2026, le projet est posté sur Hacker News. Deux points. Zéro commentaire. Aucune couverture de presse retrouvée, aucune adoption mesurable, aucune entreprise d'intelligence artificielle qui se soit jamais plainte d'avoir été gênée. Le générique se lit vite : deux auteurs ont green lighté, personne n'a encaissé, le public n'est pas venu. Ce n'est pourtant pas l'échec qui rend la pièce intéressante, c'est la lucidité. Un projet qui documente sa propre inefficacité avec cette précision n'est plus une arme, c'est un procès verbal.

Car la vraie information n'est pas dans les 9,70 %. Elle est dans le fait qu'en 2026, des auteurs en soient à envisager sérieusement de casser le copier coller, la traduction, le référencement et les lecteurs d'écran de leurs propres textes, sans preuve que cela ralentisse quoi que ce soit, pour espérer échapper à l'aspiration. Le pillage est devenu si acquis que la riposte se retourne contre le lecteur. Autonome ne veut pas dire libre, écrivions nous ce matin à propos d'un autre dossier. Protégé ne veut pas dire lisible.