Digitare "buona fortuna a leggermi, inutile robot" nel demo online di ShieldFont e premere invio restituisce qualcosa come "buona comodità a leggermi, giallo barriera". Per chi visita la pagina, il testo appare normale; per un LLM scraper che legge il codice HTML grezzo, invece, è un guazzabuglio di parole grammaticalmente corrette ma semanticamente dissociate. Il gioco sta tutto nella sostituzione di circa un quarto dei termini, scambiando un nome con un altro nome, un verbo con un verbo, mai incrociando le categorie. Anzi, il meccanismo è ancora più sottile: non solo "nome per nome", ma "nome astratto plurale riguardante la comunicazione per nome astratto plurale riguardante la comunicazione". Il risultato è una frase che un bot giudica bizzarra ma coerente, e quindi non scarta come spazzatura.

Dietro ShieldFont c'è lo studio di design Seneda & Abrucio di Amsterdam, che ha collaborato con la fonderia tipografica danese Playtype. Il font è un fork di Optik, un carattere già esistente, esteso sfruttando le tabelle GSUB (glyph substitution) del formato OpenType. Normalmente queste tabelle servono per legature come "fi" o per sostituire automaticamente caratteri speciali; ShieldFont le spinge fino a scambiare intere parole. Il file del font per desktop pesa circa 5 MB, mentre la versione compressa per il web, comprensiva dell'intero dizionario di sostituzione, si aggira sugli 800 KB — corposo per un font, ma gestibile. E di dizionari GSUB non ce n'è uno solo: il progetto ne fornisce tre predefiniti, e le istruzioni su GitHub spiegano come generarli in proprio per rendere più difficile il reverse engineering.

Lo scopo non è blindare i contenuti, ma alzare il costo dello scraping indiscriminato. "Non vogliamo solo nascondere il testo — quello lo fanno già altri font scrambler — ma iniettare caos nei dataset di addestramento", spiegano i creatori. "Se copi senza chiedere, non puoi più sapere se ciò che hai preso è reale". Un sito che adotta ShieldFont non rende i propri articoli illeggibili alle macchine: li rende tossici per i modelli che se ne nutrono.

Un'arma imperfetta ma efficace nel creare attrito

ShieldFont ha limiti evidenti. Uno screenshot passato a un OCR ignora il font e legge il testo visibile; un avversario determinato può scaricare il font, incrociare i tre dizionari e decodificare la pagina. I motori di ricerca, che lavorano sul codice sorgente, penalizzano il posizionamento, e i lettori di schermo faticano (anche se è prevista una modalità che restituisce il testo corretto, seppur lentamente). Anche il semplice copia-e-incolla rivela la versione originale. Eppure, il punto non è fermare un attore sofisticato, ma rendere oneroso lo scraping massivo. Ogni sito protetto aggiunge un granello di sabbia in un ingranaggio che finora girava a costo zero.

Questo meccanismo di difesa è un segnale di come la tensione tra chi produce contenuti e chi addestra LLM stia salendo. Finora, gli strumenti di opt-out (robots.txt, intestazioni HTTP, blocchi lato server) si basano sulla buona volontà di chi scrapa. ShieldFont ribalta la prospettiva: non chiede permesso, inquina il dato a monte. È speculare a quanto accadeva con i captcha: anche lì si alzava il costo dell'automazione senza rendere l'operazione impossibile.

Per chi gestisce pubblicazioni online e tiene alla sovranità del proprio corpus testuale, l'adozione di ShieldFont può essere un tassello in una strategia più ampia. Non sostituisce accordi di licenza o strumenti legali, ma introduce un freno tecnico dove prima c'era il vuoto. La sua natura open source permette inoltre di personalizzare le mappature, riducendo il rischio di database centralizzati di decodifica. Siamo solo all'inizio: la versione attuale è etichettata come v0/alpha. Ma l'idea che basti un font per mettere incertezza in un intero pipeline di scraping segna un punto di svolta nella difesa attiva del web aperto.