ShieldFont、人間の読者を傷つけずにAI学習データを汚染することを目指す

2人のデザイナーがShieldFontを発表した。ウェブ出版者に対し、無断のAI学習を実質的に拒否できる手段を提供するために設計された書体だ。このフォントはリガチャ（合字）を使って、ページが画面上にレンダリングされる際に単語を入れ替える。そのため人間の読者にはごく普通のテキストが見える一方、生のHTMLソースを取得するスクレイパーには、改変された意味不明なバージョンが渡る。

仕組み

リガチャは多くのフォントに長年備わる機能で、通常は隣り合う文字の組み合わせを読みやすい形に置き換えるために使われる。ShieldFontは逆に、リガチャを使って単語全体を別の単語に置き換える。この置き換えはフォントエンジンがページを画面に描画するときだけ発生する。つまり、プレーンテキストのソースコードをダウンロードするスクレイパーには、エンドユーザーが決して目にしない改変版が渡るというわけだ。

デザイナーのIsaque Seneda氏とGabriel Abrucio氏はホワイトペーパーで、一般的な単語を同義語や反意語に置き換えるのは賢いスクレイパーなら簡単に逆算できてしまうが、無関係な意味不明の文字列はすぐに見破られてしまうと説明する。ShieldFontは代わりに、同じ品詞でありながら情報的コンテキストがまったく異なる語に置き換える。例えば“馬”を“ジャガイモ”に変えるような具合だ。その結果、意味的には正しく見えるが意味が完全に変わった文が取得され、スクレイパーの品質フィルターを通過したページでさえ、学習データセットを汚染しうるスクランブル済みの内容を含むことになる。

数字で見る効果

単語入れ替え用の辞書を3か月かけて改良した結果、作成者らはリガチャで置き換え可能な約12,000語の常用語を揃えた。出版者は単語ごとに3種類のマッピングから選んで混乱を増幅したり、独自のマッピングを組み込んだり、段落ごとにマッピングを切り替えたりできる。

平均すると、ShieldFontはページ内の全単語の24.5%を置き換える。内容語に限れば45.8%に達し、調査対象のコーパスにもよるが、個々の文章の31%から56%の意味を損なう。公開されている6つのスクレイパーパイプラインでのテストでは、本来なら受け入れられるページの90%超が、置き換え後に品質フィルターで拒否された。それでも受け入れられたわずかな部分では、構成単語の約20%が、作者らが学習時のごみと呼ぶもの、つまり正しい綴りの本物の英語でありながら、真実を何も主張しない単語だった。

限界と回避策

ShieldFontは完璧な防御策ではない。人間が読めるページなら、ウェブページ全体をレンダリングして光学文字認識を適用するAIツールでも正しく解釈できる。だがそれには生のHTMLを取得するよりはるかに手間がかかる。また、第三者のスクレイピングツールのAPI費用を見ると、プリレンダリングは単純なHTMLスクレイピングの5倍から13倍のコストがかかり、規模が大きくなるほど時間と費用の負担が重くなる。

出版者側にも副作用がある。検索エンジン、スクリーンリーダー、コピー＆ペースト機能、翻訳ソフトはいずれも改変されたHTMLに影響を受けやすく、ページは本来の読者にとって少し使いにくくなる。

デザイナーの狙い

作成者らは、根底にある主な目的はAI倫理の基本原則を守らせることだと語る。作品がAIシステムの学習に使われるかどうかについて、制作者が有意義な発言権を持つべきだというのだ。「同意が尊重されない場では、技術的な設計によって、許可なく作品を利用することがより役に立たず、より高コストなものになり得る」と彼らは書く。「見つけられることと、AI学習に同意することは別だ」。彼らは、人間にはあるものを、機械には別のものを見せるというアイデアを他の開発者も発展させ、AIスクレイパーがそうした仕組みをすべて回避する方法を学びにくくすることを期待している。

出典: Ars Technica