ShieldFont подменяет 25% слов в HTML — Googlebot...

ShieldFont подменяет 25% слов в HTML — Googlebot индексирует приманку

Защищенная страница показывает читателю один набор слов, а любому парсеру байтов скармливает совершенно другой.

ShieldFont на этапе сборки подменяет каждое слово в исходнике на аналог той же части речи и с похожей частотностью, а затем натравливает правила подстановки самого шрифта на целые слова, отрисовывая оригинал поверх фейка.

Скрейперы, копипаст через текстовые инструменты и ИИ-модели, переваривающие сырой HTML, сохраняют эту подмену.

Издержки бьют по индексации: Googlebot и ИИ-парсеры получают идентичные байты, поэтому защищенный отрывок залетает в индекс по словам, которые никто не писал.

Поиск по странице не находит фразу, видимую на экране.

Заявленный метод защиты — частичное покрытие: прятать ключевые абзацы, а остальное оставлять открытым для краулинга.

Замена примерно четверти слов ломает фактологию в 55.8% протестированных новостных текстов, почти в половине обычного веб-контента и около трети художки.

Проект не гарантирует, что зашифрованный текст пройдет фильтры качества, и сам же списывает собственные цифры по урону моделям на неверные инструменты замера.

Защита несет шесть ограничений:

— RSS-ленты по дефолту отдают весь текст без защиты на большинстве платформ, так как фид собирается из исходных данных до того, как к нему прикручивается шрифт.

— Подмена должна крутиться на сервере или машине автора; если отдать это браузеру читателя, вместе со страницей отгрузится весь словарь, включая реальные слова.

— Headless-браузеры с рендером шрифтов читают страницу как человек, и OCR плюс vision-модели, работающие по скриншотам, делают то же самое; ShieldFont бьет в дешевый сегмент — по тупым инструментам парсинга кода, которые не отрисовывают страницу, а именно они шерстят миллионы урлов.

— Все 11,962 пары подмены легко вытаскиваются из готового шрифта с помощью одного только шрифта, если инвертор уже написан, а частотный анализ на большом корпусе легко вскрывает статический словарь.

— Скринридеры не видят защищенный блок; VoiceOver на macOS проверен, NVDA и JAWS в процессе, а разрабам без React придется писать разблокировку руками.

— Код открыт для доработки, но сам шрифт остается собственностью Playtype, так что если дизайнер захочет сделать свою фришную версию, придется собирать ее на открытой базе.

Ротация задирает стоимость атаки, но не закрывает дыру.

В комплекте идут четыре варианта маппинга со скриптом, который генерит приватную связку из выбранного сида.

Ротация при каждом деплое с уникальными сидами под сайт и временными окнами висит в ближайшем бэклоге, но инверсия шрифта переживет любой сид.

Заявленный барьер защиты — это разница в цене между парсингом сырого HTML и OCR: центы за страницу.

Уязвимость при чтении подкрепляется исследованиями реальных атак.

В марте 2026 года LayerX Security опубликовали "Poisoned Typeface": страницу со шрифтом-шифром подстановки и CSS, который сжимает приманку до одного пикселя.

Одиннадцать ассистентов, включая ChatGPT, Claude, Gemini и Perplexity, прочитали эту страницу и назвали её безопасной.

Только Microsoft довела фикс до конца; Google закрыл свой тикет через шесть недель.

Nightshade имеет 2.5M загрузок, а процитированные исследования доказывают, что для отравления модели хватает относительно небольшого числа страниц в датасете — тут может хватить и 10% от аудитории Nightshade.

Выживут ли испорченные куски после чистки данных на этапе претрейна — не задокументировано.

@MikeBlazerX

⚠️ Закрытый канал: @MikeBlazerPRO