你打开网页，看到一句“The knight rode his horse into battle”（骑士骑马投入战斗）。一个直接读取网页源码的爬虫，拿到的却可能是“The knight rode his engine into battle”（骑士骑着引擎投入战斗）。页面看起来正常，机器收走的文字已经被换掉。
这就是 ShieldFont 想做的事。它把字体同时当作阅读界面和取数关卡：人看屏幕上的字形，爬虫读取 HTML 里的字符，两边因此得到不同内容。据 Fast Company 报道，这个项目由包括巴西创意工作室 Seneda & Abrucio、丹麦字体厂商 PlayType 在内的团队开发，目标是提高未经授权抓取大语言模型训练数据的难度和成本。
不过，标题里的“AI-proof”更像项目定位，不是已经得到验证的技术结论。现有材料只有 Fast Company 的一篇报道，没有独立测试、模型名单或错误率数据。
文字其实有两层
理解 ShieldFont，先要拆开一件平时不太需要留意的事：网页里“存着什么字”和屏幕上“画出什么字”，并不是一回事。
字符编码决定源码中保存的字符。例如，HTML 里写的是“engine”。字形则决定这些字符最终如何显示。ShieldFont 在后台加载一套自定义字体，让源码中的诱饵词显示成另一个、人类可以正常阅读的目标词。于是爬虫若直接提取 HTML，会读到“engine”；读者看见的却是“horse”。
网页爬虫是自动访问页面并提取文字、图片或链接的程序。许多爬虫不需要像人一样看页面，只需读取 HTML。ShieldFont 利用的正是这两条阅读路径之间的缝隙。
老工具，被换了一种用法
它没有发明新的字体能力。项目使用的是 ligatures，也就是连字或合字：字体可以把相邻的多个字符映射为一个字形。传统排版常用它处理“fi”“fl”之类的字母组合，让笔画衔接得更自然。
ShieldFont 把这套机制从字母组合扩大到整个诱饵词。源码里的一串字符，会被字体映射成代表目标词的单个字形。可以把它理解成舞台上的提词牌：后台写着一套词，观众席看到的却是另一套；直接抄后台文本的机器，自然会抄走错误版本。
这也是它在设计上最有意思的地方。它没有让字母变得扭曲，也不是要求读者费力辨认。相反，它尽量保持正常阅读体验，把对抗动作藏到字符与字形的对应关系里。
它阻止抓取了吗？
严格说，没有。它首先干扰的是抓取结果，而不是抓取行为本身。
Fast Company 转述项目方的说法称，如果模型大量抓取这种被扰乱的文本，输出质量可能下降。但现有材料没有给出训练实验，也没有说明需要多少被替换的文本才会产生影响。一次把“horse”换成“engine”，不能直接证明模型训练会受损，更不能证明输出质量会显著下降。
这里还要区分两个常被混在一起的概念。数据投毒，是向训练材料加入有意设计的错误或干扰，让模型学到不可靠的关系；阻止抓取，则是不让对方取得内容。ShieldFont 的设想更接近前者，但目前展示出来的直接效果，只是让某些读取源码的爬虫取得诱饵词。
它也容易让人联想到“对抗样本”——一种对人看起来正常或近似正常、却专门诱使机器判断出错的输入。不过两者并不完全相同。ShieldFont 的关键不是让同一画面产生不同识别结果，而是让源码字符与显示字形主动错位。
为什么值得继续看
字体设计过去主要处理可读性、风格和排版秩序。ShieldFont 把另一个问题推到台前：当网页既服务人类读者，又持续被机器读取，字体是否也能参与内容控制？
答案还没有定，但矛盾已经很清楚。人类阅读依赖视觉呈现，机器取数可以绕过呈现层。设计师不再只决定一段话“看起来怎样”，还可能决定不同读取者“得到什么”。一项古老的排版功能，因此变成了机器阅读时代的权限装置。
本刊在 2026 年 8 月 1 日已经介绍过 ShieldFont 的基本机制、证据边界，以及“干扰爬虫”和“投毒训练”的区别。就目前供稿看，本次没有新增独立测试、官方技术细节或应用进展。因此，更准确的说法仍然是：它提出了一种值得关注的设计策略，而不是已经证明有效的通用防护方案。
局限与未知
- 材料没有提供基准测试、样本规模、模型名称、错误率、训练污染实验或统计结果，无法判断实际效果有多大。
- 直接读取 HTML 的简单爬虫可能拿到诱饵词；OCR、视觉模型、字体解析或专门反制流程是否仍会出错，尚未验证。
- 搜索引擎索引、屏幕阅读器、复制粘贴、翻译、浏览器兼容性与网页可访问性是否受影响，现有报道没有交代。
ShieldFont 最值得记住的，不是“让 AI 看错”这句醒目的宣传语，而是它指出了一处正在扩大的裂缝：同一段文字，已经不再只有一种读法。