🤖 AI

Identifying AI Web Scrapers Using Canary Tokens

Questo articolo propone una tecnica innovativa che utilizza gettoni canarino dinamici per identificare in modo automatico e preciso quali web scraper inviano dati a specifici modelli linguistici di grandi dimensioni, consentendo ai proprietari di siti web di controllare meglio lo scraping indesiderato senza fare affidamento su dichiarazioni volontarie delle aziende.

Autori originali: Steven Seiden, Triss Ren, Caroline Zhang, Taein Kim, Enze Liu, Emily Wenger

Pubblicato 2026-05-14

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Steven Seiden, Triss Ren, Caroline Zhang, Taein Kim, Enze Liu, Emily Wenger

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di essere un panettiere che vuole sapere esattamente quali camion delle consegne stanno portando ingredienti a un gigantesco chef robot affamato. Sospetti che il robot stia usando questi ingredienti per preparare nuove ricette (risposte) per i clienti. Ma i camion sono subdoli: indossano travestimenti, potrebbero prendere in prestito camion da altre aziende e lo chef robot non ti dice sempre da dove ha ottenuto il cibo.

Questo articolo riguarda un trucco intelligente utilizzato dai ricercatori per catturare questi camion subdoli in flagrante. Chiamano il loro trucco "Canary Tokens".

L'allestimento: i siti web "trappola"

Invece di cercare di spiare direttamente il robot, i ricercatori hanno costruito 20 siti web falsi. Immagina questi siti web come esche personalizzate.

L'esca: Hanno creato un modello per un sito web (come il profilo di una persona finta o una pagina aziendale finta).
Il Canary Token: Prima che il sito web venisse caricato, i ricercatori hanno assegnato a ogni singolo visitatore un "timbro" o "gettone" unico e invisibile.
- Se un camion con un cappello "Google" avesse visitato, il sito web avrebbe potuto dire: "Il mio colore preferito è Blu."
- Se un camion con un cappello "Bing" avesse visitato, il sito web avrebbe potuto dire: "Il mio colore preferito è Viola."
- Se un camion con un cappello "Chrome" avesse visitato, il sito web avrebbe potuto dire: "Il mio colore preferito è Verde."

I ricercatori hanno mantenuto una lista segreta: "Blu" = Camion Google, "Viola" = Camion Bing, ecc.

Il test: chiedere allo chef robot

Dopo aver lasciato questi siti web online per due mesi (dando ai camion abbondante tempo per visitare e memorizzare i contenuti), i ricercatori hanno posto a 22 diversi chatbot AI (come ChatGPT, Claude e altri) domande su questi siti web falsi.

Hanno chiesto cose come: "Raccontami di questa persona finta. Qual è il suo colore preferito?"

I risultati: chi sta mangiando cosa?

I ricercatori hanno esaminato le risposte fornite dai robot. Se il robot diceva: "Il loro colore preferito è Blu", i ricercatori sapevano per certo: "Il camion Google ha consegnato questa informazione al robot."

Ecco cosa hanno scoperto:

1. Il problema del "travestimento"
Molti dei robot AI non si sono presentati con i loro uniformi ufficiali.

L'uniforme ufficiale: Alcuni robot hanno ammesso: "Sono il OAI-SearchBot" (il camion ufficiale di OpenAI).
Il travestimento: Altri si sono presentati con abiti generici, come un normale browser web (ad esempio "Chrome" o "Safari"). È come un autista di consegne che finge di essere un turista così nessuno lo ferma.
Il camion preso in prestito: Sorprendentemente, molti robot non hanno visitato i siti web direttamente. Invece, hanno chiesto a un motore di ricerca (come Google o Bing) di fare la visita al posto loro. Il robot avrebbe detto: "Ho trovato queste informazioni su Google", anche se il proprietario del sito web non aveva mai dato a Google il permesso di condividerle con il robot.

2. Il problema della "memoria" (caching)
I ricercatori hanno cercato di fermare i robot disattivando i siti web (spegnendo le luci).

Il risultato: Anche dopo che i siti web erano stati rimossi per una settimana, i robot conoscevano ancora i "colori preferiti".
La metafora: È come se lo chef robot avesse memorizzato la ricetta da un libro di cucina che aveva rubato in precedenza. Anche se bruci il libro di cucina in seguito, lo chef ricorda ancora gli ingredienti. I robot stavano trattenendo vecchi dati che avevano estratto in precedenza.

3. Il problema del cartello "Vietato l'ingresso" (Robots.txt)
I proprietari dei siti web spesso mettono un cartello chiamato robots.txt che dice: "Per favore non entrare".

Il risultato: I ricercatori hanno messo questi cartelli, ma i robot li hanno per lo più ignorati. Continuavano a visitare e memorizzare i contenuti.
L'eccezione: Solo un robot, Duck.ai, ha effettivamente rispettato il cartello e ha smesso di visitare. Gli altri hanno continuato, sia perché non hanno visto il cartello sia perché hanno deciso di ignorarlo.

La grande conclusione

L'articolo dimostra che:

Non puoi sempre fidarti di ciò che un robot dice su se stesso. Spesso nascondono la loro vera identità o usano i camion di altre persone (motori di ricerca) per ottenere dati.
Il blocco semplice non funziona. Spegnere un sito web o mettere un cartello "Vietato l'ingresso" non garantisce che il robot dimenticherà ciò che ha già imparato.
Il trucco del "Canary Token" funziona. Servendo fatti unici e casuali a visitatori diversi, puoi tracciare esattamente quale "camion" ha fornito informazioni a quale robot, anche se il robot cerca di nascondersi.

In breve, i ricercatori hanno costruito un sistema di impronte digitali digitali per vedere esattamente come i chatbot AI stanno rubando (o prendendo in prestito) informazioni dal web, rivelando che il processo è molto più disordinato e meno trasparente di quanto affermano le aziende.

Riepilogo Tecnico: Identificazione dei Web Scrapers AI tramite Canary Token

Enunciato del Problema

I Large Language Models (LLM) si basano su dati acquisiti tramite web scraping sia per il pre-addestramento che per l'arricchimento durante le query (ad esempio, Retrieval Augmented Generation o ricerca web in tempo reale). Sebbene ciò migliori le prestazioni del modello, solleva preoccupazioni significative riguardo alla stabilità del sito, alla privacy, al copyright e all'etica. I proprietari dei siti web spesso desiderano limitare l'accesso al proprio contenuto da parte di specifici scraper, tipicamente utilizzando meccanismi come il Protocollo di Esclusione dei Robot (robots.txt). Tuttavia, l'efficacia di questi controlli è compromessa dalla mancanza di conoscenze affidabili su quali specifici web scraper (identificati dalle stringhe User-Agent) forniscano dati a quali chatbot AI.

I metodi esistenti per identificare gli scraper legati all'AI si basano su divulgazioni aziendali volontarie, esperimenti una tantum di ricercatori o rapporti crowdsourced. Questi metodi non sono né affidabili né scalabili. Inoltre, non è chiaro se i chatbot AI recuperino i contenuti in tempo reale, si affidino a dati memorizzati nella cache di motori di ricerca di terze parti o falsifichino la propria identità per aggirare i controlli di accesso. Questa opacità impedisce ai proprietari dei siti di escludersi efficacemente dall'ecosistema AI.

Metodologia

Gli autori propongono una tecnica innovativa che utilizza i Canary Token per inferire in modo accurato e automatico la relazione tra web scraper e chatbot AI. L'approccio prevede una pipeline in tre fasi:

Implementazione di Siti Web con Canary Token:
- Gli autori hanno implementato 20 siti web unici che imitavano tipi di contenuti comuni (ad esempio, portfolio personali, siti aziendali).
- Ogni modello di sito web conteneva segnaposto per i canary token (stringhe uniche e casuali come nomi, località o numeri).
- Servizio Dinamico: Quando uno scraper accedeva a un sito, il sistema identificava il visitatore in base a una combinazione unica di User-Agent e Numero di Sistema Autonomo (ASN).
- Assegnazione dei Token: A ogni scraper unico veniva fornita una serie distinta di canary token incorporati nel contenuto della pagina. Se uno scraper visitava più volte, riceveva gli stessi token; scraper diversi ricevevano token diversi.
Query ai Chatbot AI:
- Dopo un periodo di propagazione di due mesi, gli autori hanno interrogato 22 chatbot AI di produzione (inclusi ChatGPT, Claude, Copilot, Gemini, ecc.) utilizzando prompt specifici.
- I prompt sono stati progettati per elicita risposte contenenti informazioni sui siti web implementati, chiedendo specificamente dettagli che corrispondessero ai canary token (ad esempio, "Qual è la città natale di Alice?").
- È stata utilizzata una query di follow-up per verificare informazioni varianti o discrepanze.
Inferenza degli Scraper:
- Gli autori hanno estratto i canary token dalle risposte dei chatbot.
- Algoritmo di Corrispondenza: Una corrispondenza è stata stabilita se una risposta del chatbot conteneva un token assegnato in modo univoco a uno specifico scraper.
- Soglie: Per mitigare i falsi positivi (ad esempio, allucinazioni o coincidenze accidentali), uno scraper è stato inferito come fornitore di un chatbot solo se associato ad almeno 2 token ( $t=2$ ) o osservato in 1 interazione distinta con un sito web ( $w=1$ ) nell'intero dataset.
- Le corrispondenze ambigue (ad esempio, sottoinsiemi di token o coincidenze numeriche) sono state scartate per garantire l'affidabilità.

Configurazione Sperimentale

Soggetti: 22 chatbot AI di produzione forniti da grandi provider (OpenAI, Anthropic, Google, Microsoft, ecc.) e provider di motori di ricerca.
Condizioni: Lo studio è durato diversi mesi sotto tre condizioni di accessibilità:
1. Completamente Accessibile: Tutti i siti online (Linea di base).
2. Offline: 10 siti rimossi per testare la memorizzazione nella cache.
3. Ristretta: 10 siti rimasti online ma bloccati tramite robots.txt per testare l'aderenza al protocollo.
Metriche: La presenza di specifiche stringhe User-Agent nella fonte dati inferita e la persistenza dei contenuti dopo il blocco.

Risultati Chiave

1. Mappatura degli Scraper ai Chatbot (RQ1)

Lo studio ha identificato con successo gli User-Agent utilizzati da 18 dei 22 chatbot.

Dichiarati vs Reali: Sebbene alcuni chatbot utilizzassero i loro User-Agent auto-dichiarati (ad esempio, OAI-SearchBot per ChatGPT), molti utilizzavano Agenti Browser Generici (ad esempio, Chrome, Safari) o Agenti di Ricerca di Terze Parti (ad esempio, Googlebot, Bingbot, Bravebot).
Rotazione dell'Identità: Alcuni sistemi, in particolare Kimi, sembravano ruotare attraverso un'ampia lista di User-Agent, rendendo difficile l'identificazione tramite stringhe statiche.
Dipendenza da Terze Parti: Molti chatbot restituivano contenuti associati a crawler di motori di ricerca (ad esempio, Googlebot) piuttosto che ai propri crawler diretti, suggerendo che si affidano agli indici dei motori di ricerca piuttosto che allo scraping diretto.

2. Memorizzazione nella Cache e Persistenza (RQ2)

La Cache è Comune: Quando i siti web sono stati messi offline, la maggior parte dei chatbot ha continuato a restituire contenuti associati a quei siti.
Cache dei Motori di Ricerca: I chatbot che si affidavano ad agenti di ricerca di terze parti (Googlebot, Bingbot) mostravano un'alta persistenza, coerente con l'indicizzazione dei motori di ricerca.
Cache Diretta: Anche i chatbot che utilizzavano agenti browser generici (ad esempio, Grok, Solar) continuavano a servire contenuti dopo che la fonte era offline, indicando che mantengono le proprie cache.

3. Efficacia del Blocco (RQ3)

Inefficacia dei Controlli Standard: La rimozione dei siti offline o l'implementazione di restrizioni robots.txt hanno in gran parte fallito nel prevenire che i chatbot restituissero contenuti precedentemente acquisiti.
robots.txt Ignorato: Nella condizione robots.txt, molti chatbot hanno continuato a restituire contenuti, suggerendo che ignorano il protocollo o si affidano a dati nella cache precedenti alla restrizione.
Eccezione: Duck.ai è stato l'unico sistema osservato a smettere di restituire contenuti sia nella condizione offline che in quella robots.txt, suggerendo che valuta attivamente la disponibilità e le direttive del protocollo.

Significato e Affermazioni

Il documento afferma di fornire il primo sguardo critico all'infrastruttura che sostiene il recupero di contenuti in tempo reale nei chatbot AI. I suoi contributi principali sono:

Una Tecnica di Misurazione Innovativa: L'approccio basato sui canary token offre un metodo affidabile e automatizzato per terze parti non privilegiate per inferire quali scraper alimentano quali LLM senza fare affidamento su divulgazioni volontarie.
Rivelazione dell'Opacità: Lo studio espone che la catena di approvvigionamento dei dati è più complessa di quanto suggeriscano le divulgazioni pubbliche. I chatbot AI spesso si affidano a motori di ricerca di terze parti o ad agenti browser generici, e memorizzano frequentemente i contenuti nella cache, rendendo i meccanismi di blocco standard come robots.txt inefficaci per rimuovere i dati dalle risposte AI.
Implicazioni per il Controllo: I risultati suggeriscono che i proprietari dei siti web che desiderano escludersi dallo scraping AI non possono fare affidamento esclusivamente su robots.txt o sulla messa offline dei siti. Il documento sottolinea la necessità di nuovi meccanismi per segnalare le preferenze e farle rispettare attraverso complesse catene di approvvigionamento dati multi-partita.

Gli autori concludono che, sebbene il loro approccio permetta una migliore identificazione degli scraper, il panorama attuale dello scraping web AI rimane in gran parte opaco e resistente alle tradizionali misure di controllo degli accessi.