Ein Beitrag auf dem Reverse-Engineering-Blog nullpt.rs trägt den Titel „Why is this fingerprinting script creating bioweapons?" – halb Zitat, halb ernste Frage. Die Antwort: Das Skript stellt keine biologischen Waffen her. Es ist so gebaut, dass ein Sprachmodell, das es analysieren soll, aussteigt.
Die Beobachtung: In einem Fingerprinting- und Bot-Schutz-Skript, das auf Websites ausgeliefert wird, stecken Zeichenketten, die Biowaffen, Selbstverletzung und andere scharf bewachte Themen benennen – offenbar als Köder für Safety-Klassifikatoren. Wer das Skript mit einem Modell auseinandernimmt, bekommt keine Analyse, sondern eine Ablehnung. Wer es mit einem Beautifier öffnet, sieht weiterhin nur JavaScript.
Was in der Diskussion belegt wurde – und was nicht
Der Beitrag landete binnen Stunden auf Platz zwei von Hacker News, mit über 800 Punkten und rund 185 Kommentaren. Die Zusammenfassung, auf die sich die Leser dort einigten, ist unspektakulär und eindeutig: Es entstehen keine Biowaffen, die verbotenen Begriffe sind ein Payload für das Modell, nicht für ein Labor.
Der Autor beteiligt sich in dem Thread und räumt ein, die Überschrift sei zugespitzt: „Einen Titel zu finden war schwieriger als das Schreiben des Artikels." Ein Kommentator mit Zugang zum Code berichtet, ein Modell habe die Anfrage auch mit einer bestimmten Freischaltung („Daybreak Blue") blockiert; ein anderer sagt, ein offenes Modell mit demselben Prompt habe mitgespielt.
Nicht belegt ist dagegen, wie viele Websites das Skript ausliefern, welcher Anbieter dahintersteht und ob die Köder gezielt gesetzt wurden oder aus einer obfuskierten Bibliothek stammen. Auch die in dem Thread kursierende Behauptung, es habe einmal eine offiziell dokumentierte Zeichenkette gegeben, mit der sich Ablehnungen testen ließen, wird dort sowohl bestätigt als auch als Hoax bezeichnet. Dieser Artikel stützt sich auf den Erfahrungsbericht und die Diskussion, nicht auf eine unabhängige Messung.
Die drei Folgen, die die Leser beschäftigen
Markenrisiko. Wer einen solchen Bot-Schutz einkauft, liefert dessen Inhalt von der eigenen Domain aus. Ein Kommentator rechnet vor, dass eine Firma, die gerade erklärt hat, was sie tut, plötzlich mit Biowaffen, Giften und politisch brisanten Referenzen im Quelltext dasteht – und ein Assistent, den ein Kunde später nach dieser Firma fragt, womöglich mit Ablehnung reagiert.
Kontorisiko für Agenten. Wer solche Seiten im Auftrag crawlt, kann selbst aus dem Raster fallen. Ein Leser formuliert es als „der ultimative Cyberangriff": nicht der Server wird kompromittiert, sondern das Konto desjenigen, der ihn liest.
Haltbarkeit. Die Skepsis im Thread ist groß. Mehrere Kommentatoren halten den Trick für leicht zu umgehen: Bezeichner austauschen, Kommentare entfernen, Toten Code ignorieren – Agenten lesen den Syntaxbaum, nicht die Dekoration. Einer, der selbst Anti-LLM-Abwehr betreibt, schreibt, man brauche „böse Kontexte" und müsse den Code tatsächlich ausführen; besser sei es, so viele Bundles auszuliefern, dass massenhaftes Scraping nicht skalierbar werde.
Warum das mehr ist als eine Kuriosität
Der Vorfall markiert einen Wechsel der Richtung. Bisher ging es bei Bot-Abwehr darum, Maschinen am Verhalten zu erkennen – TLS-Fingerabdrücke, Headless-Flags, Timing. Jetzt richtet sich die Abwehr an die Semantik des Lesers: Man versucht nicht mehr, den Bot draußen zu halten, sondern ihn dazu zu bringen, freiwillig aufzugeben.
Das funktioniert nur, solange Modelle bei groben Signalen abbrechen und der Betreiber der Website nicht dafür haftet, was er ausliefert. Beides ist verhandelbar. Die sauberere Variante wäre eine Maschinenlesbare Erklärung – etwa eine Direktive, die Crawlern sagt, was erlaubt ist. Stattdessen hat jemand beschlossen, dass der billigste Weg, ein Modell zu stoppen, darin besteht, es zu erschrecken.
