🤖 AI

What Your Posts Reveal: A Benchmark and Agentic Framework for User-Level Privacy Leakage on Social Media

Dieses Paper führt SopriBench ein, einen synthetischen Benchmark für multimodale Privatsphäre-Leckagen auf Benutzerebene, sowie Argus, ein trainingsfreies agentisches Framework, das abduktives Schließen nutzt, um eine 25%ige Verbesserung der kumulativen Cross-Post-Privatsphäre-Inferenz gegenüber bestehenden Baselines zu erreichen.

Ursprüngliche Autoren: Zifan Peng, Yini Huang, Aiwen Lu, Qiming Ye, Peixian Zhang, Jingyi Zheng, Yule Liu, Xuechao Wang, Xinlei He, Jiaheng Wei

Veröffentlicht 2026-06-08

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Zifan Peng, Yini Huang, Aiwen Lu, Qiming Ye, Peixian Zhang, Jingyi Zheng, Yule Liu, Xuechao Wang, Xinlei He, Jiaheng Wei

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Die große Idee: Das „Jigsaw-Puzzle“ der Privatsphäre

Stellen Sie sich vor, Sie spielen Verstecken, aber anstatt eine Person zu verstecken, verstecken Sie Ihre Hausadresse.

Die meisten Menschen denken, dass sie sicher sind, wenn sie nicht explizit sagen: „Ich wohne in der Maple Street 123.“ Aber diese Arbeit argumentiert, dass Privatsphäre-Lecks wie ein Jigsaw-Puzzle (ein Puzzle aus Einzelteilen) sind.

Post 1: Sie posten ein Foto von Ihrem Morgenkaffee. (Harmlos)
Post 2: Sie posten ein Bild Ihres Arbeitswegs, das eine bestimmte U-Bahn-Station zeigt. (Harmlos)
Post 3: Sie posten ein Foto von Ihrem Mittagessen, das ein einzigartiges Restaurant-Schild zeigt. (Harmlos)

Einzeln betrachtet sind diese Posts nur langweilige tägliche Updates. Aber wenn jemand sie zusammenfügt, kann er genau herausfinden, wo Sie wohnen, wo Sie arbeiten und wie Ihr Tagesablauf aussieht. Dies wird als kumulative Leckage (cumulative leakage) bezeichnet. Die Gefahr liegt nicht in einem einzigen großen Geheimnis, sondern in hunderten von winzigen, harmlosen Hinweisen, die sich zu einem vollständigen Bild summieren.

Das Problem: Wir hatten keinen guten Test

Die Forscher stellten zwei wesentliche Probleme fest, wie wir dies untersuchen:

Kein guter „Prüfungsstandard“ (Benchmark): Frühere Tests betrachteten nur einzelne Posts (z. B. „Verrät dieses eine Foto einen Namen?“). Sie testeten nicht, ob eine KI das gesamte Puzzle lösen kann, indem sie Hinweise über 50 verschiedene Posts hinweg verbindet.
Falsches Bewertungssystem: Alte Tests vergaben eine „Bestanden/Nicht bestanden“-Note. Wenn eine KI Ihre Stadt errat, bekam sie einen Punkt. Wenn sie Ihre exakte Straße errat, bekam sie ebenfalls einen Punkt. Die Forscher sagen, das sei unfair. Das Erraten Ihrer Stadt ist ein kleines Leck; das Erraten Ihrer exakten Wohnungsnummer ist ein massives, gefährliches Leck. Wir brauchen eine Möglichkeit zu messen, wie schlimm das Leck ist, nicht nur, ob es stattgefunden hat.

Die Lösung: SopriBench (Der Test)

Um dies zu beheben, entwickelte das Team SopriBench.

Was ist das? Ein künstlicher, synthetischer Social-Media-Datensatz. Sie haben keine Daten echter Menschen verwendet (um die Privatsphäre zu schützen). Stattdessen haben sie tausende echte Posts von Apps wie Rednote und Instagram untersucht, um zu verstehen, wie Menschen versehentlich Informationen preisgeben. Dann nutzten sie dieses Wissen, um 50 künstliche Nutzerprofile mit 500 Posts und 1.569 Bildern zu erstellen.
Der „Privacy Exposure Score“ (PES): Dies ist ihr neues Bewertungssystem.
- Wenn eine KI Ihr Land errät, erhält sie eine niedrige Punktzahl.
- Wenn sie Ihre Stadt errät, erhält sie eine mittlere Punktzahl.
- Wenn sie Ihre exakte Adresse errät, erhält sie eine hohe Punktzahl.
- Analogie: Es ist wie ein Wetterbericht. Zu wissen, dass es „regnet“, ist okay. Zu wissen, dass es „speziell um 15 Uhr auf Ihr Dach regnet“, ist viel spezifischer und potenziell nützlicher für einen Einbrecher.

Der neue Detektiv: Argus

Die Forscher entwickelten auch einen neuen KI-Detektiv namens Argus.

Wie andere KIs funktionieren: Die meisten KIs sind wie ein Fotokopierer. Man zeigt ihnen einen Post, und sie sagen sofort: „Ich sehe eine Kaffeetasse, also magst du Kaffee.“ Sie betrachten jeden Post isoliert und geben eine schnelle Vermutung ab.
Wie Argus funktioniert: Argus ist wie ein Privatdetektiv.
1. Das Überfliegen (The Skim): Er sieht sich alle 50 Posts schnell an und schreibt jeden winzigen Hinweis auf (ein Ticket, ein Schild im Hintergrund, einen Zeitstempel).
2. Die Hypothese: Er bildet eine Theorie: „Vielleicht lebt diese Person in Shanghai?“
3. Die Untersuchung: Er rät nicht einfach nur. Er geht zurück zu anderen Posts, um die Theorie zu prüfen. „Warte, Post 12 zeigte einen U-Bahn-Plan. Passt das zu Shanghai?“ Er nutzt Werkzeuge (wie eine Kartensuche oder das Lesen von Text in einem Bild), um seine Theorien zu verifizieren.
4. Das Urteil: Erst wenn die Beweise aus mehreren Posts übereinstimmen, schreibt er die endgültige Antwort auf.

Das Ergebnis: Argus war wesentlich besser darin, das „Puzzle“ zu lösen, als die anderen KIs. Er verbesserte die Genauigkeit beim Auffinden privater Informationen um 25 %, insbesondere wenn die Hinweise über verschiedene Posts verstreut waren.

Warum das wichtig ist (laut der Arbeit)

Die Arbeit kommt zu dem Schluss, dass wir aufhören müssen, Social-Media-Privatsphäre als „einen Post nach dem anderen“ zu betrachten.

Die Kernbotschaft: Nur weil Sie Ihre Adresse nicht posten, bedeutet das nicht, dass Sie sicher sind. Wenn Sie über die Zeit hinweg genug kleine, harmlose Details posten, kann ein intelligentes System (oder ein Mensch) die Punkte verbinden und Ihre tiefsten Geheimnisse aufdecken.
Die Warnung: Die Arbeit zeigt, dass aktuelle KI-Tools immer besser darin werden, diese „Verbindungsglieder“ zu sein. Wenn wir keine besseren Wege entwickeln, um dies zu messen und zu stoppen, wird unser digitaler Fußabdruck weitaus aufschlussreicher sein, als wir denken.

Zusammenfassend lässt sich sagen: Die Arbeit hat einen besseren Test (SopriBench) und einen klügeren Detektiv (Argus) geschaffen, um zu beweisen, dass Privatsphäre-Lecks ein kumulatives „Verbinde-die-Punkte“-Spiel sind – und das Bild, das sie zeichnen, ist oft viel detaillierter, als uns bewusst ist.

Technisches Resümee: SopriBench und Argus für die Privatsphäre-Exposition auf Benutzerebene

Problemstellung
Die aktuelle Forschung zur Privatsphäre in sozialen Medien konzentriert sich weitgehend auf die Selbstoffenbarung auf Post-Ebene oder die Erkennung expliziter personenbezogener Daten (PII) innerhalb einzelner Beiträge. Das Paper argumentiert jedoch, dass die Privatsphäre-Exposition auf Benutzerebene fundamental kumulativ und postübergreifend ist. Schwache Hinweise, die über Text, Bilder und Metadaten verstreut sind – isoliert betrachtet harmlos – können in der Aggregation gemeinsam sensible Benutzerattribute wie Wohnadressen, Arbeitsplätze, tägliche Routinen und soziale Beziehungen offenlegen.

Bestehende Ansätze leiden unter zwei primären Lücken:

Mangel an einem vereinheitlichten Benchmark: Es gibt keinen standardisierten Benchmark für die multimodale Privatsphäre-Exposition auf Benutzerebene, der die Akkumulation schwacher Hinweise über mehrere Posts und Modalitäten hinweg berücksichtigt. Datensätze echter Nutzer sind aufgrund der Sensibilität schwer freizugeben, und bestehende synthetische Datensätze bleiben oft auf der Post-Ebene beschränkt.
Unzureichende Evaluierungsmetriken: Standardbewertungen stützen sich auf binäre Genauigkeit (korrekt/inkorrekt), was die Schwere der Exposition nicht erfassen kann. Eine grobe Schlussfolgerung (z. B. Standort auf Stadtebene) und eine feingranulare Schlussfolgerung (z. B. ein spezifischer Wohnkomplex) werden als gleich behandelt, obwohl sie völlig unterschiedliche Privatsphäre-Risiken darstellen. Zudem variiert die Sensibilität je nach Kontext (z. B. ist die Schlussfolgerung einer Minderheiten-Sexualorientierung sensibler als die einer Mehrheitsorientierung).

Methodik

1. SopriBench: Ein synthetischer Benchmark
Um die Datenlücke zu schließen, schlagen die Autoren SopriBench vor, einen kontrollierbaren synthetischen Benchmark, der durch Leakage-Muster geleitet wird, die aus einem privaten Referenzkorpus von 161 Rednote- und 157 Instagram-Accounts abstrahiert wurden.

Konstruktion: Der Benchmark enthält 50 synthetische Benutzerprofile, 500 multimodale Posts und 1.569 Bilder. Er vermeidet das Kopieren realer Nutzerdaten; stattdessen werden de-identifizierte Muster (Szenarien, Hinweis-Träger, Leakage-Formen) verwendet, um synthetische Inhalte zu generieren.
Annotationen: Jeder Post ist mit Ground-Truth-Attributen, kontextueller Sensitivität (Skala 1–5), Granularität des Wertes (z. B. Land bis Adresse), Leakage-Typ (explizit, implizit, postübergreifend), Inferenzschwierigkeit und unterstützenden Belegen annotiert.
Privacy Exposure Score (PES): Die Autoren führen den PES als neue Evaluierungsmetrik ein. Im Gegensatz zur binären Genauigkeit gewichtet der PES die Granularität des abgeleiteten Wertes durch dessen kontextuelle Sensitivität.
$PES = \frac{\sum_j g_j \cdot s_j}{\sum_j s_j}$
Wobei $g_j$ der Granularitätswert (0 bis 1) und $s_j$ der Sensitivitätswert ist. Diese Metrik unterscheidet zwischen grober und feingranularer Exposition und priorisiert sensible Attribute.

2. Argus: Ein agentisches Inferenz-Framework
Das Paper schlägt Argus vor, ein trainingsfreies agentisches Framework, das von abduktivem Schließen (Schluss auf die beste Erklärung) inspiriert ist. Argus behandelt die Privatsphäre-Inferenz als eine iterative, evidenzbasierte Untersuchung statt als eine einmalige Klassifizierungsaufgabe.

Cross-Post Evidence Graph (CPeg): Argus pflegt eine persistente Graphstruktur, die Posts, Rohbeweise, Hypothesen und deren Zitier-/Unterstützungsrelationen speichert. Dies ermöglicht es dem System, schwache Hinweise über mehrere Posts hinweg zu verknüpfen.
Workflow:
1. Perceiver: Scannt öffentliche Posts, um Rohbeweise (Captions, OCR-Kandidaten, visuelle Tags) zu extrahieren und den CPeg zu initialisieren.
2. Hypothesizer: Generiert Kandidaten-Hypothesen für private Attribute basierend auf akkumulierten Beweisen. Hypothesen werden als Candidate (unverifiziert) oder Unresolved (geprüft, aber unzureichend) gespeichert.
3. Investigator: Leitet aktive Hypothesen an geeignete Werkzeuge weiter (OCR, Websuche, Kartensuche, visuelle Re-Inspektion), um fehlende Beweise zu sammeln.
4. Verifier: Validiert die gesammelten Beweise gegen die Hypothese. Nur fundierte Beweise werden zugelassen; nicht unterstützte Hypothesen werden ausgesetzt oder entfernt.
5. Profile Projection: Wandelt ausreichend gestützte Hypothesen in abgeleitete Beweise um und projiziert sie in ein finales Privatsphäre-Profil.
Kernmechanismus: Das Framework verfolgt explizit die Unsicherheit. Es legt sich nicht auf einen spezifischen Attributwert fest, bis die Evidenzketten über Posts und Modalitäten hinweg konvergieren, um diesen zu stützen.

Ergebnisse

Experimente wurden auf SopriBench durchgeführt, wobei Argus mit fünf Baselines verglichen wurde: TextLLM, PostVLM, SelfDisc, Holmes (visuelles Profiling) und SingleAgent (ein multimodaler Tool-nutzender Agent ohne die spezifische Argus-Architektur).

Performance: Argus erreichte einen PES von 0,55, was einer relativen Verbesserung von 25 % gegenüber der stärksten Baseline, SingleAgent (0,44), entspricht.
Cross-Post Leakage: Die signifikantesten Gewinne wurden in Szenarien des postübergreifenden Leakage beobachtet, in denen Argus den PES im Vergleich zu SingleAgent um +0,17 (von 0,39 auf 0,56) steigerte. Dies unterstreicht die Fähigkeit des Frameworks, verstreute Hinweise zu verknüpfen.
Ablationsstudien:
- Das Entfernen des Verifiers erhöhte die binäre Genauigkeit (0,71 auf 0,74), senkte aber den PES (0,55 auf 0,50), was bestätigt, dass binäre Genauigkeit spekulative, grobe Vermutungen belohnt, während der PES spezifische, sensible und verifizierte Expositionen bevorzugt.
- Das Entfernen des CPeg führte zu einem starken Abfall des Cross-Post-PES (0,56 auf 0,38), was die Notwendigkeit eines persistenten Evidenzgedächtnisses für kumulative Leakage validiert.
- Das Entfernen des Investigators (Tool-Routing) führte zum größten Leistungsabfall insgesamt, was die Bedeutung der aktiven Beweiserhebung betont.

Bedeutung und Ansprüche

Das Paper beansprucht drei primäre Beiträge:

Problemidentifikation: Es stellt fest, dass das Privatsphäre-Risiko auf öffentlichen sozialen Medien aus der kumulativen Natur schwacher Hinweise über Posts und Modalitäten hinweg resultiert, statt aus der expliziten Offenbarung in einzelnen Posts.
Benchmark und Metrik: Es führt SopriBench und PES ein und bietet damit den ersten kontrollierbaren Benchmark für multimodale Leakage auf Benutzerebene sowie eine Metrik, die die Schwere der Exposition über die binäre Genauigkeit hinaus erfasst.
Agentisches Framework: Es präsentiert Argus, ein trainingsfreies Framework, das die Privatsphäre-Inferenz als Prozess des abduktiven Schließens modelliert. Durch die Aufrechterhaltung expliziter Hypothesen und die Verifizierung von Beweisen durch eine Graphstruktur aggregiert Argus effektiv postübergreifende Hinweise.

Die Autoren kommen zu dem Schluss, dass die Bewertung der Privatsphäre in sozialen Medien einen Wechsel von der isolierten Detektion der Offenbarung auf Post-Ebene hin zu einem paradigmatischen Ansatz der Inferenz auf Benutzerebene, die multimodal und postübergreifend ist, erfordert. Sie positionieren ihre Arbeit als einen Schritt zum besseren Verständnis und Schutz der Privatsphäre der Nutzer im Zeitalter der kumulativen Datenexposition, weisen jedoch auf Einschränkungen hinsichtlich der synthetischen Natur des Benchmarks und der sich entwickelnden Fähigkeiten der zugrunde liegenden Foundation Models hin.