Agentic AI-Powered Re-Identification: An Emerging, Scalable Threat to Mobility Microdata Privacy

Technische Zusammenfassung: Agentic AI-gestützte Re-Identifizierung

Problemstellung
Die weit verbreitete Erhebung feingranularer Mobilitätsdaten durch kommerzielle Datenbroker schafft ein erhebliches, jedoch unterbewusstes Re-Identifizierungsrisiko. Während frühere Forschungen bereits etabliert haben, dass Mobilitätsspuren hochgradig einzigartig sind – oft genügen nur wenige spatio-temporale Punkte, um Individuen zu unterscheiden –, war die praktische Re-Identifizierung in großem Maßstab historisch gesehen durch den hohen menschlichen Aufwand begrenzt, der zur Verknüpfung von Rohkoordinatensequenzen mit realen Identitäten erforderlich ist. Aktuelle Praktiken der statistischen Datenschutzverfahren (Statistical Disclosure Control, SDC) verlassen sich oft auf eine „de facto Anonymität“ und gehen davon aus, dass der manuelle Aufwand zur Re-Identifizierung von Personen als ausreichende Barriere dient. Dieses Paper argumentiert, dass das Aufkommen von Agentic AI dieses Bedrohungsmodell grundlegend verändert, indem sie den Untersuchungsprozess automatisiert und somit die Kosten- und Expertenbarrieren für eine Re-Identifizierung so weit senkt, dass „de facto Anonymität“ unter Standards wie der Erwägung 26 der DSGVO nicht mehr als tragfähige Verteidigung gilt.

Methodik
Die Autoren entwickelten und evaluierten eine end-to-end Agentic Re-Identification Pipeline, die darauf ausgelegt ist, autonom ohne menschliches Eingreifen zu operieren. Das System nutzt Large Language Model (LLM) Agenten, um das offene Web zu durchsuchen, öffentliche Register abzugleichen und rohe Koordinatensequenzen auf Kandidaten-Identitäten zurückzuführen.

• Pipeline-Architektur: Das System wird von einem zentralen Agenten orchestriert, der ein Team von sieben Spezialisten-Agenten über drei konzeptionelle Phasen hinweg verwaltet:
  1. Räumliche Analyse: Ein „GPS Analyst“-Agent extrahiert Home- und Work-Anker aus rohen GPS-Pings mittels gitterbasierter Modus-Findung. Ein „Location Enricher“ führt Reverse-Geocoding dieser Anker durch, um Adresskandidaten zu generieren.
  2. Standort-Attribution: Ein „Building Analyst“ fragt öffentliche Gebäuderegister (speziell das Schweizer Bundesamt für Statistik – Gebäude- und Wohnungsregister) ab, um die wohnliche Spezifität des Home-Ankers zu bestimmen. Diese Phase fungiert als Qualitätskontrolle; wenn das Gebäude ein großer Mehrparteienblock ohne eindeutige Identifikatoren ist, kann die Pipeline stoppen, um eine falsche Attribution zu verhindern.
  3. Identitäts-Attribution: Ein „Candidate Scorer“ rankt Personen aus öffentlichen Verzeichnissen basierend auf Home- und Work-Evidenz. Ein „Identity Verifier“ sucht nach unabhängiger Bestätigung über soziale Medien und öffentliche Register. Schließlich aggregiert ein „Final Synthesizer“ die Beweise, um ein Urteil zu fällen.
• Bedrohungsmodell: Der Angreifer besitzt rohe GPS-Mobilitätsdaten (simuliert) und Zugriff auf frei verfügbare öffentliche Webquellen (Suchmaschinen, Verzeichnisse, soziale Medien). Das Modell schließt Social Engineering, Fake-Profile oder Täuschung explizit aus.
• Studiendesign: Um die methodische Strenge bei gleichzeitiger Wahrung der Privatsphäre zu balancieren, verwendeten die Autoren eine einwilligungsbasierte Stichprobe von 43 Teilnehmern in der Schweiz. Anstatt echte Broker-Daten zu verwenden, simulierten sie GPS-Spuren um die tatsächlichen Home- und Work-Adressen der Teilnehmer herum und fügten realistisches Rauschen (Jitter, Ausfälle, out-of-order Zeitstempel) hinzu. Die Pipeline wurde an einem separaten Satz von sechs Spuren entwickelt und an den 43 Teilnehmer-Spuren evaluiert, ohne weitere Parameteranpassungen.

Zentrale Beiträge

1. Entwicklung einer Agentic Pipeline: Die Autoren präsentieren eine neuartige Pipeline, die den gesamten Re-Identifizierungs-Workflow automatisiert, indem sie manuelle OSINT-Analysen (Open-Source Intelligence) durch autonome Agenten-Argumentation und Werkzeugnutzung ersetzt.
2. Nachweis der Machbarkeit: Die Studie liefert empirische Belege dafür, dass Agentic AI Personen allein aus spatio-temporalen Daten und öffentlichen Quellen erfolgreich re-identifizieren kann, wobei sie eine hohe Erfolgsquote mit minimaler menschlicher Aufsicht erreicht.
3. Kosten- und Skalierbarkeitsanalyse: Das Paper quantifiziert die ökonomische und zeitliche Effizienz des Angriffs und zeigt auf, dass eine Re-Identifizierung zu Grenzkosten von etwa 2,24 $ und 17 Minuten pro Ziel durchgeführt werden kann, mit der Möglichkeit, dies über viele Ziele hinweg zu parallelisieren.
4. Implikationen für SDC: Die Arbeit stellt die aktuelle Abhängigkeit von de facto Anonymität in Frage und argumenttiert, dass Regulierungsbehörden und Datenverwalter eine Zukunft antizipieren müssen, in der Re-Identifizierung aufgrund der Skalierbarkeit von KI-Agenten durch „vernünftigerweise wahrscheinlich“ (reasonably likely) möglich ist.

Ergebnisse
Die Pipeline wurde gegen 43 simulierte Spuren mit bekanntem Ground Truth evaluiert:

• Erfolgsrate: Das System identifizierte erfolgreich 18 der 25 Fälle, in denen eine vollständige Re-Identifizierung theoretisch möglich war (72 % Recall).
• Gesamtleistung: Über alle 43 Fälle hinweg benannte die Pipeline korrekt 18 Personen (41,9 % Gesamtgenauigkeit).
• Präzision: Von den 19 Fällen, in denen die Pipeline einen benannten Kandidaten zurückgab, waren 18 korrekt (94,7 % Präzision).
• Fehlermodi: In Fällen, in denen die Pipeline eine re-identifizierbare Person nicht identifizieren konnte, lag dies oft an unzureichender Evidenz für die Arbeitsplatzverifizierung oder daran, dass die Home-Adresse in einem Mehrparteiengebäude lag, in dem die spezifische Wohneinheit nicht unterschieden werden konnte.
• Kosten und Zeit: Die durchschnittlichen Kosten pro Durchlauf betrugen 2,24 $ (API-Gebühren) und die durchschnittliche Laufzeit betrug 17 Minuten. Das System verarbeitete alle 43 Fälle erfolgreich an einem einzigen Tag unter Verwendung einer Konkurenzen von vier.

Bedeutung und Behauptungen
Das Paper behauptet, dass Agentic AI einen entscheidenden Wendepunkt in der Mobilitätsprivatsphäre darstellt. Durch die Automatisierung der Verknüpfung von spatio-temporalen Daten mit öffentlichen Registern entfernen KI-Agenten den „menschlichen Flaschenhals“, der die Skalierbarkeit von Re-Identifizierungsangriffen historisch begrenzt hat.

• Wandel der Anonymität: Die Autoren argumentieren, dass sich die Definition von Anonymität von der abstrakten Unmöglichkeit hin zum Standard der „vernünftigerweise wahrscheinlichen“ Identifizierung gemäß Erwägung 26 der DSGVO verschieben muss. Da KI-Agenten diese Angriffe kostengünstig und schnell durchführen können, ist der Schwellenwert für „vernünftigerweise wahrscheinlich“ nun für viele Datensätze erreicht, die zuvor als sicher galten.
• Eskalation: Das Paper skizziert nahe Zukunftsszenarien der Eskalation, einschließlich Agenten, die autonom Outreach (E-Mail/Telefon) betreiben können, um Kandidaten zu bestätigen, sowie die Nutzung lokal ausgeführter Open-Weight-Modelle, um API-Audit-Trails zu umgehen.
• Aufruf zum Handeln: Die Autoren fordern die SDC-Community auf, sich von der Abhängigkeit von de facto Anonymität zu lösen und stattdessen zu Techniken mit formalen Garantien überzugehen, da die Kosten und der Aufwand, um die Privatsphäre zu verletzen, um Größenordnungen gesunken sind.

Die Studie kommt zu dem Schluss, dass die aktuelle Implementierung zwar auf spezifischen nationalen Registern (Schweizer GWR) und simulierten Daten basiert, das zugrunde liegende Paradigma jedoch zeigt, dass die Kombination aus LLM-Agenten und öffentlichen Daten eine skalierbare, kostengünstige Bedrohung für die Privatsphäre von Mobilitäts-Mikrodaten darstellt, mit der sich Datenverwalter unmittelbar befassen müssen.