When Ads Become Profiles: Uncovering the Invisible Risk of Web Advertising at Scale with LLMs

Resumen Técnico: Cuando los anuncios se convierten en perfiles

Planteamiento del problema
A pesar de los esfuerzos regulatorios para restringir la segmentación explícita de categorías sensibles (p. ej., creencias políticas, salud, orientación sexual) en plataformas como Facebook, la optimización algorítmica para el compromiso (engagement) del usuario continúa introduciendo sesgos demográficos en la entrega de anuncios. En consecuencia, el flujo de anuncios mostrados a un usuario actúa como un sustituto (proxy) de alta fidelidad de sus atributos privados. Si bien investigaciones previas establecieron que los flujos de anuncios contienen señales latentes, explotar estas señales requería tradicionalmente canales (pipelines) de alto consumo de recursos que involucraban conjuntos de datos etiquetados masivos y el entrenamiento de clasificadores personalizados. La emergencia de potentes Modelos de Lenguaje de Gran Escala (LLM) multimodales con capacidad zero-shot ha alterado fundamentalmente este panorama. El artículo postula que la barrera para explotar estas señales latentes se ha reducido, permitiendo que adversarios realicen ingeniería inversa de perfiles de usuario complejos únicamente mediante la exposición pasiva a anuncios, eludiendo potencialmente las salvaguardas actuales de las plataformas y los marcos regulatorios.

Metodología
Los autores proponen un nuevo canal que aprovecha los LLM multimodales como motores de inferencia adversarial para realizar el perfilado mediante lenguaje natural. El estudio utiliza un conjunto de datos longitudinal recopilado mediante una extensión de navegador de 891 usuarios australianos de Facebook, que comprende más de 435,000 impresiones de anuncios a través de 63,864 sesiones.

El canal técnico consta de tres etapas:

1. Extracción de características multimodales: Utilizando un LLM (Gemini 2.0 Flash), las creatividades de los anuncios originales (imágenes y texto) se procesan para extraer características semánticas estructuradas. Esto incluye la generación de un pie de foto, categorías descriptivas, clasificaciones IAB y entidades clave, transformando datos multimodales de alta dimensión en representaciones textuales concisas.
2. Inferencia a nivel de sesión: El flujo continuo de anuncios se segmenta en sesiones discretas basadas en un umbral de tiempo derivado de los datos (389 segundos). El LLM realiza una clasificación zero-shot sobre la representación textual de cada sesión para predecir atributos privados (Género, Edad, Ingresos, Educación, Empleo, Preferencia Política) y genera un resumen de razonamiento.
3. Perfilado de usuario longitudinal: Los resúmenes de razonamiento de múltiples sesiones se agregan en un historial narrativo. Un paso de inferencia final sintetiza estas señales acumulativas para reconstruir un perfil de usuario integral.

El estudio evalúa el rendimiento frente a bases de comparación (baselines) sólidas, incluyendo el azar, los priors basados en el censo (derivados de los datos del censo australiano) y anotadores humanos.

Contribuciones clave

1. Un nuevo canal para descubrir riesgos sociales: Los autores introducen una metodología que utiliza LLM multimodales para decodificar señales semánticas de creatividades de anuncios no estructuradas sin entrenar modelos personalizados, desplazando el enfoque de los metadatos de comportamiento hacia la inferencia basada en contenido.
2. Cuantificación empírica del riesgo de privacidad: El artículo proporciona la primera evidencia empírica a gran escala de que los flujos de anuncios sirven como una huella digital de alta fidelidad. Demuestra que los LLM comerciales pueden reconstruir atributos privados a partir de la observación pasiva con una precisión que iguala o supera la percepción social humana, a una fracción del costo (223 veces menor) y del tiempo (52 veces más rápido).
3. Caracterización del perfilado escalable: El estudio revela que el perfilado accionable es factible incluso dentro de ventanas de observación cortas (nivel de sesión), lo que indica que el seguimiento prolongado no es un prerrequisito para un ataque exitoso. Esto destaca una vulnerabilidad sistémica donde la propia lógica de optimización de la plataforma puede ser explotada localmente.

Resultados

• Rendimiento a nivel de sesión: Los LLM superaron significativamente a las bases de comparación aleatorias en la reconstrucción de atributos. Por ejemplo, el modelo alcanzó un 59.13% de precisión para Género y un 48.38% para Empleo, comparado con aproximadamente un 20% para el azar. Para atributos ordinales como Edad e Ingresos, los modelos demostraron una "corrección direccional", con un Error Absoluto Medio (MAE) significativamente menor que las bases de comparación aleatorias, indicando que las predicciones estaban típicamente dentro de 1-2 categorías de la verdad de campo (ground truth).
• Comparación Humano vs. IA: En una evaluación humana de 100 sesiones, los LLM de última generación (p. ej., GPT-5, Gemini 2.5 Pro) igualaron o superaron el desempeño humano en la clasificación de Género (76% vs. 73.67%) y superaron significativamente a los humanos en atributos socioeconómicos complejos como Educación (51% vs. 33.67%) y Empleo (53% vs. 37.83%).
• Reconstrucción a nivel de usuario: La agregación de señales a través de las sesiones mejoró aún más la precisión. El LLM logró un 76.38% de precisión para Género y un 41.60% para la preferencia política, superando sustancialmente los priors basados en el censo. Notablemente, el grupo de "Control Aleatorio" (donde se desordenó el orden de los anuncios) se desempeñó de manera comparable al modelo secuencial para los rasgos socioeconómicos, lo que sugiere que el contenido semántico acumulativo es la señal principal, mientras que el orden temporal ayuda a identificar la estabilidad de la etapa de vida (Edad).
• Costo y eficiencia: Se encontró que el enfoque automatizado fue 223 veces más barato y 52 veces más rápido que el análisis humano.

Significancia y Reivindicaciones
El artículo afirma proporcionar la primera evidencia empírica de que los flujos de anuncios funcionan como una huella digital de alta fidelidad capaz de permitir el perfilado fuera de la plataforma que, inherentemente, elude las salvaguardas actuales de las plataformas. Los autores argumentan que la convergencia de las señales latentes de los anuncios y las capacidades zero-shot de los LLM crea una vulnerabilidad sistémica en el ecos el sistema publicitario.

La significancia de este trabajo radica en demostrar que la amenaza de violación de la privacidad ha pasado de requerir ataques especializados y de alto consumo de recursos a ser accesible mediante herramientas "comerciales". Los autores destacan que este riesgo es particularmente agudo en el ecosistema de las extensiones de navegador, donde las herramientas de apariencia benigna (p. ej., bloqueadores de anuncios) poseen los permisos legítimos necesarios para recolectar el contenido de los anuncios de manera silenciosa. Los hallazgos sugieren que las políticas de privacidad actuales pueden subestimar los riesgos al centrarse en la identificación exacta en lugar del perfilado semántico, y subrayan la necesidad urgente de una gobernanza de la IA web responsable en la era de la IA generativa. El artículo concluye que la exposición pasiva al contenido algorítmico constituye un vector de fuga significativo, permitiendo a los adversarios reconstruir identidades de usuario sin la necesidad de un seguimiento a largo plazo o acceso directo a los datos del usuario.