Technical Report: The Need for a (Research) Sandstorm through the Privacy Sandbox

Imagina el internet como una ciudad enorme y bulliciosa donde todo el mundo intenta vender cosas, pero el consejo municipal (Google) decidió que la vieja forma de rastrear a la gente —usando "cookies de terceros" como pequeñas e invisibles pegatinas en las mochilas de todos— era demasiado espeluznante. Así que, en 2019, lanzaron el Privacy Sandbox (Bóveda de Privacidad). La idea era construir un nuevo vecindario de alta tecnología donde los anuncios pudieran seguir funcionando, pero sin esas pegatinas espeluznantes.

Pero aquí está el giro: Google construyó este nuevo vecindario principalmente por su cuenta, sin preguntar a los otros planificadores urbanos (como Safari, Firefox o Brave) si los planos eran seguros. Empezaron a implementar estas nuevas reglas en Chrome y Android, y de repente, toda la ciudad estaba cambiando.

Entran Yohan Beugin y Patrick McDaniel, dos investigadores de la Universidad de Wisconsin–Madison. Miraron este nuevo vecindario y dijeron: "Vaya, un momento. Necesitamos comprobar si estos nuevos muros realmente están manteniendo a la gente segura, o si solo están ocultando nuevas trampas".

La "Tormenta de Arena" de la investigación

Para dar sentido a este caos, los investigadores crearon algo llamado Privacy Sandstorm (Tormenta de Arena de la Privacidad). Piensa en esto como una gigantesca nube de tormenta digital que barre el internet, recolectando cada papel, mapa y plano relacionado con estas nuevas reglas de privacidad.

Normalmente, si quieres saber cómo funcionan los nuevos juguetes de Google, tienes que preguntarle a Google. Pero Google solo te muestra las partes brillantes y felices. El Privacy Sandstorm es diferente. Es un portal de investigación que reúne todo: lo bueno, lo malo, lo confuso y lo aterrador. Es como el tablero de un detective cubierto de hilos rojos, conectando cada estudio, cada conjunto de datos y cada señal de advertencia de científicos independientes.

Los investigadores descubrieron que cuando miraban el panorama completo a través de su "Sandstorm", veían una historia mucho más grande y compleja de la que Google dejaba ver al público a través de sus canales oficiales.

Las nuevas reglas del juego (y las viejas que fallaron)

El artículo enumera más de 20 propuestas, que son como diferentes herramientas que el consejo municipal intentó usar para solucionar el problema del rastreo. Veamos algunas de las más importantes:

• El experimento "FLoC" (El abrazo grupal fallido):
  Google primero probó un sistema llamado FLoC. Imagina que, en lugar de rastrear tu mochila específica, la ciudad te pone en un abrazo grupal gigante con miles de otras personas que disfrutan de las mismas cosas (como "personas que aman el senderismo"). La idea era que, si estás en un grupo de 10,000 excursionistas, nadie puede saber cuál de los excursionistas eres tú.

  • Lo que dice el artículo: Los investigadores descubrieron que esta era una mala idea. Era como intentar esconder una aguja en un pajar, pero la aguja todavía brillaba. Los estudios demostraron que, incluso en estos grupos enormes, aún podías ser identificado, o los grupos mismos podían ser utilizados para crear tu huella digital (fingerprinting). Google finalmente abandonó FLoC y lo reemplazó con la API Topics.

• La API "Topics" (La tarjeta de intereses):
  Después de que FLoC fallara, Google probó Topics. En lugar de un abrazo grupal, el navegador ahora te entrega una tarjeta semanal con 5 "intereses" (como "Deportes" o "Cocina"). Los anunciantes pueden ver tu tarjeta, pero no pueden ver tu nombre.

  • Lo que dice el artículo: Esto aún se está probando, pero los investigadores están preocupados. Realizaron simulaciones y descubrieron que, incluso con solo unas pocas tarjetas, podría ser posible averiguar quién eres, especialmente si visitas muchos sitios web específicos. Es como tener una tarjeta que dice "Ama la Pizza", pero si solo visitas una pizzería específica en toda la ciudad, todos saben que eres tú. El artículo señala que, aunque Google afirma que esto es seguro, las mediciones independientes con datos reales sugieren que los riesgos de privacidad siguen ahí.

• Los "Fenced Frames" (La cabina de cristal):
  Esta es una nueva forma de mostrar anuncios. Imagina que un anuncio está dentro de una cabina de cristal. Tú puedes ver el anuncio, y el anuncio puede verte a ti, pero el anuncio no puede espiar dentro de tu casa (tu navegador) ni hablar con tus vecinos (otros sitios web).

  • Lo que dice el artículo: Esto sigue siendo mantenido por Google. Es un "tal vez" por ahora, pero los investigadores están vigilando de cerca para ver si el cristal es verdaderamente irrompible.

• Los "Related Website Sets" (El pase familiar):
  Esto permite que una empresa diga: "Oye, estos 5 sitios web son todos parte de mi familia, así que permítales compartir cookies".

  • Lo que dice el artículo: Los investigadores descubrieron que esto podría ser un vacío legal. Es como decir: "No puedo rastrearte por toda la ciudad, pero puedo rastrearte a través de toda la casa de mi familia". El artículo sugiere que esto podría derribar las defensas de privacidad justo cuando se están construyendo.

El giro de la "Depreciación"

Aquí está la parte más importante de la historia: En octubre de 2025, Google anunció oficialmente que está dejando de utilizar (depreciando) la mayoría de estas APIs de Privacy Sandbox.

¿Espera, qué? ¿Construyeron todas estas herramientas y ahora las están tirando a la basura?
El artículo explica que Google está desconectando cosas como FLoC, Topics, Attribution Reporting y Fenced Frames. Sin embargo, mantienen algunas herramientas como CHIPS (una forma de mantener las cookies separadas) y User-Agent Client Hints (una forma de decirle a los sitios web qué tipo de teléfono tienes sin revelar tu identidad).

Los investigadores argumentan que, aunque Google está deteniendo estas herramientas específicas, el trabajo no ha terminado. ¡Todavía necesitamos estudiarlas! ¿Por qué? Porque si no entendemos por qué fallaron o qué salió mal, podríamos construir los mismos errores en la próxima generación de herramientas.

La conclusión

El principal hallazgo de este artículo es simple: Necesitamos más ojos sobre la pelota.

Google es el único que tiene el mapa del Privacy Sandbox, y solo nos muestra las partes que quiere que veamos. El portal Privacy Sandstorm es la forma en que los investigadores dicen: "Miremos el mapa completo juntos". Han reunido conjuntos de datos, software y cientos de estudios para demostrar que la realidad de estas herramientas de privacidad es mucho más complicada de lo que sugieren los comunicados de prensa oficiales.

No están diciendo que el internet esté condenado, sino que no podemos simplemente confiar en la persona que construyó el muro para que nos diga si es seguro. Necesitamos traer nuestras propias linternas, nuestros propios mapas y, tal vez, incluso un poco de una "tormenta de arena" para asegurarnos de que los miles de millones de personas que usan internet estén realmente protegidas.

Así que, la próxima vez que escuches hablar de una nueva actualización de "Privacidad", recuerda el Sandstorm. Es el recordatorio de que, en el mundo de la privacidad de internet, la verdad suele estar enterrada bajo capas de código, y se necesita a todo un equipo de investigadores curiosos para desenterrarla.