Attribute Inference from Interactive Targeted Ads

Resumen Técnico: Inferencia de Atributos a partir de Anuncios Segmentados Interactivos

Planteamiento del Problema
El artículo aborda una vulnerabilidad de privacidad específica en los sistemas de publicidad segmentada interactiva donde las unidades de anuncios invitan a acciones visibles del usuario (por ejemplo, comentarios, reacciones). Mientras que trabajos previos han identificado riesgos en la construcción de audiencias y el reporte agregado, este trabajo se centra en el canal creado cuando una interacción identificable de un usuario se vincula a un predicado de campaña específico elegido por un anunciante. El problema central es si estas interacciones funcionan como un "oráculo ruidoso" que permite a un anunciante inferir atributos sensibles (por ejemplo, intereses de salud, afiliación política) sobre un usuario, incluso cuando la plataforma no revela explícitamente dichos atributos. El vector de ataque se basa en que el anunciante trate a la plataforma como una superficie de consulta: al seleccionar predicados de segmentación específicos y observar qué usuarios interactúan con sus anuncios, el anunciante acumula un historial de observaciones que puede utilizarse para la inferencia probabilística.

Metodología y Modelo de Sistema
Los autores formalizan el proceso publicitario como un proceso de cuatro etapas:

1. Segmentación (Targeting): El anunciante selecciona un predicado $g_c$ que define una audiencia elegible.
2. Exposición: La plataforma entrega el anuncio a un subconjunto de la audiencia elegible (introduciendo ruido, ya que la elegibilidad $\neq$ la entrega).
3. Interacción: Los usuarios pueden interactuar con el anuncio (introduciendo un ruido adicional, ya que la entrega $\neq$ la atención/acción).
4. Divulgación (Disclosure): La plataforma libera registros basados en una política de divulgación $D$. Esta política determina si el anunciante ve estadísticas agregadas o trazas vinculadas a la identidad (por ejemplo, "El Usuario X reaccionó al Anuncio Y").

El artículo introduce una abstracción de oráculo ruidoso donde la salida es un registro de interacción vinculado a un usuario solo si la política de divulgación lo permite. Los autores definen el historial de observaciones $H_u^{(T)}$ para un usuario $u$ después de $T$ campañas, que consiste en la secuencia de predicados, metadatos de la campaña e interacciones divulgadas.

Para evaluar esto, los autores construyen un benchmark reproducible utilizando:

• Poblaciones Sintéticas: Calibradas con datos públicos para asegurar distribuciones de atributos y correlaciones realistas, con etiquetas sensibles de verdad fundamental (ground-truth) conocidas.
• Capa de Semántica de Campaña: Una capa automatizada que genera variantes de temas y prioridades de respuesta para simular una diversidad de campañas realista.
• Simulación: Un generador que produce la verdad fundamental, trazas de eventos (exposición e interacción) y observaciones divulgadas basadas en la variación de diversos parámetros (conteo de campañas, tasas de interacción, granularidad de predicados y reglas de divulgación).

Contribuciones Clave

1. Modelo de Oráculo Formal: El artículo define los anuncios segmentados interactivos como oráculos de inferencia de atributos ruidosos, separando explícitamente el predicado de la campaña, el atributo latente del usuario y el proceso de interacción ruidoso. Esto formaliza las condiciones bajo las cuales los predicados de campaña se convierten en evidencia de inferencia.
2. Marco de Ataque (Attack Framework): Los autores instancian y evalúan cuatro estrategias de ataque distintas:
   • Ataque Bayesiano: Utiliza modelos de verosimilitud explícitos y supuestos de independencia condicional.
   • Ataque de Sombra Supervisado (Supervised Shadow Attack): Utiliza aprendizaje automático (regresión logística, bosques aleatorios, potenciación de gradiente) entrenado en datos sintéticos para aprender correlaciones sin supuestos explícitos de independencia.
   • Ataque de Positivos y No Etiquetados (PU Attack): Trata las interacciones observadas como evidencia positiva y la ausencia de las listas divulgadas como negativa (mundo cerrado) o no etiquetada (mundo abierto).
   • Ataque Adaptativo: Selecciona campañas subsecuentes basadas en la ganancia de información esperada para minimizar el costo o maximizar la confianza.
3. Benchmark Reproducible: Un artefacto completo que permite realizar barridos de parámetros sobre conteos de campañas, tasas de interacción y políticas de divulgación sin recolectar datos sensibles de usuarios reales.
4. Evaluación de Defensas: El artículo evalúa defensas del lado de la plataforma como transformaciones del mapa de divulgación $D$, incluyendo filtrado de tipos, divulgación de identidad aleatorizada, umbralización (thresholding) e informes agregados.

Resultos
La evaluación, realizada a través de 56 ejecuciones (4 variantes de tema, 7 semillas, 2 configuraciones de interacción) con 8,000 usuarios sintéticos y 160 campañas, arroja los siguientes hallazgos:

• Señal Medible: Las campañas repetidas con exposición de identidad producen una señal de inferencia medible. Con 160 campañas, los ataques bayesianos y supervisados logran aproximadamente un 0.64 AUC en el escenario principal y un 0.65 AUC en un escenario de mayor interacción. Esto indica que, aunque la señal está limitada por el ruido (tasas de entrega e interacción), es estadísticamente significativa por encima del azar.
• La Política de Divulgación es el Control Primario: El mapa de divulgación $D$ es el determinante más fuerte del riesgo.
  • Reporte Agregado: Elimina completamente la entrada de historial indexado por usuario requerida para los ataques evaluados, reduciendo el desempeño al ranking previo (AUC $\approx$ 0.50).
  • Filtrado de Tipos y Divulgación Aleatorizada: Estos reducen la señal (por ejemplo, el filtrado de tipos reduce el AUC a ~0.58–0.60), pero no la eliminan.
  • Umbralización (Thresholding): En las distribuciones de eventos simulados, la configuración de umbral evaluada no fue restrictiva, comportándose de manera similar a la exposición total de identidad.
• Eficiencia Adaptativa: La selección adaptativa de campañas puede reducir el número de campañas o el costo requerido para alcanzar un nivel de confianza objetivo, aunque la inferencia de alta confianza (posterior > 0.70) sigue siendo un resultado minoritario en el escenario principal.
• Límites de Granularidad: Los predicados más estrechos (longitudes más largas) no mejoran automáticamente la inferencia; a menudo reducen las oportunidades de exposición debido a las restricciones de audiencia mínima, reduciendo a veces la señal a niveles cercanos al previo (prior).

Significancia y Reivindicaciones
El artículo afirma proporcionar un modelo, artefacto y método de evaluación de defensa para la privacidad en la publicidad segmentada interactiva. Su significancia radica en:

• Relato Sistemático: Proporciona el primer relato sistemático de la interacción entre los predicados de segmentación elegidos por el anunciante y las interacciones que exponen la identidad como un oráculo para la inferencia de atributos.
• Enfoque en la Defensa: Desplaza la discusión de privacidad del texto de la política de segmentación hacia la interfaz de divulgación. Los resultados sugieren que las defensas deben evaluarse al nivel del mapa de divulgación (qué se libera) y no solo en las reglas de segmentación (quién es elegible).
• Riesgo Acotado: El artículo reclama modestamente que, si bien el canal de inferencia existe y es medible, la señal está acotada por el ruido inherente a los procesos de entrega e interacción. No afirma que estos ataques puedan reconstruir perfectamente los perfiles de usuario, sino que pueden inferir estadísticamente atributos sensibles con una precisión mejor que el azar bajo condiciones de divulgación específicas.
• Utilidad del Benchmark: Al utilizar datos sintéticos calibrados con fuentes públicas, el trabajo permite una evaluación controlada y repetible de ataques y defensas de privacidad sin las complejidades éticas y legales de recolectar etiquetas sensibles de usuarios reales.

Los autores concluyen que la gobernanza de las plataformas debe abordar el diseño de las interfaces de divulgación para mitigar la filtración de privacidad, ya que el reporte agregado elimina efectivamente el input del oráculo evaluado, mientras que otros mecanismos (filtrado, aleatorización) ofrecen una mitigación parcial.