AccretionLink: On-Device Auditing of Exposure-Control Attacks on Attribute Inference

En el mundo digital, solemos asumir que la privacidad se rompe solo cuando alguien roba nuestras contraseñas, hackea nuestras cuentas o nos engaña para que revelemos secretos. Pero existe una forma más silenciosa y sutil en la que nuestras vidas privadas pueden quedar expuestas, una que no requiere robos ni mentiras. Ocurre cuando se le permite a un observador elegir qué publicaciones públicas nuestras puede mirar y en qué orden. Imagine a una persona que quiere adivinar sus opiniones políticas o sus ingresos. En lugar de leer cada cosa que usted ha escrito jamás, se le entrega una lista de sus publicaciones públicas y una herramienta especial que le permite elegir las diez más reveladoras para leer primero. Incluso si cada una de las publicaciones que eligen es real, auténtica y exactamente lo que usted escribió, el mero acto de seleccionar las más interesantes cambia la historia que pueden contar sobre usted. Este es el núcleo de una nueva preocupación de seguridad: el poder del control de la exposición. Es la capacidad de moldear la evidencia disponible para un observador sin alterar la evidencia misma.

Los investigadores han construido ahora un sistema para medir exactamente cuánto daño puede hacer este tipo de selección. Crearon un entorno controlado donde podían probar qué tan bien una inteligencia artificial podía adivinar detalles privados sobre una persona, como su edad, ingresos o estado civil, basándose únicamente en su escritura pública. El equipo configuró un juego donde se le permitía al atacante elegir publicaciones de un conjunto de contenido auténtico. En un escenario, el atacante tenía que leer las publicaciones en un orden aleatorio, como pasar las páginas de un libro una por una. En otro, el atacante podía elegir las publicaciones que parecían más probables de revelar la respuesta. Los investigadores descubrieron que este simple acto de elegir marcaba una diferencia significativa. Cuando se le permitió al atacante elegir las mejores publicaciones, su capacidad para adivinar correctamente mejoró notablemente. El sistema que construyeron, llamado AccretionLink, realizó estas pruebas en una realización experimental específica de un dispositivo Pixel 10, asegurando que todo el proceso ocurriera localmente en el dispositivo sin enviar ningún texto privado a internet.

El estudio utilizó dos tipos de sujetos de prueba. El primero fue un conjunto de 52 perfiles completamente falsos creados por una computadora. Estos perfiles tenían respuestas conocidas y selladas para sus ingresos, estado civil, educación y edad. Los investigadores ejecutaron el juego de selección en estos perfiles y descubrieron que, cuando el atacante podía elegir las publicaciones, reducían su tasa de error. En el punto en que se habían leído ocho publicaciones, la confianza del atacante mejoró una cantidad mensurable en comparación con cuando leían de forma aleatoria. Más importante aún, el proceso de selección causó que el sistema realizara conjeturas seguras pero erróneas en casos específicos. De 109 oportunidades para adivinar un rasgo privado en estos perfiles sintéticos, el método de selección provocó seis instancias donde el sistema tenía una alta confianza pero estaba completamente equivocado sobre los ingresos o la educación de la persona. Esto demostró que el control de la exposición podía no solo mejorar las conjeturas, sino también fabricar una falsa certeza, convirtiendo un perfil correcto en uno erróneo pero con gran confianza.

Para asegurar que estos resultados no fueran solo un truco del código de la computadora, los investigadores también probaron el sistema con datos reales de un conjunto de datos públicos de Twitter de 2015. Aplicaron la misma lógica de selección a estos perfiles reales. Incluso sin la capacidad de ver el sistema de clasificación real utilizado por Twitter, el método de selección mejoró la capacidad del atacante para adivinar el grupo de edad del usuario. La mejora fue menor que en los perfiles falsos, pero fue consistente y estadísticamente clara. Crucialmente, los investigadores demostraron que este efecto no dependía de que el atacante utilizara el mismo modelo para elegir las publicaciones y para adivinar la respuesta. Utilizaron un método diferente y más simple para elegir las publicaciones, y el modelo original aun así adivinó mejor. Esto confirmó que la ventaja provenía del acto de selección en sí, no de un fallo específico en un software determinado. Es importante señalar que, si bien el método de selección mejoró la precisión del atacante en los datos reales, no causó ninguna reversión de alta confianza entre los 71 perfiles reales elegibles probados.

Los investigadores también construyeron una forma de probar que la prueba se realizó de manera justa y que ningún dato fue manipulado. Ejecutaron todo el experimento en una realización experimental específica de un dispositivo Pixel 10, utilizando un chip especializado diseñado para la inteligencia artificial. El dispositivo procesó cada publicación exactamente una vez, creando una huella digital del trabajo realizado. Luego, firmó este registro con una clave segura almacenada en el hardware del dispositivo, creando un registro permanente e inalterable de la prueba. Este registro demostró que los resultados provenían del modelo específico y de los datos específicos utilizados, sin pasos ocultos o interferencia externa. El estudio encontró que el tiempo que tomó procesar el texto estuvo dominado por el tiempo que tomó analizar el significado de las palabras, no por el tiempo para actualizar las puntuaciones o verificar los resultados. Esto significa que el cuello de botella en el sistema fue la inteligencia del modelo en sí, no la velocidad del procesador del dispositivo.

Los hallazgos sugieren que el orden en que vemos la información importa tanto como la información misma. Incluso si cada publicación que hacemos es honesta y sin alteraciones, la capacidad de seleccionar cuidadosamente cuáles se ven primero puede cambiar significamente lo que un observador puede aprender sobre nosotros. Los investigadores demostraron que esto no es solo un riesgo teórico sino una realidad mensurable que puede ser probada y registrada en una realización experimental específica de un teléfono inteligente. Demostraron que una simple estrategia de selección podría llevar a conclusiones erróneas pero seguras sobre la vida privada de una persona. Si bien el estudio no pretendía resolver este problema ni predecir cómo las empresas de redes sociales clasifican actualmente las publicaciones, proporcionó un método claro y reproducible para auditar cuánto daño puede causar el control de la exposición. El trabajo destaca que, en la era de la inteligencia artificial, la seguridad de nuestra privacidad depende no solo de lo que decimos, sino de quién tiene el derecho de elegir qué palabras nuestras son escuchadas primero.