Attribute Inference from Interactive Targeted Ads

Sintesi Tecnica: Inferenza di Attributi da Annunci Mirati Interattivi

Definizione del Problema
Il documento affronta una specifica vulnerabilità della privacy negli sistemi di pubblicità mirata interattiva in cui le unità pubblicitarie invitano azioni visibili dell'utente (ad es., commenti, reazioni). Mentre il lavoro precedente ha identificato i rischi nella costruzione del pubblico e nella reportistica aggregata, questo studio si concentra sul canale creato quando un'interazione identificabile di un utente viene collegata a un predicato specifico di una campagna scelto da un inserzionista. Il problema centrale è se queste interazioni funzionino come un "oracolo rumoroso" che permette a un inserzionista di inferire attributi sensibili (ad es., interessi sulla salute, affiliazione politica) su un utente, anche quando la piattaforma non rivela esplicitamente tali attributi. Il vettore di attacco si basa sul fatto che l'inserzionista tratti la piattaforma come una superficie di query: selezionando specifici predicati di targeting e osservando quali utenti interagiscono con i loro annunci, l'inserzionista accumula una cronologia di osservazioni che può essere utilizzata per l'inferenza probabilistica.

Metodologia e Modello di Sistema
Gli autori formalizzano la pipeline pubblicitaria come un processo in quattro fasi:

1. Targeting: L'inserzionista seleziona un predicato $g_c$ che definisce un pubblico idoneo.
2. Esposizione: La piattaforma consegna l'annuncio a un sottoinsieme del pubblico idoneo (introducendo rumore, poiché l'idoneità $\neq$ la consegna).
3. Interazione: Gli utenti possono interagire con l'annuncio (introducendo ulteriore rumore, poiché la consegna $\neq$ attenzione/azione).
4. Divulgazione: La piattaforma rilascia record basati su una politica di divulgazione $D$. Questa politica determina se l'inserzionista vede statistiche aggregate o tracce legate all'identità (ad es., "L'utente X ha reagito all'Annuncio Y").

Il documento introduce un'astrazione di oracolo rumoroso in cui l'output è un record di engagement legato a un utente solo se la politica di divulgazione lo consente. Gli autori definiscono la cronologia delle osservazioni $H_u^{(T)}$ per un utente $u$ dopo $T$ campagne, composta dalla sequenza di predicati, metadati della campagna e interazioni divulgate.

Per valutare ciò, gli autori costruiscono un benchmark riproducibile utilizzando:

• Popolazioni Sintetiche: Calibrate con dati pubblici per garantire distribuzioni di attributi e correlazioni realistiche, con etichette sensibili di verità fondamentale (ground-truth) note.
• Livello di Semantica della Campagna: Uno strato automatizzato che genera varianti di argomenti e prior di risposta per simulare una diversità di campagne realistica.
• Simulazione: Un generatore che produce verità fondamentale, tracce di eventi (esposizione e interazione) e osservazioni divulgate in base a variabili quali numero di campagne, tassi di interazione, granularità dei predicati e regole di divulgazione.

Contributi Chiave

1. Modello di Oracolo Formale: Il documento definisce gli annunci mirati interattivi come oracoli di inferenza di attributi rumorosi, separando esplicitamente il predicato della campagna, l'attributo latente dell'utente e il processo di interazione rumoroso. Ciò formalizza le condizioni in cui i predicati delle campagne diventano evidenza di inferenza.
2. Framework di Attacco: Gli autori istanziano e valutano quattro diverse strategie di attacco:
   • Attacco Bayesiano: Utilizza modelli di verosimiglianza espliciti e assunzioni di indipendenza condizionale.
   • Attacco Shadow Supervisionato: Utilizza il machine learning (regressione logistica, random forest, gradient boosting) addestrato su dati sintetici per apprendere le correlazioni senza assunzioni esplicite di indipendenza.
   • Attacco Positive e Unlabeled (PU): Tratta le interazioni osservate come evidenza positiva e l'assenza dalle liste divulgate come negativa (mondo chiuso) o non etichettata (mondo aperto).
   • Attacco Adattivo: Seleziona le campagne successive in base al guadagno di informazione atteso per minimizzare il costo o massimizzare la fiducia.
3. Benchmark Riproducibile: Un artefatto completo che consente sweep di parametri su conteggio delle campagne, tassi di interazione e politiche di divulgazione senza raccogliere dati sensibili da utenti reali.
4. Valutazione della Difesa: Il documento valuta le difese lato piattaforma come trasformazioni della mappa di divulgazione $D$, inclusi il filtraggio dei tipi, la divulgazione dell'identità randomizzata, il superamento di soglia (thresholding) e la reportistica aggregata.

Risultati
La valutazione, condotta su 56 esecuzioni (4 varianti di argomento, 7 seed, 2 impostazioni di interazione) con 8.000 utenti sintetici e 160 campagne, produce le seguenti scoperte:

• Segnale Misurabile: Campagne ripetute con esposizione dell'identità producono un segnale di inferenza misurabile. A 160 campagne, gli attacchi bayesiano e supervisionato raggiungono circa 0,64 AUC nell'impostazione principale e 0,65 AUC in un'impostazione con maggiore interazione. Ciò indica che, sebbene il segnale sia limitato dal rumore (tassi di consegna e interazione), esso è statisticamente significativo rispetto al caso casuale.
• La Politica di Divulgazione è il Controllo Primario: La mappa di divulgazione $D$ è il determinante più forte del rischio.
  • Reportistica Aggregata: Rimuove completamente l'input della cronologia indicizzata per l'utente richiesto per gli attacchi valutati, riducendo le prestazioni alla probabilità a priori (AUC $\approx$ 0,50).
  • Filtraggio dei Tipi e Divulgazione Randomizzata: Questi riducono il segnale (ad es., il filtraggio dei tipi riduce l'AUC a ~0,58–0,60) ma non lo eliminano.
  • Superamento di Soglia (Thresholding): Nelle distribuzioni degli eventi simulate, l'impostazione della soglia valutata non ha agito fortemente, performando in modo simile alla piena esposizione dell'identità.
• Efficienza Adattiva: La selezione adattiva delle campagne può ridurre il numero di campagne o il costo necessari per raggiungere un livello di fiducia target, sebbene l'inferenza ad alta fiducia (posterior > 0,70) rimanga un caso minoritario nell'impostazione principale.
• Limiti della Granularità: Predicati più stretti (lunghezze maggiori) non migliorano automaticamente l'inferenza; spesso riducono le opportunità di esposizione a causa dei vincoli minimi di audience, talvolta portando il segnale vicino ai livelli a priori.

Significatività e Rivendicazioni
Il documento sostiene di fornire un modello, un artefatto e un metodo di valutazione della difesa per la privacy nella pubblicità mirata interattiva. La sua significatività risiede nel:

• Resoconto Sistematico: Fornisce il primo resoconto sistematico dell'interazione tra i predicati di targeting scelti dagli inserzionisti e le interazioni che espongono l'identità come oracolo per l'inferenza di attributi.
• Focus sulla Difesa: Sposta la discussione sulla privacy dal testo della politica di targeting all'interfaccia di divulgazione. I risultati suggeriscono che le difese devono essere valutate al livello della mappa di divulgazione (cosa viene rilasciato) piuttosto che solo sulle regole di targeting (chi è idoneo).
• Rischio Limitato: Il documento afferma modestamente che, sebbene il canale di inferenza esista ed sia misurabile, il segnale è limitato dal rumore inerente ai processi di consegna e interazione. Non sostiene che questi attacchi possano ricostruire perfettamente i profili utente, ma che possono inferire statisticamente attributi sensibili con un'accuratezza superiore al caso sotto specifiche condizioni di divulgazione.
• Utilità del Benchmark: Utilizzando dati sintetici calibrati su fonti pubbliche, il lavoro consente una valutazione ripetibile e controllata di attacchi e difese della privacy senza le complessità etiche e legali della raccolta di etichette sensibili da utenti reali.

Gli autori concludono che la governance delle piattaforme deve affrontare il design delle interfacce di divulgazione per mitigare la fuga di privacy, poiché la reportistica aggregata rimuove efficacementamente l'input dell'oracolo valutato, mentre altri meccanismi (filtraggio, randomizzazione) offrono una mitigazione parziale.