AccretionLink: On-Device Auditing of Exposure-Control Attacks on Attribute Inference

Nel mondo digitale, spesso assumiamo che la privacy venga violata solo quando qualcuno ruba le nostre password, hackera i nostri account o ci inganna per rivelare i nostri segreti. Ma esiste un modo più silenzioso e sottile in cui la nostra vita privata può essere esposta, uno che non richiede furti né menzogne. Accade quando a un osservatore è permesso scegliere quali dei nostri post pubblici guardare e in quale ordine. Immaginate una persona che vuole indovinare le vostre opinioni politiche o il vostro reddito. Invece di leggere ogni singola cosa che avete mai scritto, le viene data una lista dei vostri post pubblici e uno strumento speciale che le permette di scegliere i dieci più rivelatori da leggere per primi. Anche se ogni singolo post scelto è reale, autentico e esattamente ciò che avete scritto, l'atto stesso di selezionare quelli più interessanti cambia la storia che possono raccontare di voi. Questo è il nucleo di una nuova preoccupazione per la sicurezza: il potere del controllo dell'esposizione. È la capacità di plasmare le prove disponibili a un osservatore senza alterare le prove stesse.

I ricercatori hanno ora costruito un sistema per misurare esattamente quanto danno possa causare questo tipo di selezione. Hanno creato un ambiente controllato in cui potevano testare quanto bene un'intelligenza artificiale potesse indovinare dettagli privati su una persona, come l'età, il reddito o lo stato civile, basandosi esclusivamente sulla propria scrittura pubblica. Il team ha impostato un gioco in cui un attaccante poteva scegliere dei post da un insieme di contenuti autentici. In uno scenario, l'attaccante doveva leggere i post in un ordine casuale, come sfogliare un libro pagina per pagina. In un altro, l'attaccante poteva scegliere i post che sembravano più probabili nel rivelare la risposta. I ricercatori hanno scoperto che questo semplice atto di scelta faceva una differenza significativa. Quando l'attaccante era autorizzato a scegliere i post migliori, la sua capacità di indovinare correttamente migliorava sensibilmente. Il sistema che hanno costruito, chiamato AccretionLink, ha eseguito questi test su una specifica realizzazione sperimentale di un dispositivo Pixel 10, assicurando che l'intero processo avvenisse localmente sul dispositivo senza inviare alcun testo privato su Internet.

Lo studio ha utilizzato due tipi di soggetti di test. Il primo era un insieme di 52 profili completamente falsi creati da un computer. Questi profili avevano risposte note e sigillate per il loro reddito, stato civile, istruzione ed età. I ricercatori hanno eseguito il gioco della selezione su questi profili e hanno scoperto che, quando l'attaccante era autorizzato a scegliere i post, riduceva il proprio tasso di errore. Al punto in cui erano stati letti otto post, la fiducia dell'attaccante è migliorata in modo misurabile rispetto a quando leggeva casualmente. Più importante ancora, il processo di selezione ha causato il sistema nel fare ipotesi sicure ma errate in casi specifici. Su 109 opportunità di indovinare un tratto privato su questi profili sintetici, il metodo di selezione ha portato a sei casi in cui il sistema era altamente fiducioso ma completamente errato riguardo al reddito o all'istruzione della persona. Ciò ha dimostrato che il controllo dell'esposizione poteva non solo migliorare le ipotesi, ma anche fabbricare una falsa certezza, trasformando un profilo corretto in uno erroneamente ma con decisione identificato.

Per garantire che questi risultati non fossero solo un trucco del codice informatico, i ricercatori hanno testato il sistema anche su dati reali da un dataset pubblico di post di Twitter del 2015. Hanno applicato la stessa logica di selezione a questi profili reali. Anche senza la possibilità di vedere il sistema di classificazione effettivo utilizzato da Twitter, il metodo di selezione ha comunque migliorato la capacità dell'attaccante di indovinare la fascia d'età dell'utente. Il miglioramento era minore rispetto ai profili falsi, ma era costante e statisticamente chiaro. Fondamentalmente, i ricercatori hanno dimostrato che questo effetto non dipendeva dall'uso da parte dell'attaccante dello stesso modello per scegliere i post e per indovinare la risposta. Hanno utilizzato un metodo diverso e più semplice per scegliere i post, e il modello originale ha comunque indovinato meglio. Ciò ha confermato che il vantaggio derivava dall'atto della selezione stessa, non da un difetto specifico di un pezzo di software. Importante è che, mentre il metodo di selezione migliorava l'accuratezza dell'attaccante sui dati reali, non ha causato alcuna inversione ad alta fiducia tra i 71 profili reali testati.

I ricercatori hanno anche costruito un modo per provare che il test fosse stato eseguito equamente e che nessun dato fosse stato manomesso. Hanno eseguito l'intero esperimento su una specifica realizzazione sperimentale di un dispositivo Pixel 10, utilizzando un chip specializzato progettato per l'intelligenza artificiale. Il dispositivo ha elaborato ogni post esattamente una volta, creando un'impronta digitale del lavoro svolto. Ha poi firmato questo registro con una chiave sicura memorizzata nell'hardware del dispositivo, creando un registro permanente e immutabile del test. Questo registro ha provato che i risultati provenivano dal modello specifico e dai dati specifici utilizzati, senza passaggi nascosti o interferenze esterne. Lo studio ha scoperto che il tempo necessario per elaborare il testo era dominato dal tempo necessario per analizzare il significato delle parole, non dal tempo necessario per aggiornare i punteggi o controllare i risultati. Ciò significa che il collo di bottiglia nel sistema era l'intelligenza del modello stesso, non la velocità del processore del dispositivo.

Le scoperte suggeriscono che l'ordine in cui vediamo le informazioni conta tanto quanto l'informazione stessa. Anche se ogni post che facciamo è onesto e inalterato, la capacità di selezionare con cura quali vengono visti per primi può cambiare significativamente ciò che un osservatore può apprendere su di noi. I ricercatori hanno dimostrato che questa non è solo una rischio teorico, ma una realtà misurabile e testabile su una specifica realizzazione sperimentale di uno smartphone. Hanno dimostrato che una semplice strategia di selezione può portare a conclusioni errate ma sicure su la vita privata di una persona. Sebbene lo studio non abbia sostenuto di aver risolto questo problema o di prevedere come le aziende dei social media classifichino attualmente i post, ha fornito un metodo chiaro e riproducibile per sottoporre a audit quanto danno possa causare il controllo dell'esposizione. Il lavoro evidenzia che, nell'era dell'intelligenza artificiale, la sicurezza della nostra privacy dipende non solo da ciò che diciamo, ma da chi ha il diritto di scegliere quali delle nostre parole vengano ascoltate per prime.