Attribute Inference from Interactive Targeted Ads

기술 요약: 인터랙티브 타겟 광고로부터의 속성 추론

문제 정의
본 논문은 가시적인 사용자 행동(예: 댓글, 반응)을 유도하는 광고 단위가 존재하는 인터랙티브 타겟 광고 시스템에서의 특정 개인정보 보호 취약점을 다룬다. 기존 연구들이 오디언스 구축 및 집계 보고의 위험성을 식별한 것과 달리, 본 연구는 광고주가 선택한 특정 캠페인 서술어(predicate)와 연결된 식별 가능한 사용자 상호작용이 생성하는 채널에 초점을 맞춘다. 핵심 문제는 이러한 상호작용이 광고주로 하여 even 플랫폼이 해당 속성을 명시적으로 공개하지 않더라도, 사용자의 민감한 속성(예: 건강 관심사, 정치적 성향)을 추론할 수 있게 하는 "노이즈가 섞인 오라클(noisy oracle)" 역할을 하는지 여부이다. 공격 벡터는 광고주가 플랫폼을 쿼리 표면(query surface)으로 취급하는 방식에 기반한다. 즉, 특정 타겟팅 서술어를 선택하고 어떤 사용자가 자신의 광고와 상호작용하는지를 관찰함으로써, 광고주는 확률적 추론을 위한 관측 이력을 축적한다.

방법론 및 시스템 모델
저자들은 광고 파이프라인을 다음의 4단계 과정으로 정형화한다:

1. 타겟팅(Targeting): 광고주는 적격 오디언스를 정의하는 서술어 $g_c$를 선택한다.
2. 노출(Exposure): 플랫폼은 적격 오디언스의 일부에게 광고를 전달한다(적격성이 곧 전달을 의미하지 않으므로 노이즈가 발생한다).
3. 상호작용(Interaction): 사용자는 광고와 상관작용할 수 있다(전달이 곧 주의력이나 행동을 의미하지 않으므로 추가적인 노이즈가 발생한다).
4. 공개(Disclosure): 플랫폼은 공개 정책 $D$에 따라 기록을 출시한다. 이 정책은 광고주가 집계 통계만을 보게 될지, 아니면 ID가 연결된 흔적(예: "사용자 X가 광고 Y에 반응함")을 보게 될지를 결정한다.

본 논문은 출력값이 공개 정책에 의해 사용자에게 연결될 때만 사용자 기반의 엔게이지먼트 기록이 되는 **노이즈가 섞인 오라클 추상화(noisy oracle abstraction)**를 도입한다. 저자들은 $T$번의 캠페인 이후 사용자 $u$의 관측 이력 $H_u^{(T)}$를 서술어, 캠페인 메타데이터, 그리고 공개된 상호작용의 시퀀스로 정의한다.

이를 평가하기 위해 저자들은 다음을 사용하여 재현 가능한 벤치마크를 구축한다:

• 합성 인구(Synthetic Populations): 실제 데이터와 보정되어 현실적인 속성 분포와 상관관계를 가지며, 알려진 정답(ground-truth) 민감 레이블을 포함한다.
• 캠페인 시맨틱스 레이어(Campaign Semantics Layer): 현실적인 캠페인 다양성을 시뮬레이션하기 위해 토픽 변형과 반응 사전 확률을 자동 생성하는 계층이다.
• 시뮬레이션: 캠페인 횟수, 상호작용률, 서술어 세밀도, 공개 규칙 등 다양한 파라미터에 기초하여 정답, 이벤트 트레이스(노출 및 상호작용), 공개된 관측치를 생성하는 생성기이다.

주요 기여

1. 정형화된 오라클 모델: 본 논문은 인터랙티브 타겟 광고를 노이즈가 섞인 속성 추론 오라클로 정의하며, 캠페인 서술어, 잠재적 사용자 속성, 노이즈가 섞인 상호작용 프로세스를 명확히 분리한다. 이는 캠페인 서술어가 언제 추론 증거가 되는지에 대한 조건을 정형화한다.
2. 공격 프레임워크: 저자들은 네 가지 뚜로 다른 공격 전략을 구현하고 평가한다:
   • 베이지안 공격(Bayesian Attack): 명시적인 가능도 모델과 조건부 독립 가정을 사용한다.
   • 감독 학습 기반 섀도우 공격(Supervised Shadow Attack): 명시적인 독립성 가정 없이 상관관계를 학습하기 위해 합성 데이터로 학습된 머신러닝(로지스틱 회귀, 랜덤 포레스트, 그래디언트 부스팅)을 사용한다.
   • 양의 사례 및 미표기(PU) 공격(Positive and Unlabeled Attack): 관찰된 상호작용을 양의 증거로 취급하고, 공개된 목록에 없는 경우를 폐쇄 세계(closed world)에서는 부정(negative)으로, 개방 세계(open world)에서는 미표기(unlabeled)로 취급한다.
   • 적응형 공격(Adaptive Attack): 비용을 최소화하거나 신뢰도를 최대화하기 위해 기대 정보 이득(expected information gain)을 바탕으로 후속 캠페인을 선택한다.
3. 재현 가능한 벤치마크: 실제 사용자의 민감한 데이터를 수집하지 않고도 캠페인 횟수, 상호작용률, 공개 정책에 대한 파라미터 스윕(parameter sweeps)이 가능한 완전한 아티팩트를 제공한다.
4. 방어 평가: 본 논문은 유형 필터링(type filtering), 무작위 ID 공개(randomized identity disclosure), 임계값 설정(thresholding), 집계 보고(aggregate reporting)를 포함하여 공개 맵 $D$의 변환으로서 플랫폼 측 방어를 평가한다.

결과
8,000명의 합성 사용자와 160개의 캠페인을 대상으로 56회의 실행(4개 토픽 변형, 7개 시드, 2개 상호작용 설정)을 통해 수행된 평가 결과는 다음과 같다:

• 측정 가능한 신호: ID 노출이 동반되는 반복 캠페인은 측정 가능한 추론 신호를 생성한다. 160번의 캠페인에서 베이지안 및 감독 학습 공격은 주요 설정에서 약 0.64 AUC, 높은 상호작용 설정에서 0.65 AUC를 달s성했다. 이는 신호가 노이즈(전달 및 상호작용률)에 의해 제한되기는 하지만, 무작위 확률보다 통계적으로 유의미함을 나타낸다.
• 공개 정책이 주요 제어 요소: 공개 맵 $D$가 위험의 가장 강력한 결정 요인이다.
  • 집계 보고: 평가된 공격에 필요한 사용자 인덱스 기반의 이력을 완전히 제거하여 성능을 사전 순위 수준(AUC $\approx$ 0.50)으로 낮춘다.
  • 유형 필터링 및 무작위 공개: 신호를 감소시키지만(예: 유형 필터링 시 AUC가 ~0.58–0.60으로 하락), 완전히 제거하지는 못한다.
  • 임계값 설정: 시뮬레이션된 이벤트 분포에서 평가된 임계값 설정은 강하게 구속력을 갖지 못했으며, 전체 ID 노출과 유사한 성능을 보였다.
• 적응형 효율성: 적응형 캠페인 선택은 목표 신뢰 수준에 도달하기 위해 필요한 캠페인 수나 비용을 줄일 수 있지만, 고신뢰 추론(사후 확률 > 0.70)은 주요 설정에서 소수에 불과하다.
• 세밀도 제한: 더 좁은 범위의 서술어(긴 길이)가 자동으로 추론을 개선하지는 않는다. 이는 최소 오디언스 제약으로 인해 노출 기회를 줄이는 경우가 많아, 때때로 신호를 사전 확률 수준 근처까지 낮추기도 한다.

의의 및 주장
본 논문은 인터랙티브 타겟 광고의 개인정보 보호를 위한 모델, 아티팩트 및 방어 평가 방법을 제공한다고 주장한다. 그 의의는 다음과 같다:

• 체계적 설명: 광고주가 선택한 타겟팅 서술어와 ID 노출 상호작용이 속성 추론을 위한 오라클로서 어떻게 상호작용하는지에 대한 최초의 체계적인 설명을 제공한다.
• 방어 중심: 개인정보 보호 논의를 타겟팅 정책 텍스트에서 **공개 인터페이스(disclosure interface)**로 전환한다. 결과는 방어가 타겟팅 규칙(누가 적격인가)뿐만 아니라 공개 맵(무엇이 공개되는가) 수준에서 평가되어야 함을 시사한다.
• 제한된 위험: 본 논문은 추론 채널이 존재하고 측정 가능하지만, 전달 및 상호작용 프로세스에 내재된 노이즈에 의해 신호가 제한된다고 완곡하게 주장한다. 즉, 이러한 공격이 사용자 프로필을 완벽하게 재구성할 수 있다는 것이 아니라, 특정 공개 조건 하에서 민감한 속성을 무작위 확률보다 높은 정확도로 통계적으로 추론할 수 있음을 의미한다.
• 벤치마크 유용성: 공공 출처에 의해 보정된 합성 데이터를 사용함으로써, 실제 사용자의 민감한 레이블을 수집하는 윤리적, 법적 복잡성 없이도 개인정보 공격 및 방어를 반복적이고 통제된 환경에서 평가할 수 있게 한다.

저자들은 플랫폼 거버넌스가 공개 인터페이스 설계를 다루어야 한다고 결론짓는다. 집계 보고가 평가된 오라클 입력을 효과적으로 제거하는 반면, 필터링이나 무작위화와 같은 다른 메커니즘은 부분적인 완화책만을 제공하기 때문이다.