Resumo Técnico: PersonaFingerprint

Definição do Problema

Este artigo identifica e quantifica um novo risco de privacidade na navegação web moderna: Impressão Digital de Persona (Persona Fingerprinting). Enquanto a Impressão Digital de Site (Website Fingerprinting - WFP) tradicional foca em inferir qual site um usuário visita a partir de metadados de tráfego criptografado (tamanhos de pacote e tempos de inter-chegada), este trabalho investiga se um adversário pode inferir quem está navegando — especificamente, a persona comportamental do usuário — mesmo quando múltiplos usuários visitam o mesmo conjunto de sites.

O estudo opera sob um modelo de ameaça WFP padrão: um adversário passivo de rede (por exemplo, um provedor de serviços de internet, provedor de VPN ou nó de saída Tor) observa o tráfego criptografado, mas não tem acesso a cargas úteis de aplicação, URLs, cookies ou identificadores de navegador. O adversário está restrito a observar janelas de comprimento fixo de 1.000 pacotes consecutivos, representadas exclusivamente por comprimentos de pacote assinados (indicando direção) e tempos de inter-chegada. O desafio é agravado pelas arquiteturas web modernas (aplicações de página única, rolagem infinita, carregamento preguiçoso), que borram as fronteiras tradicionais de páginas, tornando as janelas de pacotes de comprimento fixo a única unidade de observação viável.

Metodologia

1. Framework de Navegação Multi-Agente Impulsionado por LLM

Para abordar a dificuldade de coletar tráfego em grande escala e rotulado de usuários humanos com padrões comportamentais diversos, os autores construíram um framework controlável e reproduzível usando agentes de Modelos de Linguagem de Grande Escala (LLM). Este framework evita a coleta direta de dados sensíveis de usuários, gerando ao mesmo tempo rastreamentos de tráfego realistas.

• Agente de Decisão: Um LLM atua como um tomador de decisões "condicionado à persona". Ele recebe um perfil de persona estruturado (histórico, objetivos, estilo de interação, preferências de conteúdo) e uma captura de tela da página atual. Com base nesse contexto, ele gera instruções de alto nível em linguagem natural (por exemplo, "rolar pelos comentários", "buscar alternativas").
• Agente de Uso de Computador: Um agente separado executa essas instruções em um navegador real por meio de interações com o DOM (cliques, rolagem, digitação).
• Captura de Tráfego: O navegador é instrumentado para capturar metadados de nível de pacote criptografados. O framework gera aproximadamente 800.000 janelas de pacotes rotuladas em 10 sites e 15 personas distintas (mais uma classe de Mundo Aberto).
• Controles de Qualidade: O sistema inclui métricas para Consistência da Persona (alinhamento entre o comportamento gerado e o perfil da persona) e Diversidade Comportamental (prevenção de comportamentos degenerados ou roteirizados), garantindo que o tráfego gerado reflita uma navegação coerente, porém variada, semelhante à humana.

2. Formalização da Impressão Digital de Persona

Os autores formalizam a tarefa sob duas configurações:

• Por Site: O adversário conhece o site alvo e tenta distinguir entre personas dentro daquele site específico.
• Site Misto: O adversário não conhece o site alvo e deve inferir personas a partir de tráfego agrupado de vários sites heterogêneos.
• Mundo Aberto: O sistema deve lidar com um rótulo de "Mundo Aberto" (OW), agregando personas não vistas para medir o risco de atribuição incorreta (ou seja, o risco de atribuir um usuário desconhecido a uma persona específica conhecida).

3. Modelagem e Avaliação

O estudo avalia três caminhos de ataque:

1. Classificação Direta de Persona: Treinar um classificador diretamente em janelas de pacotes para prever personas.
2. Sondagem de Representação: Congelar um codificador WFP padrão (treinado apenas na identificação de sites) e anexar uma sonda MLP leve para determinar se informações de persona estão incidentalmente codificadas nas representações WFP.
3. Aprendizado Multi-Tarefa Conjunto: Treinar um codificador compartilhado com duas cabeças (site e persona) para quantificar o compromisso entre a precisão da classificação de sites e a capacidade de inferência de persona.

Principais Resultados

1. Alta Precisão na Inferência de Persona

• Por Site: O sistema alcança forte desempenho de classificação de persona em todos os 10 sites testados (Amazon, YouTube, Reddit, Bilibili, LinkedIn, etc.). As pontuações Macro-F1 para personas individuais geralmente variam de 0,78 a 0,91.
• Site Misto: Mesmo sem conhecer o site alvo, a inferência de persona alcança aproximadamente 84% de precisão no tráfego de site misto (15 personas + OW). Isso sugere que as assinaturas comportamentais são robustas e independentes do site.
• Risco de Mundo Aberto: Embora o modelo possa frequentemente reconhecer comportamentos não vistos (F1 de OW ~65,6%), há um risco significativo de atribuição incorreta. Aproximadamente 34,4% das janelas de persona não vistas são incorretamente atribuídas a uma persona canônica específica, em vez de serem rotuladas como "outras". Essas atribuições incorretas frequentemente colapsam em um pequeno conjunto das 3 principais personas, potencialmente criando perfis comportamentais falsos, mas acionáveis.

2. Vazamento Incidental em Modelos WFP

• Resultados de Sondagem: Uma sonda MLP leve treinada sobre um codificador WFP congelado, apenas de sites alcança precisão de persona 20–30 pontos percentuais maior do que uma sonda treinada em um codificador aleatório. Isso demonstra que os modelos WFP padrão codificam implicitamente informações ricas de persona sem treinamento explícito para isso.
• Treinamento Conjunto: Ao adicionar um objetivo de persona a um modelo WFP (aprendizado multi-tarefa conjunto), a precisão de persona pode ser aumentada para ~80%, mantendo um forte desempenho de classificação de sites (~93% de linha de base). Isso indica que atualizar um pipeline WFP existente para incluir inferência de persona requer esforço adicional mínimo.

3. Escalabilidade

O estudo demonstra que a precisão do ataque escala rapidamente com o volume de tráfego rotulado por persona. A precisão de mundo aberto em site misto aumenta de 55% (500 janelas/persona) para 84% (5.000 janelas/persona), sugerindo que a capacidade de gerar tráfego rotulado em escala (via agentes LLM) reduz significativamente a barreira para que os atacantes construam modelos de inferência poderosos.

Significado e Alegações

O artigo afirma que os metadados de tráfego criptografado em sites modernos vazam não apenas a identidade do site visitado, mas também a persona comportamental do usuário. O significado deste trabalho reside em três contribuições principais:

1. Nova Definição de Risco de Privacidade: Define formalmente a "Impressão Digital de Persona" como uma ameaça de privacidade distinta e sensível, mostrando que "como" um usuário navega é tão inferível quanto "onde" ele navega.
2. Geração de Dados Escalável: Introduz um framework controlável e impulsionado por LLM para gerar rastreamentos de navegação realistas e condicionados a personas em escala, contornando os obstáculos éticos e logísticos de recrutar participantes humanos para tais estudos.
3. Vazamento Incidental: Revela que as defesas e modelos WFP existentes podem ser insuficientes porque codificam inadvertidamente sinais de persona. A descoberta de que uma sonda simples pode extrair dados de persona de um modelo apenas de sites implica que as medidas atuais de preservação de privacidade focadas exclusivamente na ofuscação de sites podem falhar em proteger perfis comportamentais de usuários.

Os autores concluem que a impressão digital de persona merece atenção junto com a WFP tradicional no projeto e avaliação de sistemas web que preservam a privacidade, pois a estrutura do tráfego criptografado revela inerentemente padrões comportamentais estáveis.