Attribute Inference from Interactive Targeted Ads

Resumo Técnico: Inferência de Atributos a partir de Anúncios Segmentados Interativos

Definição do Problema
O artigo aborda uma vulnerabilidade de privacidade específica em sistemas de publicidade segmentada interativa onde as unidades de anúncios convidam ações visíveis do usuário (ex: comentários, reações). Enquanto trabalhos anteriores identificaram riscos na construção de audiência e no relato agregado, este trabalho foca no canal criado quando uma interação identificável de um usuário é vinculada a um predicado de campanha específico escolhido por um anunciante. O problema central é se essas interações funcionam como um "oráculo ruidoso" que permite ao anunciante inferir atributos sensíveis (ex: interesses de saúde, filiação política) sobre um usuário, mesmo quando a plataforma não divulga explicitamente esses atributos. O vetor de ataque baseia-se no fato de o anunciante tratar a plataforma como uma superfície de consulta: ao selecionar predicados de segmentação específicos e observar quais usuários interagem com seus anúncios, o anunciante acumula um histórico de observações que pode ser usado para inferência probabilística.

Metodologia e Modelo de Sistema
Os autores formalizam o pipeline de publicidade como um processo de quatro estágios:

1. Segmentação (Targeting): O anunciante seleciona um predicado $g_c$ que define uma audiência elegível.
2. Exposição: A plataforma entrega o anúncio a um subconjunto da audiência elegível (introduzindo ruído, pois elegibilidade $\neq$ entrega).
3. Interação: Usuários podem interagir com o anúncio (introduzindo maior ruído, pois entrega $\neq$ atenção/ação).
4. Divulgação (Disclosure): A plataforma libera registros baseados em uma política de divulgação $D$. Esta política determina se o anunciante vê estatísticas agregadas ou traços vinculados à identidade (ex: "Usuário X reagiu ao Anúncio Y").

O artigo introduz uma abstração de oráculo ruidoso onde a saída é um registro de engajamento vinculado a um usuário apenas se a política de divulgação o permitir. Os autores definem o histórico de observação $H_u^{(T)}$ para um usuário $u$ após $T$ campanhas, consistindo na sequência de predicados, metadados da campanha e interações divulgadas.

Para avaliar isso, os autores constroem um benchmark reproduzível usando:

• Populações Sintéticas: Calibradas com dados públicos para garantir distribuições de atributos e correlações realistas, com rótulos sensíveis de verdade fundamental (ground-truth) conhecidos.
• Camada de Semântica de Campanha: Uma camada automatizada que gera variantes de tópicos e priors de resposta para simular uma diversidade de campanhas realista.
• Simulação: Um gerador que produz verdade fundamental, traços de eventos (exposição e interação) e observações divulgadas com base em variados parâmetros (contagem de campanhas, taxas de interação, granularidade de predicado e regras de divulgação).

Principais Contribuições

1. Modelo de Oráculo Formal: O artigo define anúncios segmentados interativos como oráculos de inferência de atributos ruidosos, separando explicitamente o predicado da campanha, o atributo latente do usuário e o processo de interação ruidoso. Isso formaliza as condições sob as quais os predicados de campanha tornam-se evidência de inferência.
2. Framework de Ataque: Os autores instanciam e avaliam quatro estratégias distintas de ataque:
   • Ataque Bayesiano: Utiliza modelos de verossimilhança explícitos e suposições de independência condicional.
   • Ataque de Sombra Supervisionado (Supervised Shadow Attack): Utiliza aprendizado de máquina (regressão logística, florestas aleatórias, gradient boosting) treinado em dados sintéticos para aprender correlações sem suposições explícitas de independência.
   • Ataque Positivo e Não Rotulado (PU Attack): Trata as interações observadas como evidência positiva e a ausência delas em listas divulgadas como negativa (mundo fechado) ou não rotulada (mundo aberto).
   • Ataque Adaptativo: Seleciona campanhas subsequentes com base no ganho de informação esperado para minimizar o custo ou maximter a confiança.
3. Benchmark Reproduzível: Um artefato completo que permite varreduras de parâmetros sobre contagens de campanhas, taxas de interação e políticas de divulgação sem coletar dados sensíveis de usuários reais.
4. Avaliação de Defesa: O artigo avalia defesas do lado da plataforma como transformações do mapa de divulgação $D$, incluindo filtragem de tipo, divulgação de identidade randomizada, limiarização (thresholding) e relato agregado.

Resultados
A avaliação, conduzida em 56 execuções (4 variantes de tópico, 7 sementes, 2 configurações de interação) com 8.000 usuários sintéticos e 160 campanhas, produz as seguintes descobertas:

• Sinal Mensurável: Campanhas repetidas com exposição de identidade produzem um sinal de inferência mensurável. Em 160 campanhas, os ataques bayesiano e supervisionado alcançam aproximadamente 0,64 AUC no cenário principal e 0,65 AUC em um cenário de maior interação. Isso indica que, embora o sinal seja limitado pelo ruído (taxas de entrega e interação), ele é estatisticamente significativo acima do acaso.
• A Política de Divulgação é o Controle Primário: O mapa de divulgação $D$ é o determinante mais forte de risco.
  • Relato Agregado: Remove completamente o histórico indexado por usuário necessário para os ataques avaliados, reduzindo o desempenho para o nível prévio (AUC $\approx$ 0,50).
  • Filtragem de Tipo e Divulgação Randomizada: Estes reduzem o sinal (ex: a filtragem de tipo reduz o AUC para ~0,58–0,60), mas não o eliminam.
  • Limiarização (Thresholding): Nas distribuições de eventos simulados, a configuração de limiar avaliada não vinculou fortemente, performando de forma semelhante à exposição total de identidade.
• Eficiência Adaptativa: A seleção adaptativa de campanhas pode reduzir o número de campanhas ou o custo para atingir um nível de confiança alvo, embora a inferência de alta confiança (posterior > 0,70) permaneça uma minoria nos resultados do cenário principal.
• Limites de Granularidade: Predicados mais estreitos (comprimentos maiores) não melhoram automaticamente a inferência; eles frequentemente reduzem as oportunidades de exposição devido a restrições de audiência mínima, às vezes reduzindo o sinal para níveis próximos ao prior.

Significância e Alegações
O artigo afirma fornecer um modelo, artefato e método de avaliação de defesa para a privacidade em publicidade segmentada interativa. Sua significância reside em:

• Explicação Sistemática: Fornece o primeiro relato sistemático da interação entre predicados de segmentação escolhidos pelo anunciante e interações que expõem a identidade como um oráculo para inferência de atributos.
• Foco em Defesa: Desloca a discussão de privacidade do texto da política de segmentação para a interface de divulgação. Os resultados sugerem que as defesas devem ser avaliadas ao nível do mapa de divulgação (o que é liberado) e não apenas das regras de segmentação (quem é elegível).
• Risco Limitado: O artigo alega modestamente que, embora o canal de inferência exista e seja mensurável, o sinal é limitado pelo ruído inerente aos processos de entrega e interação. Não afirma que esses ataques podem reconstruir perfeitamente perfis de usuários, mas sim que podem inferir estatisticamente atributos sensíveis com precisão superior ao acaso sob condições de divulgação específicas.
• Utilidade do Benchmark: Ao usar dados sintéticos calibrados com fontes públicas, o trabalho permite uma avaliação controlada e repetível de ataques e defesas de privacidade sem as complexidades éticas e legais de coletar rótulos sensíveis de usuários reais.

Os autores concluem que a governança da plataforma deve abordar o design das interfaces de divulgação para mitigar o vazamento de privacidade, visto que o relato agregado remove efetivamente o dado de entrada do oráculo avaliado, enquanto outros mecanismos (filtragem, randomização) oferecem mitigação parcial.