Apprentissage automatique vs. Systèmes de consentement aux cookies

Une nouvelle collaboration de recherche entre l’Université du Wisconsin et Google oppose l’apprentissage automatique à l’un des plus grands désagréments des utilisateurs du web de la dernière décennie – l’opacité et la mauvaise utilisation cynique des bannières de consentement aux cookies conformes au RGPD.

Intitulé CookieEnforcer, le nouveau cadre utilise la compréhension du langage naturel pour analyser la signification et l’utilité du code sous-jacent derrière la fenêtre contextuelle ou la bannière de consentement aux cookies, afin de fournir à l’utilisateur la solution « en un clic » manquante pour désactiver tous les cookies « non nécessaires » – y compris ceux que les propriétaires de domaine peuvent présenter comme étant « essentiels », même s’ils ne le sont pas.

CookieEnforcer examine le code de consentement aux cookies du site www.askubuntu.com. Source: https://arxiv.org/pdf/2204.04221.pdf

Le système est mis en œuvre via un plugin de navigateur web installé par l’utilisateur, qui est capable d’appliquer des règles définies par l’utilisateur en un seul clic. Une fois que le cadre de consentement aux cookies apparaît sur le site, l’utilisateur peut activer le plugin, qui analysera ensuite le code de consentement aux cookies pour les actions potentielles avant de générer un JavaScript approprié pour agir au nom de l’utilisateur.

Le plugin peut être configuré pour appliquer automatiquement les préférences de l’utilisateur ou prendre les cas individuellement, permettant à l’utilisateur d’ajuster les paramètres avant la soumission finale.

Cookie enforcer en action. Si préféré, le plugin Chrome peut complètement automatiser ce processus, sans contribution supplémentaire de l’utilisateur. Voir la vidéo intégrée plus tard pour plus de détails. Source: https://www.youtube.com/watch?v=5NI6Q981quc

Le défi de parser les options de « non-consentement » possibles, qui sont généralement cachées dans des groupes de paramètres arcans et fastidieux (plutôt que les options « accepter tout » conviviales typiques des cadres de consentement) est modélisé comme une tâche de séquence à séquence.

Dans une évaluation de précision de bout en bout, CookieEnforcer a pu générer toutes les étapes nécessaires pour éviter les procédures de consentement aux cookies cryptiques dans 91 % des cas étudiés, sur des domaines qui n’avaient pas été vus pendant la formation du modèle d’apprentissage automatique du système. Une étude d’utilisateur a également démontré que le système réduit considérablement l’effort de l’utilisateur pour naviguer dans les modules de consentement.

Le document présentant la méthode s’intitule CookieEnforcer: Analyse et application automatisée des avis de cookies, et provient de trois chercheurs de l’Université du Wisconsin à Madison, et d’un de Google Inc.

Les chemins arcans du consentement aux cookies

Depuis la mise en œuvre du Règlement général sur la protection des données (RGPD) en 2016 et de la Loi californienne sur la confidentialité des consommateurs (CCPA) en 2018, les sites Web souhaitant engager des utilisateurs des zones couvertes par ces législations ont été tenus de fournir des mécanismes de préférences de cookies (généralement basés sur la détection de l’adresse IP de l’utilisateur comme proxy pour leur pays d’origine).

Cependant, depuis que les propriétaires de domaine avaient longtemps été habitués à collecter des données d’utilisateurs précieuses et exploitables à partir de la mise en œuvre opaque et généralement invisible des cookies, ils se sont avérés réticents à fournir des options de refus faciles pour leurs utilisateurs nouvellement habilités.

L’interface utilisateur par défaut pour les interfaces de consentement aux cookies (qui apparaissent la première fois qu’un utilisateur visite un domaine, ou si l’utilisateur a supprimé les cookies pour ce domaine) s’est rapidement établie en modèles sombres conçus pour fatiguer le spectateur avec des choix granulaires, chronophages et étendus en cas de consentement; ou un simple bouton facilement accessible qui opte pour l’utilisateur dans tous les cookies que le propriétaire du domaine souhaite exécuter. Cette culture de choix d’interface utilisateur labyrinthique a été décrite dans une étude de 2020 comme ‘une chasse au trésor’.

Le nouveau document commente:

‘[Les utilisateurs] peuvent avoir du mal à exercer un contrôle éclairé des cookies pour les sites Web avec des avis compliqués. Ils sont beaucoup plus susceptibles de s’appuyer sur les configurations par défaut que de régler leurs paramètres de cookies pour chaque [site Web]. Dans plusieurs cas, ces paramètres par défaut sont envahissants et favorisent les fournisseurs de services, ce qui entraîne des [risques] de confidentialité.’

Un commentaire sur un post de forum populaire concernant ces pratiques les a qualifiés de « conformité malveillante ». L’irritation des utilisateurs envers les cadres de consentement aux cookies est un sujet qui entre en conflit avec les principaux éditeurs, qui pourraient autrement se permettre une couverture plus approfondie s’ils n’étaient pas si personnellement exposés par leurs propres pratiques à cet égard.

Un labyrinthe d’options typique présenté, dans ce cas, par le site Web TechCrunch, ironiquement en préface à un article sur l’attitude changeante de l’UE envers ce qui constitue le consentement aux cookies. Les identificateurs d’URL et les crochets conçus pour permettre une poursuite supplémentaire se sont élevés à 262 caractères (supprimés ici). Un bouton « rejeter tout », bien que disponible pour certaines catégories de cookies, n’est pas disponible pour l’ensemble des cookies possibles; dans ces cas exceptés, l’utilisateur doit exploiter chaque « basculement ».

Un document de 2019 provenant d’Allemagne a constaté qu’une majorité de visiteurs de site dans les domaines étudiés étaient « incités » à un consentement large, et que seuls un tiers des sites Web expliquaient réellement les objectifs des pratiques de collecte de données.

Un certain nombre de plugins de navigateur Web, d’extensions et d’add-ons ont émergé pour résoudre le problème ces dernières années, tels que l’extension Cookie Quick Manager pour Firefox, et une gamme d’alternatives Chrome, tandis que l’Union européenne cherche à combler les lacunes de conformité autour des architectures de consentement aux cookies.

Méthode et données

Les chercheurs du nouveau document étaient déterminés à créer un cadre de gestion du consentement aux cookies plus robuste en évitant de s’appuyer sur des mots clés ou des règles créées manuellement, l’approche centrale de plusieurs projets similaires aidés par l’apprentissage automatique récents.

CookieEnforcer a trois objectifs: traduire les avis de cookies et les interfaces en un format lisible par machine; identifier la configuration des paramètres de cookies d’une manière qui désactive les cookies non essentiels; et appliquer automatiquement des restrictions supplémentaires sans contribution supplémentaire de l’utilisateur, si désiré par l’utilisateur.

Le système se compose d’une composante back-end qui détecte et analyse les avis de cookies, et d’une composante front-end, sous la forme d’une extension de navigateur, qui génère et exécute la désactivation des cookies non essentiels (c’est-à-dire les cookies qui n’obstructeront pas la navigation ou l’accès au domaine s’ils sont bloqués).

Le cadre est incarné dans une extension Chrome spécifique installée localement qui utilise la bibliothèque de test Web Selenium sous le cadre ChromeDriver.

La section back-end comporte des modules de détection, d’analyse et de modèle de décision. Le module d’analyse prend en compte les changements de code introduits par l’interaction utilisateur, de sorte que le dump de code initial ne soit pas rendu invalide par la simulation de l’exploration utilisateur.

Compréhension du langage naturel

Avec le code révélé, il est important que CookieEnforcer comprenne l’état existant des actions possibles qu’il pourrait prendre, puisque le langage derrière les boutons de basculement peut être ambigu en termes de bénéfice pour l’utilisateur final.

À cette fin, les chercheurs ont formé un Text-To-Text Transfer Transformer (T5) modèle pour sa composante de décision. Le modèle T5-Large, qui contient 770 millions de paramètres, a été affiné sur une base de données personnalisée de code d’entrée/sortie (c’est-à-dire le code qui décrit et permet la fonctionnalité des options de basculement).

Exemple de formatage (ci-dessus) et de données d’entraînement (ci-dessous) pour le modèle T5. L’exemple de données est issu de www.askubuntu.com.

La base de données a été créée en échantillonnant 300 sites Web avec des avis de cookies sélectionnés à partir de la liste des 50 000 sites Web les plus populaires de Tranco. Les modules de détecteur et d’analyseur ont extrait les options de consentement aux cookies de leur code source à exécution, et ont évalué leurs états par défaut.

L’un des chercheurs a ensuite étiqueté manuellement la série de clics interprétés nécessaires pour désactiver les cookies non essentiels pour tous les sites Web étudiés, ce qui a abouti à 300 domaines entièrement étiquetés.

Variété dans la disposition du code source à travers les exemples de la base de données personnalisée.

60 sites Web ont été mis de côté comme un ensemble de test, et le modèle T5-Large a été formé avec un taux d’apprentissage de 0,003 à une taille de lot de 16 pendant 20 époques, avec une longueur de séquence d’entrée maximale de 256 jetons, et une longueur de séquence cible maximale de 64. Les jetons étaient constitués de sous-mots établis par le tokenizer SentencePiece de Google.

Enfin, les informations traitées sont stockées dans une base de données locale et mises à la disposition de la partie frontale du système. Les auteurs ont préféré la fonction HTML querySelector() à l’approche XPath adoptée par certains projets similaires précédents, car les XPath pour les avis de cookies sont vulnérables aux mises à jour du DOM (c’est-à-dire que le code peut changer après le chargement initial en réponse aux interactions utilisateur). De cette façon, les chemins d’éléments peuvent être conservés même lorsqu’ils sont dynamiques et réactifs à des facteurs externes.

Test et performance

Dans la pratique, CookieEnforcer s’est avéré capable de naviguer dans certains des modèles sombres les plus sombres de l’ensemble de données, tels qu’une option cachée dans le cadre de consentement aux cookies de The New Scientist qui est obscurcie par JavaScript jusqu’à ce que l’utilisateur demande explicitement de la voir.

Les auteurs commentent:

‘Cette option peut être facilement manquée par les utilisateurs car ils doivent développer un cadre supplémentaire pour la voir. CookieEnforcer non seulement trouve cette option, mais comprend également la sémantique et décide de s’y opposer. Ces exemples montrent que le modèle apprend le contexte et se généralise à de nouveaux exemples.’

Les chercheurs ont effectué trois tests, notamment une évaluation de bout en bout des performances du cadre sur 500 domaines non vus (c’est-à-dire des sites Web pour lesquels CookieEnforcer n’a pas été spécifiquement formé), où les auteurs rapportent qu’il a pu désactiver avec succès les cookies non essentiels pour 91 % des sites.

Le deuxième test comprenait une étude d’utilisateur en ligne couvrant 14 sites Web, et utilisant le score de l’échelle de facilité d’utilisation du système (score) par rapport à une référence manuelle. Pour ce test, les auteurs rapportent que CookieEnforcer a obtenu un score 15 % supérieur à la référence.

CookieEnforcer permet un score 15 % supérieur à la référence (utilisation non aidée) au même temps qu’il automatise un processus irritant.

Enfin, les paramètres formés de CookieEnforcer ont été testés contre les 5000 sites Web les plus populaires aux États-Unis et en Europe, pour déterminer sa capacité à naviguer dans les avis de cookies. Les auteurs déclarent:

‘Alors que des mesures à une telle échelle ont été effectuées auparavant, CookieEnforcer permet une compréhension plus approfondie des options au-delà des heuristiques basées sur les mots clés. En particulier, nous constatons que 16,7 % des sites Web du Royaume-Uni affichant des avis de cookies ont activé au moins un cookie non essentiel. Le même chiffre pour les sites Web aux États-Unis est de 22 %.’

Les auteurs ont publié une courte vidéo YouTube montrant CookieEnforcer en action:

Publié pour la première fois le 12 avril 2022.