Pembelajaran Mesin vs. Sistem Penerimaan Cookie

Sebuah kolaborasi penelitian baru antara Universitas Wisconsin dan Google membandingkan pembelajaran mesin dengan salah satu gangguan pengguna web yang paling terkenal dalam dekade terakhir – ketidakjelasan dan penyalahgunaan sinis dari spanduk penerimaan cookie yang sesuai dengan GDPR.

Bernama CookieEnforcer, kerangka kerja baru ini menggunakan Pemahaman Teks Semantik untuk menganalisis makna dan utilitas kode di balik pop-up atau spanduk penerimaan cookie, untuk memberikan pengguna solusi ‘satu klik’ untuk menonaktifkan semua cookie ‘non-esensial’ – termasuk yang mungkin disajikan oleh pemilik domain sebagai ‘esensial’, bahkan jika tidak.

CookieEnforcer menganalisis kode penerimaan cookie dari situs www.askubuntu.com. Sumber: https://arxiv.org/pdf/2204.04221.pdf

Sistem ini diimplementasikan melalui plugin browser web yang dipasang pengguna, yang dapat menerapkan aturan yang ditentukan pengguna dalam satu klik. Setelah muncul kerangka penerimaan cookie di situs, pengguna dapat mengaktifkan plugin, yang kemudian akan menganalisis kode penerimaan cookie untuk tindakan potensial sebelum menghasilkan JavaScript yang sesuai untuk melaksanakan pilihan pengguna.

Plugin dapat diatur untuk menerapkan preferensi pengguna secara otomatis, atau mengambil kasus secara individual, memungkinkan pengguna untuk menyesuaikan pengaturan sebelum pengajuan akhir.

Cookie enforcer dalam aksi. Jika diinginkan, plugin Chrome dapat memotong proses ini sepenuhnya, tanpa kontribusi pengguna lebih lanjut. Lihat video yang disematkan kemudian untuk detail lebih lanjut. Sumber: https://www.youtube.com/watch?v=5NI6Q981quc

Tantangan memparsir opsi ‘non-konsent’ yang mungkin, yang biasanya tersembunyi dalam grup pengaturan yang rumit dan melelahkan (bukan antarmuka pengguna yang ramah seperti terima semua yang khas dari kerangka penerimaan), dimodelkan sebagai tugas urutan-ke-urutan.

Dalam evaluasi akurasi ujung-ke-ujung, CookieEnforcer dapat menghasilkan semua langkah yang diperlukan untuk menghindari prosedur penerimaan cookie yang samar dalam 91% dari kasus yang dipelajari, pada domain yang tidak terlihat selama pelatihan model pembelajaran mesin sistem. Studi pengguna lebih lanjut menunjukkan bahwa sistem ini secara signifikan mengurangi upaya pengguna dalam menavigasi modul penerimaan.

Makalah yang mempresentasikan metode ini berjudul CookieEnforcer: Analisis dan Penerapan Pemberitahuan Cookie Otomatis, dan berasal dari tiga peneliti di Universitas Wisconsin di Madison, dan satu dari Google Inc.

Jalan-Jalan Ajaib Menuju Penerimaan Cookie

Sejak pemberlakuan Peraturan Perlindungan Data Umum (GDPR) pada 2016 dan Undang-Undang Privasi Konsumen California (CCPA) pada 2018, situs web yang ingin berinteraksi dengan pengguna dari daerah yang tercakup oleh peraturan tersebut harus menyediakan mekanisme preferensi cookie (biasanya berdasarkan deteksi alamat IP pengguna sebagai proxy untuk negara asal).

Namun, karena pemilik domain telah lama terbiasa mengumpulkan data pengguna yang berharga dan dapat digunakan dari implementasi cookie yang tidak jelas dan biasanya tidak terlihat, mereka enggan menyediakan opsi keluar yang mudah untuk pengguna yang baru diberdayakan.

Antarmuka default untuk antarmuka penerimaan cookie (yang muncul pertama kali pengguna mengunjungi domain, atau jika pengguna telah menghapus cookie untuk domain tersebut) dengan cepat menetap pada pola gelap yang dirancang untuk melelahkan pengguna dengan pilihan yang sangat detail, memakan waktu, dan luas dalam hal mereka ingin menggunakan hak mereka untuk memberikan persetujuan; atau sebuah tombol sederhana dan mudah diakses yang memilih pengguna ke dalam semua cookie yang diinginkan oleh pemilik domain. Budaya pilihan antarmuka yang labirin ini digambarkan dalam sebuah studi 2020 sebagai ‘pencarian harta karun’.

Makalah baru ini mengomentari:

‘[Pengguna] mungkin menemukan sulit untuk menggunakan kontrol cookie yang terinformasi untuk situs web dengan pemberitahuan yang rumit. Mereka lebih mungkin bergantung pada konfigurasi default daripada menyesuaikan pengaturan cookie mereka untuk setiap [situs web]. Dalam beberapa kasus, pengaturan default ini invasif dan menguntungkan penyedia layanan, yang menghasilkan [risiko] privasi.’

Komentar pada sebuah pos forum populer tentang praktik ini menggambarkannya sebagai ‘kepatuhan yang licik’. Kekesalan pengguna dengan kerangka penerimaan cookie adalah topik yang bertentangan dengan penerbit besar, yang mungkin biasanya menyediakan liputan lebih lanjut jika mereka tidak terlalu terpapar oleh praktik mereka sendiri dalam hal ini.

Sebuah labirin pilihan yang khas, dalam hal ini, oleh situs web TechCrunch, ironisnya sebagai prefasi untuk sebuah artikel tentang sikap EU yang berubah terhadap apa yang merupakan penerimaan cookie. Pengidentifikasi URL yang dilampirkan dan kait yang dirancang untuk memungkinkan pelacakan lebih lanjut berdiri pada 262 karakter (dihapus di sini). Tombol ‘tolak semua’, meskipun tersedia untuk kategori cookie tertentu, tidak tersedia untuk set cookie yang mungkin; dalam kasus yang dikecualikan, pengguna harus mengoperasikan setiap ‘toggle’.

Sebuah makalah 2019 dari Jerman menemukan bahwa sebagian besar pengunjung situs di domain yang dipelajari ‘didorong’ menuju persetujuan yang luas, dan bahwa hanya sepertiga situs web yang benar-benar menjelaskan tujuan praktik pengumpulan data.

Beberapa plugin browser web, add-on, dan ekstensi telah muncul untuk menangani masalah ini dalam beberapa tahun terakhir, seperti Cookie Quick Manager ekstensi Firefox, dan berbagai alternatif Chrome, sementara Uni Eropa berusaha menutup celah kepatuhan sekitar arsitektur penerimaan cookie.

Metode dan Data

Peneliti makalah baru ini bertekad untuk menciptakan kerangka kerja penerimaan cookie yang lebih kuat dengan menghindari ketergantungan pada kata kunci atau aturan yang dibuat tangan, pendekatan sentral dari beberapa proyek serupa yang dibantu ML yang baru-baru ini.

CookieEnforcer memiliki tiga tujuan: menerjemahkan pemberitahuan cookie dan antarmuka menjadi format yang dapat dibaca mesin; mengidentifikasi konfigurasi pengaturan cookie dengan cara yang menonaktifkan cookie non-esensial; dan menerapkan pembatasan tambahan tanpa input pengguna lebih lanjut, jika diinginkan oleh pengguna.

Sistem ini terdiri dari komponen backend yang mendeteksi dan menganalisis pemberitahuan cookie, dan komponen frontend, dalam bentuk ekstensi browser, yang menghasilkan dan menjalankan penonaktifan cookie non-esensial (yaitu cookie yang tidak akan menghalangi navigasi atau akses ke domain jika diblokir).

Kerangka kerja ini diwujudkan dalam ekstensi Chrome yang dipasang secara lokal yang menggunakan Selenium perpustakaan pengujian web di bawah ChromeDriver kerangka kerja.

Bagian backend fitur modul untuk deteksi, analisis, dan model keputusan. Modul analisis mempertimbangkan perubahan kode yang diperkenalkan oleh interaksi pengguna, sehingga dump kode awal tidak menjadi tidak valid oleh eksplorasi pengguna yang disimulasikan.

Pemahaman Bahasa Alami

Dengan kode yang terungkap, penting bahwa CookieEnforcer memahami keadaan saat ini dari tindakan yang mungkin diambil, karena bahasa di balik tombol toggle dapat ambigu dalam hal manfaat bagi pengguna akhir.

Untuk tujuan ini, peneliti melatih Text-To-Text Transfer Transformer (T5) model untuk komponen keputusannya. Model T5-Large, yang berisi 770 juta parameter, dioptimalkan pada database kustom input/output kode (yaitu kode yang menjelaskan dan memungkinkan fungsi toggle pilihan).

Contoh format (di atas) dan data pelatihan (di bawah) untuk model T5. Contoh data dari www.askubuntu.com.

Dataset ini dibuat dengan mengambil sampel 300 situs web dengan pemberitahuan cookie yang dipilih dari daftar situs web populer Tranco top-50k. Detektor dan analisis modul mengekstrak pilihan penerimaan cookie dari kode sumber runtime, dan mengevaluasi keadaan default mereka.

Salah satu peneliti kemudian secara manual melabeli seri klik yang diperlukan untuk menonaktifkan cookie non-esensial untuk semua situs web yang dipelajari, menghasilkan 300 domain yang sepenuhnya dilabeli.

Keragaman dalam disposisi kode sumber di seluruh contoh dari dataset kustom.

60 situs web disisihkan sebagai set tes, dan model T5-Large dilatih dengan tingkat pembelajaran 0,003 pada ukuran batch 16 selama 20 epoch, dengan panjang urutan input maksimum 256 token, dan panjang urutan target maksimum 64. Token ini terdiri dari sub-kata yang ditetapkan oleh SentencePiece tokenizer.

Akhirnya, informasi yang diproses disimpan dalam database lokal dan tersedia untuk frontend sistem. Penulis lebih memilih querySelector() fungsi HTML daripada pendekatan XPath yang diambil oleh beberapa proyek serupa sebelumnya, karena XPaths untuk pemberitahuan cookie rentan terhadap pembaruan DOM (yaitu kode mungkin berubah setelah loading awal sebagai respons terhadap interaksi pengguna). Dengan cara ini, jalur elemen dapat dipertahankan bahkan ketika mereka dinamis dan responsif terhadap faktor eksternal.

Pengujian dan Kinerja

Dalam praktek, CookieEnforcer terbukti dapat menavigasi beberapa pola gelap paling gelap dalam dataset, seperti opsi tersembunyi dalam kerangka penerimaan cookie The New Scientist yang tersembunyi oleh JavaScript sampai pengguna secara eksplisit meminta untuk melihatnya.

Penulis mengomentari:

‘Opsi ini dapat dengan mudah dilewatkan oleh pengguna karena mereka harus memperluas bingkai tambahan untuk melihatnya. CookieEnforcer tidak hanya menemukan opsi ini, tetapi juga memahami semantik dan memutuskan untuk menolak. Contoh-contoh ini menunjukkan bahwa model mempelajari konteks dan menggeneralisasi ke contoh baru.’

Peneliti melakukan tiga tes, termasuk evaluasi ujung-ke-ujung kinerja kerangka kerja di 500 domain yang tidak terlihat (yaitu situs web yang CookieEnforcer tidak dilatih secara khusus), di mana penulis melaporkan bahwa dapat menonaktifkan cookie non-esensial untuk 91% situs.

Tes kedua terdiri dari studi pengguna online yang mencakup 14 situs web, dan menggunakan Skor Sistem Usabilitas (skor) terhadap baseline manual. Untuk tes ini, penulis melaporkan bahwa CookieEnforcer mendapatkan skor 15% lebih tinggi daripada baseline.

CookieEnforcer memungkinkan skor 15% lebih tinggi daripada penggunaan baseline (non-bantuan), pada saat yang sama mengotomatisasi proses yang menjengkelkan.

Akhirnya, parameter yang dilatih CookieEnforcer diuji terhadap 5000 situs web teratas di AS dan Eropa, untuk menentukan kemampuannya menavigasi pemberitahuan cookie. Penulis menyatakan:

‘Sementara pengukuran pada skala seperti ini telah dilakukan sebelumnya, CookieEnforcer memungkinkan pemahaman yang lebih dalam tentang opsi di luar heuristik berbasis kata kunci. Secara khusus, kami menemukan bahwa 16,7% situs web di Inggris yang menampilkan pemberitahuan cookie telah mengaktifkan setidaknya satu cookie non-esensial. Angka yang sama untuk situs web di AS adalah 22%.’

Penulis telah merilis video YouTube pendek yang menunjukkan CookieEnforcer dalam aksi:

Publikasi pertama 12 April 2022.