Machine Learning vs. Cookie Consent Systemen

Een nieuwe onderzoeks samenwerking tussen de Universiteit van Wisconsin en Google zet machine learning in tegen een van de meest beruchte webgebruikersergernissen van het afgelopen decennium – de ondoorzichtigheid en cynische misbruik van GDPR-compliante cookie-toestemmingsbanners.

Genoemd CookieEnforcer, het nieuwe kader gebruikt Semantische Tekstbegrip om de betekenis en bruikbaarheid van de onderliggende code achter de cookie-toestemming pop-up of banner te parseren, om de gebruiker te voorzien van de ontbrekende ‘one click’ oplossing om alle echt ‘niet-noodzakelijke’ cookies uit te schakelen – inclusief die welke domeineigenaren kunnen presenteren als ‘essentieel’, zelfs als ze dat niet zijn.

CookieEnforcer onderzoekt cookie-toestemming code van de website www.askubuntu.com. Bron: https://arxiv.org/pdf/2204.04221.pdf

Het systeem wordt geïmplementeerd via een door de gebruiker geïnstalleerde webbrowser-plugin, die in staat is om door de gebruiker gedefinieerde regels in één klik toe te passen. Zodra een cookie-toestemming kader op de website verschijnt, kan de gebruiker de plugin activeren, die vervolgens de cookie-toestemming code zal doorzoeken naar potentieel acties voordat het geschikte JavaScript genereert om keuzes namens de gebruiker te maken.

De plugin kan worden ingesteld om automatisch gebruikersvoorkeuren af te dwingen, of om de gevallen individueel te behandelen, waardoor de gebruiker instellingen kan aanpassen voordat hij ze definitief indient.

Cookie enforcer in actie. Als gewenst, kan de Chrome-plugin dit proces volledig automatiseren, zonder verdere bijdrage van de gebruiker. Zie de latere ingesloten video voor meer details. Bron: https://www.youtube.com/watch?v=5NI6Q981quc

De uitdaging van het parseren van de mogelijke ‘geen-toestemming’ opties, die typisch verborgen zijn in arcane en tijdrovende groepen instellingen (in plaats van de gebruikersvriendelijke accepteer alles typisch van toestemming kaders) wordt gemodelleerd als een sequentie-naar-sequentie taak.

In een eind-tot-eind nauwkeurigheidsevaluatie was CookieEnforcer in staat om alle noodzakelijke stappen te genereren om cryptische cookie-toestemming procedures te omzeilen in 91% van de gevallen die werden bestudeerd, op domeinen die niet waren gezien tijdens de training van het machine learning model van het systeem. Een gebruikersstudie toonde verder aan dat het systeem de gebruikersinspanning aanzienlijk vermindert bij het navigeren door de toestemming modules.

Het artikel dat de methode presenteert, heet CookieEnforcer: Geautomatiseerde Cookie-melding Analyse en Afdwinging, en komt van drie onderzoekers aan de Universiteit van Wisconsin in Madison, en één van Google Inc.

Arcane Wegen naar Cookie-toestemming

Sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (GDPR) in 2016 en de California Consumer Privacy Act (CCPA) in 2018, moeten websites die gebruikers uit de door deze wetgeving bestreken gebieden willen aanspreken, mechanismen voor cookie-voorkeuren bieden (meestal gebaseerd op detectie van het IP-adres van de gebruiker als een proxy voor hun land van herkomst).

Hoewel domeineigenaren echter lange tijd gewend waren waardevolle en actiegerichte gebruikersgegevens te verzamelen uit de ondoorzichtige en meestal onzichtbare implementatie van cookies, waren ze terughoudend om gemakkelijke opties voor hun pas geëmancipeerde gebruikers te bieden.

De standaard UI voor cookie-toestemming interfaces (die verschijnen wanneer een gebruiker voor het eerst een domein bezoekt, of wanneer de gebruiker cookies voor dat domein heeft verwijderd) kwam snel tot donkere patronen die zijn ontworpen om de kijker te vermoeien met granulaire, tijdrovende en uitgebreide keuzes in het geval dat ze hun rechten wilden uitoefenen; of een eenvoudige en gemakkelijk toegankelijke knop die de gebruiker opteert voor alle cookies die de domeineigenaar wilde uitvoeren. Deze cultuur van labyrinthine UI-keuzes werd in een studie uit 2020 beschreven als ‘een schatzoeker’.

Het nieuwe artikel merkt op:

‘[Gebruikers] kunnen het moeilijk vinden om geïnformeerde cookie-controle uit te oefenen voor websites met ingewikkelde meldingen. Ze zijn veel waarschijnlijker om te vertrouwen op standaardconfiguraties dan dat ze hun cookie-instellingen voor elke [website] fijn afstemmen. In een aantal gevallen zijn deze standaardinstellingen privacy-invasief en in het voordeel van de dienstverleners, wat resulteert in privacy [risico’s].’

Een opmerking over een populaire forum post over deze praktijken karakteriseerde ze als ‘kwaadwillige naleving’. Gebruikersergernis met cookie-toestemming kaders is een onderwerp dat grote uitgevers in conflict brengt, die anders verder zouden kunnen gaan met verdere dekking als ze niet zo persoonlijk blootgesteld waren door hun eigen praktijken op dit gebied.

Een typische doolhof van opties, in dit geval gepresenteerd door de TechCrunch-website, ironisch genoeg als inleiding tot een artikel over de veranderende houding van de EU tegenover wat cookie-toestemming inhoudt. De toegevoegde URL-identificatoren en haken die zijn ontworpen om verdere tracking mogelijk te maken, stonden op 262 tekens (hier verwijderd). Een ‘weiger alle’ knop, hoewel beschikbaar voor bepaalde categorieën van cookies, is niet beschikbaar voor het hele set van mogelijke cookies; in die uitzonderingsgevallen moet de gebruiker elke ‘toggle’ bedienen.

Een artikel uit 2019 uit Duitsland vond dat een meerderheid van sitebezoekers in de bestudeerde domeinen werden ‘geduwd’ naar brede toestemming, en dat slechts een derde van de websites daadwerkelijk de doelen van de gegevensverzameling uitlegden.

Een aantal webbrowser-plugins, add-ons en extensies zijn in de afgelopen jaren ontwikkeld om het probleem aan te pakken, zoals de Cookie Quick Manager Firefox-extensie, en een breed scala aan Chrome-alternatieven, terwijl de Europese Unie probeert om de nalevingslacunes rond cookie-toestemming architectuur te sluiten.

Methode en Gegevens

De onderzoekers van het nieuwe artikel waren vastbesloten om een robuustere cookie-toestemming beheer kader te creëren door af te zien van afhankelijkheid van trefwoorden of handmatig gemaakte regels, de centrale aanpak van een aantal recente soortgelijke ML-geassisteerde projecten.

CookieEnforcer heeft drie doelstellingen: om cookie-meldingen en interfaces om te zetten in een machine-leesbaar formaat; om de cookie-instelling configuratie te identificeren op een manier die niet-essentiële cookies uitschakelt; en om automatisch aanvullende beperkingen toe te passen zonder verdere gebruikersinvoer, als dat door de gebruiker wordt gewenst.

Het systeem bestaat uit een backend-component die cookie-meldingen detecteert en analyseert, en een frontend-component, in de vorm van een browser-extensie, die de uitschakeling van niet-essentiële cookies genereert en uitvoert (d.w.z. cookies die de navigatie van of toegang tot het domein niet zullen belemmeren als ze worden geblokkeerd).

Het kader is geïmplementeerd in een Chrome-specifieke lokaal geïnstalleerde extensie die de Selenium webtestbibliotheek gebruikt onder het ChromeDriver kader.

De backend-sectie bevat modules voor detectie, analyse en een beslissingsmodel. De analysemodule houdt rekening met veranderingen in code die zijn geïntroduceerd door gebruikersinteractie, zodat de initiële code dump niet ongeldig wordt gemaakt door gesimuleerde gebruikersverkenning.

Natuurlijke Taalbegrip

Met de code onthuld, is het belangrijk dat CookieEnforcer de bestaande staat van mogelijke acties begrijpt die het kan uitvoeren, aangezien de taal achter toggle-knoppen ambigu kan zijn in termen van voordeel voor de eindgebruiker.

Hiertoe hebben de onderzoekers een Text-To-Text Transfer Transformer (T5) model getraind voor het beslissingscomponent. Het T5-Large model, dat 770 miljoen parameters bevat, werd fijngesteld op een aangepaste database van invoer-/uitvoercode (d.w.z. code die de functionaliteit van toggle-opties beschrijft en activeert).

Voorbeeldformaat (boven) en trainingsgegevens (onder) voor het T5-model. Het gegevensvoorbeeld is van www.askubuntu.com.

De dataset werd gemaakt door 300 websites met cookie-meldingen te bemonsteren die zijn geselecteerd uit Tranco’s top-50k populaire websites lijst. De detector- en analyzermodules extraheren de cookie-toestemming opties uit hun runtime broncode en evalueren hun standaardstatus.

Een van de onderzoekers markeerde vervolgens handmatig de geïnterpreteerde reeks klikken die nodig zijn om niet-essentiële cookies uit te schakelen voor alle bestudeerde websites, met als resultaat 300 volledig gelabelde domeinen.

Variatie in broncode disposities over voorbeelden uit de aangepaste dataset.

60 websites werden opzij gezet als testset, en het T5-Large model werd getraind met een leer tempo van 0,003 bij een batchgrootte van 16 voor 20 epochs, met een maximale invoersequentie lengte van 256 tokens en een maximale doelsequentie lengte van 64. De tokens bestonden uit subwoorden ingesteld door Google’s SentencePiece tokenizer.

Ten slotte wordt de verwerkte informatie opgeslagen in een lokale database en beschikbaar gesteld aan de frontend van het systeem. De auteurs gaven de voorkeur aan de querySelector() HTML-functie boven de XML Path Language (XPath) benadering die door sommige eerdere soortgelijke projecten werd genomen, aangezien XPaths voor cookie-meldingen kwetsbaar zijn voor DOM-updates (d.w.z. de code kan veranderen na de initiële laad in reactie op gebruikersinteractie). Op deze manier kunnen de elementpaden zelfs worden behouden wanneer ze dynamisch en responsief zijn voor externe factoren.

Testen en Prestaties

In de praktijk bleek CookieEnforcer in staat te zijn om enkele van de donkerste donkere patronen in de dataset te navigeren, zoals een verborgen optie in het cookie-toestemming kader van The New Scientist die wordt verborgen door JavaScript totdat de gebruiker deze expliciet vraagt te zien.

De auteurs merken op:

‘Deze optie kan gemakkelijk door de gebruikers worden gemist, omdat ze een extra frame moeten uitbreiden om het te zien. CookieEnforcer vindt niet alleen deze optie, maar begrijpt ook de semantiek en besluit om bezwaar te maken. Deze voorbeelden laten zien dat het model de context leert en generaliseert naar nieuwe voorbeelden.’

De onderzoekers voerden drie tests uit, waaronder een eind-tot-eind evaluatie van de prestaties van het kader over 500 ongezien domeinen (d.w.z. websites waarvoor CookieEnforcer niet specifiek was getraind), waarbij de auteurs melden dat het in staat was om niet-essentiële cookies succesvol uit te schakelen voor 91% van de sites.

Het tweede test bestond uit een online gebruikersstudie die 14 websites omvatte en gebruik maakte van de System Usability Scale (score) tegen een handmatige baseline. Voor deze test melden de auteurs dat CookieEnforcer een 15% hogere score behaalde dan de baseline.

CookieEnforcer maakt een 15% hogere score mogelijk dan de baseline (niet-geassisteerde) gebruik, en automatiseert tegelijkertijd een frustrerend proces.

Ten slotte werden de getrainde parameters van CookieEnforcer getest tegen de top 5000 websites in de VS en Europa, om de capaciteit te bepalen om cookie-meldingen te navigeren. De auteurs stellen:

‘Terwijl metingen op zo’n schaal eerder zijn uitgevoerd, maakt CookieEnforcer een dieper begrip van de opties mogelijk, los van keyword-gebaseerde heuristieken. In het bijzonder vinden we dat 16,7% van de websites in het VK die cookie-meldingen tonen, ten minste één niet-essentiële cookie hebben ingeschakeld. Hetzelfde aantal voor websites in de VS is 22%.’

De auteurs hebben een korte YouTube-video uitgebracht die CookieEnforcer in actie toont:

Eerst gepubliceerd op 12 april 2022.