Învățarea automată vs. sistemele de consimțământ pentru cookie-uri

O nouă colaborare de cercetare între Universitatea din Wisconsin și Google a pus învățarea automată în fața uneia dintre cele mai enervante probleme ale utilizatorilor de internet din ultimul deceniu – opacitatea și folosirea cinică a bannerelor de consimțământ pentru cookie-uri conform GDPR.

Denumit CookieEnforcer, noul cadru folosește Înțelegerea textului semantic pentru a analiza semnificația și utilitatea codului de bază din spatele ferestrei de consimțământ pentru cookie-uri sau a bannerului, pentru a oferi utilizatorului soluția “unu clic” lipsă pentru a dezactiva toate cookie-urile “nenecesare” – inclusiv cele pe care proprietarii de domenii le prezintă ca fiind “esențiale”, chiar dacă nu sunt.

CookieEnforcer examinează codul de consimțământ pentru cookie-uri de pe site-ul www.askubuntu.com. Sursă: https://arxiv.org/pdf/2204.04221.pdf

Sistemul este implementat prin intermediul unui plugin de browser web instalat de utilizator, care este capabil să aplice reguli definite de utilizator într-un singur clic. Odată ce un cadru de consimțământ pentru cookie-uri apare pe site, utilizatorul poate activa pluginul, care va căuta apoi codul de consimțământ pentru cookie-uri pentru acțiuni potențiale înainte de a genera JavaScript corespunzător pentru a lua decizii în numele utilizatorului.

Pluginul poate fi setat pentru a impune automat preferințele utilizatorului sau pentru a lua cazurile individual, permițând utilizatorului să ajusteze setările înainte de a le trimite.

Cookie enforcer în acțiune. Dacă este preferat, pluginul Chrome poate automatiza complet acest proces, fără nicio contribuție suplimentară a utilizatorului. Vezi videoclipul încorporat mai jos pentru mai multe detalii. Sursă: https://www.youtube.com/watch?v=5NI6Q981quc

Provocarea de a analiza opțiunile posibile de “non-consimțământ”, care sunt de obicei ascunse în grupuri de setări arcanice și laborioase (în locul ferestrei de consimțământ prietenoase cu utilizatorul, tipică cadrelor de consimțământ) este modelată ca o sară la secvență.

Într-o evaluare a acurateței de la capăt la capăt, CookieEnforcer a putut genera toți pașii necesari pentru a evita procedurile criptice de consimțământ pentru cookie-uri în 91% din cazurile studiate, pe domenii care nu fuseseră văzute în timpul antrenării modelului de învățare automată al sistemului. Un studiu al utilizatorilor a demonstrat, de asemenea, că sistemul reduce semnificativ efortul utilizatorului în navigarea modulelor de consimțământ.

Articolul prezentat metoda se numește CookieEnforcer: Analiză și impunere automată a notificărilor de cookie și provine de la trei cercetători de la Universitatea din Wisconsin la Madison și unul de la Google Inc.

Drumuri arcanice către consimțământul pentru cookie-uri

De la intrarea în vigoare a Regulamentului general privind protecția datelor (GDPR) în 2016 și a Legii privind confidențialitatea consumatorilor din California (CCPA) în 2018, site-urile web care doresc să se angajeze cu utilizatorii din zonele acoperite de astfel de legislație au fost obligate să furnizeze mecanisme de preferințe pentru cookie-uri (de obicei, pe baza detectării adresei IP a utilizatorului ca proxy pentru țara de origine).

Cu toate acestea, deoarece proprietarii de domenii fuseseră de mult timp obișnuiți să obțină date valoroase și utilizabile de la implementarea opacă și de obicei nevăzută a cookie-urilor, ei s-au dovedit a fi reticenți să furnizeze opțiuni facile de renunțare pentru noii lor utilizatori împuterniciți.

Interfața implicită pentru interfețele de consimțământ pentru cookie-uri (care apar pentru prima dată când un utilizator vizitează un domeniu sau dacă utilizatorul a șters cookie-urile pentru acel domeniu) s-a stabilit rapid în modele întunecate proiectate pentru a obosi privitorul cu alegeri granulare, care necesită timp și sunt extinse în cazul în care aceștia doresc să-și exercite drepturile de consimțământ; sau un buton simplu și ușor accesibil care optează utilizatorul pentru toate cookie-urile pe care proprietarul domeniului dorește să le ruleze. Această cultură a alegerilor de UI labirintice a fost descrisă într-un studiu din 2020 ca ‘o vânătoare de comori’.

Noul articol comentează:

‘[Utilizatorii] pot găsi dificil să exercite controlul informat asupra cookie-urilor pentru site-urile web cu notificări complicate. Ei sunt mult mai predispuși să se bazeze pe configurații implicite decât să ajusteze setările lor de cookie pentru fiecare [site web]. În mai multe cazuri, aceste setări implicite sunt invazive din punct de vedere al confidențialității și favorizează furnizorii de servicii, ceea ce duce la riscuri de confidențialitate.’

Un comentariu la o postare populară pe forum cu privire la aceste practici le-a caracterizat ca “conformare malefică”. Întruziunea utilizatorilor cu privire la cadrele de consimțământ pentru cookie-uri este un subiect care intră în conflict cu editorii importanți, care ar putea, în mod normal, să acorde o acoperire suplimentară dacă nu ar fi expuși personal de propriile practici în această privință.

O labirint de opțiuni prezentate, în acest caz, de site-ul TechCrunch, ironic, ca o prefață la un articol despre atitudinea UE față de ceea ce constituie consimțământul pentru cookie-uri. Identificatorii de URL și hook-urile destinate să permită urmărirea au fost de 262 de caractere (șterse aici). Un buton ‘respinge tot’ este disponibil pentru anumite categorii de cookie, dar nu este disponibil pentru întregul set de cookie-uri posibile; în acele cazuri excepționale, utilizatorul trebuie să opereze fiecare ‘buton de comutare’.

Un articol din 2019 din Germania a constatat că majoritatea vizitatorilor de site din domeniile studiate au fost “împinși” către un consimțământ larg, și că doar o treime din site-urile web au explicat, de fapt, scopurile practicilor de colectare a datelor.

O serie de pluginuri, extensii și module pentru browsere web au apărut pentru a aborda această problemă în ultimii ani, cum ar fi extensia Cookie Quick Manager pentru Firefox și o gamă largă de alternative pentru Chrome, în timp ce Uniunea Europeană încearcă să închidă lacunele de conformitate din jurul arhitecturilor de consimțământ pentru cookie-uri.

Metodă și date

Cercetătorii noului articol au fost hotărâți să creeze un cadru de gestionare a consimțământului pentru cookie-uri mai robust, evitând să se bazeze pe cuvinte cheie sau reguli create manual, abordarea centrală a mai multor proiecte ML-aided recente.

CookieEnforcer are trei obiective: să traducă notificările de cookie și interfețele într-un format citibil de mașină; să identifice configurația setărilor de cookie într-un mod care dezactivează cookie-urile non-esențiale; și să aplice automat restricții suplimentare fără nicio contribuție suplimentară a utilizatorului, dacă este dorit de utilizator.

Sistemul constă dintr-o componentă de backend care detectează și analizează notificările de cookie și o componentă de frontend, sub forma unei extensii de browser, care generează și execută dezactivarea cookie-urilor non-esențiale (adică cookie-urile care nu vor împiedica navigarea sau accesul la domeniu dacă sunt blocate).

Cadru este încorporat într-o extensie Chrome-specifică instalată local, care utilizează Selenium biblioteca de testare web sub ChromeDriver cadru.

Secțiunea de backend are module pentru detectare, analiză și un model de decizie. Modulul de analiză ține cont de modificările de cod introduse de interacțiunea utilizatorului, astfel încât dump-ul inițial de cod să nu fie invalidat de explorarea simulată a utilizatorului.

Înțelegerea limbajului natural

Cu codul dezvăluit, este important ca CookieEnforcer să înțeleagă starea actuală a acțiunilor posibile pe care le poate întreprinde, deoarece limbajul din spatele butoanelor de comutare poate fi ambiguu în ceea ce privește beneficiul pentru utilizatorul final.

Pentru aceasta, cercetătorii au antrenat un Text-To-Text Transfer Transformer (T5) model pentru componenta sa de decizie. Modelul T5-Large, care conține 770 de milioane de parametri, a fost ajustat pe un bază de date personalizată de intrare/ieșire de cod (adică cod care descrie și permite funcționalitatea opțiunilor de comutare).

Exemplu de formatare (sus) și date de antrenare (jos) pentru modelul T5. Exemplul de date este de la www.askubuntu.com.

Baza de date a fost creată prin eșantionarea a 300 de site-uri web cu notificări de cookie selectate din lista top-50k site-uri web populare Tranco. Detectorul și modulul de analiză au extras opțiunile de consimțământ pentru cookie-uri din codul lor sursă de runtime și au evaluat stările lor implicite.

Unul dintre cercetători a etichetat apoi manual seria de clicuri necesare pentru a dezactiva cookie-urile non-esențiale pentru toate site-urile web studiate, rezultând 300 de domenii complet etichetate.

Variație în dispoziția codului sursă în exemple din baza de date personalizată.

60 de site-uri web au fost păstrate ca set de test și modelul T5-Large a fost antrenat cu o rată de învățare de 0,003 la o dimensiune de lot de 16 pentru 20 de epoci, cu o lungime maximă de secvență de intrare de 256 de tokeni și o lungime maximă de secvență țintă de 64. Tokenii au fost formați din sub-cuvinte stabilite de tokenizerul SentencePiece de la Google.

În cele din urmă, informațiile prelucrate sunt stocate într-o bază de date locală și puse la dispoziția interfeței sistemului. Autorii au preferat funcția querySelector() HTML în loc de abordarea XPath utilizată de unele proiecte anterioare, deoarece XPath-urile pentru notificările de cookie sunt vulnerabile la actualizări DOM (adică codul poate fi modificat după încărcarea inițială în răspuns la interacțiunile utilizatorului). În acest fel, căile elementelor pot fi păstrate chiar și atunci când sunt dinamice și răspund la factori externi.

Testare și performanță

În practică, CookieEnforcer s-a dovedit a fi capabil să navigheze unele dintre cele mai întunecate modele întunecate din setul de date, cum ar fi o opțiune ascunsă în cadrul de consimțământ pentru cookie-uri al The New Scientist, care este ascunsă de JavaScript până când utilizatorul solicită în mod explicit să o vadă.

Autorii comentează:

‘Această opțiune poate fi ușor pierdută de utilizatori, deoarece aceștia trebuie să extindă un cadru suplimentar pentru a o vedea. CookieEnforcer nu numai că găsește această opțiune, dar înțelege și semantica și decide să se opună. Aceste exemple demonstrează că modelul învață contextul și se generalizează la noi exemple.’

Cercetătorii au efectuat trei teste, inclusiv o evaluare de la capăt la capăt a performanței cadrelor pe 500 de domenii nevăzute (adică site-uri web pentru care CookieEnforcer nu a fost antrenat în mod special), unde autorii raportează că a putut dezactiva cu succes cookie-urile non-esențiale pentru 91% din site-urile web.

Al doilea test a constat într-un studiu online al utilizatorilor pe 14 site-uri web, utilizând Sistemul de evaluare a utilizabilității (scor) împotriva unei linii de bază manuale. Pentru acest test, autorii raportează că CookieEnforcer a obținut un scor cu 15% mai mare decât linia de bază.

CookieEnforcer permite un scor cu 15% mai mare decât utilizarea neajutată (linia de bază), în același timp automatizând un proces enervant.

În cele din urmă, parametrii antrenați ai CookieEnforcer au fost testați împotriva celor mai bune 5000 de site-uri web din SUA și Europa, pentru a determina capacitatea sa de a naviga notificările de cookie. Autorii afirmă:

‘În timp ce măsurători la o asemenea scară au fost efectuate anterior, CookieEnforcer permite o înțelegere mai profundă a opțiunilor dincolo de heuristici bazate pe cuvinte cheie. În special, constatăm că 16,7% din site-urile web din Regatul Unit care afișează notificări de cookie au activat cel puțin un cookie non-esențial. Același număr pentru site-urile web din SUA este de 22%.’

Autorii au lansat un scurt videoclip YouTube care arată CookieEnforcer în acțiune:

Publicat pentru prima dată pe 12 aprilie 2022.