Машинное обучение vs. Системы согласия на использование файлов cookie

Новое исследовательское сотрудничество между Университетом Висконсина и Google противопоставляет машинное обучение одному из самых раздражающих явлений веб-пользователей за последнее десятилетие – непрозрачности и циничному злоупотреблению баннерами согласия на использование файлов cookie, соответствующих GDPR.

Новая структура, озаглавленная CookieEnforcer, использует Понимание естественного языка для анализа значения и полезности кода, лежащего в основе всплывающего окна или баннера согласия на использование файлов cookie, чтобы предоставить пользователю отсутствующее решение “в один клик” для отключения всех действительно “ненужных” файлов cookie – включая те, которые владельцы доменов могут представить как “необходимые”, даже если они не являются таковыми.

CookieEnforcer анализирует код согласия на использование файлов cookie с веб-сайта www.askubuntu.com. Источник: https://arxiv.org/pdf/2204.04221.pdf

Система реализуется через плагин веб-браузера, который может применять пользовательские правила в один клик. Как только на веб-сайте появляется框 согласия на использование файлов cookie, пользователь может активировать плагин, который затем проанализирует код согласия на использование файлов cookie на возможные действия и сгенерирует соответствующий JavaScript для выполнения выбора от имени пользователя.

Плагин можно настроить на автоматическое применение предпочтений пользователя или рассматривать каждый случай индивидуально, позволяя пользователю调整 настройки перед окончательной отправкой.

CookieEnforcer в действии. Если желательно, плагин Chrome может полностью автоматизировать этот процесс без дальнейшего участия пользователя. См. встроенное видео для более подробной информации. Источник: https://www.youtube.com/watch?v=5NI6Q981quc

Задача анализа возможных вариантов “без согласия”, которые обычно скрыты в сложных и трудоемких группах настроек (а не в удобном принять все типичном для рамок согласия), моделируется как последовательность к последовательности задача.

В оценке точности конца в конец CookieEnforcer смог сгенерировать все необходимые шаги для обхода криптических процедур согласия на использование файлов cookie в 91% случаев, изученных на доменах, которые не были видны во время обучения модели машинного обучения. Исследование пользователей также продемонстрировало, что система значительно снижает усилия пользователя при навигации по модулям согласия.

Статья, представляющая метод, озаглавлена CookieEnforcer: Автоматический анализ и обеспечение согласия на использование файлов cookie, и исходит от трех исследователей Университета Висконсина в Мэдисоне и одного из Google Inc.

Тайные пути к согласию на использование файлов cookie

С момента принятия Общего регламента по защите данных (GDPR) в 2016 году и Закона о защите потребителей Калифорнии (CCPA) в 2018 году веб-сайты, желающие взаимодействовать с пользователями из регионов, подверженных таким законодательствам, должны были предоставлять механизмы согласия на использование файлов cookie (обычно на основе обнаружения IP-адреса пользователя в качестве прокси для его страны происхождения).

Однако владельцы доменов, которые давно привыкли собирать ценные и действенные данные пользователей из непрозрачной и обычно незаметной реализации файлов cookie, оказались неохотны предоставлять легкие отказы от согласия для своих новых пользователей.

Стандартный интерфейс для рамок согласия на использование файлов cookie (которые появляются при первом посещении веб-сайта или если пользователь удалил файлы cookie для этого домена) быстро устоялся в темных шаблонах, предназначенных для утомления зрителя гранулярными, трудоемкими и обширными выборами в случае, если они хотели осуществить свои права на согласие; или же простой и легко доступной кнопкой, которая выбирала пользователя для всех файлов cookie, которые владелец домена хотел запустить. Эта культура лабиринтных выборов интерфейса была описана в одном исследовании 2020 года как ‘охота за сокровищами’.

Новая статья комментирует:

‘Пользователи могут найти трудным осуществление информированного контроля над файлами cookie для веб-сайтов с сложными уведомлениями. Они гораздо более вероятно полагаются на конфигурации по умолчанию, чем они настраивают свои настройки файлов cookie для каждого [веб-сайта]. В нескольких случаях эти настройки по умолчанию являются вторгающими в частную жизнь и благоприятствуют провайдерам услуг, что приводит к [риску].’

Комментарий к одной популярной статье о этих практиках характеризует их как ‘злонамеренное соблюдение’. Раздражение пользователей рамками согласия на использование файлов cookie – это тема, которая конфликтует с крупными издателями, которые могли бы обычно обеспечить дальнейшее освещение, если бы они не были так лично вовлечены в свои собственные практики в этом отношении.

Типичная лабиринтная система вариантов, представленная в этом случае веб-сайтом TechCrunch, иронично как прелюдия к статье об изменении отношения ЕС к тому, что составляет согласие на использование файлов cookie. Приложенные идентификаторы URL и крючки, предназначенные для дальнейшего включения отслеживания, составили 262 символа (удалены здесь). Кнопка ‘отклонить все’ доступна для определенных категорий файлов cookie, но не для всего набора возможных файлов cookie; в этих исключительных случаях пользователь должен работать с каждым ‘переключателем’.

Статья 2019 года из Германии показала, что большинство посетителей веб-сайтов в изучаемых доменах были ‘подтолкнуты’ к широкому согласию, и что только треть веб-сайтов фактически объясняла цели практик сбора данных.

Несколько веб-браузерных плагинов, дополнений и расширений появились для решения этой проблемы в последние годы, таких как Cookie Quick Manager расширение для Firefox, и широкий спектр альтернатив для Chrome, в то время как Европейский Союз пытается закрыть пробелы в соответствии с архитектурами согласия на использование файлов cookie.

Метод и данные

Исследователи новой статьи были решительно настроены на создание более прочной структуры управления согласием на использование файлов cookie, избегая зависимости от ключевых слов или手工crafted правил, центральный подход к ряду недавних подобных проектов с помощью машинного обучения.

CookieEnforcer имеет три цели: перевести уведомления и интерфейсы файлов cookie в формат, читаемый машиной; определить конфигурацию настроек файлов cookie таким образом, чтобы отключить ненужные файлы cookie; и автоматически применить дополнительные ограничения без дальнейшего участия пользователя, если желательно.

Система состоит из компонента бэкэнда, который обнаруживает и анализирует уведомления о файлах cookie, и компонента фронтэнда, в виде расширения браузера, которое генерирует и выполняет отключение ненужных файлов cookie (т.е. файлов cookie, которые не будут препятствовать навигации или доступу к домену, если они будут заблокированы).

Структура воплощена в расширение Chrome, которое использует Selenium библиотеку веб-тестирования под фреймворком ChromeDriver.

Компонент бэкэнда включает модули для обнаружения, анализа и модели принятия решений. Модуль анализа учитывает изменения в коде, введенные взаимодействием пользователя, чтобы первоначальный сброс кода не был недействительным из-за симулированного взаимодействия пользователя.

Понимание естественного языка

С кодом, раскрытым, важно, чтобы CookieEnforcer понимал существующее состояние возможных действий, которые он мог бы предпринять, поскольку язык за кнопками переключения может быть двусмысленным в отношении пользы для конечного пользователя.

Для этого исследователи обучили Text-To-Text Transfer Transformer (T5) модель для своего компонента принятия решений. Модель T5-Large, содержащая 770 миллионов параметров, была дообучена на базе данных ввода/вывода кода (т.е. кода, который описывает и включает функциональность вариантов переключения).

Пример форматирования (выше) и обучающих данных (ниже) для модели T5. Пример данных из www.askubuntu.com.

Датасет был создан путем выборки 300 веб-сайтов с уведомлениями о файлах cookie, выбранных из списка top-50k популярных веб-сайтов Tranco. Модули обнаружения и анализа извлекли варианты согласия на использование файлов cookie из их кода и оценили их состояния по умолчанию.

Один из исследователей затем вручную пометил интерпретированную серию кликов, необходимых для отключения ненужных файлов cookie для всех изучаемых веб-сайтов, в результате чего получилось 300 полностью помеченных доменов.

Разнообразие в расположении исходного кода в примерах из базы данных.

60 веб-сайтов были отложены в качестве тестового набора, и модель T5-Large была обучена с коэффициентом обучения 0,003 при размере пакета 16 за 20 эпох, с максимальной длиной входной последовательности 256 токенов и максимальной длиной целевой последовательности 64. Токены состояли из подслов, установленных токенизатором SentencePiece от Google.

Наконец, обработанная информация хранится в локальной базе данных и предоставляется фронтэнду системы. Авторы предпочли функцию querySelector() HTML над подходом XPath, принятом некоторыми предыдущими подобными проектами, поскольку XPath для уведомлений о файлах cookie уязвимы для обновлений DOM (т.е. код может измениться после первоначальной загрузки в ответ на взаимодействие пользователя). Таким образом, пути элементов могут быть сохранены даже когда они динамичны и реагируют на внешние факторы.

Тестирование и производительность

На практике CookieEnforcer оказался способным ориентироваться в некоторых из самых темных темных шаблонов в датасете, таких как скрытый вариант в рамке согласия на использование файлов cookie The New Scientist, который скрыт за JavaScript, пока пользователь не запросит его явно.

Авторы комментируют:

‘Этот вариант может быть легко пропущен пользователями, поскольку они должны расширить дополнительную рамку, чтобы увидеть его. CookieEnforcer не только находит этот вариант, но и понимает его семантику и решает возразить. Эти примеры демонстрируют, что модель учитывает контекст и обобщает на новые примеры.’

Исследователи провели три теста, включая оценку конца в конец производительности структуры на 500 незнакомых доменах (т.е. веб-сайтах, для которых CookieEnforcer не был специально обучен), где авторы сообщают, что он смог успешно отключить ненужные файлы cookie для 91% веб-сайтов.

Второй тест состоял из онлайн-исследования пользователей, охватывающего 14 веб-сайтов, и использовал Шкалу системной удобочитаемости (балл) против базовой линии. Для этого теста авторы сообщают, что CookieEnforcer получил балл на 15% выше, чем базовая линия.

CookieEnforcer позволяет достичь балла на 15% выше, чем базовая линия (неавтоматизированное) использование, при этом автоматизируя раздражающий процесс.

Наконец, обученные параметры CookieEnforcer были протестированы на топ-5000 веб-сайтов в США и Европе, чтобы определить его способность ориентироваться в уведомлениях о файлах cookie. Авторы заявляют:

‘Хотя измерения на таком уровне были проведены ранее, CookieEnforcer позволяет более глубокое понимание вариантов за пределами ключевых слов. В частности, мы обнаружили, что 16,7% веб-сайтов в Великобритании, показывающих уведомления о файлах cookie, включили хотя бы один ненужный файл cookie. Та же цифра для веб-сайтов в США составляет 22%.’

Авторы выпустили короткое видео на YouTube, демонстрирующее CookieEnforcer в действии:

Опубликовано впервые 12 апреля 2022 года.