Máy học vs. Hệ thống Đồng ý Cookie

Một nghiên cứu hợp tác mới giữa Đại học Wisconsin và Google đặt máy học chống lại một trong những điều khó chịu nhất của người dùng web trong thập kỷ qua – sự không minh bạch và lạm dụng tinh vi của các biểu ngữ đồng ý cookie tuân thủ GDPR.

Được đặt tên là CookieEnforcer, khuôn khổ mới này sử dụng Hiểu biết Ngôn ngữ Tự nhiên để phân tích ý nghĩa và tiện ích của mã code đằng sau biểu ngữ đồng ý cookie hoặc banner, nhằm cung cấp cho người dùng giải pháp ‘một lần nhấp’ để vô hiệu hóa tất cả các cookie ‘không cần thiết’ – bao gồm cả những cookie mà chủ sở hữu miền có thể trình bày là ‘quan trọng’, ngay cả khi chúng không phải như vậy.

CookieEnforcer kiểm tra mã đồng ý cookie từ trang web www.askubuntu.com. Nguồn: https://arxiv.org/pdf/2204.04221.pdf

Hệ thống này được thực hiện thông qua một tiện ích mở rộng trình duyệt web do người dùng cài đặt, có khả năng áp dụng các quy tắc do người dùng xác định trong một lần nhấp. Khi một khuôn khổ đồng ý cookie xuất hiện trên trang web, người dùng có thể kích hoạt tiện ích mở rộng, sau đó sẽ tìm kiếm mã đồng ý cookie để thực hiện các hành động trước khi tạo mã JavaScript phù hợp để thực hiện lựa chọn của người dùng.

Tiện ích mở rộng có thể được đặt để tự động áp dụng các tùy chọn của người dùng hoặc lấy từng trường hợp riêng lẻ, cho phép người dùng điều chỉnh cài đặt trước khi gửi cuối cùng.

Cookie enforcer hoạt động. Nếu muốn, tiện ích mở rộng Chrome có thể tự động hóa hoàn toàn quá trình này, mà không cần thêm sự đóng góp của người dùng. Xem video nhúng sau để biết thêm chi tiết. Nguồn: https://www.youtube.com/watch?v=5NI6Q981quc

Thử thách của việc phân tích các tùy chọn ‘không đồng ý’ có thể, thường được ẩn trong các nhóm thiết lập phức tạp và tốn thời gian (thay vì các thiết lập thân thiện với người dùng chấp nhận tất cả điển hình của các khuôn khổ đồng ý), được mô hình hóa như một nhiệm vụ tuần tự.

Trong một đánh giá độ chính xác từ đầu đến cuối, CookieEnforcer đã có thể tạo ra tất cả các bước cần thiết để loại bỏ các thủ tục đồng ý cookie khó hiểu trong 91% các trường hợp được nghiên cứu, trên các miền mà không được nhìn thấy trong quá trình đào tạo mô hình máy học của hệ thống. Một nghiên cứu người dùng thêm nữa đã chứng minh rằng hệ thống giảm đáng kể nỗ lực của người dùng trong việc điều hướng các mô-đun đồng ý.

Bài báo trình bày phương pháp này có tiêu đề CookieEnforcer: Phân tích và Thực thi Thông báo Đồng ý Cookie Tự động, và đến từ ba nhà nghiên cứu tại Đại học Wisconsin tại Madison, và một từ Google Inc.

Con đường bí ẩn đến Đồng ý Cookie

Kể từ khi ban hành Quy định Bảo vệ Dữ liệu Chung (GDPR) vào năm 2016 và Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA) vào năm 2018, các trang web muốn tham gia người dùng từ các khu vực được bao phủ bởi luật như vậy đã được yêu cầu cung cấp các cơ chế ưu tiên cookie (thường dựa trên việc phát hiện địa chỉ IP của người dùng như một đại diện cho quốc gia của họ).

Tuy nhiên, vì các chủ sở hữu miền đã quen với việc thu thập dữ liệu người dùng có giá trị và có thể thực hiện được từ việc triển khai cookie không rõ ràng và thường không nhìn thấy, họ đã chứng minh sự miễn cưỡng trong việc cung cấp các tùy chọn退出 dễ dàng cho người dùng mới được trao quyền của họ.

Giao diện người dùng mặc định cho các giao diện đồng ý cookie (xuất hiện lần đầu tiên khi người dùng truy cập vào một miền hoặc nếu người dùng đã xóa cookie cho miền đó) nhanh chóng ổn định thành mẫu tối được thiết kế để làm cho người xem mệt mỏi với các lựa chọn chi tiết, tốn thời gian và rộng rãi trong trường hợp họ muốn thực hiện quyền đồng ý của mình; hoặc một nút đơn giản và dễ tiếp cận để người dùng đồng ý với tất cả các cookie mà chủ sở hữu miền muốn chạy. Văn hóa lựa chọn UI này được mô tả trong một nghiên cứu năm 2020 là ‘cuộc săn tìm kho báu’.

Bài báo mới này nhận xét:

‘[Người dùng] có thể thấy khó khăn khi thực hiện kiểm soát cookie thông tin cho các trang web có thông báo phức tạp. Họ có nhiều khả năng phụ thuộc vào các cấu hình mặc định hơn là tinh chỉnh các thiết lập cookie của họ cho từng [trang web]. Trong một số trường hợp, các thiết lập mặc định này xâm phạm quyền riêng tư và có lợi cho các nhà cung cấp dịch vụ, dẫn đến [nguy cơ].’

Một bình luận trên một bài đăng diễn đàn phổ biến về các thực tiễn này đã mô tả chúng là ‘tuân thủ độc ác’. Sự khó chịu của người dùng với các khuôn khổ đồng ý cookie là một chủ đề xung đột với các nhà xuất bản lớn, những người có thể thường xuyên cung cấp thêm phạm vi nếu họ không bị phơi bày bởi các thực tiễn của chính họ trong vấn đề này.

Một mê cung lựa chọn điển hình được trình bày, trong trường hợp này, bởi trang web TechCrunch, một cách hài hước như một lời giới thiệu cho một bài viết về thái độ thay đổi của EU đối với những gì cấu thành đồng ý cookie. Các định danh URL và móc được thiết kế để kích hoạt theo dõi bổ sung có chiều dài 262 ký tự (đã xóa ở đây). Một nút ‘từ chối tất cả’ có sẵn cho một số loại cookie nhất định, nhưng không có sẵn cho toàn bộ tập hợp các cookie có thể; trong những trường hợp ngoại lệ, người dùng phải vận hành từng ‘toggles’.

Một bài báo năm 2019 từ Đức đã phát hiện ra rằng đa số người truy cập trang web trong các miền được nghiên cứu đã bị ‘đẩy’ đến sự đồng ý rộng rãi, và chỉ có một phần ba trang web thực sự giải thích mục đích của các hoạt động thu thập dữ liệu.

Một số tiện ích mở rộng trình duyệt web, tiện ích bổ sung và tiện ích mở rộng đã xuất hiện để giải quyết vấn đề trong những năm gần đây, chẳng hạn như Cookie Quick Manager tiện ích mở rộng Firefox, và một loạt các lựa chọn thay thế Chrome, trong khi Liên minh Châu Âu đang đóng các lỗ hổng tuân thủ xung quanh các kiến trúc đồng ý cookie.

Phương pháp và Dữ liệu

Các nhà nghiên cứu của bài báo mới này đã quyết tâm tạo ra một khuôn khổ quản lý đồng ý cookie mạnh mẽ hơn bằng cách tránh dựa vào từ khóa hoặc các quy tắc được tạo thủ công, cách tiếp cận trung tâm của một số dự án tương tự hỗ trợ ML gần đây.

CookieEnforcer có ba mục tiêu: dịch các thông báo đồng ý cookie và giao diện thành định dạng có thể đọc được bằng máy; xác định cấu hình thiết lập cookie theo cách vô hiệu hóa các cookie không cần thiết; và áp dụng các hạn chế bổ sung tự động mà không cần thêm sự đóng góp của người dùng, nếu người dùng mong muốn.

Hệ thống bao gồm một thành phần hậu trường phát hiện và phân tích các thông báo đồng ý cookie, và một thành phần phía trước, dưới dạng tiện ích mở rộng trình duyệt, tạo và thực hiện việc vô hiệu hóa các cookie không cần thiết (tức là các cookie sẽ không cản trở việc điều hướng hoặc truy cập vào miền nếu bị chặn).

Khuôn khổ này được thể hiện trong một tiện ích mở rộng Chrome cụ thể được cài đặt cục bộ sử dụng thư viện Selenium dưới khuôn khổ ChromeDriver.

Phần hậu trường có các mô-đun để phát hiện, phân tích và đưa ra quyết định. Mô-đun phân tích tính đến các thay đổi trong mã được giới thiệu bởi tương tác của người dùng, để mã dump ban đầu không bị làm cho không hợp lệ bởi việc khám phá người dùng mô phỏng.

Hiểu biết Ngôn ngữ Tự nhiên

Với mã được tiết lộ, điều quan trọng là CookieEnforcer phải hiểu trạng thái hiện tại của các hành động có thể thực hiện, vì ngôn ngữ đằng sau các nút chuyển đổi có thể mơ hồ về lợi ích của người dùng cuối.

Để đạt được điều này, các nhà nghiên cứu đã đào tạo một Text-To-Text Transfer Transformer (T5) mô hình cho thành phần quyết định của nó. Mô hình T5-Large, chứa 770 triệu tham số, đã được tinh chỉnh trên một cơ sở dữ liệu tùy chỉnh của mã đầu vào/đầu ra (tức là mã mô tả và cho phép chức năng của các tùy chọn chuyển đổi).

Ví dụ về định dạng (trên) và dữ liệu đào tạo (dưới) cho mô hình T5. Ví dụ dữ liệu đến từ www.askubuntu.com.

Cơ sở dữ liệu được tạo bằng cách lấy mẫu 300 trang web có thông báo đồng ý cookie được chọn từ danh sách trang web phổ biến hàng đầu 50.000 của Tranco. Các mô-đun phát hiện và phân tích đã trích xuất các tùy chọn đồng ý cookie từ mã nguồn thời gian chạy của chúng và đánh giá các trạng thái mặc định của chúng.

Một trong những nhà nghiên cứu sau đó đã gắn nhãn thủ công các loạt nhấp chuột được giải thích cần thiết để vô hiệu hóa các cookie không cần thiết cho tất cả các trang web được nghiên cứu, dẫn đến 300 miền được gắn nhãn đầy đủ.

Sự đa dạng trong cách sắp xếp mã nguồn trên các ví dụ từ cơ sở dữ liệu tùy chỉnh.

60 trang web đã được đặt sang một bên làm tập thử nghiệm, và mô hình T5-Large đã được đào tạo với tốc độ học 0,003 tại kích thước batch 16 trong 20 kỷ, với độ dài trình tự đầu vào tối đa 256 token và độ dài trình tự mục tiêu tối đa 64. Các token được hình thành từ các từ phụ được thiết lập bởi bộ mã hóa SentencePiece của Google.

Cuối cùng, thông tin đã được xử lý được lưu trữ trong một cơ sở dữ liệu cục bộ và được cung cấp cho phía trước của hệ thống. Các tác giả đã ưu tiên hàm querySelector() HTML hơn cách tiếp cận XPath được một số dự án tương tự trước đó thực hiện, vì các XPath cho các thông báo đồng ý cookie dễ bị cập nhật DOM (tức là mã có thể thay đổi sau khi tải ban đầu để đáp ứng với các tương tác của người dùng). Theo cách này, các đường dẫn phần tử có thể được giữ lại ngay cả khi chúng động và phản ứng với các yếu tố bên ngoài.

Thử nghiệm và Hiệu suất

Trong thực tế, CookieEnforcer đã chứng minh được khả năng điều hướng một số trong những mẫu tối tối tăm nhất trong tập dữ liệu, chẳng hạn như một tùy chọn ẩn trong khuôn khổ đồng ý cookie của The New Scientist bị che giấu bởi JavaScript cho đến khi người dùng yêu cầu xem nó một cách rõ ràng.

Các tác giả nhận xét:

‘Tùy chọn này có thể dễ dàng bị người dùng bỏ lỡ vì họ phải mở rộng một khung khác để xem nó. CookieEnforcer không chỉ tìm thấy tùy chọn này mà còn hiểu ngữ nghĩa và quyết định phản đối. Những ví dụ này cho thấy mô hình học ngữ cảnh và khái quát hóa cho các ví dụ mới.’

Các nhà nghiên cứu đã thực hiện ba thử nghiệm, bao gồm một đánh giá từ đầu đến cuối về hiệu suất của khuôn khổ trên 500 miền không nhìn thấy (tức là các trang web mà CookieEnforcer không được đào tạo cụ thể), nơi các tác giả báo cáo rằng nó có thể vô hiệu hóa thành công các cookie không cần thiết cho 91% trang web.

Thử nghiệm thứ hai bao gồm một nghiên cứu người dùng trực tuyến trên 14 trang web, và sử dụng Hệ số Sử dụng Hệ thống (điểm) so với một baseline thủ công. Đối với thử nghiệm này, các tác giả báo cáo rằng CookieEnforcer đã đạt được điểm cao hơn 15% so với baseline.

CookieEnforcer cho phép đạt điểm cao hơn 15% so với baseline (sử dụng không được hỗ trợ) tại cùng một thời điểm tự động hóa một quá trình khó chịu.

Cuối cùng, các tham số đã được đào tạo của CookieEnforcer đã được thử nghiệm chống lại 5000 trang web hàng đầu ở Mỹ và Châu Âu, để xác định khả năng điều hướng các thông báo đồng ý cookie của nó. Các tác giả tuyên bố:

‘Mặc dù các phép đo ở quy mô như vậy đã được thực hiện trước đó, CookieEnforcer cho phép hiểu sâu hơn về các tùy chọn ngoài các mẹo dựa trên từ khóa. Cụ thể, chúng tôi thấy rằng 16,7% trang web ở Vương quốc Anh hiển thị thông báo đồng ý cookie đã bật ít nhất một cookie không cần thiết. Con số tương tự cho các trang web ở Mỹ là 22%.’

Các tác giả đã phát hành một video YouTube ngắn cho thấy CookieEnforcer hoạt động:

Được xuất bản lần đầu vào ngày 12 tháng 4 năm 2022.