从互动式定向广告中推断用户属性：模型、基准与防御

背景

在数字广告生态系统中，定向广告（Targeted Advertising）的核心逻辑是将广告主设定的受众群体与特定的广告单元进行匹配。然而，随着广告技术的精细化，广告主不再仅仅满足于宏观的聚合报告（Aggregate Reports），而是渴望获取更细粒度的数据反馈。

当用户的互动行为（如点击、浏览、转化）与发起该互动的广告活动（Campaign）保持关联时，广告主接收到的便不再是匿名的统计数据，而是与特定用户ID绑定的观测数据。这种数据流构成了一个潜在的“噪声预言机”（Noisy Oracle），使得广告主或第三方攻击者有可能利用这些互动反馈，逆向推断出用户的敏感属性（如健康状况、政治倾向、性取向等）。

现有的隐私保护研究多关注静态数据泄露，而针对“交互式”场景——即用户与广告实时互动并产生反馈闭环——的属性推断风险及其量化评估尚缺乏系统的基准测试。本文旨在填补这一空白，通过构建可复现的模拟环境，量化互动式定向广告中的隐私泄露风险，并评估不同防御策略的有效性。

核心内容

1. 理论模型：从目标到披露的四层解耦

文章首先建立了一个形式化模型，将定向广告过程中的隐私泄露链条解耦为四个关键边界：

• 目标谓词（Targeting Predicates）：广告主设定的初始筛选条件（如“25-35岁女性”）。
• 曝光（Exposure）：广告实际展示给用户的时刻。这里存在“资格”与“实际送达”之间的差距（Gap），即符合目标条件的用户未必看到广告。
• 互动（Interaction）：用户与广告产生的行为反馈。
• 披露（Disclosure）：广告主最终接收到的数据。这里存在“互动发生”与“广告主可见性”之间的差距，取决于平台的隐私政策。

该模型将互动式广告渠道建模为一个用于属性推断的“噪声预言机”。这意味着，虽然广告主能看到用户是否互动，但这种观测受到噪声干扰（例如，用户可能因为其他原因点击，或者平台对数据进行模糊化处理），因此推断并非完美，而是具有概率性的。

2. 基准构建：合成人口与可复现仿真

为了科学地评估风险，作者构建了一个基于合成人口（Synthetic Populations）的可复现基准测试平台。其核心特点包括：

• 数据校准：合成人口的数据分布经过校准，以匹配公开的真实世界数据，确保模拟环境的真实性。
• 已知敏感标签：每个合成用户都拥有已知的“敏感标签”（Ground Truth），这使得评估推断攻击的准确性成为可能。
• 语义层生成：生成一个广告活动语义层，包含主题变体（Topic Variants）和响应先验（Response Priors），模拟不同广告内容对用户行为的影响。
• 全链路模拟：模拟器能够生成真实标签、事件追踪日志（Event Traces）、披露的观测数据以及各项评估指标。

3. 攻击方法评估

研究对比了四种主要的属性推断攻击方法，并在常见的广告活动定义和披露规则下进行了测试：

• 贝叶斯攻击（Bayesian Attacks）：利用先验概率和观测到的互动数据，更新对用户属性的后验概率。
• 监督学习攻击（Supervised Attacks）：使用已知的互动数据作为训练集，训练分类器来预测敏感属性。
• 正负无标签学习（Positive and Unlabeled, PU Learning）：适用于只有正样本（互动者）和无标签样本（未互动者）的场景，这是广告数据中常见的情况。
• 自适应攻击（Adaptive Attacks）：针对特定披露策略优化的攻击手段。

4. 实验设置与结果

实验采用了四种主题变体、七个模拟器种子以及两种互动设置（不同强度的互动信号）。主要发现如下：

• 可测量但有限的推断信号：重复的广告活动且伴随身份暴露（Identity Exposure）时，确实会产生可测量的属性推断信号，但该信号是受限的（Bounded）。
• 性能指标：在主要设置中，经过约160次广告活动后，贝叶斯攻击和监督学习攻击的AUC（曲线下面积）约为 0.64；在互动信号更强的设置中，AUC约为 0.65。这表明虽然存在风险，但单次或少数几次互动的推断准确率并未达到极高程度（0.5为随机猜测，1.0为完美预测）。
• 防御策略的有效性：
  • 披露政策（Disclosure Policy）：是最强的控制手段。
  • 聚合报告（Aggregate Reporting）：如果平台仅提供聚合数据，完全移除了与用户绑定的观测输入，从而消除了上述评估中的预言机输入。
  • 类型过滤（Type Filtering）与随机化披露（Randomized Disclosure）：通过减少释放的信号量，显著降低了推断成功率。

关键要点

• 互动即泄露：在定向广告中，用户与广告的互动行为本身就是一个高价值的隐私泄露渠道，因为它将用户ID与特定的广告上下文绑定。
• 风险量化：研究证实了通过重复的、身份暴露的广告活动，攻击者可以以显著高于随机水平的准确率（AUC ~0.64-0.65）推断用户敏感属性，但这需要大量的广告曝光（如160次以上）才能积累足够的信号。
• 防御核心在于数据披露：最有效的防御并非阻止广告展示，而是改变数据披露方式。从“用户级观测”转向“聚合报告”可以从根本上切断推断链条。
• 噪声与随机化的作用：引入噪声或随机化披露机制可以有效降低信噪比，使得攻击者难以从有限的互动数据中提取稳定的属性特征。
• PU学习的适用性：在广告场景中，由于只有点击者（正样本）被明确标记，而未点击者通常被视为无标签而非负样本，因此PU学习算法在属性推断攻击中具有重要地位。

意义与影响

这项研究为理解交互式定向广告中的隐私风险提供了重要的理论框架和实证基准。其意义体现在以下几个方面：

1. 填补研究空白：以往研究多关注静态数据库泄露，本文聚焦于“交互式”反馈回路，揭示了动态广告生态中独特的隐私威胁模型。
2. 为监管机构提供依据：通过量化不同披露策略下的风险等级，研究结果为制定广告数据隐私法规（如GDPR、CCPA的具体执行细则）提供了数据支持。例如，它证明了聚合报告在隐私保护上的有效性。
3. 推动隐私增强技术（PETs）发展：提出的基准测试平台（Benchmark）和防御评估方法，可供广告技术公司和安全研究人员用于测试新的隐私保护算法，如差分隐私在广告归因中的应用。
4. 平衡商业与隐私：研究结果表明，通过适当的披露控制（如随机化），可以在保留一定广告效果评估能力的同时，大幅降低用户隐私泄露风险，为行业寻找平衡点提供了技术路径。

总之，该文章不仅揭示了互动式广告背后的隐私推断风险，更提供了一套完整的评估工具和防御思路，对于构建更透明的数字广告生态具有深远影响。代码和数据的开源（见原文链接）进一步促进了该领域的可复现研究和协作。