AccretionLink: como a seleção de posts públicos pode vazar atributos privados
O paper mostra que um adversário pode reforçar a inferência de atributos privados de uma pessoa apenas escolhendo quais dos seus posts públicos e autênticos expor a um modelo de inferência, sem alterar nenhum conteúdo. Os autores validam o ataque com testes estatísticos rigorosos em perfis sintéticos e no dataset PAN15, e implementam uma auditoria on-device em um Pixel 10 com atestação criptográfica para detectar esse tipo de manipulação.
AccretionLink parte de uma premissa incômoda: para inferir um atributo privado de alguém (por exemplo, orientação política, idade ou localização) a partir de posts públicos, um adversário não precisa forjar ou alterar nenhum conteúdo — basta controlar quais posts genuínos são apresentados ao sistema de inferência, e em que ordem. Os autores chamam isso de 'exposure control attack' (ataque de controle de exposição), formalizando-o como um jogo de confidencialidade e integridade que pode ser analisado matematicamente.
Tecnicamente, o ataque explora como modelos de inferência de atributos, assentados sobre embeddings de texto, reagem a mudanças na composição do conjunto de evidências apresentado. Ao selecionar estrategicamente um subconjunto de posts autênticos — por exemplo, priorizando aqueles que reforçam um viés já presente no modelo — o adversário consegue deslocar a saída de inferência sem que nada no conteúdo em si pareça malicioso. Isso torna o ataque difícil de detectar por filtros de conteúdo tradicionais, já que cada post individual é legítimo.
A validação é incomum para esse tipo de trabalho: além dos 52 perfis sintéticos e dos 142 perfis do dataset PAN15 (referência acadêmica para atribuição de autoria), os pesquisadores rodaram o pipeline de ponta a ponta em hardware real — um smartphone Pixel 10 com chip Tensor G5 — comprovando a viabilidade da auditoria diretamente no dispositivo, com atestação assinada por chave protegida em StrongBox, o enclave seguro do Android. Os efeitos medidos são estatisticamente pequenos, mas consistentes e robustos a ajuste de múltiplas comparações (Holm), o que é justamente o ponto: um viés sutil e persistente é mais perigoso do que um efeito grande e óbvio.
Na prática, o trabalho importa para qualquer produto que ofereça 'insights' ou perfis inferidos a partir de conteúdo público de usuários — moderação, publicidade, verificação de idade — porque mostra que a defesa não pode se concentrar apenas em detectar conteúdo falso ou adulterado. A proposta de auditoria on-device com prova criptográfica de qual modelo e qual conjunto de evidências geraram uma inferência é um caminho concreto para dar accountability a esse tipo de sistema.