GraphProfiler usa grafos de conhecimento rastreáveis para inferir atributos sensíveis de usuários com 86,7% de sucesso
O GraphProfiler demonstra que perfiladores baseados em LLM conseguem inferir atributos sensíveis como idade, renda e ocupação a partir da agregação de pistas espalhadas em posts aparentemente inofensivos, com taxa de sucesso de até 86,7%. Diferente de perfiladores anteriores, o sistema rastreia cada inferência até o post de origem, permitindo mostrar que remover os poucos posts realmente reveladores neutraliza o ataque de forma muito mais eficiente do que apagar posts aleatórios.
Atributos sensíveis como idade, renda e ocupação podem ser inferidos a partir de conteúdo gerado por usuários mesmo quando nenhum post individual revela essa informação diretamente, simplesmente agregando pistas indiretas espalhadas ao longo de um histórico extenso de publicações. Perfiladores baseados em LLM automatizam exatamente esse tipo de agregação com alta precisão, o que os autores caracterizam como uma ameaça de privacidade em larga escala, já que a inferência não depende de nenhum vazamento óbvio e isolado.
O problema com perfiladores LLM anteriores é que eles funcionam como caixa-preta: produzem uma previsão de atributo sem indicar quais posts, conceitos ou relações específicas tornaram aquela inferência possível, o que dificulta mitigação direcionada (o usuário precisaria reescrever ou apagar todo o histórico, em vez de apenas os poucos posts que efetivamente vazam informação). O GraphProfiler resolve isso representando o histórico de posts de cada usuário como um grafo de conhecimento pessoal rastreável à fonte, em que cada nó e aresta remete de volta ao post original, e resolvendo cada previsão de atributo a registros específicos do grafo e aos textos-fonte correspondentes.
Os resultados mostram um ataque tanto eficaz quanto auditável: 86,7% de taxa de sucesso no benchmark SynthPAI, com oito atributos avaliados, a poucos pontos percentuais de linhas de base apenas textuais e sem qualquer explicabilidade, e 84,6% no dataset PANDORA, citando evidência de suporte em mais de 98% das previsões. Experimentos controlados de remoção mostram que apagar especificamente os posts citados pelo sistema reduz a taxa de sucesso do ataque muito mais do que remover uma quantidade equivalente de posts aleatórios, validando empiricamente que as citações apontam para a evidência que de fato sustenta a inferência.
O trabalho é relevante como pesquisa de ataque ofensivo à privacidade: um LLM usado como ferramenta de inferência automatizada e em larga escala de atributos sensíveis a partir de conteúdo público, com precisão competitiva com abordagens menos transparentes. A explicabilidade corta nos dois sentidos: para quem opera esse tipo de perfilador, é uma ferramenta de ataque mais poderosa e auditável; para defensores, abre caminho para mitigação cirúrgica, redigindo apenas o punhado de posts que realmente vazam um atributo, em vez de perturbar históricos inteiros indiscriminadamente. O achado sugere que, à medida que ferramentas de ataque de perfilagem amadurecem com esse nível de granularidade, ferramentas de proteção de privacidade também vão precisar da mesma lógica fina de atribuição à fonte apenas para se manter à altura da ameaça.