[论文解读] Dark Patterns in the Interaction with Cookie Banners

Philip Hausner, Michael Gertz|arXiv (Cornell University)|Mar 27, 2021

Advanced Malware Detection Techniques参考文献 9被引用 10

一句话总结

本文提出一种机器学习方法，可自动检测cookie弹窗中的暗黑模式——具体而言，是通过视觉操控手段诱导用户接受cookies。该方法利用HTML、CSS及文本特征，识别“接受”和“拒绝”按钮，并在视觉设计偏向接受选项时发出警告，在超过2,800个德国网站上实现了高准确率检测。

ABSTRACT

Dark patterns are interface designs that nudge users towards behavior that is against their best interests. Since humans are often not even aware that they are influenced by these malicious patterns, research has to identify ways to protect web users against them. One approach to this is the automatic detection of dark patterns which enables the development of tools that are able to protect users by proactively warning them in cases where they face a dark pattern. In this paper, we present ongoing work in the direction of automatic detection of dark patterns, and outline an example to detect malicious patterns within the domain of cookie banners.

研究动机与目标

• 解决cookie弹窗中日益增多的欺骗性用户界面模式对用户同意的操纵问题。
• 开发一种自动化系统，识别cookie弹窗中的视觉与文本暗黑模式，以保护用户隐私。
• 通过主动学习优先处理不确定样本以减少对手动标注的依赖。
• 通过预警用户界面中操纵性设计模式，实现对隐私的主动保护。
• 为未来工作奠定基础，实现对cookie弹窗之外的暗黑模式的可扩展检测。

提出的方法

• 该方法采用自下而上的方式，通过识别包含“accept”或“reject”等关键词的低级元素来检测cookie弹窗。
• 从可点击元素中提取HTML标签、文本内容以及CSS样式（例如颜色、字体粗细），以分析视觉与语义差异。
• 利用自然语言处理技术对按钮的文本特征进行聚类，以归类相似的按钮类型，随后对关键案例进行人工重新标注。
• 训练支持向量机分类器，基于文本与视觉特征的组合来区分“接受”与“拒绝”按钮。
• 当“接受”与“拒绝”按钮在视觉上存在显著差异时，系统将标记此类情况为美学操控，表明可能存在暗黑模式。
• 该框架将DOM视为静态结构，并使用启发式规则（例如文本长度）从多个候选中选择最可能的cookie弹窗。

实验结果

研究问题

• RQ1 如何利用网页元素的结构与样式特征自动检测cookie弹窗中的暗黑模式？
• RQ2 cookie弹窗中“接受”与“拒绝”按钮之间的视觉差异在多大程度上表明了操纵性设计？
• RQ3 基于文本与CSS特征训练的机器学习模型能否在多样化网站中可靠地分类cookie弹窗中的按钮类型？
• RQ4 所提出方法在真实世界cookie弹窗中识别美学操控案例方面的有效性如何？
• RQ5 静态分析在检测动态或基于行为的暗黑模式方面存在哪些局限性？

主要发现

• 该系统成功从德国网站（域名以.de结尾）中提取并分析了2,800个cookie弹窗，数据集基于Alexa排名前一百万名网站。
• 超过80%的检测到的弹窗在“接受”与“拒绝”按钮之间表现出视觉差异，“接受”选项常通过对比色突出显示。
• 该方法识别出“拒绝”需要更多点击次数或可见度较低的情况，表明存在强制操作与界面干扰。
• 主动学习的使用通过聚焦于不确定预测，显著减少了手动标注的工作量，提升了标注效率。
• 该框架在使用启发式规则与聚类技术检测多样化网站中的弹窗候选方面表现出稳健性。
• 该方法目前仅限于静态分析，尚未能建模动态交互或跨页面用户行为。