Spotify potrebbe sapere se fumi, se bevi e se fai sport. Potrebbe anche indovinare la tua fascia d’età, il genere, la tua condizione economica, lo stato civile e persino qualcosa del tuo carattere. O meglio: possono raccontarlo, con un grado di accuratezza tutt’altro che trascurabile, le playlist pubbliche che crei su Spotify. E come lo sa Spotify lo può sapere chiunque attingendo dai dati delle tue playlist e lasciando che un’intelligenza artificiale faccia il resto.
È ciò che emerge da From Beats to Breaches: How Offensive AI Infers Sensitive User Information from Playlists, ricerca firmata da Stefano Cecconello, Mauro Conti, Luca Pajola, Luca Pasa e Pier Paolo Tricomi, tra Università di Padova e SpritzMatter, spin-off dell’ateneo, e parte di un filone di studi portato avanti dal gruppo negli ultimi anni. In questo studio gli autori hanno brevettato musicPIIrate, un sistema di Offensive AI capace di utilizzare le playlist musicali pubbliche per inferire informazioni che non lo sono affatto: dati demografici, abitudini personali e alcuni dei cosiddetti Big Five, vale a dire i cinque grandi tratti della personalità utilizzati in psicologia.
Precisiamo: non stiamo parlando di ciò che Spotify già conosce sui suoi utenti grazie ai dati raccolti direttamente dal servizio. Nel modello immaginato dai ricercatori, l’attaccante conosce semplicemente il profilo pubblico della persona presa di mira e può accedere alle playlist condivise, alle tracce che contengono e ai relativi metadati. Quindi non c’è nessuna falla da sfruttare, né alcuna password rubata. Come specificano chiaramente Conti e i suoi collaboratori, l’attacco utilizza solo dati pubblici e volontariamente condivisi.
«Negli ultimi anni una delle linee di ricerca su cui ci siamo concentrati di più riguarda proprio questo: capire come, partendo da informazioni pubbliche che sembrano non dire nulla, si possano in realtà ricavare informazioni private.», racconta Mauro Conti, professore di Cybersecurity all’Università di Padova e coordinatore dello SPRITZ Security and Privacy Research Group. Il gruppo aveva già lavorato su casi che possono apparire ancora più fantascientifici: dal rumore prodotto dalla tastiera durante una conference call, per esempio, è possibile provare a ricostruire quale tasto venga premuto; dall’audio di una comunicazione si possono invece ricavare informazioni sull’ambiente fisico nel quale si trova chi parla.
Pertanto il dubbio non poteva che arrivare anche alla musica: se lasciamo pubblicamente a disposizione decine di playlist costruite nell’arco degli anni, cosa dicono di noi? Quali sono i dati possibilmente sensibili che stiamo condividendo con il mondo?
Che i gusti musicali dicano qualcosa della personalità non è, di per sé, una scoperta recente. Il paper recupera una lunga tradizione di studi che ha osservato correlazioni statistiche tra preferenze musicali e caratteristiche psicologiche: già Rentfrow e Gosling, in un lavoro del 2003, associavano per esempio una maggiore apertura mentale alla preferenza per generi complessi come jazz e classica, mentre l’estroversione risultava maggiormente collegata a musiche pop, energiche e mainstream.Il salto sta nel fatto che correlazioni come quelle, date in pasto a sistemi in grado di analizzare quantità enormi di informazioni, possono diventare uno strumento di profilazione automatica.
«L’intelligenza artificiale ci permette di analizzare grandi quantità di dati e di imparare dai dati», spiega Conti. Si parte da persone delle quali si conoscono già determinate caratteristiche – età, lavoro, situazione economica, abitudini – e si lascia che il modello trovi al loro interno ricorrenze che un essere umano potrebbe persino non essere in grado di individuare. Una volta apprese, quelle caratteristiche possono essere ricercate nei dati di altri utenti che invece non hanno mai esplicitamente fornito quelle informazioni.
Per testare musicPIIrate i ricercatori hanno utilizzato un dataset costruito in un precedente lavoro dello stesso gruppo: oltre 10.000 playlist appartenenti a 739 utenti, contenenti complessivamente più di 200.000 canzoni e 55.000 artisti. Ogni utente possiede in media quasi quattordici playlist. Da quel materiale il sistema prova a ricostruire quindici caratteristiche diverse: fascia d’età, paese, condizione economica, genere, stato civile e occupazione; consumo di alcol, abitudine al fumo, attività sportiva e possesso di un account Premium; infine apertura, coscienziosità, estroversione, amicalità e nevroticismo.
Ed è qui che la playlist con cui andiamo a correre, quella della macchina e quella chiamata magari semplicemente “estate 2022” smettono per un attimo di sembrare oggetti innocui.
Sul fumo, per esempio, alcuni dei modelli sperimentati raggiungono un F1-score intorno a 0,60-0,61, contro lo 0,44 di un classificatore casuale. Per il consumo di alcol si arriva intorno a 0,59 contro 0,31; per lo sport circa 0,35 contro 0,16. Anche alcuni tratti della personalità mostrano differenze consistenti: il modello più performante arriva a 0,43 per la coscienziosità, 0,42 per l’estroversione e 0,44 per il nevroticismo.
Va evitato però un equivoco: un F1-score di 0,60 non significa che il programma osservi il profilo di Mario Rossi e stabilisca con il 60 per cento di certezza che Mario Rossi fuma. L’F1 è una misura statistica delle prestazioni complessive del classificatore, che tiene insieme precisione e capacità di intercettare correttamente i casi positivi. MusicPIIrate, dunque, non è una macchina della verità, ma, a dire il vero, non ha neppure il bisogno di diventarlo.
«Le performance non sono puntuali al cento per cento», sottolinea Conti, ma rispetto a una random guess, cioè al semplice tirare a indovinare, esiste comunque «un vantaggio notevole». Ed è proprio la scala a cambiare il significato di quel vantaggio. Se l’obiettivo fosse dimostrare in tribunale che una singola persona fuma, ovviamente non basterebbe. Se invece si vogliono suddividere centinaia di migliaia di persone in gruppi statisticamente più inclini a comprare un certo prodotto, cliccare un certo messaggio o reagire a una certa sollecitazione, anche una previsione imperfetta può acquistare valore. Marketing, sì, ma il rischio più grande è il phishing.
Un attaccante potrebbe utilizzare le informazioni inferite per costruire comunicazioni maggiormente personalizzate: conoscere qualcosa dei gusti musicali e della personalità della vittima, osserva Conti, significa poter confezionare una mail più convincente, magari utilizzando come esca biglietti per un concerto o altri elementi coerenti con i suoi interessi.
Ma poi Spotify non è la sola fonte a cui poter attingere.
Un eventuale profilatore può prendere ciò che riesce a dedurre dalle playlist, unirlo a quanto trova su Instagram, Facebook, LinkedIn o qualunque altra fonte pubblica e costruire progressivamente un ritratto sempre più dettagliato. Chi fa l’attacco, spiega Conti, può pescare un dato su Spotify e un’altra cosa su Instagram, mettere insieme le diverse fonti di informazione per creare profili sempre più raffinati.
Il dato davvero sensibile, insomma, potrebbe non essere nessuno dei dati che abbiamo deciso di pubblicare ma quello che nasce mettendo insieme le nostre tracce pubbliche. Ed è precisamente su questo che arriva la seconda parte della ricerca. Se una collezione di playlist funziona come una specie di impronta statistica involontaria, perché non provare a sporcare deliberatamente quell’impronta?
La contromisura sviluppata dai ricercatori si chiama JamShield e si basa su un principio semplice: se un modello impara a riconoscerci osservando pattern ricorrenti nei nostri dati, introdurre pattern plausibili ma falsi può bastare a confonderlo, rendendo le sue previsioni meno affidabili.
JamShield è pensata per aggiungere al profilo dell’utente delle playlist-esca selezionate appositamente per confondere il modello. Se, semplificando molto, determinate playlist risultano statisticamente associate con maggiore frequenza a una certa categoria di utenti, inserirle nel profilo di una persona appartenente alla categoria opposta può spostare la previsione nella direzione sbagliata. Lo stesso principio può essere applicato all’età, alle abitudini e ai tratti della personalità.
Per rendere il tutto ancora più raffinato gli autori hanno deciso di non costruire playlist artificiali perfettamente concepite per fregare il sistema. Sarebbero state sicuramente più efficaci, ma anche più facilmente individuabili come esche. JamShield utilizza invece playlist realmente esistenti prese dal dataset e non qualcosa di semplicemente realistico, puntualizza il dott. Stefano Cecconello, post-doc all’Università di Padova, ma qualcosa di reale.
Cecconello immagina l’applicazione quasi come una barra della privacy dentro Spotify: più l’utente decide di proteggersi, più il sistema inserisce playlist-esca nel profilo mostrato all’esterno, senza necessariamente sporcare l’esperienza personale di chi utilizza il servizio.
Già aggiungendo una sola playlist, nei test l’accuratezza dell’attacco diminuisce mediamente di circa dieci punti di F1-score. Aumentando il numero delle playlist-esca l’effetto tende generalmente a crescere, anche se in alcuni casi raggiunge rapidamente un plateau; i ricercatori si sono fermati a quattro, proprio per non costruire una difesa teoricamente efficacissima ma completamente irrealistica nell’utilizzo quotidiano.
JamShield, almeno per ora, non è però una funzione che troveremo nell’applicazione di Spotify. Si tratta di una contromisura sperimentale proposta per essere implementata dalla piattaforma, ma in linea di principio anche il singolo utente potrebbe proteggersi aggiungendo playlist opportunamente selezionate, oppure affidandosi in futuro a un’applicazione che lo faccia automaticamente.
Ma tutto questo ha anche un prezzo. Una piattaforma che introducesse dati falsi nei profili pubblici renderebbe meno affidabili le informazioni che chiunque, dall’esterno, può leggere da quei profili. Allo stesso tempo un utente che decidesse autonomamente di adottare una strategia simile finirebbe per mostrare agli altri un profilo pieno di playlist che non gli appartengono veramente. D’altronde la privacy, come spesso accade, modifica qualcosa del meccanismo che vuole proteggere.
Per anni abbiamo imparato a considerare i dati personali come qualcosa di abbastanza intuitivo: nome, indirizzo, numero di telefono, posizione, carta di credito. Poi sono arrivati i social media e abbiamo dovuto abituarci all’idea che anche un like, una ricerca o una fotografia potessero raccontare molto più di quanto sembrasse. L’avvento delle ultime AI ha cambiato nuovamente le carte in tavola, perché adesso un’informazione può diventare sensibile non perché lo sia in partenza, ma perché esiste una macchina abbastanza capace da collegarla ad altre informazioni.
Una playlist continuerà naturalmente a essere una compilation per una festa, una dichiarazione d’amore, una cartella di canzoni depresse per novembre o il deposito disordinato di ciò che ascoltavamo nel 2017. Ma osservata insieme a migliaia di altre, improvvisamente può diventare anche una specie di questionario che non ricordiamo di aver compilato.
Con la differenza che, alla domanda «fumi?», non abbiamo mai risposto.
Pierluigi Fantozzi