Big Bird：跨不可信网络域的弹性隐私预算管理
密码学与安全
2026-05-15 v3
摘要
W3C Attribution API 是隐私保护广告测量的新兴标准。其当前隐私架构对每个发出查询的域（例如广告主）独立强制执行个体差分隐私 (IDP)。我们证明该保证在真实系统行为下是不成立的：它在跨查询者数据自适应下会失效，并且在跨查询者强制执行共享限制时也会失效。问题不在于设备上的记账模型本身——设备周期 IDP——而在于将每个查询域孤立对待。我们提出 Big Bird，一个隐私预算管理器，使全局设备周期 IDP——跨所有域联合强制执行——对 Attribution 而言既合理又可部署。Big Bird 解决了开放多查询者系统中全局强制执行的主要障碍：Sybil 网络域对共享全局预算的拒绝服务耗尽。其关键洞见在于良性 Attribution 工作负载具有存量-流量结构：展示次数产生潜在的隐私损失，转化实现它，且有意义的预算消耗应与跨不同网络域的真实用户操作相关联。Big Bird 通过基于隐私损失的展示和转化站点配额以及每用户操作可激活配额的上限来强制执行此结构，确保对抗性影响随真实用户交互而非 Sybil 域数量缩放。我们在 Rust 中实现 Big Bird，将其集成到 Firefox 的 Attribution 原型中，并在真实广告技术数据上进行了理论和实证评估。我们证明 Big Bird 提供了严格的全局设备周期 IDP、对耗尽攻击的形式化弹性以及攻击下良性查询者的效用。
引用
@article{arxiv.2506.05290,
title = {Big Bird: Resilient Privacy Budgeting Across Untrusted Web Domains},
author = {Pierre Tholoniat and Alison Caulfield and Giorgio Cavicchioli and Mark Chen and Benjamin Case and Asaf Cidon and Roxana Geambasu and Mathias Lécuyer and Martin Thomson},
journal= {arXiv preprint arXiv:2506.05290},
year = {2026}
}
备注
v2: generalized per-querier soundness results and restructured paper; v3: improved evaluation and threat model