PrivacyAkinator: 通过回答LLM生成的多选题阐述关键隐私设计决策

# PrivacyAkinator：通过回答LLM生成的多项选择题来阐述关键隐私设计决策

来源：https://arxiv.org/html/2605.20206

Yuen Sum Wong (https://arxiv.org/html/2605.20206v1/mailto:[email protected])，加利福尼亚大学圣地亚哥分校，美国加利福尼亚州拉霍亚；Yuen Kei Wong (https://arxiv.org/html/2605.20206v1/mailto:[email protected])，加利福尼亚大学圣地亚哥分校，美国加利福尼亚州拉霍亚；Longxuan Yu (https://arxiv.org/html/2605.20206v1/mailto:[email protected])，加利福尼亚大学河滨分校，美国加利福尼亚州河滨；Haojian Jin (https://arxiv.org/html/2605.20206v1/mailto:[email protected])，加利福尼亚大学河滨分校，美国加利福尼亚州拉霍亚

(2026)

###### 摘要。
美国国家标准与技术研究院（NIST）的隐私风险评估方法论（PRAM）为隐私专家评估隐私风险提供了一个结构化框架。然而，其复杂性和对专家知识的依赖使其难以被初学开发者有效使用。本文探讨了降低这些门槛的方法。我们首先进行了一项观察性研究，让12名参与者在真实场景中使用PRAM，结果发现初学开发者在阐述隐私相关设计决策方面最为困难。为此，我们开发了PrivacyAkinator，一款交互式工具，通过让开发者回答LLM生成的多项选择题来帮助他们阐述关键的隐私决策。PrivacyAkinator引入了三大创新：一种通用的隐私表示方法，将隐私相关的设计决策抽象为数据流和利益相关者交互；一个从10K条隐私相关新闻中挖掘出的领域感知设计空间；以及一个动态问题生成工作流，用于优先提出相关问题。我们与24名参与者进行的用户研究表明，与使用PRAM相比，使用PrivacyAkinator的开发者多识别了47%的关键决策，用时减少了73%。

隐私风险评估、隐私工程、设计即隐私、开发者支持工具

††期刊年份：2026
††版权：cc
††会议：2026年CHI人机交互系统会议论文集；2026年4月13–17日；西班牙巴塞罗那
††书刊名：2026年CHI人机交互系统会议论文集（CHI '26），2026年4月13–17日，西班牙巴塞罗那
††DOI：10.1145/3772318.3790408
††ISBN：979-8-4007-2278-3/2026/04
††CCS：安全与隐私 安全与隐私中的可用性
††CCS：以人为中心的计算 交互式系统和工具
††CCS：以人为中心的计算 用户研究

参见图1的说明。
图1. PrivacyAkinator通过让开发者回答LLM生成的多项选择题来帮助他们阐述关键的隐私设计决策。在（1）开发者提供其系统的高层描述后，（2）PrivacyAkinator将其扩展为详细、可编辑的功能需求，并高亮显示可调整的设计选项。（3）PrivacyAkinator通过情境化、具体的问题引导开发者完成关键设计决策。随着开发者做出选择，PrivacyAkinator将这些决策整理并记录在一个结构化的隐私表示中。（4）PrivacyAkinator将这些设计决策映射到NIST PRAM工作表（NIST, 2020 (https://arxiv.org/html/2605.20206#bib.bib1)）中，以进一步识别潜在问题并确定隐私风险的优先级。请注意，我们仅列举数据操作和相关设计决策；分析师仍需手动评估风险的可能性和影响。

## 1. 引言

美国国家标准与技术研究院（NIST）于2019年发布了隐私风险评估方法论（PRAM），以帮助组织分析、评估并确定隐私风险的优先级（NIST, 2020 (https://arxiv.org/html/2605.20206#bib.bib1)）。PRAM通过四个工作表（WS）提供风险评估的分步指导：WS1定义业务目标和组织隐私治理；WS2评估系统设计；WS3根据可能性和影响来确定风险优先级；WS4选择适当的控制措施来缓解风险。尽管获得了机构认可，但关于NIST PRAM在实际中有效性的经验证据仍然很少（Iwaya et al., 2024 (https://arxiv.org/html/2605.20206#bib.bib74); Wijesundara et al., 2025 (https://arxiv.org/html/2605.20206#bib.bib76)）。除了NIST的PRAM，其他几种框架也提供了评估隐私风险的补充策略，例如隐私影响评估（PIA）（Wright and De Hert, 2012 (https://arxiv.org/html/2605.20206#bib.bib14)）和LINDDUN（Deng et al., 2011 (https://arxiv.org/html/2605.20206#bib.bib79)）。这些方法通常遵循类似的过程：定义系统目标、系统映射、威胁枚举、影响/风险分析以及缓解措施（Khalil et al., 2024 (https://arxiv.org/html/2605.20206#bib.bib85)）。然而，先前的研究发现这些框架可能既繁琐又过于复杂（Wuyts et al., 2020 (https://arxiv.org/html/2605.20206#bib.bib80); Balsa, 2023 (https://arxiv.org/html/2605.20206#bib.bib75)），通常需要大量的专业知识才能有效使用（Wuyts et al., 2014 (https://arxiv.org/html/2605.20206#bib.bib78)）。因此，许多组织，尤其是那些没有专职隐私专业人员的初创公司，将隐私风险评估视为繁重的负担而非管理隐私风险的实用工具（Lefkovitz, 2020 (https://arxiv.org/html/2605.20206#bib.bib81); Waldman, 2021 (https://arxiv.org/html/2605.20206#bib.bib77)）。

在本文中，我们研究降低初学开发者应用隐私风险评估门槛的方法。我们首先进行了一项观察性研究，以探索他们在应用PRAM时面临的挑战。我们招募了12名参与者，包括学生和初级软件工程师，并要求他们使用PRAM工作表对四个任务场景进行隐私风险评估。我们从一个简短的培训环节开始，向参与者介绍四个工作表，并使用PRAM材料中的示例演示其用法。然后参与者选择一个他们熟悉的场景，并按照工作表说明逐一完成。我们发现参与者在阐述系统内部的隐私设计决策方面最为困难，这揭示了三个关键挑战：（1）参与者难以将注意力分散到众多的隐私设计决策上；（2）PRAM模糊的术语和开放式的结构导致了对何为恰当回应的困惑；（3）在没有明确提示的情况下，参与者经常遗漏重要的设计决策。

随后，我们设计了PrivacyAkinator（图1 (https://arxiv.org/html/2605.20206#S0.F1)），这是一款交互式工具，通过让开发者回答由大型语言模型（LLMs）生成的多项选择题来帮助他们阐述关键的隐私相关设计决策。该工具专门针对PRAM的WS2（评估系统设计），因为在我们研究中初学开发者在此阶段最为挣扎。PrivacyAkinator将这一开放式任务转化为一系列带有具体答案选项的多项选择题。通过将系统设计分解为离散的设计选择，PrivacyAkinator使开发者能够一次专注于一个决策。该系统利用LLMs将抽象的隐私概念转化为带有具体选项的情境化问题。通过根据之前的回答动态生成问题，PrivacyAkinator引导开发者的注意力转向那些他们可能忽视的关键设计决策。虽然先前的研究已经探索过使用问答方式传达隐私概念或解释系统行为（Harkous et al., 2016 (https://arxiv.org/html/2605.20206#bib.bib59); Ravichander et al., 2019 (https://arxiv.org/html/2605.20206#bib.bib57); Feng et al., 2024 (https://arxiv.org/html/2605.20206#bib.bib55)），但这些努力主要侧重于解释现有内容，如隐私政策。相比之下，PrivacyAkinator独特的设计挑战在于引导开发者穿越一个广阔且未被充分探索的隐私设计空间。

PrivacyAkinator具有三大关键创新。首先，我们设计了一种新颖的隐私设计通用表示方法（图4 (https://arxiv.org/html/2605.20206#S6.F4)），该方法捕捉关键的隐私设计决策，帮助开发者专注于要点而免于无关信息的干扰。与仅关注数据流（如谁在收集数据、如何收集、何时收集以及为何收集）的现有模型（如数据流图、组件图（Alhirabi et al., 2023 (https://arxiv.org/html/2605.20206#bib.bib50)））不同，我们的表示方法还捕捉与不同利益相关者的交互设计。我们将关于某个数据实践的隐私相关信息组织成三个层次：（1）高层数据流，建模信息在系统中的移动；（2）节点，代表特定的数据操作（如收集、处理）和利益相关者交互（如获取同意、请求删除数据）；（3）节点属性，指定具体的设计选择（如选择加入/退出）。

其次，我们引入了一种数据驱动的方法来构建一个领域感知的隐私设计空间（图5 (https://arxiv.org/html/2605.20206#S7.F5)）。与先前通过手动标签创建分类法的工作（Wilson et al., 2016 (https://arxiv.org/html/2605.20206#bib.bib61)）不同，我们通过分析隐私相关文档（如公开的隐私新闻报道）来挖掘隐私设计决策的领域特定分类法。基于我们的隐私表示，我们将每个决策映射为一个键值对，并组织成三个类别：（1）通用键与通用值（例如，consent_mode: opt-in/opt-out），（2）通用键与领域特定值（例如，data_type: medical records），以及（3）领域特定键与领域特定值（例如，voice_masking: enabled）。我们首先回顾了关于隐私设计的文献（Rubinstein and Good, 2013 (https://arxiv.org/html/2605.20206#bib.bib102); Gürses et al., 2011 (https://arxiv.org/html/2605.20206#bib.bib44); Feng et al., 2021 (https://arxiv.org/html/2605.20206#bib.bib19); Schaub et al., 2015 (https://arxiv.org/html/2605.20206#bib.bib17)），并基于此结构手动创建了一个初始设计空间。为了丰富这个设计空间，我们使用LLMs对10K条隐私相关新闻进行了文本挖掘，注释了领域标签并提取了相关的设计选择。然后我们分析了它们的共现统计数据，以揭示不同背景下隐私设计决策之间的关联。

第三，我们设计了一个动态优先处理关键隐私设计决策的问题生成工作流。PrivacyAkinator维护当前设计的底层表示，并制定两类问题：探索性问题，用于向数据流添加新节点；以及利用性问题，利用设计空间针对现有节点引出具体的设计决策。由于一次性呈现所有潜在决策会让开发者不知所措，PrivacyAkinator会策略性地决定首先呈现哪些决策。在每一轮中，PrivacyAkinator选择问题类型以平衡探索与利用，检索相关的设计决策，并优先考虑那些与先前选择强相关的决策。

我们进行了两项实验来验证我们设计的有效性。我们首先评估了系统对关键设计决策的覆盖程度。为了建立真实标准，我们组织了隐私专家的头脑风暴会议，检查了30个真实世界的数据实践。我们提供了每个数据实践的初始描述，并根据其实际实现回答了问题。结果显示，PrivacyAkinator识别出了隐私专家认可的94%的关键设计决策，其选项覆盖了实践中77%的设计选择。随后，我们进行了一项包含24名参与者的用户研究，要求他们使用或不用我们的工具，对三个真实世界的应用程序场景应用NIST PRAM框架。我们发现，使用PrivacyAkinator的开发者能够多阐述47%的关键隐私决策，同时用时减少73%。

在本文中，我们做出了以下贡献：
- • 一项实证研究，识别出初学开发者应用PRAM时的三个关键挑战。
- • PrivacyAkinator，一款新颖的工具，利用LLM生成的多项选择题帮助开发者阐述关键的隐私设计决策。
- • 一种通用的隐私设计表示方法，将隐私相关的设计决策抽象为数据流和利益相关者交互。
- • 一种数据驱动的方法，通过挖掘隐私相关新闻来构建领域感知的隐私设计空间。

## 2. 相关工作

本文的主要目标是通过（1）将隐私设计转化为结构化任务，以及（2）使用一系列多项选择题逐步引导开发者完成该过程，来降低初学开发者进行隐私评估的门槛。我们将相关工作分为三类：结构化隐私设计、面向开发者的隐私支持，以及隐私问答。

### 2.1. 结构化隐私设计

支持开发者进行隐私工程的一个核心挑战在于，隐私设计决策往往是分散的、隐含的且难以阐述。我们将结构化隐私设计概念化为系统地识别和组织隐私相关的设计决策。先前的工作通过开发隐私表示和绘制隐私设计空间来解决这个问题。

**隐私表示。** 将隐私工程化到系统中的基本挑战是阐述隐私（Gürses et al., 2011 (https://arxiv.org/html/2605.20206#bib.bib44); Bokaei Hosseini et al., 2020 (https://arxiv.org/html/2605.20206#bib.bib45); Hosseini et al., 2021a (https://arxiv.org/html/2605.20206#bib.bib46), b (https://arxiv.org/html/2605.20206#bib.bib47)）。Solove提出了一个专注于隐私侵犯的分类法（Solove, 2006 (https://arxiv.org/html/2605.20206#bib.bib48)）。情境完整性理论（Nissenbaum, 2004 (https://arxiv.org/html/2605.20206#bib.bib49)）将隐私定义为恰当的信息流。然而，这些表示对于从业者思考具体的系统设计决策而言过于高层。最近的研究发现，从业者经常结合通用图表来阐述隐私设计（Li et al., 2024b (https://arxiv.org/html/2605.20206#bib.bib20); Brooks et al., 2017 (https://arxiv.org/html/2605.20206#bib.bib11); Wen et al., 2025 (https://arxiv.org/html/2605.20206#bib.bib29); Tiwari et al., 2012 (https://arxiv.org/html/2605.20206#bib.bib53)），例如数据流图（DFD）（Li and Chen, 2009 (https://arxiv.org/html/2605.20206#bib.bib54)）和统一建模语言（UML）（Object Management Group Standards Development Organization (OMG SDO), 2017 (https://arxiv.org/html/2605.20206#bib.bib51)）。隐私营养标签提供了一种标准化格式，用于披露收集了哪些数据以及如何使用它们（Kelley et al., 2009 (https://arxiv.org/html/2605.20206#bib.bib16), 2010 (https://arxiv.org/html/2605.20206#bib.bib117)）。这些表示有助于描述数据实践，但并没有明确地揭示底层的设计决策。我们假设并非所有设计决策都同等重要；一个共同的子集（例如，保留期限、同意选项）在开发者实践中占据了相当大的决策份额。我们的目标是设计一种替代的隐私表示，使这些关键决策显式化，并将系统设计分解为离散的决策。

**隐私设计空间。** 隐私设计的复杂性促使研究人员开发结构化方法来绘制隐私设计空间。