Zo werkt privacy vandaag. Je leest het beleid. Je klikt de cookiebanner weg. Je spit door drie instellingenmenu’s op zoek naar de opt-out die iemand expres heeft weggestopt. Dat allemaal om een recht uit te oefenen dat gewoon de standaard had moeten zijn. En terwijl je nog bij de eerste alinea van de voorwaarden zit, is elke klik, scroll, hover en de exacte timing van je toetsaanslagen al geoogst, verpakt en verkocht. Ergens onderweg ben ik dat normaal gaan vinden, en dat zit me eigenlijk meer dwars dan het oogsten zelf.
Het defensieve playbook is het standaardantwoord. Gebruik een VPN. Blokkeer trackers. Blijf van social media af. Self-host wat je kunt. Het meeste hiervan doe ik, en ik raad het ook aan. Maar er zit een weeffout in die me elke keer opnieuw stoort als ik erover nadenk.
Verdedigen betekent elke ronde winnen
Je kunt alleen blokkeren wat je kent. De widget die drie lagen diep in een pagina zit die je één keer bezocht. De analytics-SDK die meegebundeld is in een app die je vergeten was. Het trackingdomein dat vanochtend online kwam. Niks daarvan staat al op je blocklist. De verzamelaar hoeft maar één keer door te glippen om aan een profiel te beginnen. Jij moet hem elke keer opnieuw vangen, op elk apparaat, voor altijd.
Dat speelt niemand foutloos. Ik ook niet. Ad blockers werken totdat een site ze detecteert en de pagina uitkleedt. Een VPN verbergt je IP totdat fingerprinting eromheen loopt. DNS-blocking vangt bekende trackers totdat de domeinen van morgen opduiken. Aan de ene kant een industrie met miljarden aan prikkels. Aan de andere kant jij, met een browserextensie.
Dus kom ik steeds weer bij een andere vraag uit. Wat als je stopt met proberen elke ronde te winnen?
Laat ze maar rommel verzamelen
Stel dat je de verzameling gewoon laat gebeuren. De tracker vuurt, de SDK belt naar huis, het profiel wordt opgebouwd. Alleen is dat profiel rommel. Het model dat op je data traint, leert de verkeerde dingen. De adverteerder die op je aandacht biedt, biedt op ruis.
Dát is de verschuiving. Het gevecht om verzameling te voorkomen verlies je uiteindelijk toch, dus dat gevecht staak je en je maakt de verzamelde data onbetrouwbaar. Het systeem draait gewoon door. Het vangt alleen niks meer dat de moeite waard is.
Denk aan een valse naam opgeven bij de koffiezaak. De barista maakt je koffie gewoon. Het spaarsysteem logt keurig een bezoek. Maar het datapunt dat ze opschreven wijst naar iemand die niet bestaat. Schaal dat op en je hebt data poisoning. Je voert de systemen die je profileren met opzet misleidende, ruisrijke of kapotte informatie, tot de kwaliteit zakt onder het punt waarop iemand er nog wat mee kan.
Oud idee. Verzetsgroepen in bezet gebied dienden valse rapporten in en zaaiden bewust desinformatie om af te breken wat de bezetter wist. Kun je de surveillance niet stoppen, dan kun je nog altijd vergiftigen wat ze ervan leert.
De tools bestaan al
Dit is wat me verraste toen ik me erin ging verdiepen. Niks hiervan is een onderzoekscuriositeit. De tooling is er vandaag al, en een flink deel draait gewoon in je browser.
AdNauseam klikt op elke advertentie die het ziet, stilletjes, op de achtergrond. Voor de ad networks lijk je opeens geïnteresseerd in babykleding, bejaardentehuizen, skateboards en landbouwmachines, allemaal tegelijk. Je profiel wordt zo ruisrijk dat je targeten geen zin meer heeft. Het network int nog steeds zijn fee per klik, maar de adverteerder betaalt voor niks. Google haalde AdNauseam uit de Chrome Web Store, en dat vat ik op als een aardig teken dat het doet wat het belooft.
TrackMeNot haalt dezelfde truc uit met je zoekgeschiedenis. Het vuurt op de achtergrond willekeurige zoekopdrachten af, zodat je echte zoekopdrachten begraven liggen onder een stapel neppe. Zelfde principe als AdNauseam. Kun je het signaal niet verbergen, verdrink het dan in ruis.
AI-trainingsdata vergiftigen
Hier wordt het voor mij interessant, want dit sluit aan op het moment waarin we zitten.
Large language models worden getraind op enorme datasets die van het open internet zijn gescraped. Je blogposts, je forumreacties, je Stack Overflow-antwoorden, de dingen die je over jezelf schreef. Het gaat allemaal de pipeline in. Niemand heeft het je gevraagd. Niemand heeft je betaald. En er is geen zinvolle manier om je bijdrage er achteraf weer uit te halen.
Nightshade, gebouwd aan de University of Chicago, voegt verstoringen aan afbeeldingen toe die je oog niet ziet. Voor jou ziet de foto er identiek uit. Voor een training pipeline is het iets heel anders. Een hond parset als een kat, een auto als een koe. Krijg genoeg vergiftigde afbeeldingen in de dataset en het vermogen van het model om bepaalde content te genereren zakt in.
Glaze, van dezelfde groep, is specifiek voor kunstenaars. Het legt een stijl-cloak over een kunstwerk, zodat modellen de stijl van de maker niet kunnen leren en nabootsen, terwijl het werk er voor mensen onveranderd uitziet.
Tekst is de variant die mij bezighoudt, want tekst is wat ik online zet. Weet je dat je schrijfsels gescraped worden voor training, dan kun je er adversarial patronen in verstoppen. Subtiel tegenstrijdige claims, zorgvuldig gebouwde edge cases, uitspraken die in context misleiden. Dat trekt allemaal de modelkwaliteit in een specifiek domein omlaag. Sommige sites zijn begonnen met onzichtbare tekst die recht op scrapers is gericht, een robots.txt met tanden. Onderzoekers hebben aangetoond dat het vergiftigen van maar 0,1% van een trainingsset de prestaties op gerichte taken meetbaar schaadt. Dat getal is het hele argument. Een dataset vergiftigen kost jou bijna niks, en hem schoonmaken kost hun een hoop.
Ja, dit is sabotage. Lees de context.
Een deel van jullie zit nu al ongemakkelijk op de stoel, en dat snap ik. Dit lijkt op vandalisme. Dus laat ik eerlijk zijn over de context in plaats van eromheen te draaien.
Deze bedrijven namen je data zonder te vragen. Ze bouwden producten van miljarden op jouw creatieve werk, jouw technische antwoorden, jouw persoonlijke schrijfsels, en gaven niks terug behalve “je ging akkoord met onze voorwaarden”. Uit die regeling kom je niet op een eerlijke manier weg, dus obfuscatie ben ik zelfverdediging gaan noemen.
Dit is het sovereignty-principe, toegepast op data. Zoals ik in Sovereign Infrastructure betoogde, is afhankelijk zijn van systemen die je niet beheert en niet kunt inspecteren een kwetsbaarheid. Daarom self-host ik, niet omdat het de makkelijke weg is. Diezelfde logica geldt hier. Kan ik niet bepalen óf mijn data verzameld wordt, dan kan ik op z’n minst bepalen wat die waard is zodra hij zonder echte toestemming van me is afgepakt.
Hoe dit er in de praktijk uitziet
Je kunt vandaag beginnen. Niks hiervan heeft een lab nodig.
Browser-ruis:
- Installeer AdNauseam om je advertentieprofiel te vergiftigen
- Draai aparte browsers met verschillende persona’s voor verschillende activiteiten
- Wis af en toe alle cookies om de continuïteit van tracking te doorbreken
Zoekvervuiling:
- Gebruik TrackMeNot om op de achtergrond zoekopdrachten te genereren
- Spreid je zoekopdrachten over meerdere engines, zodat geen enkel bedrijf het hele plaatje heeft
Weerstand tegen AI-training:
- Haal beeldend werk door Glaze voordat je het post
- Bedenk welke signalen je gescrapete content naar een model stuurt
- Gebruik je
robots.txt, in het besef dat het een verzoek is en geen afdwinging
Infrastructuurniveau:
- Houd een Pi-hole of AdGuard Home aan als basis voor blokkeren op DNS-niveau
- Deel per dienst een eigen e-mailalias uit, wat met een catch-all-domein triviaal is
- Kijk naar tools als Chaff, die nep-browseverkeer genereren
De obstakels zijn echt
Ik zou je iets aansmeren als ik de nadelen oversloeg, dus hier zijn ze.
Resourcekosten. AdNauseam verstookt bandbreedte met het klikken op ads. TrackMeNot genereert verkeer. Je besteedt je eigen resources aan het maken van ruis.
Nevenschade. Kleine publishers die van advertentie-inkomsten leven, vangen spookklikken. Die klikken kosten adverteerders geld, en dat knijpt uiteindelijk de hele advertentiemarkt af. Zo raak je misschien mensen die je helemaal niet wilde raken.
Wapenwedloop. Verzamelaars passen zich aan. Google heeft AdNauseam al uit de Chrome Web Store gehaald. Reken op slimmere fingerprinting en betere poisoning-detectie.
Juridisch grijs gebied. Afhankelijk van waar je woont kunnen sommige van deze technieken schuren met servicevoorwaarden of computerfraudewetgeving. Ken je jurisdictie voordat je iets doet.
Ethische ambiguïteit. LLM-trainingsdata vergiftigen raakt iedereen die die modellen gebruikt, niet alleen het bedrijf dat jou scrapete. Dat is een echt collectief actieprobleem, en een schoon antwoord heb ik er niet op. Het is ook precies waarom ik aan de tekstkant nog aarzel.
Deze kosten zijn echt. Of ze het waard zijn hangt af van hoeveel zwaarder privacy voor jou weegt dan gemak, en hoeveel nevenschade je voor je rekening wilt nemen.
Het gat dichten
Data poisoning is geen toverstokje, en iemand die het zo verkoopt zou ik niet vertrouwen. Het hoort in een bredere strategie die nog steeds bestaat uit blokkeren, self-hosten, versleutelen en via echte politiek aandringen op sterkere privacywetgeving.
Wat het toevoegt, is het ene dat pure verdediging je niet kan geven. Data verpesten is goedkoop voor jou en opschonen is duur voor hen, en voor één keer sta jij aan de goedkope kant. Dat maakt massasurveillance een beetje minder winstgevend, en het zaait twijfel in systemen die alleen werken als de data schoon is. Je hoeft je hele leven er niet voor om te gooien. Kies één tool, draai hem een maand, en kijk wat er verandert.
Verstoppen was nooit het enige antwoord op surveillance. Het andere is de surveillance onbetrouwbaar maken, zonder iets kapot te maken, door haar data te voeren die te ruisrijk is om te gebruiken. Het defensieve deel doe ik nog steeds. Alleen tel ik een tracker die erdoorheen glipt niet meer als verlies.