Alerta de epidemia pode proteger você sem expor seus contatos graças a uma pontuação privada de risco

Um único encontro pode expor o que o aplicativo de rastreamento oculta

Um aplicativo de rastreamento de contatos consegue esconder quem se encontrou com quem, mas ainda assim revela algo sobre um desconhecido. O número exibido a cada usuário é uma estimativa do risco de infecção, frequentemente rotulado como COVIDSCORE. Ele serve para indicar a uma pessoa qual é a probabilidade de estar infectada no momento. Esse resumo útil também cria um canal lateral para um atacante. Um atacante pode instalar o aplicativo e agendar um encontro com um alvo. Se esse for seu único contato do dia, qualquer mudança em sua própria pontuação aponta fortemente para o alvo. A pontuação muda porque o aplicativo combinou informações de pessoas encontradas recentemente. Sem outros contatos para explicar a variação, o atacante pode inferir se o alvo carregava risco ou estava infectado. O vazamento vem do próprio número divulgado, não de uma lista de contatos comprometida. Esse ataque funciona mesmo que as salvaguardas padrão para detecção de contatos estejam em vigor. O mesmo problema aparece em muitos sistemas que publicam pontuações numéricas de risco sem proteção de privacidade. Um único encontro é suficiente para transformar o próprio painel do usuário em um sensor para outra pessoa. O atacante não precisa ver os dados do celular do alvo nem quebrar o pareamento seguro. Ele apenas observa sua própria pontuação antes e depois do encontro. Isso torna visível aos desenvolvedores de aplicativos uma escolha difícil de design. Uma pontuação que ajuda as pessoas a decidir se devem fazer um teste também deve ser difícil de reverter a partir de um único evento de contato. Se for fácil ler o risco de um desconhecido a partir de um único encontro, o aplicativo pode expor informações de saúde enquanto parece privado.

Por que o ruído em todos os alertas reduz a utilidade do aplicativo

Um aplicativo de rastreamento só é útil se o alerta refletir o perigo real. Quando cada pontuação de risco publicada recebe ruído aleatório, essa conexão enfraquece. O usuário pode ver um número alto após um dia tranquilo ou um baixo depois de uma exposição arriscada. O aviso mantém a aparência oficial, mas deixa de indicar com precisão onde houve contato.

O custo disso aparece no controle do surto. Em simulações que consideram testes imperfeitos, adicionar ruído de privacidade em um nível comum elevou a taxa máxima de infecção de cerca de 0,5 para 1,1 por mil pessoas. Não se trata de um colapso, mas de uma perda concreta de precisão. O aplicativo ainda identifica alguns usuários de alto risco, porém dispara mais alarmes falsos e deixa passar mais casos reais. Quando a capacidade de teste é limitada, esses erros pesam: cada exame desperdiçado significa outra pessoa sem diagnóstico.

O problema mais profundo está na forma como o ruído entra no sistema. Se cada mensagem de contato for distorcida separadamente antes que o aplicativo as combine, toda a evidência chega embaçada. Uma probabilidade entre 0 e 1 pode subir ou cair por acaso, fazendo com que a pontuação final herde muita oscilação. Pessoas com muitos contatos têm mais sinal para trabalhar, mas a distorção independente ainda turva o quadro. O resultado é um aplicativo que protege a privacidade, mas torna seus próprios conselhos menos confiáveis.

Um total diário que esconde os contatos individuais sem perder a utilidade dos alertas

O cálculo não divulga cada encontro como um sinal de alerta isolado. Em vez disso, os contatos de uma pessoa em um dia são agregados em um único número diário. Esse número é a parte que recebe proteção antes de qualquer pontuação de risco aparecer. A proteção multiplica o total diário por ruído aleatório, em vez de distorcer cada mensagem de contato separadamente. Isso mantém o alerta vinculado à exposição geral, ao mesmo tempo em que torna difícil isolar um único contato. O ruído vem de uma distribuição log-normal porque precisa permanecer positivo e ainda sustentar uma prova de privacidade limpa. Pessoas com muitos contatos precisam de menos ruído extra para a mesma garantia, enquanto pessoas com poucos contatos precisam de mais. As pontuações internas são limitadas ao intervalo completo de zero a um, o que mantém os cálculos subsequentes válidos. Após esse limite, o total diário com ruído é usado para estimar o risco de infecção daquele dia. Apenas a pontuação final sai do cálculo protegido, então os detalhes individuais dos contatos não são expostos como mensagens separadas. A garantia de privacidade estabelece que alterar o valor de risco limitado de uma pessoa pode deslocar o total diário com ruído apenas um pouco. Quando todos os outros contatos estão em seus limites e apenas um contato difere, ocorre o pior caso. Como a proteção é aplicada após a combinação, os alertas permanecem mais nítidos do que seriam se cada mensagem fosse distorcida. Nas simulações, essa agregação diária ainda produziu taxas de pico de infecção menores em um nível comum de privacidade com epsilon igual a um. O resultado se manteve em dois simuladores amplamente utilizados, incluindo execuções com até um milhão de pessoas. Em comparação com o rastreamento tradicional sob testes realistas, o método reduziu as taxas de infecção por fatores que variam de dois a dez.

O que ocorre quando faltam testes, quando eles falham ou quando o resultado é ignorado

Quando a capacidade de testes é limitada, as diferenças entre os métodos de rastreamento se tornam evidentes e difíceis de ignorar. Em uma simulação baseada no modelo do Reino Unido, apenas 10% da população era submetida ao teste diariamente. Uma versão adaptada para uma cidade dos Estados Unidos utilizou um orçamento ainda mais restrito, testando somente 2% das pessoas por dia. Esses limites são cruciais porque cada resultado positivo desencadeia dez dias de isolamento. Se o número de verificados for insuficiente, o aplicativo não consegue identificar casos suficientes para interromper as cadeias de transmissão. A análise de custos demonstrou que a capacidade de testes define o teto do controle da epidemia. Para manter o pico de infecções abaixo de 0,3%, o rastreamento tradicional exigia cerca de dez mil testes diários. O método privado atingiu o mesmo nível de eficácia com apenas cerca de quinhentos testes. Essa diferença indica que um sistema de testes escasso ainda pode ser direcionado para reduzir os picos de contágio.

Os testes não são perfeitos, e as simulações incluíram falsos positivos e falsos negativos. O cenário padrão adotou uma taxa de falso positivo de 1% e uma taxa de falso negativo de 0,1%. Um teste de estresse elevou esses erros para os valores piores citados pelas diretrizes europeias: 25% de falsos positivos e 3% de falsos negativos. Com testes tão imprecisos, a pontuação privada tornou-se menos robusta do que uma versão sem proteção. Sob o cenário padrão de testes imperfeitos, o pico de infecções subiu de cerca de 0,5 para 1,1 por mil pessoas. No pior caso, com testes muito ruidosos, o método com ruído atingiu um pico próximo a 46,6 por mil pessoas. A versão sem proteção manteve-se próxima de 0,6 por mil pessoas sob as mesmas condições adversas. Mais testes ajudaram: aumentar as verificações diárias de 10% para 15% restaurou em grande parte o desempenho do sistema.

Os resultados principais assumiam que as pessoas com teste positivo se isolariam por dez dias. Um experimento subsequente permitiu que os usuários ignorassem um resultado positivo e continuassem circulando normalmente. Mesmo quando até 75% dos positivos não seguiam as orientações, o método privado ainda superava o rastreamento tradicional. Se no máximo 20% ignoravam um teste positivo, o pico de infecções permanecia abaixo de meio por cento. Essa resiliência é importante porque o rastreamento real depende da ação das pessoas após um alerta. Um pico mais baixo também alivia a pressão sobre os hospitais e reduz a probabilidade de os governos imporem lockdowns.

As condições que evitam que a pontuação privada vire um instrumento de vigilância

Um índice de risco só mantém a privacidade se o acesso a ele for restrito. O cálculo utiliza apenas contatos e resultados de testes. Não emprega histórico de localização, dados de identidade ou registros de saúde. A execução ocorre em um ambiente de computação criptografado ou confiável, garantindo que nenhum servidor central colete o índice de uma pessoa ao longo do tempo. Assume-se que a detecção de contatos seja segura: o aplicativo já sabe quem se encontrou com quem, mas esse conhecimento é tratado como dado prévio e não explorado para inferências adicionais.

A promessa de privacidade também é limitada. Ela protege um único índice diário divulgado contra a revelação do status de uma pessoa em um passo específico. Se duas pessoas se encontram repetidamente, os pequenos vazamentos podem se acumular, e o design ainda não emprega regras mais rígidas para limitar essa perda recorrente. Essa limitação importa porque a vigilância muitas vezes surge da repetição: um olhar isolado pode ser inofensivo, mas muitos olhares constroem um mapa.

O sistema também esquece rapidamente. Os dados são mantidos por apenas 14 dias e depois excluídos. O método é sem estado no sentido de que não armazena um longo registro pessoal de saúde ou histórico de contatos. Uma vez que os contatos saiam da janela, eles deixam de afetar o índice do dia seguinte. Estender a memória além de duas semanas traz pouco benefício, então a janela curta ajuda a impedir que a ferramenta se torne um dossiê permanente.

No entanto, essas premissas deixam lacunas reais. Nem todo mundo tem um smartphone, e o acesso desigual pode criar proteção desigual. Se apenas algumas pessoas usam o aplicativo, muitos contatos ficam invisíveis, enfraquecendo tanto o rastreamento quanto a equidade da privacidade. Vieses existentes sobre quem é testado ou como os riscos são estimados podem ser amplificados pelo ruído adicionado para proteger indivíduos. Até que esses problemas sejam estudados, o índice privado permanece um instrumento cuidadosamente limitado e não uma ferramenta de saúde pública concluída.

Um índice diário ruidoso protege cada encontro e continua a guiar os testes

Um aplicativo de rastreamento de contatos consegue proteger cada encontro individualmente sem abrir mão da utilidade para a saúde pública. A proteção à privacidade é incorporada antes que o índice final de risco seja gerado. Assim, o sinal agregado do dia carrega ruído suficiente para impedir que se descubra se um único contato conhecido alterou esse valor. Essa arquitetura permite ao aplicativo manter um controle eficaz da epidemia, limitando ao mesmo tempo o que um estranho determinado poderia deduzir a partir de uma única interação.

A lição mais ampla é que privacidade e utilidade podem ser projetadas em conjunto quando o modelo de ameaça está claro. Um índice numérico é poderoso porque prioriza quem deve fazer o teste a seguir, mas torna-se perigoso assim que alguém consegue observar como seu próprio número se move após encontrar um alvo. Adicionar ruído calibrado aos sinais diários de contato preserva sinal suficiente para as decisões de testagem, tornando essa inferência pouco confiável.

As simulações sugerem que esse equilíbrio pode reduzir infecções e exigir muito menos testes do que o rastreamento comum, mesmo quando alguns resultados positivos são ignorados ou os testes cometem erros. Os obstáculos permanecem sérios. A adoção total é assumida nos principais resultados, mas populações reais incluem pessoas sem smartphones, pessoas que desconfiam de aplicativos e grupos cujos contatos ficam fora da rede. Encontros repetidos com a mesma pessoa podem estender a garantia de privacidade além de um único evento de contato, e dados enviesados podem ser amplificados em vez de corrigidos pelo ruído.

A questão prática é quantas pessoas podem entrar na rede, porque a proteção depende de os contatos serem visíveis. Um índice que funciona em uma cidade ou ecossistema de aplicativo precisa também sobreviver a celulares ausentes, confiança desigual e encontros repetidos antes de poder orientar decisões reais de teste.