本文研究在本地差分隐私保护下，跨多个独立数据孤岛的去匿名化攻击威胁。当一个人的记录出现在k个各自满足(ε,δ)-差分隐私的孤岛中时，标准组合机制提供(kε, kδ)-DP保证，但这一最坏情况边界无法回答具体推断问题：在多大的k下，攻击者能实际识别目标个体？为此，论文提出跨孤岛个体级差分隐私（XSP-DP）框架，这是一种Pufferfish风格的隐私概念，其邻接关系同时捕捉单个个体在所有孤岛上的所有记录，并验证标准基本组合边界适用于此邻接模型。在该框架内，论文证明去匿名化存在相变现象：阈值k* = Θ(log n / ε²)（n为人口规模，ε为单孤岛本地差分隐私参数）。Fano下界表明当k << k*时任何估计器都失效，而匹配的最大似然上界表明当k >> k*时攻击成功。通过显式的XOR+随机响应构造，论文展示了信息协同效应：每个孤岛的单独输出对目标无信息量，但联合互信息严格为正。对于非协调的二元随机响应机制，论文证明一旦k超过阈值，去匿名化不可避免，从而说明了跨孤岛协调的必要性。这些结果为本地DP下跨孤岛推断攻击提供了基线威胁模型和Θ级阈值。本文适合安全研究人员、隐私保护工程师以及从事差分隐私应用的理论工作者阅读。

本文提出了一种名为I2PERCEPTION的低成本去匿名化方法，用于揭示I2P匿名网络中隐藏服务的真实IP地址。I2P是一个流行的匿名通信网络，但现有去匿名化方法难以在包含大量路由器的网络中有效扩展。I2PERCEPTION的核心思想是利用主动探测和被动监控相结合的方式，通过分析I2P路由器的加入和离开行为（即上线/离线模式）来关联目标隐藏服务的行为模式。攻击者首先部署少量的floodfill路由器（论文中仅使用15个）来被动收集网络中路由器的RouterInfo信息，并分析其发布机制以精确识别路由器的实时行为。然后，通过主动探测目标隐藏服务的在线状态，获取其行为模式。最后，将隐藏服务的行为模式与收集到的路由器行为进行时间序列关联，从而缩小可能的候选路由器范围，最终找到托管该隐藏服务的真实路由器，实现去匿名化。论文通过在真实I2P网络上进行长达八个月的实验验证，成功对受控的隐藏服务进行了去匿名化，证明了方法的精确性和有效性。该研究展示了I2P匿名网络面临的严重隐私威胁，并为匿名网络的安全改进提供了重要参考。