该论文研究差分隐私（DP）训练中梯度裁剪对 Muon 优化器更新几何的破坏问题。DP 训练通常对每个样本梯度进行径向裁剪再加噪，但不同样本的裁剪系数不一致，会扭曲这批梯度平均后的奇异向量相对几何结构。Muon 的更新量是近似极分解因子 UV^T，仅依赖奇异向量，因此对这种畸变尤其敏感。作者提出 Inner Momentum（IM）：在裁剪之前，将每个样本的 Muon 梯度在当前模型与最近若干历史模型上做平均。这样裁剪后的批量矩阵可分解为共同缩放项与协方差残差 R（样本梯度与裁剪值之间），并给出 Frobenius 范数上界 ||R||_F <= sigma_lambda sigma_G，直接约束裁剪导致的畸变。作者进一步证明，在相应谱条件下，有限步 Newton-Schulz 迭代保持输入的极分解因子，说明该修正能经受正交化过程而不被破坏。实验方面，在 E2E 与 DART 数据集上对 GPT-2 进行私有微调，ε 取 1、2、4、8；DP-Muon-IM 在所有同种子对比中均提升 BLEU 与 ROUGE-L，非私有诊断显示噪声注入前极分解误差降低 2–4%。该工作适合差分隐私优化、大模型隐私微调与优化器设计方向的研究者与工程师阅读。

本文研究目标扰动（objective perturbation）机制在有限步优化下的差分隐私性质。经典目标扰动做法是在正则化经验风险上叠加一个随机线性项 ⟨z,w⟩（其中 z 从 N(0, σ²I_d) 中一次性采样），随后发布扰动目标的精确最小化点，以此获得隐私保证。然而实际系统中优化器只能运行有限步，真正被发布的是确定性梯度下降在目标 w ↦ F(w;S) + ⟨z,w⟩ 上的第 N 次迭代 w_N，而非精确最小值，因此基于精确最小化点的传统隐私证明无法直接套用。作者正是针对这一理论与实现之间的差距展开分析：在目标函数强凸、光滑且 Hessian 满足 Lipschitz 的条件下，论文给出了一个显式条件，使得映射 z ↦ w_N 在隐私论证所使用的有界区域上构成 C¹ 微分同胚，并给出了其 Jacobian 最小奇异值的定量下界。这一结果使得可以直接对有限的第 N 次迭代进行变量替换（change-of-variables）分析，从而刻画有限迭代的隐私损失。对广义线性模型（GLM），作者导出的 privacy profile 界在迭代条件满足时不再含显式的环境维度 d 因子，且其有限迭代修正项随迭代数呈几何衰减；通过让自由截断参数随 N 缓慢增长，可在极限情形下恢复精确最小化点对应的隐私证书。此外，论文还将期望超额经验风险界定为 dσ²/(2μ) 加上一个几何衰减的优化项，并把结论迁移到总体风险，使得主要统计项中不再出现额外的条件数乘性因子。整体贡献在于为「有限步优化 + 目标扰动」提供了严格且更紧的隐私—效用分析，缩小了精确解理论与迭代实现之间的差距。适合差分隐私机器学习理论、隐私会计与隐私训练系统实现方向的研究者与工程师阅读。

论文针对差分隐私（DP）中多种曲线型隐私定义并存、选择不同定义会影响隐私分析与效用的问题，提出统一的信息论框架。作者考虑四类主流定义：两个方向性的 (ε,δ)-DP 隐私轮廓、假设检验权衡函数对，以及扩展隐私损失分布。对固定输出分布的有序对，论文证明这些对象之间存在信息等价：只要精确 Rényi 差分隐私（RDP）曲线在某阶数大于 1 时有限，RDP 曲线也加入该等价类。因此在这些温和条件下，选择不同定义只改变语义解释和计算需求，不改变隐私信息本身。相反，若对方向性隐私轮廓取最大值，或把 RDP 曲线压缩成单个零集中差分隐私（zCDP）参数，会丢失信息。作者进一步量化精确 RDP 曲线与其 zCDP 上界之间的信息损失，发现高斯噪声下损失为零，但高斯混合、拉普拉斯、离散高斯、泊松子采样高斯机制下通常为正，且损失随独立组合机制数量线性增长。实证上，在同等认证隐私水平下，保留完整 RDP 曲线而非 zCDP，可在类似美国社区调查规模的工作负载中将高斯混合噪声所需方差最多降低 45%；在 Fashion-MNIST 上泊松子采样的 DP-SGD 中，RDP 隐私会计师相比 zCDP 会计师可将测试准确率提高最多 8.73 个百分点。

本文研究两方差分隐私（two-party differential privacy）问题：双方各持一段长度为 n 的比特串，需要联合计算二者的汉明距离，并且双方必须输出相同的估计值。作者关注的是信息论意义（而非计算假设意义）下的隐私保证。经典结果存在一条明显的分界线：纯差分隐私下，任何信息论协议的错误下界为 Ω(√n)；强近似差分隐私下为 Ω(√n/log n)；只有当引入计算假设时，经典协议才能把误差降到 O(1)。论文提出量子协议，在 Klauck 提出的诚实、非抢占、消息保持（honest, nonpreemptive, message-preserving）模型中，仅用 O(n) 的量子通信量即可实现纯 ε 量子差分隐私（QDP），期望误差不超过 2/sinh ε + γ（对任意 γ>0）；对近似 (ε, δ) QDP，作者通过精确的曲棍球棒散度（hockey-stick divergence）计算得到更小的误差，并在 δ=o(1/n) 时仍保持 O(1) 与 Ω(√n/log n) 之间的分离。这意味着量子通信可在信息论层面达到经典只有在计算假设下才可获得的 O(1) 精度。核心技术构造包括一个受保护的相干往返（guarded coherent round trip）与一个等 Gram 刚性（equal-Gram rigidity）原理，用于阻止诚实参与方保留与输入相关的补充信息。作者还把该模型与更弱的“指定信道隐私”（该模型已存在精确的经典实现）以及“完全抗保留安全性”（该模型下仍可行测量后中止攻击）区分开来，从而论证：保持非正交量子消息本身构成一种可用于隐私保护的资源。

差分隐私(DP)的形式化隐私保证依赖从噪声分布中精确采样：一旦采样器偏离理论分布，实际提供的隐私预算与所宣称的 ε/δ 就会脱节。本文报告在 OpenDP 的离散拉普拉斯(Discrete Laplace)采样器中发现的系统性伪影(artifact)：在系统化测试下，采样输出分布出现周期性失真，表现为随取值周期性重复的概率偏差，而非可归因于随机波动的统计噪声。作者通过分层排查定位根因——底层 bernoulli_exp1 原语(用于实现从 Bernoulli(e^(-x)) 分布的采样)所依赖的有理数运算库存在实现缺陷，使该原语在特定输入下返回错误概率，误差沿嵌套采样层级被逐级放大，最终在输出分布上形成可见的周期性结构。论文提出了一套可复用的诊断方法论：自顶向下逐层隔离采样调用链中的组件，对每一层执行分布级统计检验，从而把故障精确锁定到最小可复现单元。修复方案是用精确有理数算术重新实现该原语，以消除近似/浮点运算引入的偏差。统计验证使用 10^6 个样本，通过拟合优度检验确认修正后的采样器在测试精度水平下与理论分布不可区分。论文的主要贡献有三：一是公开了一个影响差分隐私实现正确性的具体缺陷及其可复现的失效模式；二是给出了可迁移到其他采样器/数值库的诊断流程；三是提供了消除该类伪影的实现路径。适合 DP 库维护者、隐私工程与合规审计人员，以及依赖噪声采样正确性做统计推断的研究者阅读。

该论文针对联邦学习（FL）中隐私保护的割裂现状提出了一套组合式框架。背景在于：去中心化数据日益普遍，联邦学习允许客户端在不共享本地敏感数据的前提下协同训练模型，但 FL 本身并不足以保护训练数据——梯度更新仍可能泄露成员信息与属性信息，因此实践中通常叠加差分隐私（DP）或同态加密（HE）。作者指出，这两类技术各自解决不同层面的问题：DP 通过加噪提供可证明的统计隐私保证，但会显著损失模型效用；HE 则让服务器在密文上完成计算，保护传输与聚合过程中的数据机密性，却无法约束最终发布模型对个体样本的泄露。单独依赖其一，在 FL 场景下要么效用太差，要么隐私保证不足。为此，论文提出一个隐私保护联邦学习框架：训练阶段采用基于同态加密的方案（在密文域进行模型训练/聚合，避免明文暴露），而模型审查与发布阶段采用差分隐私机制，从而把"机密性"与"发布时的隐私核算"解耦并由不同机制分别承担。为量化整体隐私水平，作者引入了基于马尔可夫链蒙特卡洛（MCMC）的贝叶斯隐私估计方法，对框架的隐私参数进行后验推断，而不是仅依赖传统的 DP 会计。实验在 FEMNIST 数据集上进行：训练结束时，所提方法测试损失为 1.09，而仅使用差分隐私训练的基线为 2.37，说明模型效用大幅提升；同时估计得到的隐私参数 ε 后验均值为 4.32，优于基线的 7.26，即效用更强且估计隐私保护更强。论文进一步表明，间歇性的模型监控（intermittent model monitoring）能够在保持加密训练轨迹完整性的同时，达到与纯 DP 方案相当甚至更强的估计隐私水平。整体贡献可概括为：将 HE 训练与 DP 发布/审查相结合的系统性框架设计、面向该框架的贝叶斯隐私估计方法，以及在效用—隐私权衡上同时改善基线的实证结果。

这是一篇立场/观点型（perspective）论文，讨论多机构协作开展科学人工智能时的隐私基础问题。背景是：科学 AI（从基础模型 FM 到联邦数据分析流水线）正在成为国家实验室、大学、医院与产业伙伴共同依赖的共享基础设施；这种协作产生的隐私风险，其自然计量单元通常不是单条数据记录，而是某个机构的参与事实、研究策略或技术能力，即“机构级隐私”。现有防护手段——差分隐私（DP）、联邦学习（FL）、安全计算、可信执行环境、数据溯源——各自只保护技术栈的一部分，且在混合信任机构、多级访问层级和自治智能体共存的场景下，这些保证很难相互组合（compose），导致保证碎片化、难以审计。论文的核心方法是将科学 AI 隐私重新刻画为一个“保证（assurance）问题”，由六个要素定义：受保护资产、观察者、信道、允许披露、保证、证据；作者用一个面向复合跨机构场景的“声明登记册（claim register）”演示该框架，并用它沿模型全生命周期逐阶段评估。关键发现包括两个领导级超算设施特有的缺口：一是调度器、资源分配与遥测元数据会暴露机构的资源态势；二是附着在科学仪器上的控制回路会通过共享加速器上的时序与资源争用泄露研究策略。论文据此提出六项研究优先方向：机构级保证、智能体间通信隐私、跨信任层级的信息流、隐私兼容的可复现性、领导级规模的隐私核算、以及仪器侧信道。总体贡献是提供一个统一的形式化语言，用于陈述、比较与审计隐私声明，使原本分散在科学 AI 各层的保证变得可对比、可审计。适合超算中心与科研基础设施安全合规团队、联邦学习与差分隐私研究者、科研数据治理与 AI 治理人员阅读。

本文研究差分隐私合成数据生成算法 Private Evolution（PE）的理论性质与改进方案。PE 是一种在差分隐私约束下生成合成数据的迭代式算法，其工作方式可以形式化为一种 Wasserstein（最优传输）学习过程：算法反复从生成器采样候选数据、在隐私保护下依据与真实数据的距离进行筛选与演化。作者指出一个长期存在的理论与实践的落差——按最坏情况下的 Wasserstein 分析，PE 所需的样本复杂度应当很高，但它在实际任务中表现远好于该理论上界。为解释这一现象，作者将 PE 重新建模为“生成模型增强的 Wasserstein 学习”（generative model-augmented Wasserstein learning），即把生成器本身视为一个携带了真实分布先验信息的组件，而不是完全无信息的假设类。在这一框架下，作者证明：当生成器能够捕捉真实分布的部分结构时，可以得到显著更优的性能界；例如若生成器在分布所处的同一低维子空间中采样，则样本复杂度只依赖于分布的内在维度（intrinsic dimension），而与环境的周围维度（ambient dimension）无关，这解释了高维数据上 PE 的实际有效性。作者同时揭示了一个负面结果：PE 的标准变体在若干简单且聚类结构良好的实例上可能无法收敛，说明现有算法在几何结构利用上存在缺陷。针对该问题，论文提出一种新的“几何感知”（geometry-aware）版本的 PE，并给出在上述良聚类实例上可证明收敛的理论保证。实验部分显示，该新算法与标准基线方法相比具有竞争力，并且在召回率（recall）指标上有所提升。整体而言，论文从理论刻画、反例构造到新算法与实验验证构成完整闭环，属于差分隐私合成数据与生成式建模交叉方向的工作，适合隐私机器学习、差分隐私合成数据、最优传输与聚类理论方向的研究者和工程实践者阅读。

该论文针对 B2B 广告的定向困境提出 SIF（Sealed Inference Frame）方案。背景是：B2B 广告需要推断浏览者的职业属性（雇主规模与行业、职能、职级），传统做法依赖跨站身份匹配；但 Safari 与 Firefox 已封堵第三方 Cookie，Google 于 2025 年下线 Privacy Sandbox 的 cohort API，而基于反向 IP 的企业画像在远程办公普及后准确度持续衰减。SIF 的思路是把推断放到用户设备上完成：在本地推断出粗粒度的职业分群，只向 OpenRTB 竞价流写入一个经过本地差分隐私处理、按分类法编码的标签，全程不带跨站标识符。其技术基础是 Web 平台的一个特性——被导航的跨源 iframe 是第三方代码唯一能获得自己可控策略的载体，因此推断以 WebAssembly 运行，即使发布方 CSP 禁止亦然；而嵌套 worker 以 default-src 'none' 提供，使模型完全没有网络访问能力。论文给出泄漏上界：即使模型本身是恶意的，每站点每周也最多泄漏约 5 bit。标签经一个以发布方第一方标识符为键的记忆化 k 元随机响应机制处理，从而满足 ε-本地差分隐私，可抵御多次请求求平均的攻击，且其跨请求关联能力不超过已发送的第一方标识符。此外引入组织条件 k-匿名规则对单元格进行抑制，在企业网络环境中比家庭网络更严格。分群数据通过 OpenRTB 的 user.data 字段以对齐 LinkedIn 的分类体系传输，归因使用 LinkedIn 的点击级 li_fat_id 而不做身份桥接。实验部分包括：对 7,969 个头部站点与 431 个 B2B 发布方的 CSP 部署爬取、Heavy-Ad 预算分析、隐私—效用权衡的闭式解、再识别模拟，以及属性可预测性评估——公司类型与规模可预测，职级基本不可预测。作者强调“端上运行是一种设计属性，而非同意豁免”。

该论文研究的是差分隐私（DP）合成数据生成中的效用保证问题，具体以 1-Wasserstein 距离作为效用度量。背景与核心问题：对定义在 [0,1]^d（d≥2）、样本量为 n 的数据集，已有纯 ε-差分隐私机制所能达到的期望 1-Wasserstein 误差约为 (εn)^{-1/d}，这一速率反映典型的维数灾难。虽然该速率在最坏情况下是最优的，但当数据实际只分布在一个低维集合（低内在维度）上时，这种以环境维度 d 为准的刻画过于悲观，导致隐私-效用折衷被高估、合成数据质量被低估。为此，作者形式化地引入“多尺度填充增长维度”（multiscale packing-growth dimension）k：通过填充数（packing number）随尺度增长的速度来刻画支撑集（support）的几何复杂度，从而用一个可学习的、自适应于数据几何的维度替代环境维度 d。方法上，论文提出 Adaptive Pruned-PMM：一种纯 ε-差分隐私机制，将“隐私化的深度选择”与作者对 He 等人 2023 年提出的 Private Measure Mechanism（PMM）所做的剪枝变体相结合。该机制允许使用更深、更贴合数据几何的层次结构，期望运行时间为 O(d(n+d)log(εn))，在维度 d 与隐私预算 ε 固定时对 n 近似线性，计算开销可控。理论贡献方面：在外部多尺度填充增长条件（维度为 k）下，作者证明对固定的正隐私预算与固定几何，当 n 增大时期望 1-Wasserstein 误差的量级为 (εn)^{-1/k}（k>1）；并在对应的内部填充增长条件下给出下界，说明指数 1/k 在该框架内是紧的（sharp），即无法进一步改进。总体而言，这是一项理论性工作，核心贡献是给出一种能随数据内在维度自适应、并在低维支撑情形下突破维数灾难的 DP 合成数据机制及其匹配的上下界，适合差分隐私理论、隐私保护机器学习、统计发布与高维统计方向的研究者阅读。

该论文介绍了一种新一代联邦学习（FL）系统，目标是解决早期 FL 部署中的运营难题，并首次提供可被外部验证的中心化差分隐私（DP）保证，同时改善隐私与效用之间的权衡。系统基于可信执行环境（TEE）构建：设备使用由 TEE 托管的密钥管理服务（KMS）管理的密钥对本地数据进行加密后上传；上传的数据在密码学层面绑定到一条策略，该策略限定了后续可在服务端 TEE 中处理该数据的 Python 程序集合。外部相关方可以检查公开的透明日志，观察这些策略所允许的工作负载集合，从而获得可审计的信任基础。实验结果显示，新系统提升了设备覆盖率，并改善了隐私-效用曲线，原因是系统可以按优化 DP 保证的调度将收集到的数据整合进服务端工作负载，而这一过程不受设备可用性波动的影响，避免了传统 FL 中因设备掉线导致的训练偏差与隐私核算困难。作者还指出，该系统已完成产品化，使 Android 键盘（Gboard）的模型训练更快、准确率更高，并且所需隐私预算更小，而这些预算现在可被外部验证。该研究融合了 TEE、透明日志、中心化 DP 与联邦学习工程实践，属于隐私增强机器学习的重要落地进展，适合联邦学习、差分隐私、可信执行环境、隐私工程与合规审计方向的读者阅读。

该论文研究将差分隐私（DP）形式的认证鲁棒性从卷积神经网络迁移到视觉 Transformer（ViT）时出现的失效问题。PixelDP 通过在网络中间层注入噪声，为范数有界的对抗扰动提供严格的鲁棒性证书，此前在 CNN 上被证明有效；但在自注意力架构主导深度学习、并广泛渗透数字与物理世界的今天，其在 Transformer 上的认证鲁棒性行为几乎未被探索。作者在 ViT 上复现该构造后发现一个在卷积设定中被掩盖的失效模式：当噪声被注入到 patch embedding 之后时，沿用 CNN 分组 ℓ1 敏感度界的拉普拉斯机制在所有噪声尺度下都退化为随机猜测水平的准确率，而同一位置的高斯机制仍然可正常训练。这一强烈对照把失效来源从“注入噪声本身”隔离到“敏感度约束的几何形态”上。作者进一步用随机矩阵分析解释该现象：继承的 Δ_{1,1} 投影所带来的信号衰减随层宽与核尺寸增大而加剧，其尺度约为 C/(√M+√N)。当把 ℓ1 型约束替换为谱范数约束后，跨数据集与跨架构的坍缩现象被消除，但随之产生新的根本障碍——修复后的模型不再满足标准拉普拉斯证书所要求的敏感度条件。作者最终通过隐私损失集中不等式，为 ℓ2 敏感度下的拉普拉斯机制推导出一个与维度无关的 (ε,δ)-隐私保证，从而弥合这一理论不匹配。该工作对认证防御设计者具有直接指导意义：它表明敏感度约束的几何选择（而非噪声分布本身）是 ViT 上认证鲁棒性成败的关键，并提供了可用的替代理论工具。适合研究认证鲁棒性、差分隐私机器学习与 Transformer 安全的研究者与工程团队阅读。

本文研究图信号处理中的一个核心隐私问题：当分析者只能观测到图滤波器（graph filter）的输出时，图移位算子（GSO，即邻接矩阵、拉普拉斯矩阵这类刻画图拓扑的算子）本身能获得多强的差分隐私（DP）保护。传统做法是对 GSO 本身或其滤波输出加噪，而作者另辟蹊径，假设输入到图滤波器的信号本身就采样自一个满足差分隐私的分布，于是直接利用输入端已有的随机性来保护 GSO，相当于"零额外噪声"地达到与扰动方法同等的隐私水平，因而带来更好的隐私—效用折衷。 理论层面的核心贡献是给出了隐私损失及其证书关于图滤波器零点的显式刻画：作者证明，两个相邻拓扑（差分隐私意义上的相邻图）对应发布结果之间的对数似然比，由滤波器每个零点到这两个 GSO 图频率（graph frequencies，即特征值）的距离所支配。通过对所有相邻拓扑一致地界定该似然比，作者为高斯输入导出了显式的 (ε, δ)-DP 保证，从而把隐私预算与滤波器零点和图谱结构直接联系起来。进一步地，作者借助 Cramér–Rao 下界说明：限制隐私损失的零点配置，同时也会抬高对手重建误差的下界，即隐私与不可重建性在同一设计目标上是一致的。 实验部分在一个合成的金融敞口网络（financial exposures）上进行验证：一对节点所能隐藏的最大头寸规模与其被估算的精度之间存在共线性，两者都由该节点对的图频率成分决定；只有当认证的隐私预算不断增大时，整个网络才会逐渐变得可恢复。 该工作适合隐私计算、图机器学习、网络测量与金融风控等方向的研究者与工程师阅读，为其在关系型敏感数据上做图分析提供了可证明的隐私设计准则。

本文研究 c-内点点态最大泄露（c-interior pointwise maximal leakage, PML）作为收缩性分析与披露控制工具的理论价值。传统局部差分隐私（LDP）要求对任意相邻输入，输出核满足有界似然比，这在实际系统中往往过于严格，且难以刻画确定性系统或仅对特定数据生成假设成立的场景。作者提出的 c-内点 PML 将 LDP 推广到密度一致地远离零（下界为 c>0）的数据生成分布族：只有落在该 c-内点集合内的输入分布才需要满足约束，因此可把 PML 视作作用在核（kernel）上的代数约束，而非逐点最坏情况约束。这一视角使收缩性分析比标准 LDP 更灵活，且在多数情形下给出更紧的界。论文给出的主要技术贡献包括：对 Dobrushin 系数的紧界；对 Hockeystick 散度收缩系数的界；以及在 c-内点 PML 约束、且散度输入分布被限制在 c-内点集合内时，针对 f-散度的强数据处理不等式。这些结果突破了纯 LDP 的范围，可覆盖包括任意随机矩阵在内的更大一类核。作者随后把结论应用于极小极大（minimax）理论，针对二元假设检验与均值估计给出在 c-内点 PML 约束下渐近最优的策略。分析中反复出现的一个有趣结论是：当隐私问题相对正则（即密度界 c 较大）时，私有推断可以在样本复杂度上不付出额外代价。整体上，该工作为分析者提供了更细粒度的披露控制推理框架，既能量化确定性系统的隐私泄露，也能在任意分布假设下给出精确的对抗性保证。

该论文关注在敏感数据上通过检索增强生成（RAG）部署大语言模型（LLM）时引入的严重隐私风险。已有研究将差分隐私（DP）应用于 RAG 以提供形式化隐私保证，但现有 DP-RAG 框架会迅速耗尽隐私预算。作者指出一个关键错配：预算支出与模型对私有数据的实际依赖程度不一致。很多操作本可只依赖公开信息，或仅需一次性且可忽略的隐私成本，但现有方法（如缩小检索范围、稀疏化私有生成）本身却会累积消耗预算，导致大量预算浪费在无需私有访问的环节。为此，论文提出 SparsePay-RAG，核心原则是“只付必须付的”（only pay what you must spend）。该方法以公开信息作为零隐私先验，仅对“私有增量”收取隐私预算。具体包含三个技术组件：一是通过公开主题引导的聚类缩小检索范围，减少不必要的私有检索；二是通过等渗跨层轨迹拟合（isotonic cross-layer trajectory fitting）自适应控制私有访问频率，且该控制过程不消耗隐私成本；三是通过 DP 对比解码压缩每次私有访问的预算开销。在强隐私约束下的实验表明，SparsePay-RAG 在隐私-效用权衡上优于基线方法，即在相同隐私保证下获得更好的效用，或在相同效用下消耗更少预算。该工作适合隐私保护机器学习、RAG 系统、差分隐私机制设计以及合规敏感数据问答系统的研究者与工程师阅读。

本笔记是一篇数学论证性的综述/讲解文章，作者 Jalaj Upadhyay 针对差分隐私（DP）持续计数（continual counting）问题的下界证明，给出了尽可能详尽的推导说明。所谓持续计数，是指在数据流持续到达的场景下，每一次到达都需要发布一个对当前前缀和的差分隐私近似值；由于每个时间点的噪声需求会相互累积，该问题下界决定了 DP 流式统计在效用上的根本极限，是 DP 理论与工程实现（如流式聚合、隐私保护遥测）中的核心结果。文章的写作对象是 Harrison 和 Leeman 在 arXiv:2609.17650 两版预印本中所转述的、由 GPT Astra 给出的 DP 持续计数下界证明。作者表示，其目标是让该证明更易读、更易被社区检验，并希望能借此促成更自然、更简洁的证明。摘要同时梳理了相关工作脉络：在 Harrison 与 Leeman 的首个预印本出现之前，Bairaktari 和 Larsen（arXiv:2607.00876）已给出一个优雅的构造性证明，说明纯 DP 与近似 DP 持续计数均存在 Ω(log^{3/2}(n)) 的下界；他们在与作者的个人交流中透露已掌握纯 DP 情形下最优的 Ω(log^2(n)) 下界，并随后以 Bairaktari、Dahl、Larsen 三人合作形式发表（arXiv:2607.00876v3），该结果是对其近似 DP 技术的优雅推广。作者指出，Astra 的证明与 Bairaktari–Larsen 的技术在技术细节上并不相同，但借用了后者引入的、与之相关的树形几何结构。整体而言，这是一篇理论导向的解析文章，价值在于厘清证明链条、暴露该下界方法的可简化空间。

该论文聚焦复杂事件处理（CEP）系统中的隐私保护问题。CEP 引擎从高速事件流中检测模式（如事件序列、时序关联、聚合条件），而现有的隐私保护机制（PPM）通常对整条数据流或单个事件施加统一噪声，限制性过强：隐私预算被平摊到大量与最终模式无关的细节上，导致数据消费者所获得的事件检测结果可用性显著下降。作者提出一种新的隐私保证——模式级差分隐私（pattern-level DP），使隐私强度能够以最终被检测出的模式为单位进行定义、施加与比较，而不再停留在事件或元组层面。基于该定义，论文设计并提出了若干新的模式级 PPM，并系统分析它们在不同信任模型下的行为，包括对上下文知识（例如系统中已部署的查询、模式结构）的依赖与要求。评估基于三个数据集（两个真实数据集、一个合成数据集），结果表明在保持与当前最优 PPM 同等隐私水平的前提下，所提方法能提升数据可用性；论文还通过仿真考察了所提 PPM 在多种实际场景下的性能，并论证计算复杂度不构成部署障碍。该工作适合数据库、流处理与隐私计算方向的研究人员，以及构建 CEP / 流式分析管道的工程师阅读。

该论文针对文本数据发布场景中的身份再识别（identity leakage）风险，提出了一个名为 Conformal Privacy Auditing（CPA，共形隐私审计）的免分布校准框架。研究背景是：随着大语言模型（LLM）能力提升，攻击者可以结合 LLM 与外部辅助知识（auxiliary knowledge）把已发布的自然语言文档重新关联到具体个人，传统的经验性审计只报告某条特定攻击流程的成功率，缺乏有限样本的统计保证；而训练阶段的保护手段（如差分隐私）难以转化为针对单篇发布文档的、发布时（release-time）可用的风险判断。 核心方法：CPA 借助共形预测（conformal prediction）思想，为每一篇待发布文档输出一个“共形模糊集”（conformal ambiguity set），即在可交换性（exchangeability）假设下，以用户指定的置信水平保证该集合包含真实身份；集合的大小被进一步转化为可解释的泄漏代理指标（leakage proxy），从而把抽象的隐私风险变成可度量、可比较的数值。框架同时支持两类攻击者设定：可访问 logit 的攻击者（对应开源模型）以及仅能采样的攻击者（对应闭源专有 API 模型），从而在统一口径下审计不同模型形态。 主要贡献：一是将再识别风险评估从“点估计成功率”提升为具有有限样本统计保证的认证式评估；二是提出集合规模作为可解释的泄漏强度度量；三是给出跨攻击者能力、跨数据集的统一审计协议。实验在多个文本发布基准与多种攻击者配置下进行，结果显示 CPA 达到了良好的校准覆盖率（calibrated coverage），并揭示出当辅助知识规模、LLM 增强能力以及发布机制发生变化时，被认证的可识别性会出现显著跃迁。这为在发布时报告和横向比较不同攻击者配置、数据集与发布机制下的链接风险提供了统计学基础。 适合读者：隐私工程与数据发布治理团队、差分隐私与隐私审计研究者、负责模型/数据集对外发布的安全工程师，以及需要评估 LLM 时代文本再识别风险的合规与风控人员。

该论文针对差分隐私（Differential Privacy, DP）实现中一个长期被理论讨论但缺乏实证的问题展开研究：DP 的隐私保证建立在「噪声源足够随机」这一前提之上，但现实中随机数发生器（RNG）的熵退化究竟会对 DP 机制产生多大实际影响，此前并不清楚。作者基于 IBM 开源库 DiffPrivLib 搭建了一套系统性的实证评估框架，核心思路是构造一条「熵质量逐级下降」的噪声源链条：起点是高质量的量子真随机数发生器（TRNG）与密码学安全伪随机数发生器（CSPRNG），随后通过受控方式逐级注入熵退化，直至形成带有明确、可度量偏差的低质量随机源，并用成熟的随机性测试套件对这些源进行刻画，从而保证退化程度是可量化、可复现的。实验部分在一个参考数据库上重复执行了超过一百万次查询，并配合多组补充统计检验，直接对经验「隐私损失随机变量」（Privacy Loss Random Variable）的分布进行分析，而不是仅停留在理论界的上界推导。主要发现包括：当大约每 8 到 16 个比特中就有 1 个比特被系统性操纵时，DP 机制能够可靠地检测到分布偏差；检测灵敏度在两类退化模式之间存在显著差异——比特级偏置（bit-level bias）与时间相关性（temporal correlation）被察觉的难易程度并不相同。更具启示性的结论是：对分布异常的统计检测能力，并不等价于隐私保证已被实际破坏，即「可检测」与「已泄露」之间存在重要鸿沟。该工作为 DP 工程实现中的随机性质量评估、测试基线设定以及审计方法提供了可复现的实验依据，适合隐私工程、密码学实现审计及数据发布平台的研发与安全人员阅读。

随着机器学习广泛部署，监管与政策对训练数据保护的要求日益严格，差分隐私(DP)成为关键技术；但一个研究不足的问题是，如何在不接触私有训练数据的前提下，由外部验证者认证已发布的模型确实按声称的 DP 保护完成训练。现有基于零知识证明等密码学方案虽能提供强保证，却往往带来数量级的高昂开销。TEE 是更高效的替代路径，但支撑大语言模型训练与微调所需的多 GPU TEE 能力仅存在于较新平台，在旧 GPU 上缺失或效率低下。本文提出一套可验证 DP 训练的实用框架：以 CPU 侧 TEE 配合不可信 GPU。该设计直面效率与安全的根本矛盾——全部在 CPU TEE 内训练过慢，而无限制地向 GPU 卸载又可能让恶意方偏离 DP。方案将昂贵的梯度计算卸载到 GPU，同时在 CPU TEE 内通过概率性检查高效验证梯度上 DP 是否被正确强制执行。实验表明，框架能以高概率检出频繁的完全 DP 偏离；对于本文评估的面向效用的伪造梯度攻击，稀疏偏离带来的效用收益有限，且未观察到可测量的额外成员泄漏。整体上接近“免费午餐”：相比标准 GPU DP 训练仅增加适度开销，同时有效约束对声称 DP 执行的恶意偏离。

本文研究在有限域 F_q 上把矩阵乘法外包给单一（不可信）服务器时，采用秩不超过 r 的加性掩码能提供多强的统计隐私。针对独立均匀的 n×n 输入矩阵，作者证明两类自然采样方式——均匀 rank-ball 掩码，以及独立均匀因子的乘积——对服务器的完整视图（complete server view）所能达到的最大相关保密性（maximal-correlation secrecy）上界为 q^{-r}，而编码与解码各只需 O(n²r) 次有限域运算，开销与秩和矩阵规模成线性关系。该保密性指标量化的是服务器在观测到掩码后的输出后，仍能在多大程度上有效估计输入的任意函数。随后作者给出了与上界渐进匹配的下界：当 r=o(n) 时，上述两种采样方法在所有“输入无关、秩至多 r”的加性掩码中是渐进最优的，即便允许使用秘密的可逆变换（即额外的线性预处理）也无法突破。论文还刻画了均匀 rank-ball 掩码在任意联合输入分布下的后验分布，并在独立均匀输入下证明了针对矩阵行与列的近似个体安全性（approximate individual security）。最后给出一个负面结论：对于固定域大小 q 和有界 ε，任何输入无关、秩 r=o(n) 的加性掩码在条目级 (ε,δ)-差分隐私意义下都必须满足 δ→1，即无法提供有实际意义的条目级 DP 保证。整体上，论文用信息论方法给出了单服务器外包矩阵乘法中低秩掩码的保密性上界、可达性与最优性边界，并明确了加性掩码与差分隐私之间的根本张力。适合从事隐私计算、安全外包、信息论安全与密文计算的研究者与架构师阅读。

自然语言数据集被广泛用于模型训练与社会科学研究，但公开发布文本会泄漏数据源的整体统计属性（即“数据集级秘密”），例如某种性别、某种诊断或某种政治立场的记录占比。这类信息不属于任何单条记录，却可能暴露整个采集人群的敏感特征。现有研究多集中在属性推断攻击（property inference）如何恢复这些全局属性，针对性的防护手段仍然稀缺；差分隐私虽能有效保护个体记录，对聚合属性的保护却很弱，因为它允许攻击者通过大量样本的统计平均逐步逼近真实分布。为填补这一空白，作者提出 QuanText（Randomized Quantization for Text），一种无需训练、与具体大语言模型无关的数据发布机制，目标是在保护数据集级全局秘密的同时尽量保留数据可用性。其输入包括一个需要保护的数据集级秘密（如患有某种诊断的记录比例），以及需要保留效用的属性（如主题、情感）。QuanText 同时扰动秘密属性分布与与之相关的非秘密属性分布：先在一组候选发布分布中随机挑选一个与真实经验分布足够接近的候选（以保证效用），再把每条原始文本改写成符合该候选分布的样本，改写时仅使用原文中与属性相关的片段。该方法受 Statistic Maximal Leakage（SML）框架启发，该框架可界定数据分布的秘密函数所泄漏的信息量；作者在理想化条件下证明 QuanText 满足 SML 保障。由于这些条件在现实中未必严格成立，作者进一步在真实数据集上做实证评估，结果显示 QuanText 在隐私-效用权衡上优于同类数据生成基线。适合阅读人群：隐私保护数据发布、LLM 数据治理，以及研究属性推断、成员推断攻击的安全与机器学习研究者。

本论文研究差分隐私中的持续计数（continual counting）问题：数据流逐步到达，算法需要为每个时刻持续发布满足差分隐私的前缀和近似结果。二进制树机制（Binary Tree Mechanism, BTM）是该问题的标准算法，但自其提出以来，它在纯差分隐私（pure DP）下是否渐近最优一直是悬而未决的开放问题。作者解决了这一问题：对固定的 0 < ε ≤ 1，证明任意机制在最坏情况下的期望 ℓ∞ 误差下界为 Ω(log² n)，而平均逐坐标与最大逐坐标期望平方误差的下界为 Ω(log³ n)。这些下界对任意机制成立，即使在整条数据流提前全部已知（离线模型）的更强设定下也无法突破，因此并非算法能力不足所致。同一组下界在近似差分隐私（approximate DP）下依然成立，只要 δ ≤ n^(-c)（c 为任意固定正数）。由于实例化拉普拉斯噪声的二进制树机制恰好达到这些量级，论文由此确立了 BTM 在纯 DP 以及 δ ≪ 1/n 这一标准区间内的近似 DP 下均具有渐近最优性。证明技术上的核心是用一棵树上的有界指数得分（bounded exponential score）构造单一难分布，并对该得分作简单修改，便可以用同一框架同时导出上述三种误差度量的紧下界，避免了为每种度量单独构造对抗实例。该工作属于差分隐私理论与流式算法交叉方向的基础性结果，适合差分隐私理论研究者、隐私保护数据分析系统设计者以及关注流式统计机制选型的工程师阅读。

该论文研究的是差分隐私合成测度（differentially private synthetic measure）的效用上界问题，属于差分隐私与最优传输/高维统计交叉的理论工作。作者考虑最坏情况数据模型：给定 [0,1]^d 空间中的 n 个点，不假设数据来自任何采样过程或总体分布，目标是发布一个满足 ε-差分隐私的合成测度，并刻画其与经验测度之间的 1-Wasserstein 距离误差。方法上，作者沿用已有的 PrivTree 算法构造自适应二叉划分（adaptive binary partition），再对划分叶子的质量（leaf masses）进行隐私化释放，从而得到合成测度。论文的主要贡献有三点：其一，证明对 d≥2，合成测度的 1-Wasserstein 误差为 Õ_d((εn)^{-1/d})，与已知 minimax 下界相比在忽略对数因子意义下达到最优，说明在最坏情况模型下该误差率不可再本质改进；其二，对 d≥3 且 2<s≤d，若数据集在相关有限尺度 r 上的覆盖数不超过 A·r^{-s}，则期望误差可改进为 Õ_{d,s}((εn)^{-1/s})，即误差率由数据在有限尺度上的内在维度（intrinsic dimension）决定，而非环境维度 d，并且整个过程不需要显式恢复低维流形；其三，作者提出一种平移（shifting）技术，进一步消除了常数对环境维度 d 的指数依赖，使结果在维度较高时不至于因常数爆炸而失去意义。整体而言，这篇论文给出了隐私合成数据在 Wasserstein 度量下的接近最优误差刻画，并把速率从环境维度推进到内在维度层面，同时保持算法层面的简洁性（复用 PrivTree）。适合从事差分隐私理论、合成数据发布、最优传输与高维概率、以及隐私保护数据分析系统设计的读者阅读。

该论文研究如何在可信执行环境(TEE)中高效、安全地运行大语言模型(LLM)推理。背景问题是: 用户提交给 LLM 的提示(prompt)可能包含敏感或隐私信息, 而远程部署的模型可能通过重训练时的无意记忆等途径滥用这些信息。一个自然的防护思路是把 LLM 放进 TEE 中执行, 使服务提供方无法接触 TEE 内的计算与数据交互。但现有 TEE 主要基于 CPU, 其算力远低于为 LLM 推理优化的 GPU, 因而性能代价高昂。作者沿用 Tramer 与 Boneh(2019)在 Slalom 中提出的「分割推理」架构——把神经网络推理拆分到 TEE 与不可信 GPU 两侧执行, 并对送往 GPU 的中间输入做保护——将这一思路扩展到 LLM 推理场景, 但把保护手段从加密改为差分隐私(DP)。 论文首先论证了保护中间表示的「必要性」: 作者展示了一种提示重建攻击, 可从中间表示中恢复原始提示, 准确率接近 80%, 说明若把中间张量明文交给 GPU 将造成严重隐私泄漏。其核心贡献是针对 LLM 关键函数做全局敏感度分析, 从而给出所需差分隐私噪声尺度的上界, 使噪声量级可被定量控制而非经验性设定。与加密方案相比, 差分隐私不需要量化(quantization), 因此 LLM 可以保持在浮点域中运行, 避免量化带来的精度损失; 作者同时推导了掩码与 TEE 内噪声消除所引入的浮点误差上界, 并给出其与隐私参数 epsilon 的函数关系。 实现层面, 作者基于 Intel TDX 构建原型, 使用 Llama-3.2-3B 与 Qwen3-4B 两个模型进行评估。结果显示: 分割执行比 TDX 内纯 CPU 推理快近一倍, 比基于加密的 Slalom 方案快 5 至 15 秒且精度更高。最后, 作者证明即便攻击者掌握差分隐私机制的具体形式, 提示重建也无法恢复出比一个无关提示更多的信息, 即隐私收益具有可证明的边界。该工作主要面向机密计算、隐私增强技术(PET)与 LLM 服务安全的研究者和工程团队。

PIMENTO 是一个针对非结构化文本分析隐私保护的框架。当前两种主流隐私保证——上下文完整性（CI，约束信息可流向何处）与差分隐私（DP，约束可推断出什么）——都难以直接映射到自然语言上，导致现有方案无法为文本分析提供形式化保证。PIMENTO 将三种自然语言形式（文本语料、查询、隐私政策）统一映射到关系数据库中，构建公共基底，从而可同时形式化地执行 CI 与 DP。其三项核心贡献包括：1）DP 感知的 Text-to-SQL，在候选查询中寻找正确且所需 DP 噪声最小的查询；2）CI 感知的 Text-to-SQL，将自然语言隐私政策编译为数据库上可执行的 CI 规则；3）提出新的隐私定义“上下文差分隐私”，在 CI 下重新定义 DP 邻域，得到更紧的平滑敏感度上界。在新基准测试中，PIMENTO 在 75.3% 的情况下选出最佳查询（较基线最高提升 45 个百分点），并在正确政策落地时实现零泄漏。据作者所知，这是首个在 CI、DP 及其组合下为自然语言分析提供形式化隐私保证的框架。

该论文研究的是「差分隐私图性质测试」这一此前几乎空白的交叉方向。图性质测试（graph property testing）的基本问题是：给定一个规模极大的图，能否只做亚线性（sublinear）次数的查询，就判断它满足某个性质，还是与满足该性质「相距很远」。由于测试器通常只随机检查输入的很小一部分，直觉上它与差分隐私（DP）以及「子采样带来的隐私放大」天然契合，但长期以来把两者联系起来的形式化结果非常少。本文首次对稠密图模型（dense graph model）和有界度图模型（bounded-degree graph model）下的差分隐私图性质测试进行系统性研究，目标是设计出既高效又具备形式化隐私保证的测试器。 核心方法上，作者为若干在图算法中被广泛使用的采样过程建立了新的隐私放大定理，涵盖诱导子图采样（induced subgraph sampling）、随机游走（random walks）以及 k-圆盘采样（k-disc sampling）。这些定理定量刻画了「只观察随机采样得到的小部分结构」能够在多大程度上压低隐私泄露风险，从而可以把非私有测试器的采样查询流程直接转化成满足差分隐私的流程。 主要贡献有三点：其一，利用上述放大技术，在稠密图模型中构造出私有的「规范测试器」（canonical tester）；其二，在稠密图与有界度图模型中分别给出私有的二部性（bipartiteness）测试器与子图自由性（subgraph freeness）测试器；其三，借助新证明的 k-disc 采样隐私放大定理，证明超有限图（hyperfinite graphs）的任意性质都是可私有测试的。作者强调，这些私有测试器的查询复杂度与其非私有对应版本相当，也就是说引入隐私保护几乎不带来额外的查询开销。论文适合差分隐私/密码学、亚线性算法与图算法方向的研究者，以及需要在图数据上做隐私保护统计分析的工程人员阅读。

本文研究度量差分隐私（metric differential privacy, mDP）机制的可扩展构造问题。mDP 适合定义在结构化的秘密域上（例如路网、地理网格、坐标空间），因为它的隐私保证随秘密值之间的度量距离变化，比标准差分隐私更贴合位置类数据。但现实中的目标域往往规模庞大且粒度极细，直接在该域上构造同时兼顾隐私与效用的机制，计算开销通常高到不可接受。作者因此系统研究『扩展式』mDP 设计：先在规模有限的种子记录集合上指定一个机制，再把它扩展到更大的目标域，而不是一次性针对全域求解。作者指出，据其所知，这是首个把『扩展』作为 mDP 通用设计范式（而非某个具体方法的附带构造技巧）加以形式化的工作。为此，论文提出一个基于图的扩展框架：把种子记录与目标域元素组织成图结构，并给出保证正确性的三项条件——局部 mDP 约束（种子层面各自满足 ε-mDP）、重叠一致性（不同种子扩展在重叠区域给出的结果必须一致，从而全局机制良定义）、以及后继层 mDP 保持（扩展过程中隐私参数不被稀释）。论文证明，在上述条件成立时，由种子机制诱导出的全局机制是良定义的，并在目标域上满足 ε-mDP。作者进一步用面向多分辨率网格的树形扩展算法实例化该框架，其中多维扩展通过一维插值加逐维组合来实现，从而把高维构造成本降到可接受范围。在道路网数据集上的实验显示，该方法在保持精确 mDP 保证的同时取得了较强的效用—可扩展性折衷。论文定位为方法论与理论贡献，适合隐私保护数据发布、位置隐私、地理不可区分性机制设计方向的研究者与工程实现者阅读。

该论文聚焦临床脑电图（EEG）数据的隐私保护与可用性权衡问题。研究背景是：临床 EEG 记录及其衍生特征对医疗健康研究和基于人工智能的临床决策支持系统开发具有重要价值，但其中可能包含患者特异性的敏感信息，在数据复用、分析以及跨临床与科研环境共享时会产生重识别、关联和推断风险。作者指出，传统匿名化方法（如删除姓名、病历号等直接标识符）对高维生物医学信号往往不够充分，因为间接标识仍可导致重识别；而另一方面，过强的隐私保护会扭曲对临床有意义的信号特征，降低数据可用性。 核心方法上，论文提出针对受试者级（subject-level）差分隐私的 EEG 衍生特征表示保护框架，采用高斯（Gaussian）与拉普拉斯（Laplace）两种扰动机制。处理流程为：先进行 EEG 预处理与特征提取，得到患者级特征表示，再对其施加噪声扰动。框架覆盖三种部署场景：客户端侧匿名化、集中式服务器端匿名化，以及去中心化的本地训练（可理解为联邦式场景）。 实验与评估方面，论文针对拉普拉斯机制评估了实际实现的噪声尺度，而满足形式化全向量隐私校准所需的噪声尺度则另行推导。作者使用统计效用度量与下游机器学习任务的效用检验来评估两种扰动的影响。结论显示，差分隐私扰动能够被集成进 EEG 处理工作流，但所选择的机制、隐私参数以及敏感度校准方式会强烈影响数据效用；同时也揭示了在样本量小、类别不平衡的临床 EEG 数据集上维持下游任务效用的现实困难。 该研究适合医疗 AI、隐私增强技术（PET）、联邦学习与临床数据平台方向的研究者和工程师阅读，属于方法探索与工程可行性验证性质的案例研究。

本文研究差分隐私（DP）约束下的基础图优化问题，并给出基于“重构攻击”思路的新型下界证明。作者考虑图 G=(V,E,w⃗)，其中顶点集 V 与边集 E 是公开的，只有边权函数 w:E→ℝ 需要满足 ℓ1 邻接关系下的差分隐私。研究对象包括两个经典问题：发布最小生成树（MST）与发布最小权完美匹配。作者证明，在 n 个顶点、m>2n 条边的最坏情形图上，任何 DP 算法的误差下界为 Ω(n·log(m/n)/ε)。该下界与已知的纯 DP 算法上界相匹配，因此是紧的；并且即使在近似 (ε,δ)-DP 下，只要 δ ≤ (n/m)^{Ω(1)}，下界依然成立。这一结果改进了 Sealfon（PODS'16）给出的 Ω(n/ε) 下界，量级上增加了 log(m/n) 这个因子。 论文的一个重要对照结论是：在 ℓ1 邻接关系下，允许近似 DP 并不能降低 MST 的误差，这与 Pagh 等人（PODS'25）在 ℓ∞ 邻接关系下证明的“近似 DP 可大幅改善误差”形成鲜明反差，说明邻接关系（敏感度定义）的选择对可实现的效用具有决定性影响。作者并未局限于最坏情形图，而是进一步给出了具有扩展性质（expander）的一大类稀疏图上的下界；特别地，对任意最小割至少为 Ω(log n) 的图，证明了 MST 的 Ω(n/ε) 下界。 最后，作者把方法拓展到隐私层次聚类问题：在 Dasgupta 代价函数（STOC'16）框架下，给出首个由“平衡割的最小权重”参数化的近似 DP 下界，将 Deng 等人（ICLR'25）的结果推广到一般图，并推广到近似 DP 设置。核心方法属于重构式下界证明技术，通过论证若算法精度过高则攻击者可重构出受保护的权重信息，从而反推出误差不可避免。总体贡献是给出了图优化在 DP 下更强、更贴合图结构的误差刻画，明确了隐私—效用权衡的理论极限。

该论文研究分布式场景下的差分隐私（DP）文本合成问题。现有 DP 文本合成流程普遍假设存在一个可信的中央策展方（trusted curator），能够直接访问用户原始文本并进行集中式处理；但在真实的多用户分布式环境中，这一信任与访问假设往往不成立。若把集中式方案生硬地迁移到分布式环境，通常需要用户反复参与并保持严格同步，带来显著的通信与协调开销，实用性较差。 为填补这一空白，作者提出一种差分隐私与密码学的协同设计（DP–cryptography co-design），目标是在不依赖可信策展方的前提下完成文本合成，同时把用户侧参与降到轻量级。方案由两个经过优化的组件构成。第一个是面向分布式的 DP 合成算法：它在嵌入空间中一次性发布 DP 摘要，具体做法是识别出现频率较高的语义区域，并发布这些区域的 DP 质心（centroid），从而支持无需训练、非迭代的离线文本合成，用户只需一次性提交信息即可。该算法还引入“语义支撑保护”（semantic support protection），确保发布的摘要尽量避开低频文本所在的语义邻域，以降低稀有用户数据被暴露的风险。第二个是定制的安全协议，在分布式用户数据之上实现上述算法，在无可信策展方的情况下仍能提供端到端的 DP 保证。 作者在四个基准数据集上进行了评估，结果显示其效用与当前最先进的集中式 DP 文本合成方法相当，说明在更弱的信任假设下也能达到可接受的可用水平。该工作适合研究差分隐私、隐私保护机器学习、联邦/分布式学习以及安全多方计算方向的研究者与隐私工程实践者阅读。

该论文关注差分隐私（DP）合成文本发布中的残余隐私风险审计问题。合成数据被越来越多地提议作为敏感真实数据的替代品发布，即使通过DP对最坏情况隐私泄露提供理论保证，实践中仍存在残余风险。现有的成员推断攻击（MIA）审计只测量随机抽取记录的平均风险，可能掩盖脆弱子群体面临的风险。为此，作者定义了一种“子群体定向的成员推断博弈”，将目标池作为显式参数，并在四种数据集、三种生成器（DP-SGD微调、基于API的提示生成、激活引导）和五个隐私预算下，用32个代理在三种不同攻击者知识场景中实例化审计。审计结果表明：合成发布确实会泄露子群体成员信息，且既有攻击会系统性地低估这种泄露。DP在聚合层面有效，在所测试的每个预算下都显著降低平均泄露。但有三点观察削弱了这一乐观结论：第一，残余泄露是集中而非均匀分布的，在DP下约十分之一的记录承载约40%的泄露；第二，DP在实践中提供的保护并不均衡——在其最坏情况保证范围内，噪声从随机记录中移除的泄露量多于从高风险记录中移除的量，而将两类记录对共享负样本评分的合并池审计也在记录层面证实了这一点；第三，哪些记录会泄露取决于发布机制本身的属性，而非仅由记录决定，因此记录级风险不能脱离具体发布机制来评估。主要贡献包括：提出子群体定向MIA博弈框架，执行跨数据集、生成器和隐私预算的大规模审计，揭示平均情形审计对子群体风险的低估，以及记录级泄露集中性和DP保护不均衡性的实证证据。

观察性研究中的平均处理效应（ATE）估计是社会科学、医学和流行病学等领域广泛使用的基础统计工具，用于在无法进行随机对照试验时评估某种干预或暴露对结果变量的因果影响。然而这些领域所处理的数据通常包含高度敏感的个人信息，直接发布基于原始数据的 ATE 估计会带来隐私泄露风险，因此研究者一直希望获得满足差分隐私（Differential Privacy）保证的 ATE 估计算法。本文针对这一需求提出了两种基于倾向得分（propensity score）的 ATE 估计机制：第一种是对先前工作中使用的逆概率加权（IPW, Inverse Probability Weighting）方法进行改进，使其在差分隐私约束下具有更优的统计性质；第二种则采用倾向得分分块（BPS, Blocking on Propensity Score）策略，即先估计每个样本接受处理的倾向得分，再依据得分将样本划分为若干同质区块，在区块内进行差分隐私化的效应聚合与估计。作者从理论上分析了两种算法的误差与偏差来源，并在实验中与既有方法进行了对比。结果显示，两种新算法在相同隐私预算下均表现出更低的估计误差和更小的偏差；其中基于倾向得分分块的算法提升尤为显著，相较于先前工作常常将误差降低 75% 甚至更多。这意味着在保持同等隐私保护强度的前提下，可以显著提升因果效应估计的可用性与准确性，对需要在敏感数据上开展因果推断的场景具有直接的实用价值。论文属于方法论与统计机器学习交叉方向，适合差分隐私、隐私增强技术以及因果推断相关的研究人员与隐私工程从业者阅读。

本文针对Apple在本地差分隐私（Local Differential Privacy, LDP）实践中使用的Count Mean Sketch（CMS）机制，提出了一种名为'池推断攻击'（Pool Inference Attack）的新颖隐私分析框架。Apple在iOS和macOS等系统中利用CMS机制收集用户的表情符号使用、输入习惯等统计信息，其核心思想是在用户端添加扰动噪声后再上传数据，从而宣称满足ε-差分隐私。然而，研究者从攻击者视角出发，系统性地分析了当大量用户的数据被聚合到服务器时，攻击者能否利用这种聚合统计信息反向推断出特定用户是否属于某个'池'（例如是否输入过某个特定词组）。论文通过形式化建模和实验评估，证明了在真实参数配置下，CMS机制的实际隐私保证远低于理论预期：即使单个用户的上传噪声足够强，但多次更新、数据分组和时间相关性等因素仍会被攻击者利用，以较高置信度区分目标用户与随机用户。研究进一步量化了不同参数（如隐私预算ε、哈希桶数m、每个桶的位数）对攻击成功率和隐私损失边界的影响，并使用模拟数据和Apple公开部署的参照参数进行了验证。该论文的核心贡献包括：首次针对Apple CMS机制提出系统性的池推断攻击模型；提出了一种度量实践隐私损失的新方法；并讨论了改进隐私-效用权衡的潜在对策。该研究对隐私工程和差分隐私的工业部署具有重要警示意义，也为蓝队和安全研究者理解LDP系统的实际风险提供了参考。由于只有论文标题，没有完整摘要，所有描述均基于标题推断。

本文是理论计算机科学与数据隐私方向的研究论文，研究机器学习中的“机器遗忘”问题。传统机器遗忘旨在模拟“从头重新训练”的效果：当收到删除请求时，遗忘算法应产生一个结果，该结果与从未包含被删除数据点时从头训练得到的结果一致。近期研究表明，对于一个能观察一系列发布结果的攻击者而言，这种模拟要求并不具有有意义的隐私语义。因此，机器遗忘本质上并非隐私问题，而是数据维护问题——这正是“追溯算法”的课题。追溯算法支持对过去操作的修改，并保证所有后续回答都反映修正后的历史，仿佛该修正一直生效。本文提出“私有追溯算法”的正式定义，将追溯性要求与持续观察下的差分隐私相结合。作者展示了针对线性统计、聚类和直方图问题的构造方案，这些方案在渐近成本上并未比单独实现隐私保护更高，同时满足隐私与追溯性。此外，文章还给出不可能性结果，界定了该框架下的基本限制。该研究为深入理解隐私保护与数据动态修改之间的理论关系提供了新视角，适合理论计算机科学家、差分隐私研究者以及关注数据删除合规与隐私语义的安全研究人员阅读。由于本文仅为摘要，尚未验证实验细节或同行评审状态。

该论文研究差分隐私算法的隐私审计问题。传统审计通过模拟基于游戏的协议来猜测两个相邻数据集中哪一个是原始输入，通常需要数千次模拟，计算开销巨大。近期有工作提出对目标算法进行单次运行审计以大幅降低计算成本，但其通用性和所得经验隐私保证的紧致性尚不明确。本文对此进行了深入研究。贡献主要有两点：第一，提出一个基于信息论的统一隐私审计框架，将审计建模为噪声信道中的比特传输问题。该形式化允许推导出基本极限，并为多种差分隐私（DP）协议开发出一种能够给出紧致隐私下界的审计方法。第二，利用此框架揭开“单次运行审计”的机理，识别出单次运行审计可行或不可行的条件。分析结果为执行隐私审计提供了总体指导，并加深了对隐私审计的深层理解。最后，实验表明，该方法在常见差分隐私机制上能产生更紧致的隐私下界，同时所需观测样本数显著更少。文中还通过案例研究证明该方法能够成功检测有缺陷的隐私算法实现中的隐私违规行为。

该论文聚焦于联邦学习在银行、医院等受监管机构中的实际应用痛点。尽管联邦学习允许各方在不共享原始数据的前提下协同训练模型，但仍有两大安全隐患：一是客户端交换的参数更新仍可能通过梯度反演或成员推断攻击泄露本地记录信息；二是诸如 FedAvg 这类基于简单平均的聚合规则对恶意或受损客户端缺乏鲁棒性，少数恶意参与者就可能悄然破坏共享模型。为此，作者提出了 DP-BR-FedAvg 框架，将高斯机制差分隐私（DP）层与坐标级修剪均值（coordinate-wise trimmed-mean）拜占庭鲁棒聚合规则相结合。论文在模拟的跨机构分类任务（类似欺诈检测和临床风险评分）上进行了评估。实验设置包含 60 轮通信、20 个客户端，其中四分之一为拜占庭恶意节点。结果显示：纯 FedAvg 在少数类上完全崩溃（F1 分数仅 0.030），而所提框架显著恢复信号（F1 分数达到 0.119），同时约束了单个客户端贡献的隐私损失。值得注意的是，仅使用拜占庭鲁棒聚合而不加隐私层时原始准确率最高，这量化了隐私对鲁棒性带来的代价。研究表明，隐私保护与鲁棒性机制之间存在相互作用而非简单叠加，因此在设计受监管、对抗性、跨机构场景的系统时必须为此预留预算。适合关注联邦学习隐私与安全交叉问题的研究人员、银行/医疗行业的安全架构师以及监管科技从业者阅读。

差分隐私（Differential Privacy）为数据分析提供严格的隐私保证，但在回答大量线性查询时，必须在隐私预算、响应精度和随机位数之间权衡。经典机制（如 Hardt 与 Talwar 提出的 K-范数机制）虽能在给定隐私预算 ε 下将 l∞ 误差控制在较好水平，却往往需要消耗大量随机位；而在低功耗设备或分布式场景中，高熵随机源本身是稀缺资源。本文针对这一“随机性-效用权衡”问题，提出了一个随机性有效的 K-范数机制变体：只需 O(log d) 个随机位即可回答 d 个线性查询，同时达到 O(d/ε) 的 l∞ 误差。相比 Canonne 等人的现有算法，该方案的随机位消耗显著降低；当隐私参数 ε ≤ 1/d 时，该结果在误差与随机位数上均达到渐近最优。此外，作者还给出了计算上高效的版本，以 O(log d) 倍的误差增加为代价换取更低的计算复杂度。该工作属于理论计算机科学、随机化算法与隐私计算的交叉领域，其核心贡献是证明“少量随机位也能接近最优精度”这一可达成上界，揭示了随机位数与查询精度之间的基本关系。该结果对随机性受限环境（如边缘设备上的私有数据收集）中的差分隐私系统设计有指导价值，也为后续设计低熵需求的隐私机制提供了新思路。适合研究差分隐私理论、算法机制设计及隐私增强工程化的读者阅读。

该论文提出了一种名为“批量差分隐私信息检索”（Batched Differentially Private Information Retrieval）的新方法，旨在解决在信息检索场景下保护用户隐私与可用性之间的平衡问题。传统信息检索（如数据库查询）可能泄露用户的查询模式，而完全加密或混淆的检索方法又往往带来高昂的计算和通信开销。差分隐私（Differential Privacy, DP）为查询结果提供形式化的隐私保证，但直接将其应用于信息检索时，通常需要对每次查询注入噪声，这会导致批量查询时的累积误差过高，降低数据实用性。论文的核心贡献在于设计了一种批量处理机制，使得在一组查询任务上整体的隐私预算可以得到更合理的分配，并通过引入可证明的隐私与精确性权衡，减少了为实现相同隐私保护级别所需的噪声量，从而提升了查询结果的准确性和系统的整体效率。文中可能还探索了该协议与私有信息检索（PIR）技术的结合，使得服务器在无法观察单个查询内容的前提下，仍能对批量查询施加差分隐私保护。该工作适合对隐私增强技术、差分隐私机制设计、私有信息检索协议及数据安全研究感兴趣的研究人员和工程师阅读，但当前仅为初稿阶段的摘要，尚未提供完整的实验细节或正式的安全证明，因此成果的有效性仍需后续版本或完整论文来验证。

该论文研究差分隐私量化中的关键理论问题：泊松子采样是典型的采样器，其独立性使得隐私放大分析易于处理，但实际系统越来越多地采用结构化参与模式，如随机分配（balls-in-bins）、每轮分配、随机检查等。业界普遍认为这些模式在匹配采样率下至少与泊松子采样一样私密，但缺乏严格的数学证明。作者聚焦于这种信念背后的概率机制，并精确划定了其适用范围，研究对象涵盖高斯机制直至相关噪声矩阵机制。主要贡献包括：（1）当参与指示向量满足负相关（NA）性质时，对于所有整数阶 Rényi α≥2，在所有有限参数下，其 remove 方向 Rényi 散度被边际匹配的独立方案所支配；对于固定梯度序列，只要噪声策略的 Gram 矩阵满足符号平衡（sign-balanced），这一结论可扩展至机制层面，且该条件可在 O(t^2) 时间内验证。（2）证明整数阶限制是本质性的：对于 k=1 的随机分配，Rényi 差判据在大 t 时对所有 α<3/2（包括 KL 散度）呈现反向线性定律，且交叉阶独立于 σ 并向 3/2 趋近。（3）定位了速率匹配泊松支配的已知失效点：在 (1-q)^t 以下，hockey-stick 排序反转，因此将泊松配对直接代入组合机制的做法不成立；通过上尾论证得到了有限交叉点 γ_*，将这一阈值图景与 Rényi 边界 3/2 联系起来。整体上，论文提供了隐私核算的替换映射，指明了基于泊松的计算在结构化参与下何时正确、何时失效，以及合理替代方案的部署成本。该工作适用于差分隐私理论研究者、隐私核算系统设计者及机器学习隐私工程师。

本研究针对 AI 驱动的教育系统在隐私保护与准确认知诊断之间难以兼顾的显著挑战，提出了一种隐私保护的多 LLM 联邦推理框架。传统方法通常需要集中学生原始数据或直接访问商业模型内部，导致隐私风险。该框架允许多个商业 LLM API（例如 LLaMA-3.3-70B、GPT-4o-mini、Claude-3-Haiku）协作，而无需暴露原始学生数据或专有模型内部参数。框架建立在异构多 LLM 架构之上，不同模型各自生成预测结果。为保障隐私，每个实体的预测输出在本地添加拉普拉斯噪声，实现 ε-局部差分隐私，然后再进行聚合；同时采用基于残差的聚合机制来缓解模型异构性带来的偏差。该设计基于诚实但好奇的信任模型，即假定 API 提供商不会滥用提交的查询，同时差分隐私机制能够保护最终的诊断结果免受外部推理攻击。作者进行了严格的隐私-效用分析，证明在获得强隐私保证的同时仅产生极小的精度损失。三个教育基准数据集上的真实世界广泛实验验证了其实用性和跨领域泛化能力。核心贡献在于提出一个通用、可落地的多 LLM 联邦推理架构，在利用多个商业模型集成优势的同时，从算法层面确保了学生数据隐私，为教育场景中人工智能应用的安全性设计提供了新的思路。

本文提出 S-BDT，一种新颖的 (ε, δ)-差分隐私分布式梯度提升决策树（GBDT）学习器。研究核心问题是在分布式机器学习环境中，如何在不牺牲模型效用（如准确率或回归误差）的前提下，增强对单个训练数据点的隐私保护。传统差分隐私方法通常通过添加噪声来扰乱模型，但噪声过大会影响模型性能。S-BDT 的主要创新在于使用非球形多元高斯噪声而非各向同性噪声，从而在相同隐私预算下减少所需噪声量。作者推导了该噪声分布下紧密的采样下界，用于隐私放大分析，并将其整合进 Rényi 差分隐私滤波器，实现个体级别的隐私核算，使得隐私预算的分配更加精细。实验在多个基准数据集上验证了方法的有效性：在 Abalone 回归数据集（约4千样本）上，当 ε ≤ 0.5 时，达到相同效用的同时节省 50% 的 epsilon；在 Adult 分类数据集（约5万样本）上，当 ε ≤ 0.08 时节省 30% epsilon；在 Spambase 分类数据集（约5千样本）上，当 ε ≤ 0.03 时节省 30% epsilon。此外，论文还考虑了数据流来自不同子群体（非独立同分布）的场景，显示 S-BDT 能进一步增加 epsilon 的节省。这项工作的贡献包括：提出新的噪声机制，改进隐私核算方法，并在多种数据集和设置中证明其优势，为差分隐私机器学习提供了更高效的解决方案。

本文研究差分隐私（DP）下的成对表格-图像多模态数据合成问题。在医疗、金融等真实场景中，常存在图像与结构化表格记录配对的数据，但现有DP合成方法多数只单独处理表格或图像，难以同时保证两种模态的保真度以及跨模态依赖关系。针对这一挑战，作者提出DP-TabImage，一个模态专用私有配对合成框架。该方法将联合分布p(x,y)分解为p_T(y)p_I(x|y)，其中表格分布采用私有概率图模型（PGM），图像分布使用表格条件扩散模型，通过DP-SGD训练。由于裁剪和噪声梯度的干扰，条件扩散较难训练，文章进一步提出在私有表格-图像原型上进行预训练：先从差分隐私方式构建属性条件图像，并将私有表格模型得到的表格向量与之配对，在不增加隐私预算的情况下提升条件学习。实验基于三个真实数据集，从表格保真度、图像保真度和跨模态对齐三个维度评估。结果证明DP-TabImage相对现有基线实现了更优的平衡。消融分析表明，视觉预热主要提高边缘图像质量，而对齐的表格-图像预热对于跨模态一致性的提升更为重要。代码开源。这项工作的核心贡献是首次为配对表格-图像数据提供专用DP合成框架，解决多模态在不同隐私机制下的兼容性问题，可作为隐私保护数据发布、数据增强等应用的潜在方案。适合研究差分隐私、生成式模型以及医疗、自动驾驶等敏感多模态数据的从业者阅读。

本文提出并部署了名为 Private Computation Space (PCS) 的开源机器学习系统，用于在保护农户数据隐私的同时实现农业领域的联邦学习。研究背景指出，尽管人工智能有潜力改善农业实践，但采用率有限，69%的美国农民因数据隐私担忧而不愿分享数据。农业场景的特殊挑战包括：需要保护农民数据和身份同时保持模型效用、运行在通用硬件上，并且能适应农村脆弱的网络基础设施。PCS 系统针对这些挑战设计，采用多集群编排以在偏远地区提供可靠性，结合异步联邦学习（FL）、差分隐私（DP）和可信执行环境（TEE），使农场可以在不泄露私有数据的前提下参与模型训练。作者在两个实际负载上进行了评估：一个是在纽约州使用活体植物传感器监测氮含量，运行6个月；另一个是在加利福尼亚州利用气象站预测蒸散量，运行10个月。评估结果显示，两个任务的 Dice 相似系数（DSC）达到0.71，R²精度为0.84，相对于最差的单站点模型，精度分别提高了22.4%和9.1%，同时保持了隐私保护。该工作展示了多集群联邦学习联合隐私增强技术在农业领域的实用性，为数据敏感型行业提供了可借鉴的架构参考。

本文提出了一种名为 DP-VOXLET 的说话人匿名化方法，旨在解决语音数据发布中的隐私保护问题。说话人匿名化的目标是在隐藏说话人身份的同时，保留话语的语义内容和韵律特征。现有方法通常基于解耦表示学习，将语音编码为语义内容与说话人属性两部分，然后替换说话人属性而不改变语义内容。这类启发式方法在经验隐私指标上表现良好，但缺乏形式化的隐私保证，无法防御拥有强大背景知识的攻击者。本文首次将差分隐私框架引入说话人匿名化领域，提出了“说话人差分隐私”的正式定义，并设计了一种可证明满足该定义的匿名化机制。该机制与现有的解耦表示框架兼容，能够为任何可能的对手提供再识别成功率（如等错误率）的可证明下界，从而提供严格的隐私保障。作者在多个数据集上进行了实验，结果表明该方法相比先前基于差分隐私的说话人匿名化工作，在保持可用性（即语义内容和韵律的保留程度）方面取得了显著提升。本文的核心贡献包括：形式化定义说话人差分隐私、提出可证明满足该定义的匿名化算法、将其集成到现有解耦表示系统中，并通过实验验证其效用优势。该研究适合隐私保护语音处理、差分隐私理论和语音安全领域的研究人员阅读，也为实际部署语音匿名化系统提供了理论依据和算法参考。

差分隐私已成为隐私保护数据发布的标准技术，但其与具体披露风险之间的关系并不直观。特别是在成员推理场景下，一个对手在观察到差分隐私保护后的发布数据时，其对某个目标个体是否被包含进数据集的信念（后验信念）相比先前信念（先验信念）会发生多大变化，一直是悬而未决的问题。本文针对这一核心问题展开了理论研究。作者在“有界差分隐私”（包括有界概率差分隐私和有界近似差分隐私）框架下，推导了包含信念后验-先验比率的严格上界和下界。他们假设了一类最坏情况的对手，即该对手掌握了除一个目标个体之外所有数据参与者的辅助信息（all-but-one知识），从而证明了由此获得的界限对任何对手均适用。由于这些概率性界限在机制随机性下可能以非零概率失效，论文进一步以高斯机制为研究对象，深入分析了其失效概率。作者推导了该失效概率的理论上限，并在广泛的参数设置范围内通过蒙特卡洛模拟估计了实际失效概率。实验结果表明，观测到的实际失效率比理论上的最坏情况上限小了好几个数量级，说明理论上限极为保守。这一发现意味着，在实际运行中，差分隐私机制提供的推断隐私保证可能远比理论上限所暗示的要强。论文为理解差分隐私与成员推断风险之间的量化关系提供了新视角，为隐私保护数据发布的安全性评估给出了更精细的工具。

本文提出 GAP（Aggregation Perturbation），一种面向图神经网络（GNN）的差分隐私（Differential Privacy, DP）训练方法。现有 DP-GNN 方法通常在梯度、嵌入或模型参数上添加噪声，但这种方法往往会引入过高的噪声，导致模型效用显著下降，尤其当图结构复杂或节点特征高维时。GAP 的核心思想是在邻居聚合阶段直接对聚合结果注入经过校准的高斯噪声，而不是在梯度或嵌入层加噪。通过将噪声限制在聚合扰动上，GAP 能够更精确地控制隐私预算消耗，同时保持图结构信息带来的性能优势。作者进一步结合惰性聚合（lazy aggregation）和基于度数的采样机制，减少每次迭代中需要扰动的影响范围，从而在有限的隐私预算下提升训练效率。实验在多个标准图数据集（如 Cora、Citeseer、PubMed、Flickr）上进行，对比了包括随机扰动、梯度扰动、嵌入扰动在内的多种 DP-GNN 基线。结果表明，在相同的隐私预算（ε）下，GAP 在节点分类准确率上显著优于现有方法，尤其在隐私预算较小时（如 ε=1）优势明显。此外，GAP 无需对图结构做近似假设，适用于带权图和异构图等通用场景。本文从理论层面给出了 GAP 的隐私上界分析，验证了其在边隐私（edge-level DP）和节点隐私（node-level DP）下的可行性。总的来说，GAP 提供了一种简单高效且理论上可靠的差分隐私图学习范式，适合希望在不暴露敏感图关系的前提下训练 GNN 的研究者或工程师阅读。

联邦学习（FL）是一种允许多个客户端在不共享原始本地数据的情况下，仅通过共享梯度更新联合训练模型的范式。然而梯度更新本身也可能泄露隐私。现有方法通常采用本地差分隐私（LDP）机制，在共享前由客户端本地扰动梯度，但这类方法会因添加大量噪声而严重损害模型效用。为获得更好的隐私-效用权衡，近期研究倾向于在联邦学习中应用差分隐私的 shuffle 模型，通过中间洗牌操作实现隐私放大。本文提出 Camel，一个在 shuffle 模型下通信高效且可抵御恶意敌手的联邦学习框架。Camel 突破现有工作的限制，支持对 shuffle 计算的完整性校验，实现针对恶意服务器的安全性。具体而言，Camel 基于秘密共享洗牌这一前沿密码学原语，并定制了优化系统整体通信效率的技术，还引入轻量级完整性检查来强化服务器端计算的安全性。此外，作者通过分析整个 FL 过程的 Rényi 差分隐私（RDP），推导出显著更紧的隐私损失上界。大量实验表明，与现有最先进工作相比，Camel 在隐私-效用权衡上达到更优结果，并展现出有前景的性能。该研究适合关注联邦学习、差分隐私、安全多方计算和隐私增强技术的学者与安全工程师阅读。

该论文针对机器学习算法在实践中缺乏严格隐私保证的问题，提出应用近期提出的 Probably Approximately Correct (PAC) Privacy 框架，为多种常用黑盒算法（K-Means、支持向量机 SVM、主成分分析 PCA 和随机森林）提供了形式化、机械化且基于模拟的隐私证明。论文的主要贡献包括：第一，提出了一种新的模拟算法，能够高效确定达到给定隐私水平所需的各向异性（anisotropic）噪声扰动，并给出了该算法的正确性证明；第二，通过理论分析和实验证明，相比各向同性噪声，各向异性噪声在保持模型可用性方面具有显著优势；第三，引入正则化可以降低算法输出的不稳定性，从而实现隐私放大，在较小精度损失下获得有意义的隐私保证；第四，提出了减少算法输出不稳定性的新技术，将难以处理的几何稳定性验证转化为高效的确定性稳定性验证。论文通过大量实验，将可证明的对抗性推断难度与最先进的实证攻击（如成员推断攻击）进行对比，验证了所提方法的有效性。该研究为实用机器学习模型提供了可验证的隐私保障路径，弥补了传统成员推断攻击和差分隐私审计等方法缺乏严格理论保证的不足，适合对隐私保护机器学习、形式化验证和可信 AI 感兴趣的研究人员阅读。

本文针对差分隐私（DP）图像合成领域日益凸显的评估协议不一致、甚至存在缺陷的问题，提出了一个统一基准平台 DPImageBench。研究背景是：DP 图像合成旨在生成既能保留敏感图像数据集统计特性、又能保护单张图像隐私的人工图像，但不同研究在方法比较和评估流程上往往采用各不相同的协议，导致研究结论难以横向对比，也阻碍了该领域的进一步发展。核心贡献包括三方面：第一，方法层面，论文系统研究了十二种主流 DP 图像合成方法，并基于模型架构、预训练策略和隐私机制三个维度进行了分类刻画；第二，评估层面，整合了九个数据集和七个评估指标，全面衡量各方法效用，并揭示了一个关键问题——许多现有工作根据在敏感测试集上准确率最高来选择下游分类器，这种做法不仅违反差分隐私的约束，还会高估合成图像的实际效用，DPImageBench 对此进行了纠正；第三，平台层面，尽管各方法和评估协议差异较大，DPImageBench 提供了一个标准化接口，将现有和未来的实现统一到同一框架之下。基于该基准，论文取得了若干重要发现，例如：与传统认知（在公共图像数据集上预训练通常有益）相反，预训练数据与敏感图像之间的分布相似性对合成图像性能影响显著，且预训练并不总是带来效果提升。论文已提供源代码，适合差分隐私、生成模型、隐私保护机器学习等领域的研究人员阅读。

本文研究在线流式设置下的差分隐私（DP）k-means 与 k-median 聚类问题。在在线场景中，数据点按顺序持续到达，算法需在每个时间步基于已见数据输出一组 k 个中心，以最小化聚类代价（如 k-means 的平方距离和或 k-median 的绝对距离和）。此类设置广泛应用于实时分析、监控和个性化服务，但原始数据常包含敏感信息，直接聚类可能泄露隐私。为此，作者提出一种通用归约：先将敏感的输入流转换为一个'私有流'——实质上是原始输入流的半核心集（semi-coreset）。半核心集是一种压缩表示，能够在保持聚类目标近似精度的同时，降低数据敏感性并控制内存消耗。转换后的私有流可作为任何现有非私有在线聚类算法的输入，算法以后处理方式运行，从而在不修改原算法的情况下获得差分隐私保证。该归约的关键亮点在于继承了底层非私有算法的理想属性，特别是'一致性'（consistency）——即聚类结果对数据点的插入、删除及顺序变化保持稳定，这是先前 DP 在线聚类算法未能满足的性质。理论分析显示，该方法的近似比、空间复杂度和运行时间均匹配或优于现有最优算法（Epasto et al., 2026; Dupré la Tour et al., 2024）。本文为在线差分隐私聚类提供了一个通用、可扩展且保持一致的框架，对隐私保护数据挖掘和流式处理具有重要理论价值。

本文研究大语言模型（LLM）中记忆与提取现象的度量问题。长期以来，模型记忆的定义繁多且关系不明，差分隐私（DP）常被当作同时控制所有记忆形式的统一代理。作者针对实际应用中最重要的两类定义——反事实记忆（counterfactual memorization）与自适应提取（adaptive extraction）——给出了精确的 DP 常数，并证明这两者并不能互相约束。具体地，在 f-DP 框架下，任何带有列表预算 m 的自适应提取协议的成功概率至多为 1-f(κ)（其中 κ 为无遗忘基线），该界在一组稠密基线上是紧的；这意味着 DP 对提取的控制本质上取决于秘密先验可猜测的程度。进一步地，最小熵提供了一个分布无关的保证：在纯 ε-DP 下，只要 H_∞ ≥ ε log₂ e + log₂(m/τ)，提取风险就低于 τ≤1/2，且在均匀先验上该界精确。在记忆侧，f-DP 将任何有界得分的反事实记忆限制在优势泛函 η(f) 内，纯 DP 下等于 tanh(ε/2)；对于 k≥2 份重复副本，朴素的 ε↦kε 界不可达，精确常数是一个由几何噪声计数达到的闭式阶梯函数。该上限在实际使用的局部得分类中达到，并在此处两种度量发生分离：一种机制被记忆却不可提取，另一种完全可提取但对所有基于损失的得分不可见。由此在基于损失的审计与遗忘验证中产生双侧盲点，该盲点在十亿参数模型上依然存在：一个保留触发器的模型发布可以通过单个提示逐字恢复，而实践者部署的审计却判定其完全干净。论文的贡献在于精确刻画记忆与提取的差分隐私边界，揭示了两者的非等价性以及现有审计方法的固有缺陷，为 LLM 隐私评估提供了新的理论基础。

这篇论文重新审视了多方差分隐私（DP）中连续噪声采样的协议。在多方计算（MPC）与差分隐私结合的场景下，各方需要在不依赖可信中心的情况下发布聚合统计，其核心原语是在有限精度算术下从连续分布中采样噪声。作者首先识别了广泛使用的“采样-缩放”（sample-and-scale）构造中的一个漏洞：算术电路中的缩放操作会将噪声限制在一个稀疏、公开可数的值集合内，使得攻击者通过观察发布的带噪声查询结果，能够推断出哪个数据集产生了这些结果。具体地，作者对两个采用此类有缺陷采样协议的系统发起了攻击：Orchard（OSDI'20，用于DP安全聚合）和DP-BREM$^+$（USENIX Sec'25，用于DP联邦学习），在实践使用的任意噪声缩放因子$s\geq 2$下，两个系统的攻击成功率都接近100%。作者指出，该泄露源于缩放操作本身，直接修复要么大幅牺牲效用，要么显著增加精度位数导致采样代价更高。为了解决安全和效率问题，作者转向在单个偏置比特粒度上进行离散采样，对采样器进行了多项优化并证明了其安全性。实现结果表明，与现有安全离散采样器相比，实现了4倍到612倍的加速；与不安全的“采样-缩放”范式相比，实现了数量级的加速，同时与理想连续机制相比，效用损失可忽略不计。该研究适合关注隐私计算、差分隐私、多方计算和安全协议设计的学者与工程师阅读。

该论文针对联邦学习（FL）中梯度更新面临的两类安全威胁：传输过程中的中间人（MitM）窃听，以及恶意客户端发起的模型投毒攻击。传统方案要么对所有参数统一加密（如静态分层或全参数CKKS），计算开销大且不区分敏感度；要么仅依赖差分隐私（DP）但无法防止传输窃听。论文提出了一种新型选择性加密策略GASHE（Gradient-Aware Selective Homomorphic Encryption），其核心思想是：利用DP-SGD校准后的敏感度阈值，动态识别那些超过阈值的梯度分量，仅对这部分高敏感梯度执行同态加密，而不是对所有参数一致处理。在此基础上，作者构建了SecureDrive-FL框架，将DP-SGD与GASHE结合，形成首个闭环的DP+HE隐私流水线——即DP-SGD的校准参数直接用于生成GASHE的加密掩码，从而统一了训练时的隐私保护与通信时的机密性。实验基于十类分心驾驶分类任务，使用非独立同分布（non-IID）联邦划分进行评估。结果表明，SecureDrive-FL在抵抗投毒攻击方面与单独使用DP-SGD基本持平（准确率73.6%对74.0%，攻击成功率均为3.9%），但额外抵御了MitM窃听；在MitM场景下，单独DP-SGD准确率骤降至近随机水平（10.4%），而SecureDrive-FL仍保持78.2%。同时，相比单独DP-SGD，SecureDrive-FL仅增加约8%-10%的运行时开销（在每轮隐私参数epsilon_0=4的DP噪声注入条件下）。该研究的贡献在于提出了一种梯度感知的选择性加密机制，将DP与HE的计算开销集中在真正敏感的数据上，为资源受限的联邦驾驶监控场景提供了实用方案。适合对隐私保护联邦学习、同态加密与差分隐私结合感兴趣的机器学习安全研究者和系统设计者阅读。

键值（key-value）数据是一种自然存在的数据类型，例如用户对Web服务、商品或特征的评分，但在本地信任模型下尚未得到深入研究。现有的本地差分隐私（LDP）方案在计算键值统计数据时，由于每个用户独立添加噪声，导致最终统计结果的精度受到严重限制。多此计算（MPC）虽然能够保持比LDP更高的准确度，并且同样不需要可信的中央参与方，但如果直接将MPC应用于键值数据，其计算开销通常令人望而却步。为了解决这一矛盾，本文提出了一种新颖的分布式计算范式——选择性多方计算（Selective MPC）。核心思路是：为每个参与方提供一个随机数据子集的视图，凭借差分隐私的泄漏特性，巧妙地捕获“减法噪声”（subtractive noise），从而在保持隐私的同时显著提升统计精度和计算效率。作者严格证明了该协议满足纯差分隐私，并在差分隐私与MPC的组合模型下具备可证明的安全性。在实验评估中，该协议能够在20秒内计算包含10000个键的统计数据，并可扩展到30个服务器，对于单个键的查询响应时间不足1秒。这项工作突破了传统LDP与MPC在键值统计场景中的性能瓶颈，为分布式环境下高精度隐私统计提供了可行的技术路线，尤其适用于数据分散在多个机构且彼此不信任、却又需要联合统计分析的场景。

本文提出了一种实用的私有密集检索方案，用于托管式检索增强生成（RAG）和语义搜索场景。研究背景是：用户希望查询提供方持有的有价值的语料库，但存在两个相互矛盾的需求：一方面需要隐藏用户的查询和最终选择的结果，另一方面又只能向用户展示其被授权访问的文档。现有的密码学方法要么需要对整个语料库进行全量加密处理，导致每次查询成本高昂；要么通过扫描少量聚类牺牲检索质量来换取效率。本文的核心创新是将学习式深度哈希用作隐私过滤器：通过一个随机化的二进制代码将提供方指向一个较短的候选列表，然后使用加密重排序和遗忘密钥传输来保护精确查询和最终选择。这种方法避免了全语料库密码学搜索的开销，同时不牺牲检索质量：仅需200-500个候选文档，就能在五个零样本语料库（规模从2.5万到540万篇文档）上紧密匹配全语料库检索的性能。在包含268万段落的NQ语料库上，通过10Gbps链路，该协议仅为128-token的Qwen3-32B RAG流水线增加了0.73秒的额外开销，即约10%的延迟增幅。作者发布的相关代码满足方向性度量差分隐私（DP），并显著降低了嵌入反演和属性推断泄露。实验证明，经过精心学习的候选列表可以使私有密集检索既准确又实用。该研究适合关注隐私保护、检索增强生成、信息检索和安全领域的学者与工程师阅读。

本文针对使用高斯分布的差分隐私算法的验证问题展开研究。现有形式化验证方法在处理连续分布（尤其是高斯分布）时面临精度和可判定性挑战。作者提出了一种新颖的近似方法，用于逼近无循环程序的概率分布，这些程序可从具有可计算概率密度函数的离散和连续分布（包括高斯和拉普拉斯）中进行采样。他们证明了对于这类程序，验证 (ε,δ)-差分隐私是“几乎可判定的”，即除有限个δ值外，所有情况均可判定。验证算法通过结合积分近似和尾部概率界，以任意所需精度计算概率。该方法已在工具 DipApprox 中实现，利用 FLINT 库进行高精度积分计算，并包含提升可扩展性的优化。作者在基础隐私保护算法上验证了工具的有效性，如稀疏向量技术的高斯变体和 Noisy Max，展示了其在确认隐私保证和检测违规方面的能力。该研究为差分隐私机制的自动化验证提供了理论保证和实用工具，适合形式化方法研究者和隐私保护工程师阅读。

该论文研究多方协作场景下的第 k 个排序元素（kth Ranked Element, KRE）安全计算问题。在金融、医疗等机构的联合数据分析中，经常需要在不暴露各方原始数据的前提下，找出合并数据集中第 k 大的元素（例如中位数、分位数等）。现有协议虽然能保护各方的原始数据，但通常需要一个中心方进行聚合，且中心方可能会获得中间统计信息，从而造成隐私泄露。论文作者 Chandran 等人此前的方案（SECRYPT'22）采用星型网络拓扑，多个参与方与中心方交互，但仍会向中心方泄露部分中间信息。本文以海报形式提出改进，目标是在保持协议高效性的同时，实现严格意义上的差分隐私保护，并确保中心方无法获知中间结果中的敏感细节。文中可能提出了基于安全多方计算（MPC）和差分隐私噪声注入的混合方案，或对现有协议进行了隐私增强修改。尽管摘要未给出具体技术细节，但核心贡献在于消除中心方的信息泄露，同时保留 KRE 计算的正确性和实用性。该工作适合对隐私保护数据聚合、安全统计分析、差分隐私机制设计感兴趣的密码学和安全研究人员阅读，也为医疗、金融等领域中的安全协同计算提供了理论支撑。由于仅基于摘要，具体协议设计、安全模型和实验评估结果尚不明确，需查阅全文验证。

本文研究在隐私保护统计发布中使用单侧（仅正向）有界噪声的最优效用与隐私权衡问题。与传统依赖对称或双侧扰动的隐私机制不同，实际系统（如匿名通信、侧信道防御）常因硬件容量、通信协议或数据管理限制，只能施加正向且幅度有限的时间延迟、假消息或假数据，而无法进行反向修改。作者在差分隐私（DP）、最大泄露（MaxL）和近似正确（PAC）隐私三种语义框架下，系统建立了正噪声机制的理论基础，并在二阶矩预算和最大幅度约束下，刻画或逼近最优的单侧噪声分布。基于该理论，论文开发了高效求解相应优化问题的算法工具。实验表明，现有技术（如截断的偏置拉普拉斯噪声）通常非最优，会导致过度的性能损失；以匿名通信系统为例，在25万消息预算下，优化后的DP噪声机制相比传统方法可减少21倍的假消息数量，并将假消息延迟开销降低18倍。该工作为受基础设施限制的隐私保护扰动提供了理论指导和实用优化方案。适合隐私计算、匿名通信、侧信道防护及统计发布领域的研究人员和工程师阅读。

差分隐私通过向输出注入随机噪声来保护个人数据隐私，但在选举等场景中，噪声可能导致错误结果，尤其是当胜负差距很小时。本文系统研究了在中央差分隐私和本地差分隐私模型下，多种常见投票规则（包括 Plurality、Condorcet、Maximin、Plurality with Runoff 和单记名可转让票 STV）保证私有机制以高概率返回正确获胜者所需的最小获胜优势（称为 decisive margin）。针对每种规则，作者设计了发布获胜者的差分隐私算法，并证明了这些算法所需的边界上界；同时，通过构造反例或信息论论证，证明了下界，说明非平凡的获胜优势是必要的，其中许多上界与下界在对数因子内匹配。特别地，对于 STV 规则，信息论上界与下界完全匹配，但作者进一步证明，这样的最优精确度保证在多项式时间内无法实现，除非假设 NP ⊆ BPP，这构成了一个罕见的计算复杂性现象：原本易于计算的任务，在同时要求差分隐私和效用保证后变得计算上不可行。本文的主要贡献在于系统地刻画了差分隐私投票中隐私与效用之间的基本权衡，揭示了不同投票规则的固有精度限制，并指出了计算复杂度与隐私约束之间的相互作用。该结果对设计隐私保护的选举系统、排名聚合或数据发布机制具有理论指导意义，帮助研究者理解隐私预算、噪声规模和输出精度之间的取舍。

本文聚焦于图像到图像的人脸生成器（如 FaceFusion、InstantID）的隐私审计问题。尽管视觉差异常被当作隐私保护证据，但作者指出这种直观判断缺乏形式化的身份级隐私保证。为此，他们提出一个统一的审计框架，比较四种适用于预训练黑盒人脸生成器的差分隐私（Differential Privacy, DP）审计方法：(1) 基于高斯机制的每身份敏感度估计（GaussMech），(2) 基于每维核密度估计对数似然比并经基础组合聚合的 KDE-LR，(3) 利用最大均值差异（MMD）与总变差距离（TV）推导纯 DP epsilon 的解析总体下界（MMD-TV），(4) 基于交叉验证分类器折叠外 ROC 的假设检验评估（ROC-HT）。作者详细阐明了每种方法的假设、超参数依赖、有限样本局限以及其 epsilon 估计有效的适用区间。实验在 FaceFusion 和 InstantID 上，使用多种身份编码器和参考数据集进行，结果显示：所有审计均一致地揭示了显著的身份可区分性，但不同方法报告出的 epsilon 估计值却差异很大，这反映了各自不同的假设和有限样本处理方式。在高区分度场景下，实验结果不支持对四种方法进行可靠排序；作者认为它们的相对权衡应在部分私有机制上评估，并指出这是下一步的自然研究目标。该框架将多种审计置于共享的身份级审计环境中，澄清了各自的假设和有限样本处理如何影响最终 DP 估计。本文适合隐私保护领域、生成模型安全、以及考虑部署人脸生成服务时进行隐私合规验证的研究人员与工程师阅读。

本文提出了一种面向差分隐私联邦学习（DPFL）的自适应梯度裁剪与噪声注入机制 DDP-SA-adaptive。在联邦学习中加入差分隐私保护时，静态梯度裁剪在整个训练过程和所有模型层使用固定阈值，若阈值过小会导致过度裁剪而损失模型精度，若阈值过大则会注入不必要的大噪声，从而在隐私保护、模型精度和训练效率之间难以取得良好平衡。DDP-SA-adaptive 在每个通信轮次中，由每个客户端根据其逐样本梯度范数的中位数，为每一层模型确定独立的裁剪阈值。这种逐轮、逐层的自适应阈值机制能够跟随梯度分布的变化，并在更新被编码和经中间聚合服务器进行秘密共享之前，校准所添加的拉普拉斯噪声。作者在一个联邦回归任务上评估了所提出机制的效率、精度、隐私、收敛性、裁剪范数和噪声量级。实验结果显示，与静态 DDP-SA 基线相比，DDP-SA-adaptive 将通信轮次减少 6.81%，总训练时间减少 19.21%，每轮平均训练时间减少 13.33%，从而提升了训练效率；测试损失降低 98.74%，测试 R2 提高 3.41%，模型精度得到改善。在达到 R2=0.99 时，自适应机制所需的隐私预算约为 epsilon=0.1，而静态 DDP-SA 需要 epsilon=0.4，因此在提供更强隐私保护的同时实现了更好的隐私-精度-效率权衡。该研究证明了逐轮、逐层的自适应机制能够有效改进差分隐私联邦学习的三方权衡，适合关注隐私保护机器学习、联邦学习效率优化及差分隐私机制设计的研究人员和工程师阅读。

现代处理器的分支预测器利用饱和计数器来提升指令级并行性，但传统饱和计数器是确定性的，容易受到侧信道攻击：攻击者可通过操作计数器状态并观察缓存行为（如Prime+Probe）推断受害进程的分支方向。为缓解该泄漏，已有研究提出概率饱和计数器（PSC），通过随机化更新来干扰攻击者的观测，但现有评估主要依赖经验仿真，缺乏严格的安全保证。本文基于差分隐私（DP）对PSC进行形式化分析：将PSC和对应的Prime+Probe攻击策略建模为概率摩尔机，推导攻击者最优观测策略，并利用差分隐私量化攻击者的区分能力。作者证明，所提出的DP保证适用于Prime+Probe观测模型下的PSC原语；而完整分支预测器在重复或自适应攻击下的端到端安全性被列为未来工作。在此基础上，本文为增强型PSC综合参数，使其满足目标纯差分隐私保证，并针对效用指标推导稳态误预测率的闭式表达，随后在基准程序上验证理论预测。实验表明，与确定性饱和计数器及现有概率计数器相比，综合得到的PSC既能提供正式的安全保证，又能保持有竞争力的预测性能。该工作首次将差分隐私形式化方法引入硬件级分支预测器侧信道防御，为微架构安全设计提供了可证明的定量分析框架。适合处理器微架构设计者、硬件安全研究者和形式化方法领域人员阅读。

DP-Sniper 是一种实用的黑盒方法，用于自动发现差分隐私（Differential Privacy, DP）实现中的违规行为。差分隐私是保护数据隐私的严格数学定义，但实际实现常因浮点误差、算法简化或实现缺陷而违背其保证。DP-Sniper 的核心创新包括两个关键思想：(i) 训练一个分类器，用于判断某个观测到的输出更可能来自两个候选输入中的哪一个；(ii) 将该分类器转化为近似最优的差分隐私攻击。这种方法能够在无需访问算法内部机制或随机种子（即黑盒）的情况下，自动检测差分隐私是否被违反。实验评估表明，DP-Sniper 相比现有最先进技术，能获得高达 12.4 倍更强的隐私违规保证，同时速度快 15.5 倍。此外，DP-Sniper 能有效利用朴素实现中的浮点漏洞：例如，它检测到一个声称满足 0.1-差分隐私的拉普拉斯机制实现，实际上连 0.25-差分隐私都无法满足。该研究为安全审计和隐私验证提供了自动化工具，适合关注差分隐私实现正确性、机器学习隐私保护以及隐私验证技术的安全从业者。

该论文（实际为学术报告摘要）由 Dawn Song 撰写，聚焦于构建负责任的数据经济所需的关键技术与体系架构。文章指出，数据是现代经济与人工智能/机器学习发展的核心驱动力，但大量数据涉及敏感信息，其处理方式已对个人和企业造成前所未有的挑战，且随着数字化深入，问题只会愈发严重。为应对这些挑战，作者提出需要综合运用多种隐私计算与数据治理技术，包括安全计算（secure computing）、差分隐私（differential privacy）、联邦学习（federated learning），以及用于保障数据权利的区块链技术。核心主张是将隐私计算技术与区块链相结合，构建一个负责任的数据经济平台，从而在保护用户数据权利、实现数据创造价值公平分配的同时，最大化社会福利与经济效率。该平台能够支撑新的数据使用范式，如去中心化数据科学（decentralized data science）和数据DAO（Data DAO，去中心化自治组织）。此外，作者还讨论了数据估值（data valuation）的新框架，以量化数据在不同场景下的贡献。该报告面向对数据隐私、数据治理、区块链应用及AI伦理感兴趣的研究者和从业者，属于概念性、框架性的前瞻研究，尚未涉及具体实现或实验验证。

本文针对数据驱动系统中马尔可夫链状态轨迹的隐私泄露问题，提出了一种基于差分隐私的在线隐私化框架。在许多应用中，系统需要依赖马尔可夫链的状态轨迹（如产品信用风险、用户物理位置、上网行为等）进行决策，但这些轨迹往往包含敏感的用户信息。现有方法通常需要离线处理或会引入较大噪声，导致数据效用下降。为此，作者将马尔可夫链建模为加权有向图，边的权重取转移概率的负对数，并将隐私化轨迹中的每个状态定义为与原始敏感状态在最短路径总权重（即距离）上最接近的候选状态。该机制以在线方式工作，即在生成敏感轨迹的同时生成对应的隐私轨迹，无需等待完整轨迹。理论上，作者证明了隐私轨迹以高概率保持与敏感轨迹接近，从而在下游任务中维持高效用；同时，隐私轨迹始终处于原马尔可夫链的典型集内，说明其统计特性与真实轨迹相似。数值实验表明，在 3-差分隐私参数下，所提机制相比现有技术可将熵降低高达 80%，意味着生成的隐私轨迹更接近原始敏感轨迹，且保持相同隐私水平。本文的主要贡献包括：首次针对马尔可夫链状态轨迹提出在线差分隐私框架、基于加权图距离的隐私化机制、以及严格的理论保证和实验验证。适合对差分隐私、马尔可夫链建模和数据驱动隐私保护感兴趣的研究人员阅读。

本文提出 Fed-SRC，一种面向联邦检索增强生成（Retrieval-Augmented Generation, RAG）的私有任意时间选择性风险认证框架。选择性风险证书的核心承诺是：所有被模型接受的输出都能满足预设的错误率目标。与以往依赖特定分数分布的方案不同，Fed-SRC 是分数不可知的，并集成差分隐私与自适应监控。各客户端仅发布经过高斯扰动后的分数直方图与损失直方图，避免直接暴露原始数据。方法上，作者利用记录索引和噪声方差索引两类鞅（martingale）联合约束目标风险对比和接受质量，覆盖所有已注册的阈值与轮次，从而支持可预测的参与者招募、退群、阈值选择和可选停止。此外，通过一个一阶全变差项将校准混合分布转移到声明的部署混合分布，使证书在分布偏移下依然有效。实验在多个数据集、隐私预算和策略组合下进行：未出现任何同时违反边界的情况。然而认证的实际效力高度依赖分数和总体分布——主要目标 r*=0.10 在全部设置中均未得到认证，RAGTruth 上 r*=0.20 也未认证；但在 HaluEval 问答任务中，200 次非私有试验全部成功认证，且留出风险低于目标。作为对照，天真地私有化非私有证书会在 146 至 198 次试验中违反边界，凸显了联合设计的必要性。此外，作者探索了私有投注资本启发式方法，但未证明其 e-process 有效性，该启发式在 epsilon<=4 时停止认证，而 Fed-SRC 仍能继续。代价方面，认证消耗的流事件数约为唯一校准项数量的 30 倍。总体而言，本文的贡献在于首次将私有、联邦、任意时间保证组合成统一的认证框架，而非单独改进对比统计量或接受下限。

本文提出 PriDyG，一个面向动态图推断的隐私保护框架，旨在解决关系型数据上的图推断可能泄露敏感边信息的问题。在动态图中，模型反复更新会导致隐私损失累积，使得问题更加严重。作者形式化了边级差分隐私动态图推断（EDG）问题，并设计了一种结合 GNN 结构学习与 LLM 语义推理的私有推断框架。PriDyG 的核心创新是增量式私有多跳聚合机制：它缓存新到达的边，并确保每条边只被处理一次。通过并行组合性质，总隐私成本等价于单次静态发布的隐私成本，与模型更新的次数或调度无关。与几何衰减的预算分配方法相比，增量聚合避免了指数增长的噪声，同时保留精确的一跳信号和至少一半的二跳信息传递。此外，PriDyG 利用仅基于节点文本的 LLM 预测来补充私有化的 GNN 输出，不产生额外的边级隐私成本。在四个基准数据集上的节点分类和链接预测实验中，PriDyG 在相同隐私预算下持续优于几何衰减基线，并匹配朴素逐次更新重训练的工具性，同时将累积隐私成本降低最多三个数量级。该研究适用于关注隐私保护图学习、动态图分析以及 LLM 与 GNN 协作机制的研究人员和工程师。

本文针对差分隐私零阶优化（DP-ZO）在大语言模型（LLM）微调中的局限性，提出了一种噪声感知的自适应收缩方法 SAGE。DP-ZO 仅利用前向传播评估即可实现内存高效的私有微调，是当前隐私保护 LLM 微调的重要技术路线。然而，现有基于聚合的 DP-ZO 方法以固定尺度重建模型更新，忽略了训练过程中有用信号强度的动态变化，导致噪声主导的更新可能被过度加权，从而损害模型效用。SAGE 的核心思想是根据私有化估计的信号质量进行自适应衰减：它从观测到的二阶矩中减去已知的高斯噪声方差来估计潜在信号能量，通过时间追踪稳定该估计，并将当前信噪比与预热参考值比较，从而推导出有界收缩因子。作为纯后处理方法，SAGE 不消耗额外的隐私预算或模型查询，仅引入恒定的额外状态量。理论分析表明，收缩使得二次更新风险项的下降速度快于线性下降项，从而在保留有用下降方向的同时，限制噪声主导更新的影响。实验在 RoBERTa-large、OPT-1.3B 和 OPT-6.7B 上验证，在相同隐私预算下，SAGE 在大多数设置中优于现有基线，同时保持了 DP-ZO 仅前向传播的内存效率。该研究为差分隐私大模型微调提供了更鲁棒的更新策略，适合关注隐私保护机器学习、尤其是 LLM 隐私微调的研究人员和工程师阅读。

本文提出 FedGSA，一种面向差分隐私联邦 LoRA 的几何一致子空间聚合框架。LoRA 通过低秩分解显著降低了联邦微调预训练语言模型的通信开销，但引入差分隐私后存在两个关键问题：对两个低秩矩阵分别扰动和聚合会导致聚合失配以及二次噪声项。现有方法通过冻结其中一个低秩矩阵来缓解问题，但依然依赖欧几里得聚合，该聚合方式具有基依赖性，可能扭曲全局更新方向。FedGSA 将每个客户端经过差分隐私处理的更新表示为 Grassmann 流形上的基不变子空间。在每一轮通信中，客户端提取表达主要更新方向的低维子空间，并将其编码为投影矩阵；服务器聚合这些投影矩阵以估计几何一致的全局更新子空间，并在该子空间内重构全局 LoRA 因子，从而减少因基对齐错误、隐私噪声和客户端更新异构性带来的失真。作者证明了 FedGSA 不会在客户端差分隐私训练之外引入额外隐私损失，并在标准假设下建立了收敛性保证。在 GLUE 的四个任务以及一个语言生成基准上的实验显示，该方法在不同隐私预算和数据异构程度下均取得一致提升；具体地，在 ε=6 和 ε=3 的设置下，平均准确率相比最强基线分别提升 2.17% 和 2.27%。这项研究为在联邦环境中安全高效地微调大语言模型提供了新的理论支撑和实践方法。

本文针对长期记忆型大语言模型（LLM）代理中的隐私泄露问题展开研究。作者指出，虽然用户从未明确陈述受保护属性（如健康状况、政治倾向等），但代理在多次交互中基于长期记忆生成的条件响应，可能累积性地泄露这些属性。作者将该威胁形式化为“自适应转录隐私”（adaptive transcript privacy），即攻击者通过观察整个交互转录，不断调整先验信念，最终推断出敏感属性。为缓解这一风险，论文提出 DP-MemView——一个面向内存接口的差分隐私层，其核心思想是：不把原始记忆直接暴露给响应 LLM，而是通过一个受差分隐私保护的“视图选择”机制，仅向响应模型提供用于生成公开响应的条件视图。每个视图选择都会针对其读取集合所覆盖的每个受保护属性组进行“记账”（即扣除隐私预算）；每个属性账本一旦超过预置上限，后续相关选择会被阻止，并返回一个固定的通用视图，从而在机制上限制累积泄露。作者在显式接口契约下证明了整个自适应转录满足纯 B_a-DP（一种针对贝叶斯攻击者的差分隐私变体），并将结论扩展到多个受保护组存在差异的存储场景，同时给出了观测转录对攻击者先验几率改变的上界。实验部分使用三个不同的响应 LLM，在受控的相邻存储基准和公共语料迁移测试上进行评估，验证了在线与预分配两种模式。结果表明，两种模式都能将转录可分性压低到接近随机猜测，同时保持目标所需的个性化和整体响应质量。进一步的诊断实验显示，若移除关键保护机制（如账本计费、视图约束等），会导致输出支持不匹配、缺失账本计费、暴露侧信道或产生长程泄露累积。总体而言，该工作为长期记忆 LLM 代理提供了一种可证明隐私保障的接口设计，对隐私保护型代理系统的开发具有重要参考价值。

本文提出 DPGen，一种面向差分隐私（Differential Privacy, DP）的自动程序合成方法。差分隐私已成为以隐私保护方式发布数据的实际标准，但设计一个满足差分隐私的算法通常需要从无噪声（非私有）算法出发，由设计者手动决定在何处添加噪声以及添加多少噪声。这一过程并不平凡，若处理不当，算法可能违反差分隐私或导致数据效用低下。DPGen 的核心目标是将这一繁琐且易出错的人工设计过程自动化：给定一个非私有算法以及隐私预算等约束，DPGen 自动合成一个满足差分隐私的版本，同时尽量保持较高的数据效用。该方法通过程序合成技术，在候选噪声插入策略与噪声量配置的搜索空间中寻找可行且最优的解。论文主要贡献包括：（1）形式化定义了从非私有算法到私有算法的自动合成问题；（2）设计了有效的合成算法，能够处理多种常见算法结构；（3）在多个基准任务上验证了所合成私有算法的效用与隐私保证。该研究适合对差分隐私机制自动化设计、程序合成以及隐私保护数据发布感兴趣的研究人员阅读。由于本文仅为摘要，尚无法获取实验细节与算法伪代码，但核心思想清晰：将差分隐私机制设计从手工过程转变为可自动搜索的合成问题。

本文提出了一种面向联邦学习场景的隐私保护框架 DP-SimAgg，用于解决医学影像中脑病灶分割任务。联邦学习允许多家医疗机构在不共享原始数据的情况下协作训练模型，但由于不同机构的数据分布存在异质性（非独立同分布），且模型更新可能间接泄露患者隐私信息，直接应用联邦学习面临挑战。DP-SimAgg 结合了相似性加权聚合与客户端-服务器两级的隐私保护机制：首先对参与方上传的模型更新执行 L2 裁剪，限制更新幅度；然后计算各参与方更新之间的相似度，以此作为聚合权重，减轻非独立同分布数据的影响；最后，在中心服务器端引入基于高斯噪声的差分隐私机制，即通过向聚合结果注入校准噪声来满足全局 (epsilon, delta)-差分隐私，在假定的敏感度界下提供每轮隐私预算。该框架基于 Intel OpenFL 平台实现，并在 FeTS 2022 数据集（包含 1251 幅多模态 MRI 扫描）上进行了脑肿瘤分割实验。实验结果显示，在严格的每轮隐私预算（epsilon=1，累计 epsilon 为 20，共 20 轮）下，模型对增强肿瘤、肿瘤核心和全肿瘤区域分别取得了 Dice 指数 0.6357、0.5305 和 0.5274。在更宽松的隐私预算（每轮 epsilon=10，累计 200）下，分割性能接近无隐私保护的基线，同时仍具备中心高斯机制带来的隐私保障。研究结果表明，DP-SimAgg 能够在保持有竞争力分割精度的同时，为医学影像跨机构协作学习提供可量化的隐私保护，为隐私敏感场景下的联邦学习实践提供了有价值的技术参考。

本文来自 arXiv，研究跨组织纵向联邦学习中的隐私保护与模型精度权衡问题。在传统联邦学习中，各参与方本地持有数据，通过共享模型参数或更新信息来协作训练，并借助本地差分隐私（Local Differential Privacy）保护原始数据。然而，本地差分隐私通常会注入大量噪声，导致模型精度显著下降。针对这一瓶颈，作者提出一种名为“私有跨聚合技术”（Private Cross-aggregation Technology, PCT）的新方法。PCT 结合了私有集合交集基数（Private Set Intersection Cardinality）、可信执行环境（TEE）和差分隐私（DP），构造一个从输入到输出均保持私密的交叉列联表（cross-tabulation table）。整个训练流程分为两步：第一步，利用 PCT 生成私有交叉列联表；第二步，基于该表格训练机器学习模型。这样，模型无需直接接触原始数据，也不依赖高噪声的梯度交换。实验结果表明，在隐私预算受限的场景下，所提方法的分类精度优于基线联邦学习方法，同时计算耗时更短。论文的核心贡献在于：将 TEE 与 DP 结合，通过私有交叉表形式降低了噪声对模型精度的影响，为纵向联邦学习提供了一种端到端的隐私保护解决方案。适合关注隐私计算、联邦学习、差分隐私与可信硬件结合方向的研究人员阅读。

论文提出一种针对直方流（Rectified Flow）变换器的几何感知差分隐私训练方法StraightDP，旨在解决文本条件生成模型在强隐私约束下出现的效用悬崖（utility cliff）问题。作者重新审视了直方流的几何特性：在噪声到数据的直线插值过程中，贝叶斯最优速度（Bayes-optimal velocity）在噪声端点主要由少数类条件矩（class-conditional moments）控制，而越接近数据端点，样本特定结构越重要。StraightDP利用这一异质性，先将一小部分隐私预算用于一次性释放白化的类条件矩，这些矩可被蒸馏进模型权重或在采样时注入；其余预算则通过预先声明的DP-SGD（差分隐私随机梯度下降）用于数据端训练，以捕捉超出矩刻画的样本细节。在MNIST数据集上，当ε=1时，仅释放矩即可达到0.76的下游任务准确率，并生成类似原型的样本（FID为237），而统一DP-SGD仅达到0.21；基于矩释放的完整管道在公共潜在空间中达到0.81的准确率和FID 56。此外，作者发现对多模态骨干网络的每token流范数进行约束，不会改变预训练损失，但能显著提升极端噪声像素空间（pixel-space）下的下游准确率，且隐私强度越强，其准确率增益越单调增加。最后，释放的矩还可迁移至冻结的SD3-medium模型，在采样时注入比DP-LoRA训练更节省预算且效果更好。该研究提供了DP训练生成模型的新视角，通过几何感知的预算分配显著改善隐私-效用权衡，适合研究私有生成模型、差分隐私算法和直方流架构的学者与工程师阅读。

本文研究纯ε差分隐私（DP）下连续计数问题中任意实数矩阵分解的成本。设T_n为下三角前缀和矩阵，Laplace矩阵机制的因子化成本c_frob和c_two分别控制每坐标平方误差的均值和最大值。作者证明了对于任意符号、稀疏性和平方性限制，以及任意有限内维，c_frob(T_n)和c_two(T_n)均为Θ((log(n+1))^{3/2})。由此得出，在纯ε-DP矩阵机制类中，优化的最大和均方误差均为Θ(ε^{-2} log^3(n+1))。此前Arkhipov和Kalinin仅对{0,1}项因子建立了匹配的低阶，并将任意因子扩展留作开放问题，本文填补了这一空白。下界证明采用p-核障碍技术：对前缀链建立聚合列宽估计D_k(T_n)≈n^{3/2} k^{-1/2}（1≤k≤n/16），结合Pietsch和Hinrichs–Pietsch的逼近空间转换，在临界指数p=2/3处发挥调和作用，再利用Hölder不等式将结果转移到两个因子成本。同一论证还确定了核范数nucpow_p(T_n)对0<p<1的精确阶：p<2/3时为n，p=2/3时为n log n，p>2/3时为n^{3p/2}。上界通过Fenwick区间分解构造得到匹配。结论仅限于纯ε-DP Laplace矩阵机制及两种平方误差准则，不适用于非矩阵连续机制、近似DP灵敏度或跨坐标期望最大值。该工作为差分隐私连续计数问题提供了严格的复杂度刻画，对设计最优隐私预算分配具有理论指导意义。

该论文提出了 Twilight，一个差分隐私的支付通道网络。支付通道网络（PCN）作为区块链的扩容方案，通过链下交易提升吞吐量，但现有方案缺乏对交易金额和路径的强隐私保护。Twilight 引入差分隐私机制，通过在路由过程中注入受控噪声，并利用隐私预算分配策略，在隐藏交易细节的同时不影响通道余额的正确性。论文设计了两种变体：Twilight-I 关注边隐私，Twilight-P 关注路径隐私，分别适用于不同场景。实验基于 Lightning Network 的真实拓扑模拟，评估了延迟、成功率和隐私损失，表明 Twilight 能在可接受的性能开销下达到强隐私保障。主要贡献包括：形式化定义 PCN 中的差分隐私需求，提出兼容现有路由算法的隐私保护扩展，以及提供实用性指导。该研究适合隐私保护、区块链扩容和差分隐私应用领域的研究者阅读。由于仅基于标题推测，具体细节待原文验证。

本文提出 ScoreShield，一种差分隐私（DP）机制，用于安全发布向量嵌入之间的余弦相似度分数，适用于生物识别、检索增强生成（RAG）等应用。现有方法简单添加独立同分布高斯噪声会导致严重失真且隐私预算随分数数量平方级增长。ScoreShield 采用“扰动-投影”方法：先向原始分数向量添加校准到全局敏感度的高斯噪声，再将结果投影到有效余弦对象的可行集上，满足 (ε,δ)-DP。文章提供了精确 Frobenius 度量投影的效用保证，并证明了用于大规模 Gram 矩阵发布的平均交替投影求解器的收敛性。针对记录级替换邻接下的全配对余弦 Gram 矩阵发布，精确投影将平方 Frobenius 风险从朴素高斯基线（Θ(n^3)）降低到 O(n^2)。实验涵盖 RAG、人脸识别、语义检索、图像相似度和推荐系统任务，验证了 ScoreShield 在保持实用性的同时显著提升隐私保护。

本文研究差分隐私随机梯度下降（DP-SGD）中，使用数据打乱（shuffling）替代传统泊松子采样（Poisson subsampling）时隐私保证的准确性。传统DP-SGD通过泊松子采样随机选择每轮训练批次，但打乱因计算开销低、兼容性好而被广泛采用，然而其理论隐私保证的紧致性仍是开放问题。现有实践常直接用泊松子采样的隐私分析来评估打乱下的模型，可能导致隐私保证被高估。为此，作者提出了面向打乱DP-SGD的新型审计程序，以量化理论隐私界限与实际泄露之间的差距。实验设置包括不同批次大小、隐私预算和威胁模型。结果表明，使用打乱的DP模型隐私保证被高估达4倍，且这种差距在不同参数和威胁模型下并不均匀。进一步研究发现，打乱过程的两种常见变体导致隐私泄露增加至多10倍。本文强调了在缺乏严格分析方法时，使用打乱替代泊松子采样存在的隐私风险。适合研究差分隐私、机器学习隐私保护的研究者和工程师阅读。

本文针对差分隐私（Differential Privacy, DP）在实际部署中必须满足的聚合约束（也称为不变性）问题，提出了一种基于最大熵的差分隐私实现方法。在标准的差分隐私机制中，通常通过向查询结果添加独立的高斯或拉普拉斯噪声来保护个体数据，然而当存在某些必须保持不变的线性聚合查询（例如美国十年人口普查中的州总人口数，因其受宪法约束而不可扰动）时，独立的噪声添加会破坏这些不变性。作者提出了一种高熵差分隐私实现方案，该方案以概率1或指数接近1的概率维持聚合不变性，并推导了在此约束下的隐私保证。理论贡献包括部分解决了关于相关矩阵零空间的一个开放问题。该方法在线性等式约束下从正态混合模型中采样的场景中具有通用价值。研究适合差分隐私领域的研究人员、统计学家以及需要发布满足法定约束的统计数据的实践者阅读。

本文研究持续观察（Continual Observation, CO）模型下的差分隐私（Differential Privacy, DP）问题。在CO模型中，敏感数据流随时间不断产生，算法实时发布输出，隐私损失随输出序列累积。传统CO隐私定义考虑相邻数据流（即仅在一个时间点不同），但本文提出更严格的概念：编辑相邻数据流（edit-neighboring streams），允许个体参与导致整个数据流在时间上偏移一个步长（例如插入或删除一个时间点）。该定义更贴近现实场景，如某人加入或退出观测系统。 主要贡献包括： 1. 下界证明：对于长度为T的数据流，任何加法噪声机制若要对编辑相邻数据流满足ε-DP，必须承受误差Ω̃(min{T^{1/3}/ε^{2/3}, T})。这对比标准相邻定义下仅多对数误差的下界（如因子分解机制）是显著更差。 2. 上界机制：首次构造了对编辑相邻数据流达到多对数误差的机制。通过改进算法设计，在任意输入流和稀疏流下均恢复与标准定义相同的渐近误差（系数稍差）。 3. “甜蜜点”分析：证明编辑相邻概念在通用性和误差之间处于“甜蜜点”。更一般的“前缀和相邻”（prefix-sum neighboring）概念必受相同下界约束，表明编辑相邻已是可达到的最小误差下的最一般定义。 4. 实验验证：在合成数据上，与先前机制相比，新机制在区分攻击成功概率与误差之间取得了更优的权衡。 论文适合对差分隐私、数据流隐私、算法理论感兴趣的研究者，特别是需要设计实际CO隐私保护系统的安全工程师。

本文研究了纯差分隐私下统计查询释放的问题。Nikolov 和 Ullman 曾提出一个猜想：对于大小为 T 的域上的 k 个统计查询，是否存在一种纯差分隐私机制，其最坏坐标误差能够达到已知下界所暗示的平方根速率。本文证明了该猜想的上界成立。具体来说，对于任意数据库大小 n 和隐私参数 ε>0，存在一个 ε-差分隐私机制，其期望误差为 O(min{1, sqrt(log(2T)log(2k)/(εn))})。这一结果在高维标准条件下匹配了下界依赖关系；通过移位对数和外层最小值，该上界在无需额外参数假设的情况下仍然有效。构造方法从一个仅基于选择的私有乘法权重记录（transcript）出发，然后用距离惩罚似然包络替换其概率质量函数。为了证明该修改保持了准确性，论文使用似然层面的 Maurey 论证，通过一小族辅助 PMW 律来界定每个汉明球的最大值。Renyi 矩界控制了邻近的球，直接混合界控制了远处的球，并且在隐私尺度处对半径进行分组，避免了误差中额外的 1/ε 因子。该机制是信息论意义上的。此外，论文还附带了一个 Lean 4 形式化验证，机器检验了有限构造、确定性解码后的纯隐私性以及显示的全范围上界。这项工作是差分隐私理论的重要进展，为统计查询释放的最优误差提供了理论支持。

本文提出了一种端到端差分隐私（DP）训练框架，用于深度神经网络分类器。现有的DP机器学习方法通常同时对训练输入和标签进行隐私保护，但在标签可公开或可安全公开的场景下，这种保护过于保守。因此，作者提出仅对训练输入进行私有化，同时保持标签公开。该框架适用于具有softmax输出层的神经网络，softmax层的输出是一个到单位单纯形的映射。在训练过程中，作者通过应用Dirichlet机制对softmax输出进行随机化，从而对训练输入施加差分隐私，这也是“端到端”名称的由来。由于训练数据在多个训练周期中被重复使用，作者使用Rényi差分隐私来制定Dirichlet机制在重复使用下隐私强度的紧致界限。实验表明，在CIFAR10、MNIST、MedMNIST、FashionMNIST和SVHN数据集上，从零开始训练时，该方法在所有评估的隐私预算下均取得了最新的最高准确率。具体而言，当实现(ε, δ)-差分隐私且δ=10^{-5}时，在CIFAR10上，ε=4时准确率从之前的最优78.37%提高到88.17%；即使在ε=1时，该方法也达到了82.96%的准确率，显著优于先前工作。该方法的贡献在于：1）提出了仅对输入进行私有化的端到端DP训练框架，适用于标签公开的场景；2）利用Dirichlet机制和Rényi DP提供了严格的隐私分析；3）在多个标准数据集上实现了显著的精度提升，缩小了非私密与私密训练之间的差距。

本文研究在边级别差分隐私保护下发布合成图的问题，要求该合成图能近似原始输入图中所有切割的大小。作者提出一种多项式时间的 (ε,δ)-差分隐私算法，对于任意 n 顶点无权重图 G，输出一个非负权重合成图 Ĝ，使得对于任意切割 S，其权重误差以高概率满足 |w_G(S)-w_{Ĝ}(S)| ≤ γ w_G(S) + Õ_{ε,δ,γ}(n^{13/12+o(1)})。该结果改进了 Aamand 等人 (ICML 2025) 的 Õ(n^{5/4+o(1)}) 最坏情况界。技术核心是一组针对有界度图的私有谱工具，其中之一在估计图拉普拉斯算子时达到谱误差 Õ_δ((nd)^{1/4}/√ε)，首次在高度数区域击败了标准的 min{2d, Õ_δ(√n/ε)} 基线。进一步，作者开发了具有更优 n 和 d 依赖性的谱工具用于下游切割近似。结合一种新的边敏感终端切割预言机（在 M 条边的图上具有 Õ(n+(n^2M)^{1/3}) 加法误差），最终得到了 Õ(n^{13/12+o(1)}) 的最坏情况私有切割发布误差。本文贡献在于显著降低了差分隐私图切割近似的误差界限，推动了隐私保护图数据发布的理论进展。适合理论计算机科学、差分隐私和算法设计领域的研究者阅读。

本文提出了 RRAM-DP，一种面向边缘 AIoT 系统的硬件-算法协同差分隐私方法。边缘 AIoT 设备常收集敏感数据，隐私保护至关重要。电阻式随机存取存储器（RRAM）因其多比特存储和存内计算能力而成为高效 AIoT 的候选硬件，但其固有的随机写入行为通常被视为精度损失因素。RRAM-DP 创新地利用这种随机性，通过放松 RRAM 写验证操作来注入经过校准的噪声，从而实现形式化的 (ε, δ)-差分隐私，并辅以预训练技术，形成一种新颖的隐私保护、高实用性的存内计算训练范式。在 CIFAR-10/100、STS-B 和 SST-2 数据集上，RRAM-DP-SGD 在 (ε=2, δ=O(1/n))-DP 下相比非隐私 SGD 仅最多损失 3.8% 的准确率。在相同隐私水平下，与 A100 GPU 和 DiVa-GEMM 相比，RRAM-DP-SGD 分别实现了最高 57 倍和 3.2 倍的能量节省，以及 2.7 倍和 1.8 倍的加速。这些结果表明，RRAM-DP 能够在边缘实现高效且隐私保护的存内训练。

本文研究了差分隐私（DP）在合成数据生成中的固有权衡：隐私保护与统计保真度之间的矛盾。现有方法虽然利用公共数据来改善这一权衡，但通常仅在预处理（如使用预训练生成模型）或后处理（如匹配从公共数据集估计的目标统计量）中间接使用公共数据，而依赖领域无关的DP机制。本文提出了一个理论框架，将公共数据原则性地整合到DP机制本身中。作者将归一化直方图作为分布估计器，并在特定类别的DP机制内刻画了渐近最优的域感知隐私机制。具体地，他们提出了PubMix，一种公共数据感知的DP机制，可用于基于直方图的数据合成流水线。实验表明，与领域无关的隐私机制相比，PubMix显著提升了合成数据生成的质量。该工作为利用公共数据改进差分隐私合成数据提供了理论基础和实用方法。

该论文提出了一种名为 DP-Forward 的新方法，旨在解决差分隐私随机梯度下降（DP-SGD）在语言模型微调与推理中的局限性。DP-SGD 通过在反向传播过程中向梯度添加噪声来保护训练数据免受隐私泄露（如成员推断攻击），但它无法防御推理阶段的威胁，例如嵌入反转攻击和敏感属性推断。此外，DP-SGD 在微调大型预训练语言模型时存在存储和计算成本高昂的问题。DP-Forward 转而将噪声注入到前向传播阶段，具体来说，是在模型每一层的激活值或嵌入表示中添加精心设计的噪声，从而实现差分隐私保护。该方法不仅能够保护训练数据的隐私，还能抵御推理阶段的隐私攻击，同时降低了存储和计算开销。论文在多个语言模型和数据集上进行了实验，评估了隐私-效用权衡，结果表明 DP-Forward 在保持模型性能的同时，显著提升了隐私保护效果。该工作为语言模型的隐私保护提供了一种新的思路，尤其适用于需要同时保护训练和推理隐私的场景。

该论文首次在差分隐私框架下研究结果多样化问题，聚焦于最大和多样化（MSD）模型。MSD旨在选择一组项目，最大化一个线性组合：子模函数（衡量相关性）与所选项目间成对距离之和（衡量多样性）。现有非私有方法在处理敏感数据时存在隐私泄露风险。作者提出了满足差分隐私的算法，适用于基数约束和拟阵约束，并证明了近最优的效用保证。同时设计了更高效的算法，在保持强隐私保证的同时，速度甚至超过现有非私有方法。实验基于真实数据集，展示在强隐私保护下，效用与非私有基线相当，且基数约束下的执行时间显著提升。该工作为隐私保护下的数据多样化查询提供了理论和方法基础。

该论文研究在污水监测数据中保护个体身份隐私的问题。污水监测广泛应用于公共卫生领域，如检测药物滥用或传染病爆发，但原始数据可能包含可追溯至个人的敏感信息（例如特定社区的用药模式）。作者提出结合统计隐私技术和差分隐私（Differential Privacy）的方法，对污水数据进行匿名化处理，确保在发布聚合统计信息时，无法反推出单个个体的贡献。具体方法可能包括对数据添加可控噪声或使用k-匿名等统计去标识化技术，并在隐私预算（ε）的约束下进行优化。实验部分通过真实或合成的污水数据集验证了所提方法在隐私保护强度与数据效用之间的平衡。结果表明，该方法能够显著降低重识别风险，同时保留用于流行病学分析的关键趋势。该工作为公共卫生数据共享提供了实用的隐私保障框架。

该论文提出了一种新的群体公平性度量方法——Privacy-Cost Equity Ratio (PCER)，用于评估差分隐私（DP）机器学习系统中的群体公平性。传统的公平性度量主要关注模型输出（如准确率）在不同群体间的差异，但忽略了隐私成本（即信息泄露风险）的分配不公。作者认为，隐私成本本身是一种伤害，那些非自愿承担更高隐私暴露的群体应该从系统中获得比例更高的收益。基于这一补偿性公平框架，PCER被定义为群体正预测率与群体过拟合差距的比值。过拟合差距上限由标准成员推理攻击的边界推导得出，因此PCER是一个保守的收益-暴露比度量。PCER仅需要每个群体的训练和测试准确率（无需影子模型），因此是一种实用的审计工具。作者在多个基准数据集（包括表格数据和NLP领域）上，在不同隐私预算下使用DP-SGD进行评估，并与标准公平性度量进行比较。结果表明PCER能发现基于纯输出度量无法察觉的不公平模式，例如在COMPAS数据集上，受保护群体同时承受了更大的隐私暴露和更差的预测结果，而人口统计平等差距完全掩盖了这一双重劣势。敏感性分析显示，当隐私保护非常强时，所有群体的过拟合差距都趋近于零，此时基于暴露的审计失效。总之，该研究强调了对隐私保护系统进行公平性审计时，不仅需考虑谁从结果中受益，还需考虑谁承担了保护的成本。适合机器学习公平性研究者、差分隐私从业者、系统审计员阅读。

检索增强生成（RAG）通过外部文档检索增强大型语言模型的能力，但检索到的上下文可能泄露敏感信息。现有隐私保护方法通常基于文档级静态风险假设，即认为所有检索文档具有相同的隐私泄露风险。然而，这一假设忽略了RAG的一个基本特征：文档的隐私风险高度依赖于用户的查询，使得隐私泄露本质上是查询驱动的、动态的。为了解决这一挑战，本文提出了一种用于隐私保护RAG的提示感知动态层次差分隐私框架（PA-HDP）。PA-HDP首先执行提示感知的风险层次划分，动态评估不同查询下的隐私风险；然后应用自适应敏感实体替换和基于指数机制的文本选择，在保留语义效用的同时提供差异化的隐私保护。通过仅保护给定查询下真正敏感的内容，PA-HDP最小化了对检索语料库的不必要修改。在基准数据集上的大量实验表明，PA-HDP在保持高检索质量的同时显著降低了隐私泄露，实现了比先前方法更好的隐私-效用权衡。本文适用于对RAG隐私保护、差分隐私、以及大语言模型安全感兴趣的研究人员和工程师。

该论文研究了跨孤岛联邦学习（FL）中的记录级个性化差分隐私（DP）问题。现有方法通常假设所有记录具有统一的隐私预算，提供“一刀切”的解决方案，无法满足每条记录特定的隐私需求。作者提出了一个名为rPDP-FL的新型框架，采用两阶段混合采样方案：包括均匀的客户端级采样和非均匀的记录级采样，以应对不同的隐私要求。该框架允许每个记录根据其隐私需求设置个性化的隐私预算，并通过精心设计的采样机制确保整体训练的收敛性和效率。实验部分（在摘要中未详述）可能通过标准数据集验证了该框架在满足个性化隐私约束的同时，保持了模型的效用。该方法适用于多个数据持有者（如医院、银行）在隐私法规要求下协作训练模型，且每个数据点可能有不同的隐私敏感度。论文的核心贡献在于首次系统性地解决了跨孤岛FL中的记录级个性化隐私保护问题，并提出了可实际部署的算法框架。

本文研究了一个差分隐私中的基础问题：是否可以对较大的组提供更强的隐私保障？Pujol和Desfontaines曾提出，在发布直方图时，是否可以允许对大计数有更大的误差，从而利用这一松弛来更强地保护大组成员。本文在固定不相交组以及“添加或删除一个个体”的邻接关系下系统研究该问题。隐私预算v(n)依赖于受影响的计数n，是非增函数，并且必须在所有阶数上同时约束Rényi散度的两个方向——这是本文研究的基于计数的零集中差分隐私（zCDP）形式。原始严格相对误差条件在计数为零时无法满足，因此作者通过要求E|widehat{x}_i - x_i| < r * max{x_i, 1}来显式引入边界容忍度，同时不改变任何正计数上的要求。主要结果确定了组大小的最优依赖关系。上界方面，作者直接特化了现有的移位变换框架，得到的移位对数高斯机制具有认证预算v(n)=O_r(n^{-2})。下界方面，对于任意固定的0<r<1，任何满足相同正计数效用要求和基于计数的zCDP的机制必须满足v(n)=Ω_r(n^{-2})。因此，在修正的问题表述下，逆平方速率是最优的。进一步，通过多计数信息论论证，将大计数-小误差极限下的主导系数限制在π/(4e^2)与1/π之间，因子小于3。当r=1时，一种数据无关的发布在零隐私损失下满足修正后的条件。该工作为差分隐私中的组隐私保护提供了理论基础，证明了基于计数的隐私预算的最优缩放关系，对设计更精细的隐私保护机制具有指导意义。

该论文针对举报人保护问题，提出了一种基于差分隐私的审计选择机制，旨在防止组织通过观察审计选择来识别举报人。现有方案缺乏正式隐私保证，而差分隐私机制也未直接针对这一自然威胁模型。作者首先形式化了强敌手威胁模型下的每报告（per-report）(0, δ)-差分隐私，并证明随机响应方法在任意时间跨度内不可能比均匀随机审计性能提升超过δ。接着，他们提出了一种通用机制，将隐私审计归约到隐私持续计数问题：任何(0, δ)-差分隐私的持续计数器均可通过后处理接入，审计记录继承相同的每报告保证。实例化该归约后，使用最新持续计数工作，在T次审计决策的时间跨度内噪声规模为O(√log T)。效用定理表明，当最受报告组织与第二名之间的噪声报告差距增长快于√log T时，选择误差消失。模拟结果显示，该方法相较于随机响应有显著改进。该工作为举报人保护提供了可验证的隐私保证，适合安全隐私研究人员和系统设计者阅读。

该论文提出了一种名为 ReBound 的差分隐私决策支持框架，旨在解决交互式查询中隐私预算浪费的问题。传统的差分隐私机制将每个查询视为独立事件，不记忆历史结果，导致重复或相关查询消耗过多隐私预算。ReBound 通过引入缓存结果复用机制，允许新查询利用先前查询的缓存答案，从而在保持形式化效用保证（如假阴性率和假阳性率界限）的前提下，降低或免除额外隐私成本。框架包含三个核心组件：一是多种细化类型（如边界调整、阈值修改、函数派生）的复用框架；二是缓存图结构，用于高效查找可复用的历史结果；三是协商机制，当请求的界限无法在当前预算内满足时，提供替代方案。实验表明，ReBound 能显著减少隐私预算消耗，同时维持查询准确性。该研究适用于数据发布、联邦学习等需要交互式查询且关注隐私保护的场景。

本文提出并评估了一个隐私保护的推荐系统框架，旨在解决传统推荐系统依赖集中存储用户交互数据所带来的隐私与合规挑战（如GDPR、CCPA、CPRA）。该框架结合了联邦学习、差分隐私、群体级建模和隐私感知智能体：联邦学习保持原始用户数据分散在本地，差分隐私向模型更新引入数学上有界的噪声，群体级建模利用用户群体特征而非个体数据，隐私感知智能体负责协调隐私预算分配。实验在模拟客户点击流和购买行为的合成零售数据集上进行，评估了矩阵分解、神经协同过滤和GRU4Rec三种推荐模型在多个差分隐私预算（ε值）下的表现，度量包括点击率（CTR）、Precision@K、Recall@K和归一化折损累计增益（NDCG@K）。结果发现，在中等隐私预算（ε≈5）下，该框架能保持有竞争力的推荐质量，表明强隐私保护可以以有限的推荐效果损失实现。此外，还开发了交互式Streamlit仪表盘以可视化推荐性能、排序稳定性、隐私-效用权衡和公平性指标。本文为部署兼顾个性化、法规合规与商业目标的隐私保护推荐系统提供了实用框架，适合电商和零售平台的安全与隐私工程师、推荐系统研究人员阅读。

差分隐私图像合成旨在从敏感数据集中生成合成图像，缓解组织共享和使用合成图像时的隐私泄露问题。现有方法（如使用差分隐私随机梯度下降训练扩散模型）虽然取得进展，但性能仍不理想。受课程学习启发，本文提出一种两阶段差分隐私图像合成框架，让扩散模型从易到难地学习生成差分隐私图像。第一阶段为“简单阶段”，模型先学习敏感图像的简单特征；为此提出使用“中心图像”——即随机采样敏感数据集的聚合结果。这些中心图像虽不展示细节，但能体现所有图像的有用特征，且仅消耗极小的隐私预算，有助于模型早期训练。第二阶段再使用DP-SGD训练完整模型。实验在四个图像数据集上平均表明，合成图像的保真度和效用指标分别比当前最优方法提升33.1%和2.1%。论文提供了可复现的代码和数据集。

该研究针对联邦学习（FL）系统中的数据隐私与安全性问题，提出了一种结合同态加密（HE）和差分隐私（DP）的架构。联邦学习允许数据保留在本地设备上，避免了集中式数据收集，但模型更新过程中仍可能泄露敏感信息。同态加密使得在加密数据上直接进行计算成为可能，而差分隐私通过对模型输出施加统计扰动来防止个体信息被提取。研究者在Framingham、皮马印第安人糖尿病和银行营销三个数据集上测试了所提出的架构，实验结果表明，在未显著牺牲模型准确率的前提下，能够有效增强隐私保护。此外，文章还分析了客户端间数据异质性对模型性能的影响，并指出通过精心选择差分隐私参数、优化训练设置以及使用更大规模的数据集，可以提升联邦学习的效率。该研究的贡献在于证明隐私保护且高性能的人工智能系统可以安全地应用于医疗、金融等敏感领域。适合对联邦学习、隐私保护机器学习感兴趣的研究人员和工程师阅读。

该论文针对差分隐私（DP）合成表格数据中的公平性问题进行了首次系统性基准评估。研究背景是机器学习模型在高风险领域（如金融、医疗）的部署日益普遍，隐私和公平性成为关键关注点。差分隐私已成为隐私保护数据分析的金标准，而公平性机制旨在减轻对弱势群体的歧视。然而，这两项目标可能相互冲突：DP通常放大不同人口统计学群体间的差异，而现有公平性干预措施在DP约束下的有效性尚不清楚。论文的核心方法是以自适应迭代机制（AIM）作为最先进的基于边缘的DP合成器，在四个数据集上、多种群体公平性指标、三类缓解策略（预处理、处理中、后处理）以及广泛的隐私预算下评估公平性干预。比较了四种管线配置：（1）基线（原始数据训练）；（2）仅DP（DP合成数据训练）；（3）仅公平（在原始数据上应用公平性机制）；（4）DP+公平（结合公平性机制与DP合成数据）。主要实验结果表明：仅DP会损害效用和公平性，但应用公平性干预可以部分恢复公平结果。其中，后处理方法在不同隐私预算和合成器下提供更稳定的公平-效用权衡，在保持竞争力的效用同时实现强公平改进。论文贡献包括首次全面评估、开源代码和数据以支持可复现性，并为隐私-公平-效用权衡的未来研究提供基础。适合关注差分隐私、公平性机器学习以及数据合成的研究人员和从业者阅读。

该论文研究了持续学习中参与隐私（Participation Privacy）的挑战。在联邦学习和流式学习场景中，模型通常持续更新并释放中间模型，因此隐私保护需要覆盖整个动态交互轨迹。作者针对单次编辑（single-edit）相邻用户流这一模型，即用户流中一次插入或删除会改变所有后续更新，传统的基于汉明距离（Hamming-neighbor）的持续发布分析无法直接适用。为了解决这一问题，论文提出了一种可审计的模块化方案：首先，设计一个随机缓冲包装器（randomized buffering wrapper），将原始更新流分割成大小为$[U, 2U]$的箱子（bins），从而将单次编辑流转化为每个箱子内的汉明风格更新流，并给出明确的积压/延迟保证，其中$U$由隐私参数$(\varepsilon, \delta)$校准。其次，论文证明了一个认证定理（certification theorem），该定理揭示了当非自适应的汉明邻域差分隐私证明能够提升到自适应输入的条件：基础算法必须每轮使用全新的随机性，并且在共同自适应上下文中具有稳定的单轮隐私配置。结合这些要素，论文最终实现了对于单次编辑流的轨迹级$(\varepsilon, \delta)$-差分隐私，并利用标准基础算法（如树前缀和机制）给出了隐私与延迟之间的显式联系（通过$U$参数）。实验部分验证了所提方法的隐私保证和实用效率。适合对差分隐私、联邦学习、流式数据隐私保护的学者和工程师阅读。

该论文研究了自主谈判代理在部署于保险、采购等高风险场景时面临的行为隐私泄露问题。传统的加密技术只能保护显式披露的约束值，但无法防御对手通过观察谈判动态（如让步轨迹、时序、收敛模式）推断私有约束的潜在威胁。本文首次系统形式化了多轮谈判协议中的行为差分隐私概念，并提出了一种自适应随机谈判策略。该策略联合保证了(ε,δ)-差分隐私、报价序列的几乎必然收敛（当对手预留价值允许时达成协议）以及高效的谈判效用。在3000个合成双边谈判上的实验表明，该机制能将对手推断准确率降低43-50%，同时保持谈判成功率和效用超过90%，证明了强隐私保证可以在不显著牺牲性能的前提下实现。

本文研究了量子传感器网络在函数估计中的应用，并首次探讨了其隐私保护问题。量子传感利用量子纠缠实现比经典传感更优的灵敏度（海森堡极限缩放 O(1/n^2)）。然而，当传感器网络用于测量敏感数据（如生物医学数据）时，可能遭受隐私攻击。作者首先展示了纠缠传感器网络容易受到特定隐私侵犯攻击。为此，他们提出了融合差分隐私的量子传感协议，在保持海森堡极限缩放的同时实现隐私保护。核心协议通过在传感哈密顿量中直接注入噪声，在函数估计均方误差的 O(1/n^2) 缩放与隐私水平之间取得权衡。在假设网络存在公共随机源且恒定比例节点诚实的情况下，该协议可本地实现，并达到 (O(1), δ)-差分隐私（δ 任意小），同时保留海森堡极限缩放。作者还证明了协议能抵御经典和量子对手的多种攻击，并发现量子技术在隐私-效用权衡中的优势。该工作为量子传感在实际隐私敏感场景中的应用奠定了基础。

本文提出了一种新的差分隐私（DP）机制——抖动高斯机制（Dithered Gaussian Mechanism），作为传统离散高斯机制的替代方案。与离散高斯机制直接离散化噪声分布不同，抖动高斯机制通过后处理高斯机制来离散化私有输出，从而直接继承标准高斯机制的隐私保证，同时避免了因有限精度浮点数输出带来的安全漏洞。论文证明了该机制在随机性上高效：通过直接采样离散输出值，用于隐私的关键高质量随机位数可以显著减少，并且与噪声水平无关。具体地，随机性被分为两个来源：高质量源用于隐私关键的采样步骤，而高性能公开源（可能被攻击者知晓）则提供随机离散化所需的额外随机性。这种分离使得可以在不显著损失性能的情况下使用密码学安全的随机数。作为应用，论文研究了DP-SGD模型训练，并展示使用密码学安全噪声生成以减少浮点漏洞暴露，仅带来适度的实践开销。该工作主要贡献在于：提出一种新颖的抖动高斯机制，兼具隐私保证和随机性效率；通过随机源分离实现密码学安全噪声生成的实际可行性；实验验证了在DP-SGD中的有效性。适合从事差分隐私、机器学习隐私保护的研究者和工程师阅读。

该论文提出了一种名为 MIRAGE 的隐私保护消息系统，旨在解决审查环境下的抗阻塞通信问题。传统去中心化匿名网络如 Tor 依赖集中式互联网基础设施，容易遭受大规模封锁。MIRAGE 利用人群的高层移动模式，采用基于区域（district）的概率路由方案，将消息基于人口移动模式进行随机转发，从而避免依赖固定基础设施。为了防止个体移动行为泄露，MIRAGE 通过本地差分隐私技术保护用户的移动模式，确保参与网络不会因可观察到的路由决策暴露个人位置历史。作者在开源模拟器 Cadence 中实现了 MIRAGE，该模拟器提供了基于时间的节点间近似地理相遇的统一框架。实验使用两个真实轨迹数据集：城市行人移动模式和出租车 GPS 轨迹，评估了 MIRAGE 的隐私与效率权衡，并与传统流行病路由、随机游走路由以及最先进的隐私保护地理路由协议进行了对比。结果表明，MIRAGE 相比流行病路由显著降低了消息开销，在投递率上优于概率洪泛，同时提供了比现有技术更强的隐私保证。该研究为审查环境下的通信提供了一种新型去中心化方案，特别适合需要高隐私和抗阻塞能力的场景。

该论文针对分布式环境下局部图数据的隐私保护问题展开研究。随着社交网络、移动应用和边缘计算等场景的普及，图结构数据越来越多地以去中心化方式生成和存储，用户对自身局部图数据拥有控制权。然而，在利用这些数据进行下游学习任务时，节点及其属性常包含敏感个人信息，隐私泄露风险突出。局部差分隐私（LDP）作为一种不依赖可信服务器的隐私保护数据收集技术，已有相关图学习方法，但现有方法均假设所有用户具有统一的隐私需求，忽略了实际系统中用户隐私偏好的异质性和个性化。这种统一处理导致数据收集阶段噪声注入僵化，图数据严重失真，后续分析效用下降。针对上述局限，论文提出了PPGNN——一个面向去中心化图数据的个性化差分隐私框架。PPGNN允许用户在执行局部扰动时设定自己的隐私预算，同时保持分析效用。为处理异质隐私水平与噪声失真，论文设计了两阶段解决方案：个性化扰动机制（PPM）和加权校准策略FlexProp。PPM根据每个用户的个性化隐私预算对局部图数据进行扰动；FlexProp通过权重校准减少因不同隐私预算引入的偏差。在六个真实图数据集上的大量实验表明，PPGNN在去中心化图学习场景中有效平衡了个性化隐私保护与数据效用。该工作首次系统地解决了图数据上的个性化差分隐私问题，为联邦图学习、社交网络分析等隐私敏感型应用提供了理论基础与实用方法。

本文提出了一种新的差分隐私变体——Ball-DP（球差分隐私），旨在解决传统差分隐私（DP）在防御数据重建攻击时噪声过大的问题。传统DP通过添加噪声来确保任意单条记录替换后的输出不可区分，但这一保证对重建攻击而言过于保守，因为实际攻击者通常只关心与原始记录相似的替代记录（即嵌入空间中距离较近的点）。Ball-DP将不可区分性限制在嵌入空间中半径为r的球内，从而在保持对局部重建攻击防御能力的同时显著降低噪声量，提升模型效用。论文为正则化凸学习问题提供了Ball-DP的噪声校准公式，并推导了相应的重建鲁棒性证书Ball-ReRo，该证书能够上界攻击者的重建成功率。此外，作者推导了最优有限先验MAP重建攻击，并在7个基准学习任务上实证审计了Ball-ReRo证书。实验表明，在高隐私预算（小epsilon）下，Ball-DP在噪声减少和重建鲁棒性之间取得了更好的平衡，显著优于传统DP。本文的核心贡献在于：1) 提出Ball-DP概念，使隐私保证范围显式化；2) 给出理论噪声校准与鲁棒性证书；3) 通过实验验证了其效用提升。该研究适合对差分隐私、数据重建防御感兴趣的安全研究人员阅读。

本文针对高维数据（如图像）在差分隐私保护下的高效压缩问题展开研究。现有方法要么直接发布未压缩的隐私化数据，导致存储开销巨大；要么缺少能在隐私保证下有效压缩高分辨率数据的方案。为此，作者提出了DP-DiPP（Differentially Private Diffusion-based Privacy-Preserving compression）管道，将随机编码（stochastic codes）与扩散模型（diffusion models）相结合。具体地，论文将Poisson私有表示（PPR）扩展用于编码隐私机制的输出，并与基于扩散的有损压缩方法DiffC结合，构建了一个差分隐私图像压缩器。该方法允许从业者直接控制压缩率、隐私与效用之间的权衡。在CIFAR-10数据集上的图像分类实验表明，DP-DiPP相比基线方法在保持相近隐私保障和实用性的前提下，实现了10至30倍的压缩率提升。该工作为高维隐私敏感数据的存储与传输提供了可行方案。

本文研究图神经网络（GNN）中的节点级隐私保护问题。尽管GNN在社交网络、推荐系统等领域应用广泛，但训练过程中可能泄露节点的敏感属性或连接关系。现有隐私保护方法多针对图级别或边级别，节点级隐私保护仍面临挑战。作者提出一种新的隐私保护框架，通过在GNN训练过程中注入精心设计的噪声，使得攻击者无法准确推断单个节点的特征或标签，同时保持模型效用。具体方法包括：引入差分隐私机制，在节点特征聚合阶段添加高斯噪声；设计自适应噪声校准策略，根据节点度数和特征分布动态调整噪声强度；并提出一种高效的隐私预算分配方案，在多个训练轮次中优化隐私与效用的权衡。实验在多个基准数据集（如Cora、Citeseer、Pubmed）上评估，与现有方法（如DP-GNN、GAP）相比，本文方法在相似隐私预算下实现了更高的节点分类准确率（提升约5-8%），且隐私损失更小。该工作为GNN部署中保护个体隐私提供了实用方案，尤其适用于医疗、金融等敏感领域。

该论文研究了在拜占庭鲁棒分布式学习场景下，本地差分隐私（LDP）对模型泛化误差的影响。现有工作已证明在分布式学习中，拜占庭鲁棒性、LDP和优化误差之间存在基本的三难困境。然而，本文发现这一三难困境并非普遍适用于泛化误差，而是关键取决于隐私强度。具体而言，在高噪声（强隐私）区域，作者证明增加隐私实际上会降低泛化误差，即鲁棒性与隐私之间不存在冲突；而在低噪声（弱隐私）区域，两者之间的冲突重新出现，增加隐私确实会损害泛化。通过推导LDP约束下拜占庭鲁棒分布式学习的算法稳定性上下界，论文从理论上解释了泛化误差的这种非单调行为，并通过实验验证了理论发现。该结果对于设计兼顾鲁棒性、隐私和泛化性能的联邦学习系统具有重要指导意义。

本文研究了差分隐私（Differential Privacy, DP）下的持续计数问题（Continual Counting）。问题设定是：给定一个长度为 n 的二进制流，每个 1 代表一个个体的贡献，目标是在保护每个个体隐私的前提下，发布所有当前的累计计数。标准的算法是二叉树机制（Binary Tree Mechanism），该机制的高斯噪声变体在近似差分隐私（Approximate DP）下实现了期望的 ℓ∞ 误差为 O(log^{3/2} n)。长期以来，一个核心开放问题是：这个对数据流长度 n 的依赖关系是否是必要的？本文通过证明每个差分隐私持续计数机制都必须有期望的 ℓ∞ 误差 Ω(log^{3/2} n) 的下界，解决了这一依赖关系。这一结果表明，在近似差分隐私设定下，二叉树机制是渐近最优的。作为推论，本文还得到了线性查询的遗传差异（Hereditary Discrepancy）与私有 ℓ∞ 误差之间的最大可能分离，表明已知的基于遗传差异的通用上界对查询数量具有最优依赖关系。论文的核心方法是基于隐私损失的下界分析，利用了隐私测度的组合性质和反演技巧。主要贡献是：1）首次证明了持续计数问题在近似差分隐私下的下界，匹配二叉树机制的上界；2）揭示了遗传差异与私有误差之间关系的紧界。本文适合对差分隐私理论、数据流算法和隐私下界感兴趣的研究人员阅读。

该论文提出了一种学习差分隐私机制的框架，旨在自动化设计满足差分隐私保护的数据发布机制。传统上，差分隐私机制（如拉普拉斯机制、指数机制）需要人工设计，且针对特定查询或统计量。本文作者将机制设计问题转化为学习问题：给定一组查询和工作负载，通过优化一个可微分的损失函数来自动学习一个随机化机制，该机制能够同时实现高精度和严格的隐私预算。方法基于神经网络表示机制，并利用重参数化技巧和梯度下降进行端到端训练。实验表明，学习到的机制在多个标准工作负载上优于已有的手工机制，如拉普拉斯机制和阶梯机制，在相同隐私预算下提供更低的误差。该工作为差分隐私机制设计提供了自动化的新途径，适合对隐私保护数据处理和机器学习感兴趣的研究者阅读。

2020年美国人口普查局采用了差分隐私技术保护数据隐私，通过向发布的普查表格注入整数值高斯噪声来实现。准确评估这些数据发布的隐私保证，可以使普查局确定满足给定隐私预算所需的最小噪声量，避免注入不必要的过多噪声，从而显著提高下游应用（如联邦资金分配和政治选区重划）中数据的统计效用。本文提出了一种计算高效且数学严谨的求积方法，用于在异构离散高斯机制的组合下评估实际大规模普查数据的精确隐私配置。数学上，该问题归结为在极其严格的数值误差容限（例如10^{-35}）下，评估从异构离散高斯分布采样的整数值随机变量的高维卷积的尾概率。通过离散傅里叶变换将精确隐私核算重新表述为数值积分问题，作者明确利用了梯形法则对复解析周期特征函数的指数收敛性。此外，为了克服在高维中评估高度振荡被积函数的计算瓶颈，他们开发了一种筛子算法，用于识别并修剪可忽略的求积节点，将计算速度提高了三个数量级。这些数值创新共同实现了针对2020年人口普查住房和人口特征文件的首次精确、无假设的隐私核算，在保持普查规定的误差容限的同时，比先前方法实现了1824倍的加速。

本文提出了一种新的隐私概念——集中地理隐私（Concentrated Geo-Privacy, CGP），这是集中差分隐私（CDP）在几何数据上的对应物。与先前的地理隐私（Geo-Privacy）标准（即标准差分隐私的对应物）相比，CGP具有多项优势：机制设计更简洁、高维数据下噪声尺度更低、以及更优的组合性质（称为高级组合）。其中高级组合最为重要，它允许使用较小的基础模块构建复杂机制，同时获得更好的效用。作为补充，本文证明了先前的地理隐私概念（即使是其近似版本）本质上不支持高级组合。在此基础上，本文研究了隐私几何数据上的三个问题：身份查询（identity query）、k近邻（k nearest neighbors）和凸包（convex hulls）。其中身份查询已有研究，而后两个问题本文首次给出了在地理隐私下的机制。对于所有三个问题，组合性质对于在私有化查询答案上获得良好的效用保证至关重要。实验或理论分析表明，CGP在隐私与效用权衡上优于传统方法。

本文提出了一种名为 Bit-ViP 的基于位平面的图像混淆方案，旨在保护图像中的视觉隐私，同时保持足够的可用性以支持基于图像的识别任务。研究背景是计算机视觉应用（如监控系统和社交媒体）的快速增长引发了安全和隐私担忧，尤其在云端存储数据时。现有混淆方案要么易受恶意攻击（如模型反转攻击可重构原始图像），要么生成不可训练的混淆图像，导致无法达到合理的识别精度。Bit-ViP 通过创新的端到端混淆函数，结合洛伦兹混沌系统和差分隐私生成非可逆噪声，使攻击者难以从混淆图像中重构原始图像。该方案在 UCF101 和 HMDB51 两个主流行为识别数据集上进行了广泛实验，验证了其有效性。面对重构攻击、像素频率、信息熵和像素互相关等攻击手段，Bit-ViP 展现了优于现有方案的严格安全性分析。该方法适用于需要平衡隐私保护与数据可用性的场景，如云端图像存储、监控视频隐私保护等。主要贡献包括：提出位平面混淆架构、融合混沌系统与差分隐私、以及实验验证其安全性与可用性。

本文提出 DPolicy 系统，旨在解决组织级差分隐私（DP）应用中多个数据发布的累积隐私风险管理问题。当前，DP 常被用于孤立的数据发布，但组织需要跨多个发布综合管理隐私风险。虽然理论上可通过 DP 的组合性质评估累积风险，但实际中每个发布可能使用不同参数和假设，导致难以推理其交互影响。而采用单一全局 DP 保证虽易于组合，却因隐私预算过大而失去意义。DPolicy 引入一个灵活框架，同时考虑多个 DP 保证，反映真实部署中多样化的上下文和范围。其核心是一个高级策略语言，用于形式化隐私保证，使传统隐含的假设（如范围、上下文）显式化。系统从这些策略中推导出执行复杂隐私语义所需的 DP 保证，从而实现组织级的细粒度隐私风险管理。通过实现和评估，DPolicy 展示了如何缓解因缺乏全面、组织级隐私风险管理而产生的隐私风险。本研究适合关注差分隐私部署、隐私风险管理的安全研究人员和从业者。

在线广告是互联网生态的支柱，广告测量（如将购买行为归因于广告曝光）对优化效率至关重要。然而，这种跨平台数据收集面临日益严格的隐私限制。本文首次将广告测量系统在实时报告流数据场景下的实际挑战正式化，提出了AdsBPC——一种新颖的用户级差分隐私保护方案，用于在线广告测量结果。该方法优化了全局噪声功率，生成了非相同分布的噪声分布，在保证差分隐私的同时提高了测量准确性。通过在真实广告活动和合成数据集上的实验，AdsBPC相比现有的流式差分隐私机制在广告测量应用中实现了33%至95%的准确率提升。研究贡献包括：形式化广告测量隐私问题、提出自适应噪声机制、以及实证证明该方法在正式隐私保证下实现了优越的准确性，推动了隐私保护广告测量的最前沿技术。

该论文针对公平性度量中的人口统计信号（如种族/民族）因法律约束或文化敏感性而难以收集和使用的挑战，提出了一种隐私保护的种族/民族概率估计方法（PPRE）。PPRE结合了两种信号源：基于贝叶斯改进的姓氏地理编码估计器（BISG）和稀疏的自我报告调查数据，并利用安全两方计算、差分隐私和加法同态加密等隐私技术，使LinkedIn能够在不泄露个人敏感信息的前提下，对美国会员进行基于种族/民族的公平性度量。论文详细阐述了PPRE的隐私保证，并通过候选方和观众方的公平性度量案例展示了其应用。最后，作者提出了一个可迁移的框架，供其他机构构建类似的隐私保护度量基础设施。核心贡献在于为工业界提供了一套可操作的、在隐私约束下进行公平性测量的解决方案。

本文研究了洗牌模型（Shuffle Model）下的Rényi差分隐私（Rényi Differential Privacy, RDP）保证。在本地差分隐私（Local Differential Privacy, LDP）中，用户通过随机化机制扰动数据后发送给服务器，但通常需要较大噪声来保护隐私。洗牌模型通过引入一个可信的洗牌器（shuffler）在用户和服务器之间，匿名化用户数据，从而在相同隐私预算下提高效用。已有研究分析了洗牌模型的传统ε-差分隐私（ε-DP） guarantee，但关于其Rényi差分隐私特性的分析尚不充分。本文首次系统性地给出了在洗牌模型下实现RDP的隐私放大（privacy amplification）界限，具体针对两类随机化机制：一类是满足局部差分隐私（Local DP）的机制，另一类是满足集中式差分隐私（Central DP）的机制。作者推导了在洗牌处理后，原始局部随机化机制的RDP参数如何被放大。特别地，对于满足局部RDP的机制，本文证明了经过洗牌后，隐私参数以用户数量n的平方根速率衰减；对于满足集中式RDP的机制，则衰减速率更快。文中还讨论了如何通过组合定理将洗牌模型的RDP界限应用于迭代算法（如随机梯度下降SGD）。实验部分通过数值计算验证了理论界限的 tightness，并展示了洗牌模型在机器学习任务（如逻辑回归和深度神经网络）中的效用提升。该工作为理解洗牌模型下的隐私泄露提供了更精细的刻画，有助于设计更高效的隐私保护算法。

本文针对图数据节点分类任务中的隐私泄露问题，提出了一种名为LPGNet的新型神经网络架构。图卷积网络（GCNs）在节点分类中表现出色，但研究表明攻击者可以通过链接窃取攻击推断训练图中的边（即节点间关系），即使仅有黑盒模型访问权限。LPGNet通过创新性地设计训练过程中图边结构的使用方式，为边提供差分隐私（DP）保证。具体地，LPGNet在训练时对图边结构进行扰动，使得模型参数不直接依赖具体边信息，从而限制攻击者从模型输出推断边存在的能力。实验在多个数据集上表明，LPGNet在隐私与效用之间取得了良好平衡：与完全不使用边信息的朴素架构（如MLP）相比，LPGNet拥有更高的分类准确率；与完整使用边结构的传统GCN相比，LPGNet对现有链接窃取攻击具有更强的抵抗力。此外，与最先进的隐私增强GCN方法DPGCN相比，LPGNet在大多数数据集上提供了更优的隐私-效用权衡。本文的主要贡献包括：(1) 提出LPGNet架构，首次将差分隐私直接融入图卷积过程；(2) 从理论上分析隐私保证；(3) 通过实验验证其在隐私保护和任务性能上的优势。该工作适合隐私保护机器学习、图神经网络领域的从业者和研究人员阅读。

在现实数据驱动应用中，许多场景依赖结构化文本记录（如临床分诊笔记、金融交易日志）进行下游学习与决策。然而，在隐私敏感领域（如医疗、金融），对这些记录的访问受到严格监管，通常只能获得少量私有样本用于模型开发与分析。现有的差分隐私数据合成方法面临困境：表格方法无法忠实建模自由文本，而基于文本的方法又常常破坏结构化约束。为此，本文提出 SelPE（Selection-guided Progressive Evolution），一种针对小样本私有结构化文本合成的选择引导渐进进化框架。SelPE 不依赖噪声聚合或私有模型训练，而是将隐私预算集中在一系列多批 top-1 选择上，从而在严格的隐私约束下实现高效引导。为了支持忠实且有效的合成，SelPE 通过两阶段生成流水线将语义抽象与模式实现解耦，并利用多通道距离核（同时建模文本、类别和数值字段的原始表示）评估候选样本。此外，非私有对比扩展机制在不增加额外隐私成本的前提下促进了多样性。广泛的实验表明，在严格的差分隐私预算下，SelPE 在低数据场景中持续提升了结构有效性、保真度和下游效用。该方法为隐私保护下的结构化数据合成提供了新思路，特别适用于数据稀疏但结构化要求高的领域。

本文提出了一种名为 π-RAG 的新型架构，旨在解决传统检索增强生成（RAG）系统中向量嵌入暴露于潜在反转攻击和非确定性检索失败的问题。核心创新在于利用数学常数 π 的数字作为超然熵源，构建一个不可变的间接层，将大型语言模型（LLM）与敏感数据存储解耦。具体而言，π-RAG 引入了一个语义量化层，将用户输入投影到预计算的典范意图质心（Canonical Intent Centroids）流形上，然后通过密码盐将质心映射到确定性偏移量，生成指向实际数据存储中标准化载荷的 π-key。这种设计从数学上保证了推理过程对数据的 oblivious（不可知），同时结合了确定性随机性、可审计性和差分隐私特性。实验表明，该架构在高合规性领域（如金融、医疗）具有高效性，能够在不牺牲语义理解的前提下实现隐私保护。论文的主要贡献包括：提出了一种新颖的 oblivious 检索方法，利用π的固有属性替代传统向量相似度搜索；设计了语义量化层以减少检索不确定性；并通过理论分析证明了其安全性。适合关注 LLM 隐私保护、数据安全和高合规性应用的研究人员与工程师阅读。

本文研究高维差分隐私（DP）下的协方差矩阵估计和主成分分析（PCA）问题，重点关注协方差矩阵的k-行-列稀疏性（k-RCS）假设。在非私有设置中，已知仅需poly(k, log d)个样本即可解决这两个问题。然而，在DP设置下，现有的最好结果（Wang等人，2021）在标准参数化下需要Ω(d)个样本，这产生了维度灾难。本文探究了DP下稀疏协方差估计中这种维度灾难的内在性。在上界方面，作者证明：若额外假设前导特征向量是稀疏的，则PCA可以在poly(k, log d)个样本下实现DP。在下界方面，作者为DP下的稀疏协方差估计和PCA分别建立了poly(d)的下界，从而揭示了当k = polylog(d)时，这两个问题的私有与非私有版本之间存在指数级差距——这是首个在私有高维统计中展示此类分离的结果。此外，该技术足够灵活，能够推导出标准DP PCA（无稀疏假设）的更强下界。本文的理论贡献为理解DP在稀疏高维问题中的样本复杂度提供了重要见解。

本文提出 AdaPrivate-TS，一种结合了差分隐私与汤普森采样的上下文多臂赌博机算法。关键洞察在于，差分隐私噪声会以结构化方式膨胀后验协方差：向观测向量b添加高斯噪声N(0,σ²I)后，采样协方差变为v²A⁻¹ + σ²A⁻²，汤普森采样将此解释为不确定性增加而非纯粹的数据破坏，从而可以在不牺牲隐私的前提下更有效地进行探索。在事件级隐私（保护每次交互）和随机上下文的设定下，作者证明了隐私成本仅为O(√d log T / √ρ)，对T呈对数增长，因为批处理下的并行组合分散了噪声。此外，论文还探讨了通过泊松子采样实现隐私放大，在严格隐私预算下可降低有效噪声。实验在合成数据和真实数据集（MovieLens、Jester）上进行，结果显示：（1）在ε∈[0.5,5]时，AdaPrivate-TS达到非隐私场景93%-99%的性能，比UCB基线提升0.5%-3.7%，在极端ε下通过自适应探索可提升高达18%；（2）隐私放大在低ε下额外带来2%-5%的性能增益；（3）在MovieLens和Jester上，AdaPrivate-TS在事件级基线方法中整体最优，在ε≥2时占据主导；（4）当使用DP-SVD私有特征时，汤普森采样相比UCB的优势扩大到+11%，证实了“噪声即不确定性”不仅限于奖励隐私。论文提供了交互式zCDP组合下的严格隐私证明，并通过收敛曲线、12次随机种子的置信区间以及DP-SVD特征消融实验进行了全面评估。本研究成果对设计隐私保护下的在线学习算法具有重要参考价值。

差分隐私已成为保护机器学习与统计算法隐私安全的事实标准。虽然已有大量算法致力于在保持同等隐私预算的前提下提升数据效用，但这些方法往往过于复杂或计算效率低下。本文提出了一种新颖且简洁的后处理去噪方法：受经验贝叶斯估计启发，直接对简单加性高斯机制的输出进行降噪处理。该方法仅需将高斯机制的输出作为输入，通过经验贝叶斯估计缩小均方误差。数值实验表明，该简单而强大的方法可显著改善多种统计任务的表现，包括直方图发布、主成分分析和线性回归，其性能甚至优于许多已有的专用隐私保护算法。本文的主要贡献在于提供了一种即插即用、计算高效的通用框架，能够在不改变原有隐私机制的前提下提升数据效用。适合对差分隐私理论、统计数据效用优化感兴趣的研究人员阅读。

本文研究了在高斯过程（GP）后验采样中释放样本路径的隐私保护问题，其中整个训练集（包括协变量和响应）被视为私密信息。与传统差分隐私（DP）机制通过添加外部噪声不同，后验采样本身具有随机性。作者证明这种内在随机性能够提供差分隐私保证，具体通过推导高斯过程后验样本路径释放的显式 Rényi-DP 界。这些界将后验均值泄露与数据相关的后验协方差泄露分离，表明有意义的隐私保护强烈依赖于有效的岭正则化。通过成员推理攻击实验，作者展示了经验泄露与正则化、后验方差以及释放的后验样本路径数量之间的预测依赖关系。下游后验采样任务上的效用实验识别出噪声观测场景，在该场景下隐私兼容的正则化以适度的效用损失保留了有用的决策。当需要更强隐私保护时，可通过添加校准的 GP 噪声来增强内在保证，从而提供显式的额外隐私调节旋钮。该研究为理解 GP 后验采样的隐私属性提供了理论基础。

本文挑战了“差分隐私（DP）能够天然增强联邦学习（FL）抗后门攻击鲁棒性”的普遍假设。通过实证分析两种基线攻击策略，作者发现DP-FL中存在根本性矛盾：若攻击绕过DP，现有先进防御能够有效检测并过滤恶意更新；但若攻击遵守DP约束，DP的噪声添加过程反而会掩盖恶意更新的统计特征，导致现有防御失效。基于这一“掩蔽效应”，本文提出RING攻击，其核心思想是明确利用DP来隐藏恶意贡献，同时最大化攻击效果。具体地，被攻陷的客户端通过协同构造对抗扰动，在聚合阶段重建强后门信号而不触发异常检测。RING作为一种与底层后门技术无关的扰动层，可以广泛兼容并组合到现有攻击中，这极大增强了其对DP-FL的威胁。在四个图像和文本数据集（非独立同分布）上的大量评估表明，在中等隐私预算（如ε=8）下，RING对六种最先进防御的平均攻击成功率达到90.3%，相较于基线策略提升最高达26.08倍。最后，作者评估了潜在对策，发现缓解该威胁会带来显著的效用-隐私权衡，从而暴露了部署差分隐私联邦学习时的根本安全漏洞。

本文研究在本地差分隐私保护下，跨多个独立数据孤岛的去匿名化攻击威胁。当一个人的记录出现在k个各自满足(ε,δ)-差分隐私的孤岛中时，标准组合机制提供(kε, kδ)-DP保证，但这一最坏情况边界无法回答具体推断问题：在多大的k下，攻击者能实际识别目标个体？为此，论文提出跨孤岛个体级差分隐私（XSP-DP）框架，这是一种Pufferfish风格的隐私概念，其邻接关系同时捕捉单个个体在所有孤岛上的所有记录，并验证标准基本组合边界适用于此邻接模型。在该框架内，论文证明去匿名化存在相变现象：阈值k* = Θ(log n / ε²)（n为人口规模，ε为单孤岛本地差分隐私参数）。Fano下界表明当k << k*时任何估计器都失效，而匹配的最大似然上界表明当k >> k*时攻击成功。通过显式的XOR+随机响应构造，论文展示了信息协同效应：每个孤岛的单独输出对目标无信息量，但联合互信息严格为正。对于非协调的二元随机响应机制，论文证明一旦k超过阈值，去匿名化不可避免，从而说明了跨孤岛协调的必要性。这些结果为本地DP下跨孤岛推断攻击提供了基线威胁模型和Θ级阈值。本文适合安全研究人员、隐私保护工程师以及从事差分隐私应用的理论工作者阅读。

该论文提出了一种面向多层级差分隐私查询发布的全新框架。在现实场景中，同一统计查询可能被多个分析师发起，但由于信任等级或支付意愿不同，每个分析师获得的答案需在差异化的隐私预算下生成。现有方法要么导致过高的累积隐私损失，要么在效用上表现欠佳。为此，作者设计了一个通用框架，能够同时控制累积隐私损失不超过所有查询中的最大隐私预算，并实现与单层机制相当的最优效用。该框架适用于不同类别的差分隐私机制：对于噪声添加机制（如策展人模型下的双侧几何机制计数查询），作者基于噪声分布的特征函数提出了通用解决方案；对于其他机制（如本地差分隐私模型下使用子集机制的计数查询），设计了机制专用的预算转换原语，并引入了一种基于模板的策略，在不同隐私制度下均能达到最优效用。实验结果表明了该框架的有效性。该研究为多层级差分隐私查询问题提供了理论保障和实用方法，适合数据安全与隐私保护领域的研究者和工程师阅读。

本文研究了在背包约束下进行子模最大化的差分隐私问题（SMK），这是离散优化中的基础问题，广泛应用于机器学习等领域。随着这些应用涉及越来越多的敏感个体数据，对具有形式化隐私保证的高效用算法需求日益增长。本文考虑了单调和非单调目标函数。对于单调目标，提出了一种差分隐私算法，实现了最优的(1-1/e)近似比，同时显著改进了先前工作中的加性误差和查询复杂度；还提出了一种更高效的算法，达到1/2近似比。对于非单调目标，据我们所知，首次提出了具有可证明保证的差分隐私算法，期望近似比为1/4，加性误差与单调目标函数的最佳已知结果相当。主要贡献在于理论上的算法设计与隐私分析，为后续实际应用奠定了基础。

本文提出并研究了在差分隐私保护下释放层次重击者（Hierarchical Heavy Hitters, HHH）的问题。层次重击者是经典重击者问题的推广，最早由Cormode等人在VLDB 2003中引入，用于在数据流中识别在层次结构上显著的项。尽管数据流中的HHH查找已被广泛研究，但在底层数据包含隐私信息时，如何安全地释放HHH结果尚未被探索。本文分别考察了非流式（静态数据集）和流式两种场景。在非流式设置中，作者发现了一个令人惊讶的结果：对于任何前缀，估计残差计数（residual count）的相对误差与层次的高度以及流中重击者的数量无关。这意味着即使在复杂的层次结构下，相对精度也能保持稳定。在流式设置中，虽然HHH的精确版本具有较低的全局灵敏度（因为计数查询是1-敏感的），但用于流式处理的近似函数却导致了较高的全局灵敏度，该灵敏度与可用空间呈线性关系。尽管如此，作者证明在流式设置中，估计频率的绝对误差与可用空间无关，从而突破了空间限制带来的障碍。本文的主要贡献包括：首次系统性地研究差分隐私HHH释放问题；在非流式场景中证明了一个与层次规模无关的误差界；在流式场景中给出了绝对误差独立于空间的证明。读者需要具备差分隐私、数据流算法以及层次重击者问题的基础知识。

本文研究持续观察下私有化发布k维向量更新的问题。初始向量为零向量，在时间点t_i上通过添加x^{(i)}进行更新，其中t_i∈[T]，x^{(i)}在k维单位球B_k内。两个数据集被认为是相邻的，如果它们的对称差大小不超过1。持续发布需要在每个时间步t=1,...,T输出累加和A^{(t)} = ∑_{i: t_i ≤ t} x^{(i)}。经典方法可以O(kT)时间、polylog(T)噪声幅度释放近似值。本文考虑每个时间步仅需发布A^{(t)}的子集，提出一种快速高斯机制，能够在常数时间内采样噪声向量中任意指定条目，同时精确复制二叉树机制下高斯噪声的分布。该改进基于布朗桥构建的新数据结构，突破了已知O(log T)时间界限。文章展示了两个数据管理应用：1) 正交范围计数查询的动态数据结构，在隐私/准确性/空间权衡上优于先前结构；2) 连接大小估计，同时改进了高概率界。本文适合对差分隐私、数据流算法和数据结构设计感兴趣的研究者。

该论文提出并评估了一个端到端的联邦学习系统，用于在边缘设备上进行无监督的12导联心电图异常检测。系统结合了三种自编码器架构（VanillaAE、ConvAE、VAE），基于Flower框架实现跨十个模拟医院的联邦平均聚合，并集成客户端差分隐私（DP-SGD，使用Rényi-DP会计）和8位整数量化后训练压缩（在树莓派4上测试）。实验使用PTB-XL数据集，表明联邦学习在所有架构上达到或超过集中式基准（ConvAE的ROC-AUC为0.782），隐私预算ε=4被推荐为临床操作点。INT8量化使模型大小减半，树莓派延迟降低44%，且AUC损失小于0.12%。关键发现是差分隐私和量化惩罚可经验独立叠加，因此实践者无需在强隐私保证和小型边缘部署之间权衡。该工作是首个结合联邦学习、形式化(ε,δ)-差分隐私、无监督重建检测和量化AArch64部署的系统，为医疗物联网中的隐私合规实时监测提供了工程基准。

本文针对差分隐私（DP）的 shuffle 模型中存在的信任问题展开研究。在标准 shuffle 模型中，一个 shuffle 器随机排列用户数据以实现高精度和隐私保护。然而，近期研究表明大多数现有 shuffle 协议容易遭受数据收集者与用户之间的合谋攻击。为应对此问题，研究者提出了增强型 shuffle 模型，其中 shuffle 器引入随机采样和虚拟数据添加。但该模型仍面临一个关键开放问题：如何确保 shuffle 器严格遵循协议且不与数据收集者合谋？本文通过全面探索基于可信执行环境（TEE）的增强型 shuffle 模型来解决这一信任问题。首先，作者提出了一种新的隐私概念——全遗忘差分隐私（Fully Oblivious DP, FODP），它强化了 DP 以防止基于外部/内部内存访问模式和控制流的各种 TEE 侧信道攻击。接着，他们提出了一个基于内存大小混淆（memory-size obfuscation）的通用 FODP 算法框架，并在此框架内设计了三种具体算法。通过使用 count-min sketch 并优化哈希次数，进一步提升了算法效率。他们在 Intel SGX 平台上评估了所提算法，并与九种基线方法进行了比较，实验结果证明了其有效性。该工作为在增强型 shuffle 模型中实现可验证的、抗侧信道的隐私保护频率估计提供了理论支撑和实践方案。

本文提出 EnclaveScale，一种分布式硬件辅助遥测架构，旨在解决数据中心电源遥测中传感器数据伪造和隐私泄露问题。现有加密技术对高频率（如10 Hz）流式数据扩展性差，且无法认证数据源，允许恶意主机注入虚假传感器输入。EnclaveScale 利用 Intel DCAP 远程认证、差分隐私噪声注入和拜占庭拒绝机制，构建了一个提取后（post-extraction）验证流水线。该架构在32个 GCP 机密虚拟机（Confidential VMs）上实现，达到0%的提取后攻击成功率。此外，为了缓解数据摄取前的漏洞，提出了基于 SPDM（Security Protocol and Data Model）认证的第一英里层。在全局聚合阶段，全局聚合飞地（Global Aggregation Enclave）在容量加权聚合前验证所有加密证明。实验评估显示，每个飞地的稳态吞吐量达131,406样本/秒，认证开销摊销至0.23微秒/样本。在基于 NVML 采样的 H100、A100 和 L4 真实轨迹上，EnclaveScale 的动态编排边际误差为1.3 MW，而诚实聚合器的中心差分隐私基线误差为0.1 MW。该架构为多租户动态电源编排提供了安全基础，通过边缘差分隐私在局部混淆亚秒级异常，并通过全局聚合时的空间稀释保护宏观工作负载的机密性。本文主要贡献包括：首次提出结合硬件辅助飞地与边缘差分隐私的电源遥测框架；设计并实现了提取后验证与拜占庭拒绝机制；通过实验证明了高吞吐、低开销和强大的安全保证。

大型语言模型在指令-代码对上进行微调时，可能会记忆并泄露敏感的训练数据。现有的差分隐私（DP）代码生成方法主要保护代码片段，但假设提示（prompt）是公开的，这无法应对现实场景中提示也可能包含敏感信息的情况。当提示在生成过程中不能被显式学习或使用时，代码合成会遭受严重的效用下降以及多样性和保真度降低。为了解决这些挑战，本文提出了 PrivCode-Plus（论文标题为 PrivCode++），这是首次探索在 LLM 微调中同时考虑提示和代码片段为敏感信息的 DP 代码生成工作。PrivCode-Plus 引入了一个两阶段差分隐私框架，并设计了一个隐私无关潜在条件模块（Privacy-Free Latent Conditioning），使得无需直接访问敏感提示或代码即可进行有效的 DP 微调和数据合成。大量实验表明，PrivCode-Plus 在效用上显著高于基线方法，与放松隐私假设的方法相比仍具有竞争力，并能提供更强的隐私保证。本文的主要贡献包括：1）首次在代码生成任务中同时保护提示和代码；2）提出了一种隐私无关的潜在条件机制，缓解了隐私预算分配导致的效用下降；3）通过实验验证了方法的有效性。适合对 LLM 隐私保护、差分隐私、安全代码生成感兴趣的研究人员阅读。

该论文研究了差分隐私中用于T维实数向量查询的加性噪声机制。高斯机制因其简单性和强隐私保证而成为最广泛使用的机制。本文首先证明，当维度T趋于无穷大时，在强隐私设置下，没有任何加性噪声机制能够渐近地改善高斯机制的隐私-效用权衡，从而为高斯机制的选择提供了理论依据。其次，本文提出了一类新的球面广义伽马差分隐私机制，该类机制包含高斯机制和近期研究的ℓ2机制。论文识别出该类机制中在低维场景下同时优于高斯和ℓ2机制的成员，并给出了该类机制所有成员的紧致组合性质，回答了Joseph等人关于ℓ2机制的开放问题。实验部分通过理论分析和数值模拟验证了所提机制的有效性。

本文首次研究了差分隐私下的范围子图计数问题（DPRSC）。子图计数是图分析中的基本问题，传统方法通常计算整个图中特定模式的出现次数。然而，实际应用常需对由多维属性范围选中的顶点诱导子图进行查询，同时保护隐私。差分隐私子图计数面临重大挑战：子图计数是非线性函数且敏感度高，单个边的修改可能影响大量子图出现次数。为此，本文提出了一种高效算法，通过引入子图投影，将DPRSC转化为加权正交范围计数问题。利用范围树和局部敏感度估计，实现了低加性误差的私有查询响应。此外，还通过将重构攻击归约为DPRSC并利用离散理论，证明了任何差分隐私算法都必须承受随维度指数增长的加性误差。实验表明，所提算法在准确性和运行时间上显著优于基线方法，同时保持强隐私保证。该研究为图数据分析中的隐私保护提供了新工具，尤其适用于社交网络、生物信息学等需敏感数据查询的场景。

该论文提出 DP4SQL，一个支持灵活隐私策略的差分隐私 SQL 系统。现有差分隐私 SQL 系统仅支持固定的隐私策略，例如所有表都必须保护记录存在性或内容，无法处理混合隐私需求（如部分公开列、不同字段不同保护级别）。DP4SQL 允许数据管理者自定义每张表、每个字段的可否认性要求，避免“一刀切”策略导致的过度保护或噪声注入不足。系统通过引入声明式隐私策略语言和新的查询稳定性计算规则，自动适配不同隐私需求下的噪声量。实验表明，在真实数据集上，DP4SQL 相比现有系统可在满足差异化隐私要求的同时，显著降低查询答案的噪声。该工作适用于需要精细隐私控制的数据库场景，如医疗、金融等多表关联数据发布。

该论文研究在本地差分隐私（LDP）约束下进行二元假设检验的最优机制设计问题。具体场景是：每个观测数据从大小为 k 的有限字母表中抽取，服从两个已知分布 P0 或 P1 之一，先通过一个 ε-本地差分隐私机制 Q 进行私有化，再基于私有化后的输出推断原始数据来自哪个分布。论文以 f-散度（包括总变差、KL散度、hockey-stick散度等）衡量两个输出分布之间的差异，以此作为检验效用的度量。此前的工作虽然建立了最优机制的结构性质，但仅能给出指数时间复杂度的算法。该论文证明了在任意 ε 和任意 f-散度目标下，将字母表按似然比排序后，存在一个最优机制将排序后的字母表划分为连续块，并对块标签施加随机响应（Randomized Response）。作者将这类机制命名为“排序-划分-随机化（SPR）机制”。基于这一刻画，论文进一步提出了一种精确的动态规划算法，能够在 O(k^3) 时间内计算最优机制，并且通过限制输出数量为 ℓ 可将复杂度降至 O(ℓk^2)。该结果使得在全隐私预算范围内（而非仅渐近隐私体制下）高效计算并刻画精确最优机制成为可能。主要贡献在于：1) 揭示了 LDP 下二元假设检验最优机制的简洁结构；2) 给出了多项式时间算法，解决了此前方法计算代价过高的问题；3) 提供了完整的理论分析和实验验证（尽管摘要未提实验细节）。适合对差分隐私、信息论、统计推断理论感兴趣的研究人员阅读。

本文评估了四种Python开源差分隐私工具（DiffPrivLib、Tumult Analytics、PipelineDP和OpenDP）的可用性。研究背景是差分隐私（DP）已成为隐私保护数据分析的黄金标准，但在实际数据集和系统中实施仍具挑战。最近开发的DP工具旨在简化实施过程，但缺乏系统性的可用性评估。作者通过对24名具有不同DP知识的美国数据从业者进行用户研究，评估了这些工具的易用性。研究采用任务驱动方法，观察参与者在完成典型DP任务（如添加噪声、计算敏感度、设置隐私预算等）时的表现，并收集主观反馈。结果表明：使用这些工具有助于DP新手更好地理解概念；API设计和文档质量对成功实施DP至关重要；用户满意度与任务完成度高度相关。例如，Tumult Analytics在文档和API一致性上得分较高，而DiffPrivLib在易用性方面稍逊。研究还发现了常见困难，如参数选择不直观、调试困难等。基于证据，作者提出了改进DP工具可用性的建议，包括更清晰的错误消息、更完善的示例代码、更一致的API设计等，以促进DP在工业界的广泛采用。本文适合DP工具开发者、隐私工程师及关注隐私保护技术落地的数据科学家阅读。

本文首次系统性地研究了k-近邻查询（kNNQ）中的位置隐私泄露问题。kNNQ是位置服务（如“附近的人”）的核心组件，但长期以来其隐私风险被忽视。作者提出了两种针对kNNQ的位置推断攻击：几何相交位置推断攻击（GI-LIA）和零阶优化位置推断攻击（ZO-LIA），通过分析查询结果中的距离或排名信息，攻击者可推断出用户的确切位置，从而证明kNNQ存在固有的隐私风险。为抵御此类攻击，作者提出了差分隐私框架DPRS，其核心思想是在受限扰动区间内引入拒绝采样机制，以减少过度噪声注入造成的距离失真。同时，设计了一种私有区间构造算法来构建扰动区间，使得拒绝采样机制能够在隐私保护和查询效用之间取得更优的权衡。在真实空间数据集上的大量实验表明，DPRS在隐私保护和查询效用方面均优于现有方法。该研究揭示了kNNQ隐私漏洞，并提供了实用的防御方案，适合LBS安全研究者、隐私工程师以及位置服务开发者阅读。

本文提出了一种名为 DP-MacAdam 的新型差分隐私机制，旨在解决差分隐私随机梯度下降（DP-SGD）中固定梯度裁剪阈值导致的局限性。现有自适应裁剪算法（如 AdaClip）虽然能根据梯度经验均值和方差动态调整裁剪参数，从而获得更有效的下降方向，但并未利用这些估计值来加速训练（即缺乏动量机制）。另一方面，DP-Adam 算法采用类似 Adam 的动量更新，利用梯度均值和方差加速训练，但其裁剪阈值仍然固定。DP-MacAdam 创新性地将自适应裁剪与自适应动量相结合，使用同一组均值与方差估计同时指导裁剪和动量更新，从而兼顾隐私保护与训练效率。理论分析表明，该算法能够无偏地估计梯度方差。实验部分在标准数据集（如 MNIST、CIFAR-10）上评估了模型效用与隐私保证，结果显示 DP-MacAdam 在相同隐私预算下相比 DP-SGD、AdaClip 和 DP-Adam 基线取得了更高的模型准确率，并且无需手动调整裁剪阈值，降低了使用门槛。该工作适用于隐私保护机器学习领域的研究者和工程实践者，尤其对希望在不牺牲模型性能的前提下加强训练数据隐私保护的组织具有参考价值。

该论文针对去中心化学习（Decentralized Learning）中的隐私保护问题展开研究。在去中心化学习中，多个智能体（Agent）在没有中心服务器的情况下协作训练全局模型，通过交换梯度信息来更新模型。然而，这种梯度交换会带来严重的隐私泄露风险，且实际应用中各智能体的训练数据通常是非独立同分布（Non-IID）的，这进一步增加了隐私保护的难度。为了解决这些问题，作者提出了一种名为DPDL的隐私保护去中心化学习算法。核心思想是结合差分隐私（Differential Privacy, DP）与相似度校准技术。具体来说，在每个训练轮次中，每个智能体在将交叉梯度（即其邻居的本地模型在自身私有数据上的导数）分享给邻居之前，先使用高斯噪声机制对其进行扰动，然后利用余弦相似度校准收到的来自邻居的扰动交叉梯度，最后将校准后的交叉梯度以动量方式聚合，用于更新本地模型。理论分析部分，作者不仅揭示了达到特定隐私保护级别所需的最小噪声水平，还证明了该算法在Non-IID数据下依然能实现线性加速（Linear Speedup）。实验方面，在真实数据集上验证了算法在防御隐私攻击和训练准确模型方面的有效性。该工作主要贡献于去中心化学习、差分隐私、Non-IID数据场景下的隐私保护算法设计。

本文针对差分隐私随机梯度下降（DPSGD）中隐私核算不严谨的问题进行研究。DPSGD通过在梯度上添加噪声并裁剪梯度来保护隐私，但这会导致模型效用显著下降且收敛缓慢。先前的工作，特别是差分隐私选择性更新与释放（DPSUR）算法，通过选择性更新部分梯度实现了较好的模型效用，但其隐私核算忽略了选择性释放机制引入的采样概率变化，从而削弱了隐私保证的严谨性。为了克服这一局限，本文重新评估了选择性释放机制的隐私分析，并提出了一种新算法——基于裁剪梯度的差分隐私选择性释放（DPSR-CG）。该算法通过严格的、新推导的隐私分析，在多个数据集（MNIST、CIFAR-10、IMDB和FMNIST）上进行了大量实验，结果表明DPSR-CG在保持严格隐私保证的同时，实现了卓越的模型性能。本文的核心贡献是修正了隐私核算缺陷，并提供了更高效的隐私-效用平衡方案。适合对差分隐私、机器学习隐私保护感兴趣的研究人员和工程师阅读。

联邦学习（FL）中，异构差分隐私（HDP）允许客户端根据自身策略和数据敏感度选择不同的隐私预算（ε_i）。现有HDP-FL系统常采用ε感知的服务器聚合，通过根据客户端声明的隐私预算重新加权其梯度更新来提升模型效用。然而，联邦学习中的梯度更新保留了由非独立同分布（non-IID）数据引起的结构模式，这些额外信号为诚实但好奇的服务器提供了新的推断机会。本文首先展示了一种隐私推理攻击：服务器利用梯度去噪和代理建模，在现实知识约束下，能够推断客户端的分布属性并在训练轮次间链接同一客户端的更新，通过代理推断准确率和链接成功率衡量。Shuffle-Model作为一种防御手段，通过匿名化更新来源来抵御此类风险，但其与HDP-FL的ε感知聚合本质不兼容。为解决此矛盾，本文提出IntraShuffler，一种面向HDP-FL系统的中间件防御框架。IntraShuffler引入隐私感知的洗牌机制：将客户端分组到隐私兼容的桶中，在每个桶内执行参数级洗牌，以破坏持续的梯度结构，同时保留ε感知聚合。在四个不同数据集上的实验表明，IntraShuffler将梯度可恢复性降低超过60%，代理推断准确率从0.78降至0.33，同时在不同FL聚合规则下保持了可比的模型效用。

差分隐私（DP）文本合成技术旨在通过生成合成数据来解锁敏感语料库，使其可用于模型训练，同时保护隐私。然而，现有评估基准存在重大局限性：它们使用的任务通常即使不经过训练也能近乎解决，因此强基准性能并不能证明DP合成数据能够替代原始数据访问。为了填补这一评估空白，本文提出了ContinuousBench——一个持续自动更新的基准，用于衡量DP合成文本带来的能力增益。每个季度，ContinuousBench会发布一个全新的训练语料库及对应的问答（QA）数据集，这些数据被设计为：（1）没有语料库则无法解决；（2）在DP下可学习，因为测试知识由数百条独立记录支持。研究人员从训练语料库中生成DP合成数据，并通过标准化的训练和评估工具衡量能力提升。ContinuousBench包含两个赛道：Geminon，一个关于虚构生物的程序生成数据集；以及News，一个持续爬取的公共新闻文章流。实验结果表明，虽然标准基准已近乎饱和，但在ContinuousBench上，非私有合成数据能够从原始语料库中传递大量知识，而最先进的DP合成方法即使在ε=100的高隐私预算下也基本无法做到这一点。这揭示了当前DP合成文本在传递新知识和能力方面的严重不足，对依赖DP合成数据作为数据访问替代方案的研究与实践提出了挑战。

该论文关注差分隐私查询中商数的准确性评估问题。差分隐私通过在统计查询中添加校准噪声来保护隐私，然而现有工具大多关注隐私保护本身，很少提供关于查询结果准确性的信息，尤其是对于数据依赖的计算（如平均值或差分隐私和的商）。本文提出了一种基于不确定性传播（uncertainty propagation）原理的新方法，用于计算此类计算的置信区间（即α-β精度）。该方法识别了分析误差可预测的条件，揭示了两个关键不变性：分析误差随着数据集规模的增大而改善；数值变异性更高的数据集需要更大的规模才能实现准确估计。为了便于采用，作者还提出了精度调节器（accuracy tuners），用于快速确定最小数据集规模，并探索隐私预算与精度估计可能性之间的权衡。通过跨多种场景的实证评估，验证了分数不确定性（fractional uncertainties）在计算具体α-β误差方面的适用性。该研究为差分隐私系统的用户提供了实用的准确性指导，有助于在隐私保护与数据效用之间取得平衡。

该论文研究面向检索增强推理的差分隐私数据存储生成问题。现代设备端AI系统常依赖检索增强推理，需要共享或发布数据存储（datastore），但可能泄露个体隐私。差分隐私（DP）提供形式化保证，使个体贡献在对抗分析下不可区分。本文提出一种基于哈希的概率生成框架，用于创建和发布差分隐私数据存储。方法首先使用局部敏感哈希（LSH）将高维数据高效划分为多个桶（bucket），然后向每个桶的累积投票中添加校准的DP噪声，生成跨类别的概率分布。该方法适用于任何需要安全创建和发布键值数据存储的管道。在7个数据集上进行实验，样本量和类别数（2-14类）各异。在epsilon=5时，发布的DP数据存储在保持强隐私保护的同时，平均准确率仅下降2.6%。此外，对成员推断攻击的抵抗力进行基准测试，将攻击准确率降至53.60%。核心贡献包括：形式化定义差分隐私数据存储问题；提出实用的LSH+噪声注入框架；实验证明隐私与效用的平衡。适合隐私保护、检索增强系统、设备端AI的研究者和工程师阅读。

本研究针对欧氏空间中差分隐私（DP）k-均值聚类问题展开。现有解决方案直接对原始数据进行加和，导致敏感度与数据域的大小成正比。本文提出PE-means方法，将私有进化（Private Evolution, PE）算法（一种在合成数据生成中日益流行的方法）扩展到k-均值聚类任务。PE方法的核心优势在于，它仅需计算一个具有恒定敏感度的私有直方图来指导进化过程。PE-means在PE的基础上引入了专门用于聚类的新进化算子，以及其他具有独立意义的算法改进。实验结果表明，与现有最优基线相比，PE-means平均降低了20%的聚类损失。该工作为差分隐私聚类提供了新的思路，尤其适用于数据隐私要求高且需要准确聚类结果的场景。

本文提出 DPPrefSyn，一种用于生成差分隐私（DP）合成偏好数据的新算法，旨在保护大语言模型（LLM）对齐过程中的隐私。在偏好对齐的后训练阶段，使用真实人类偏好数据可能泄露敏感的用户提示和判断。DPPrefSyn 基于 Bradley-Terry 偏好模型和成对偏好数据的内在几何结构，首先从私有数据中学习具有严格差分隐私保证的潜在偏好模型，然后利用该模型与公共提示生成高质量的合成偏好数据。该方法通过利用每簇奖励模型的共享线性结构来有效捕获私有数据中的异质人类偏好，并使用差分隐私主成分分析（DP-PCA）提高学习准确性。大量实验表明，DPPrefSyn 在强 DP 保证下实现了有竞争力的对齐性能。这是首个生成 DP 合成偏好数据用于 LLM 对齐的工作，代码已开源。

本文研究在诚实但好奇的服务器场景下，通过本地差分隐私（LDP）对 n 个用户持有的数值进行私有求和估计。传统上，本地差分隐私要求每个用户独立添加噪声，导致估计精度远低于集中式差分隐私（CDP）——后者在汇总数据后统一添加噪声。本文证明这一精度差距并非本质性的：通过精心设计用户间本地噪声的相关性，可以构造满足 ε-差分隐私的机制，使得求和估计的均方误差（MSE）与集中式设置中可达到的最优值任意接近。具体地，作者提出一种基于相关噪声的 LDP 机制，其估计成本（MSE）与 CDP 最优成本仅相差任意小的常数倍，从而在理论上确立了 LDP 可以无损达到 CDP 的效用。该结果挑战了 LDP 必然导致高噪声损失的普遍认知，为设计高效本地隐私保护聚合协议提供了新的理论框架。论文属于理论性研究，适合对差分隐私、统计推断和隐私计算理论感兴趣的学者。

该论文研究差分隐私（DP）图像合成问题，旨在从敏感数据集中生成保留统计特征的图像，同时提供严格的隐私泄漏保证。现有方法通常使用差分隐私随机梯度下降（DP-SGD）对公共模型进行全量微调，但公共模型参数数量庞大，导致计算成本高昂。近期工作启发式地采用低秩自适应（LoRA）对所有注意力层参数进行微调以减少可训练参数，然而在DP设置下，对所有注意力层参数进行LoRA覆盖是次优的，因为噪声会累积并导致训练崩溃。为解决此问题，论文提出DP-SAPF（Saliency-Aware Parameter Fine-tuning），一种显著性感知的参数微调方法。核心思路是：较大的梯度幅值表示较高的显著性，这些参数对DP学习最为关键。具体地，将敏感图像输入公共模型，计算梯度并添加噪声以满足DP要求，然后识别出在敏感图像上具有高梯度幅值的显著参数，仅对这些参数进行LoRA微调。在四个敏感图像数据集上的实验表明，DP-SAPF相比无参数选择的微调方法，在相同或更少计算资源下，提升了合成图像的效用和保真度。该方法适用于需要基于敏感数据（如医疗影像、人脸数据）生成合成图像以支持数据分析或模型训练的场景，同时满足差分隐私合规要求。

该论文研究了在差分隐私约束下，使用e值进行假设检验时的最优速率问题。E值作为一种灵活的工具，近年来在允许任意有效和自适应数据分析中受到广泛关注，其应用常涉及隐私或敏感数据。作者提出了一个核心问题：给定两个分布P和Q，在满足ε-差分隐私的e值检验中，最大化e-power（即检验功效）的最优速率是多少？论文给出了该问题的特征描述，并提出了一个达到最优速率的算法。在序列设置中，当观测值逐个到达且分析师选择何时停止时，作者给出了任何私有e-process的停止时间的匹配上下界。数值实验证实了算法的实用性，在多种序列测试问题和隐私水平下，该算法所需的数据量少于近期提出的DP-SPRT方法。本研究为差分隐私假设检验提供了理论最优性和实用算法，适用于需要隐私保护的统计推断场景。

本文针对满足 (ε, δ)-差分隐私的标量实值查询函数，设计了一类加性噪声机制，特别关注中低隐私保护水平（即ε较大或δ较宽松）的场景。作者提出的“混合机制”（mixture mechanisms）通过混合多个高斯分布来构造噪声分布，这些高斯分布具有相同的方差，但均值不同，并通过凸组合的方式调整混合权重。具体而言，该分布可以解释为零均值高斯（如分析高斯机制中使用的）与若干均值依赖于查询敏感度的高斯分布的凸组合。论文推导了实现 (ε, δ)-DP 所需方差的紧条件，并给出了高效算法计算这些方差。与广泛使用的分析高斯机制相比，混合机制在期望噪声幅值（ℓ1损失）和方差（零均值分布的ℓ2损失）上均有显著降低。在驱动本设计的低隐私保护水平下，该机制接近于最优，几乎消除了分析高斯机制的全部最优性缺口。该研究为差分隐私的噪声注入提供了一种新的理论框架，适合对差分隐私理论、隐私保护数据发布感兴趣的研究人员和工程师阅读。

本文研究差分隐私（DP）的精细变体——f-差分隐私（f-DP）的统计评估与审计方法。f-DP通过一个函数f描述隐私损失，相较于标准ε-DP具有更紧的组合性质，但实际验证机制的隐私保证仍具挑战，尤其在黑盒场景下。现有f-DP审计方法通常需要预知算法内部结构，限制了实用性。本文提出全新的黑盒方法，无需任何先验知识即可估计f-DP的完整权衡曲线，并给出理论收敛保证。该方法融合非参数估计与最优分类理论，可统计确定性地检测f-DP违规。作者在多种DP机制（如拉普拉斯、高斯、指数机制等）上验证了估计与审计程序的有效性。主要贡献包括：1）首个通用的黑盒f-DP估计器，输出完整曲线；2）高效的审计方法，以统计置信度检测违规；3）理论收敛证明与实验验证。该工作适用于隐私保护机器学习、联邦学习、数据发布等场景，对隐私工程师、算法审计师及DP研究者具有参考价值。文中未提供具体攻击代码或绕过方法，仅专注于隐私评估技术。

该论文研究差分隐私下单调统计量的高效估计算法。单调统计量指随着新观测数据增加而单调变化的统计量（如分位数、累积分布函数等）。传统方法采用子采样-聚合（subsample-and-aggregate）框架：将数据集分成多个子块，分别计算统计量，再用差分隐私机制聚合结果。该方法适用性广但样本效率低下。本文针对单调统计量提出改进算法，在样本复杂度上节省了因子t（t>0为可调参数），但运行时间增加了e^t倍。通过查询复杂度下界证明该算法本质最优。应用案例包括私有特征值估计、私有损失估计以及高维模型中单参数（如线性回归系数）的私有估计。实验表明新算法在保持同等隐私保障下需更少样本，适合数据稀缺场景。

本文首次对全同态加密（FHE）下的机器学习训练进行了理论收敛性分析，并提出了一种结合差分隐私（DP）的训练算法，专为加密计算设计。该方法通过使用激活函数和损失函数的多项式近似（FHE兼容所必需）来证明近似梯度下降的收敛性，从而改进了标准差分隐私梯度下降（DP-GD）的计算效率，同时实现可比的效用。为了在下游任务中保护隐私，该算法在不依赖昂贵的每个样本梯度裁剪的情况下集成了差分隐私，实现了可扩展的加密学习。此外，本文还提供了数据无关的超参数选择和多项式近似的理论指导策略，这些成果可独立应用。总体而言，这些贡献推进了在敏感数据上实现高效、私有且安全的机器学习的可行性。

本文针对本地差分隐私（LDP）协议缺乏系统化比较方法的问题，提出了基于定量信息流（QIF）的分析框架。当前LDP领域通常使用隐私预算ε作为隐私度量，但ε仅能约束最坏情况下的区分性；其他比较则依赖效用驱动分析，即针对给定隐私预算ε评估机制保留数据效用的能力。这两种方法都无法全面评估协议面对不同攻击者模型时的安全性。本文通过将LDP机制建模为概率信道，利用细化（Blackwell序）概念建立更原则化的分类，从而判断一个协议是否在所有可能的攻击者面前本质上优于另一个协议，并讨论其对效用分析的影响。具体地，作者对七种主流协议进行了形式化QIF分析，包括广义随机响应（GRR）、局部哈希变体（BLH、OLH）、一元编码方案（SUE、OUE）以及直方图编码阈值化（THE）。分析发现，一些先前被认为“最优”的协议实际上与其他协议不可比或被严格主导。该工作弥合了LDP与形式化方法社区之间的鸿沟，实现了对本地隐私系统的原则化、攻击者感知推理。

该论文针对车辆轨迹数据发布中的隐私保护问题，提出了一种上下文感知的度量差分隐私（Context-aware mDP, C-mDP）框架。现有度量差分隐私（mDP）机制通常独立地扰动每个位置记录，忽略了轨迹数据中时间上相邻位置之间的上下文依赖关系，导致发布数据的效用损失较大。C-mDP将保护秘密定义为上下文增强记录（当前位置结合历史上下文），并在该增强域上实施度量不可区分性，从而将上下文信息纳入隐私保护模型。为了实现最优机制，作者将C-mDP机制设计建模为一个线性规划（LP）问题，目标是最小化期望效用损失同时满足C-mDP约束。为解决LP规模过大的问题，利用当前位置与上下文变量之间的条件独立结构，推导出简化公式，大幅减少了决策变量和约束数量。使用真实车辆移动数据集进行实验，与标准mDP基线方法（如平面拉普拉斯机制）比较，结果表明在相同隐私预算下，C-mDP始终能获得更高的数据效用，同时满足所需的度量隐私保证。该工作适合隐私保护研究人员、移动服务开发者及智能交通系统设计者阅读。

本文研究成员推理攻击（MIA）在评估模型训练数据泄露时的可靠性问题。MIA通过二分类器预测样本是否属于训练集，通常使用假阳性率（FPR）和真阳性率（TPR）衡量漏洞。然而，可靠估计低FPR下的TPR需要大量目标模型，计算成本高昂。为了降低开销，现有工作常将多个个体和多个模型的MIA分数拼接后平均，然后评估TPR。本文指出这种高效评估流程存在两个关键缺陷：第一，拼接后的分数用于低FPR区域时，不同样本的FPR未得到校准，导致差分隐私审计不可靠；第二，Carlini等人（2022）提出的高效似然比攻击（LiRA）实现中存在有限总体偏差，使得每个样本的漏洞评估存在正向偏差。针对第一个问题，作者提出一种后处理方法，通过校准不同样本的FPR来提升可靠性。实验表明，该方法能有效修正评估偏差，使MIA评价更适用于差分隐私审计。本文适合从事隐私保护、差分隐私审计以及成员推理攻击评估的研究人员阅读。

本文研究了球面 Hellinger-Kantorovich (SHK) 梯度流的稳定性及其在差分隐私 (DP) 中的应用。SHK 几何将运输和反应耦合，其梯度流与生灭 Langevin 动力学一致，可用于从 Gibbs 分布中采样。作者提出了一种扰动理论，针对两个不同势函数 V 和 V'，从相同的初始分布出发，比较它们对应的 SHK 梯度流，并量化势函数差异随时间的传播效应。通过统一的扰动界，获得了对数似然比和 Rényi 散度的无维点态控制；在额外结构条件下，还导出了 KL 散度的界。这些结果被应用于差分隐私中指数机制的近似采样：对数似然比控制提供了基于 SHK 采样器的显式时间相关纯 DP 保证，而 KL 散度界则通过曲棍球棒散度给出近似 DP 证书。此外，本文还推导了一个效用界，将指数机制固有的次优性与有限时间采样误差分离开来。该工作为基于梯度流的隐私保护采样算法提供了理论支撑，揭示了势函数扰动对采样分布隐私保证的影响机制。

该论文受差分隐私洗牌模型（shuffle model）近期发展的启发，提出了一种新的近似洗牌功能——交替洗牌（Alternating Shuffle）。研究背景是：在洗牌模型中，一个可信的洗牌器随机排列用户的数据，从而放大本地差分隐私的隐私预算。然而，现有的单服务器威胁模型（其中敌手观察所有通信）中的洗牌协议，每个客户端的通信量与客户端总数呈线性关系，这限制了可扩展性。核心问题是如何设计一种通信效率更高的近似洗牌协议，同时保持差分隐私的放大效应。论文的主要贡献如下：1. 提出了交替洗牌功能，并给出了一个在单服务器威胁模型下实现该功能的协议。在该协议中，每个客户端的通信量仅随客户端数量亚线性增长（具体为对数次方），相比之前的协议提升了数个数量级。2. 证明了交替洗牌与均匀洗牌具有类似的差分隐私放大效应，即应用交替洗牌后，本地随机机制的隐私参数会得到放大，从而支持更高效的数据发布。3. 将交替洗牌应用于基于Ishai等人工作的安全求和协议，证明了替代后协议的安全性保持不变。4. 在实现过程中，还开发了一个单服务器威胁模型下的精确洗牌协议，每个客户端的分摊通信量为对数级别，该协议本身可能具有独立的研究价值。实验部分（若有）着重于具体协议的通信开销对比，展示了交替洗牌在降低通信带宽方面的显著优势。该研究工作主要面向差分隐私、密码学和安全多方计算领域的研究者与实践者。

本文提出了一种基于差分隐私的原偶视角（primal-dual perspective）来证明机器学习模型对后门攻击的鲁棒性。后门攻击同时污染训练数据和测试数据，使得现有仅针对训练时或推理时单一阶段的随机平滑认证方法失效。作者将随机平滑与差分隐私中的隐私配置文件（privacy profiles）相结合，该配置文件提供了一种数值化方法来组合异构随机机制。由此得到的框架能够对复杂的组合机制进行紧致、模块化的端到端认证，同时可以利用现有差分隐私机制的分析结果。作者将该框架实例化到DP-SGD（差分隐私随机梯度下降）和深度分区聚合（Deep Partition Aggregation）并加入推理时平滑，推导出同时对抗训练时和后门注入、推理时触发器激活的联合鲁棒性保证。在MNIST和CIFAR-10上的实验表明，该方法能够有效认证模型在联合威胁模型下的鲁棒性。本文为使用组合机制认证复杂威胁模型下的鲁棒性提供了一个通用且原则性的框架。

该论文研究了差分隐私（DP）中的广义私有测试问题，该问题由 Liu 和 Talwar 在 STOC 2019 中提出。给定一个数据集 X 和一个序列的黑盒 ε_t-DP 机制 M_t，分析者需要以 DP 方式接受第一个成功概率 p_t = Pr[M_t(X)=+1] 超过给定阈值 p^* 的机制。准确度由 p^* 和拒绝阈值 bar{p} 之间的间隙衡量，要求高概率下判断正确。为了提升此项任务的样本复杂度和精度，论文引入了广义阈值机制（GTM）。GTM 是纯 ε-DP 机制，可以处理任意 (ε_t, δ_t)-DP 机制序列，并实现了近最优的精度和样本复杂度下界。通过 GTM，作者给出了从持续观察（CO）设置到批处理设置的 DP 优化黑盒归约，首次为多种最大化问题（如子模最大化）提供了 DP-CO 算法。此外，GTM 允许自适应选择接受阈值 p_t^*，解决了先前工作中（如 Papernot 和 Steinke, ICLR 2022）用于超参数优化的挑战。论文主要贡献包括：提出了 GTM 算法，证明了其近最优性，建立了 CO 到批处理的归约，并展示了广义私有测试在自适应阈值选择方面的灵活性。适合对差分隐私理论、算法设计以及私有优化感兴趣的研究人员阅读。

本文对苹果公司差分隐私框架（DifferentialPrivacy.framework）进行了首次客户端审计，覆盖 macOS Sonoma 14.2 和 Sequoia 15.6 系统。苹果自 2016 年起声称其设备分析数据受差分隐私保护，但并未开源私有化算法，导致独立验证困难。研究团队通过逆向工程、恢复 Objective-C 接口、构建运行时测试工具，对苹果实际部署的 Count Median Sketch、Hadamard-CMS、随机响应机制和 Prio 类安全聚合等机制进行了全面测试。结果发现多个编程错误和配置缺陷：所有依赖浮点噪声的机制均因使用不安全的采样器而未能达到宣称的差分隐私或零知识证明保证；部分安全聚合配置禁用了本地差分隐私，使得拥有日志访问权限的方可获取聚合前的原始记录。在审计的 9 个机制中，5 个存在差分隐私违规问题，影响 macOS Sonoma 87% 和 Sequoia 68% 的数据收集。此外，他们还发现了公开泄露的 iPhone 日志，可被解码恢复 Safari 域名和键盘表情符号等私密信息。该研究揭示了苹果差分隐私实现中的系统性风险，对用户隐私保护构成实际威胁。

联邦学习通过不传输原始数据的方式实现分布式模型训练，但平均聚合方法受非独立同分布（non-IID）数据的严重影响，导致收敛速度慢和模型精度下降。现有替代方案具有显著的低效性：带有噪声或高度异构数据的客户端贡献了昂贵的梯度计算，这些计算在聚合前往往被丢弃或大幅降权。这种被动方法浪费计算资源、需要更多通信轮次，并导致不必要的隐私暴露。本文提出一种主动客户端选择框架，旨在训练开始前找到一组最优客户端联邦，其组合数据满足效用和公平性要求。该方法利用从差分隐私列联表计算出的互信息，来量化联合数据集中跨特征相关性的相关性。引入潜在联邦损失（PFL）函数，该函数平衡两个目标：最大化集体数据效用，同时确保公平的跨特征相关性以防止群体不公。将客户端选择表述为在PFL目标上的最优子集搜索问题，使用模拟退火算法求解，并为客户端本地统计提供强差分隐私保证。在四个基准上的实验表明，与均匀采样甚至使用最先进的自适应聚合或采样策略相比，在最优联邦上训练的模型更快、更公平、更准确。

本文针对预训练机器学习模型在微调过程中可能记忆敏感数据的问题，提出了一种基于指数机制的随机算法，以实现差分隐私保护。核心思路是构造一个简单的效用函数，该函数结合了预训练模型的局部二次近似与新数据集的信息，使得指数机制能够从多元正态分布中闭式精确采样。作者建立了理论上的隐私保证、灵敏度界和准确性估计，并通过引入随机投影策略使方法可扩展至高维模型。在MNIST基准和MIMIC临床数据集上的数值实验表明，该方法与现有差分隐私微调技术相比具有竞争性能。该研究主要贡献在于提出了一个兼具理论严谨性和实用性的隐私保护微调框架，适合关注机器学习隐私保护的研究者和工程师阅读。

本文提出了一种名为 SMA-DP-SGD（Spectral Memory-Aware Differentially Private Stochastic Gradient Descent）的新方法，旨在改进差分隐私深度学习中的效用问题。标准的差分隐私随机梯度下降（DP-SGD）通过对每个样本梯度进行裁剪并添加高斯噪声来保证隐私，但其高方差的更新会导致在困难数据集上的模型效用下降。SMA-DP-SGD 引入了一个基于历史私有化噪声释放的分数记忆分支，利用受 WeightWatcher 启发的谱幂律指数来提供分组层面的可靠性信号，并逐层实例化以调整衰减率和有效记忆深度。该方法通过私有历史对齐、范数匹配和预热激活来稳定记忆贡献。隐私保证是透明的：在给定私有释放历史条件下，记忆分支是固定的，唯一依赖于新数据的项是当前裁剪后的梯度之和乘以固定系数 β。因此，SMA-DP-SGD 保持了清晰的条件敏感度结构，并在 β=1 时精确恢复分组 DP-SGD。实验在 CIFAR-100、CIFAR-10 和 MNIST 上进行，结果表明该方法在多个差分隐私优化基准上取得了具有竞争力或更优的准确率，尤其在 CIFAR-100 和 CIFAR-10 上提升最大。CIFAR-10 的消融实验显示 β 控制着隐私-效用的权衡轨迹，谱和记忆诊断证实了可控的短至中等有效记忆深度以及较小的记忆分支占比。运行时分析表明，该方法在 CIFAR-10 实现中比 DP-SGD 增加了约 2.94 倍的开销，揭示了自适应私有记忆与计算成本之间的实际权衡。

本文聚焦于多租户检索增强生成（RAG）服务中的隐私审计问题。现有RAG系统通常声称每个账户满足差分隐私（DP），即每个账户的查询对索引满足（ε_acc, δ_acc）-DP。然而，作者发现同租户下多个账户合谋（即同一租户的多个账户协调攻击其租户的索引）会导致隐私边界失效：对于高斯噪声检索，已知DP组合理论表明，合谋者的联合泄漏以Θ(√k·ε_acc)的速率无条件恶化。跨租户和外部合谋只有在显式访问控制失败（M4）时才会达到相同速率，否则这些场景的设计泄漏为零，属于架构审计而非DP审计。作者展示了一种实现该速率的攻击，并推导出针对RAG的成员推理攻击（MIA）预测，并通过实验验证。为了能够审计这种每个账户与联合隐私之间的差距，作者设计了第一个审计协议，该协议运行在未修改的RAG部署上，针对检索-分数通道（即每个账户DP保证实际覆盖的噪声-选择步骤）输出定量的（PASS, ε_audit）判定，而无需索引披露、流水线重新设计或模型权重暴露。生成通道隐私（即基于所选文档的LLM输出）被视为独立的审计谓词，应与此协议组合，但本文明确将其排除在外。该协议组合了通用密码学原语（Merkle账本、ZK函数应用证明、高斯噪声证明）与六个RAG特定原语（嵌入承诺、索引内容向量承诺、每个账户查询账本、噪声-选择证明、跨租户包含证明、合谋规模估计器），并支持封闭形式的审计边界和Rényi-DP矩会计追踪。

本文针对大规模机器学习场景下的差分隐私问题提出了一种通用、高效的私有草图（private sketch）方法。差分隐私通过严格的数学定义量化隐私与效用的权衡，但在实际应用中，通用算法运行缓慢（中等规模数据集可能需要数小时至数天），因此现有方法多为特定任务设计。本文提出的草图是一种紧凑的数据集摘要，支持回归、分类、密度估计等多种机器学习任务，其核心思想是将众多机器学习目标函数规约为核和（kernel sums）计算。草图利用局部敏感哈希（LSH）索引的随机列联表来估计核和，具有简单、可合并（mergeable）、单遍流式处理等特性，非常适合大规模分布式环境。实验表明，在包含6500万节点的Friendster图数据集上，该方法可在20分钟内完成单遍处理，而现有替代方案由于维度增长呈指数级缓慢，完全不可行。全面的实验评估显示，该方法的隐私-效用权衡与现有算法相当，但计算成本降低了一个数量级。预计该草图将在分布式、大规模机器学习设置中具有实用价值。

该论文提出了一种名为 DP-SelFT 的差分隐私选择性微调框架，旨在解决大型语言模型（LLM）在微调过程中因使用敏感数据而导致的隐私泄露问题。差分隐私（DP）通过梯度裁剪和噪声注入提供形式化的隐私保护，但常导致模型效用显著下降。现有工作通过结合参数高效微调方法（如 LoRA）来改善隐私-效用权衡，但这些方法主要约束更新的形式。本文探索了互补的方向：选择性微调，即约束更新的位置。DP-SelFT 针对参数选择过程中的三个 DP 特有挑战：避免重复的隐私成本、提高噪声估计下的稳定性、以及选择在裁剪和噪声更新下仍然有用的参数。其核心思想是：首先构建一个轻量级的 DP 合成数据集，并仅在此合成数据上执行参数选择，从而选择阶段不产生额外隐私成本；然后通过临时训练候选层子集（在合成训练集上）并在合成验证集上评估来进行层级别选择。关键在于，这个临时训练是在与下游 DP 微调匹配的扰动机制下进行的，扰动规模与 DP 噪声相同，从而偏向于选择那些不仅可学习而且对噪声私有更新具有鲁棒性的层子集。实验在基准任务上表明，在相同的隐私保证下，DP-SelFT 持续优于现有的 DP 微调基线，改善了隐私-效用权衡。该研究为 LLM 的隐私保护微调提供了新思路，适合对差分隐私、模型微调隐私保护感兴趣的研究者阅读。

这篇论文重新审视了差分隐私随机梯度下降（DP-SGD）的安全分析。DP-SGD广泛应用于机器学习中保护训练数据，其隐私保证通常通过一个安全游戏来分析，攻击者试图从机制输出中推断目标记录是否在训练集中，隐私泄露由隐私曲线（假阳性率作为假阴性率的函数）表征。论文发现现有形式化分析与常见DP-SGD实现之间存在不匹配：现有分析通常将DP-SGD及其变体建模为子采样高斯机制（SGM），即对泊松采样的批次计算裁剪梯度和并添加高斯噪声。然而，许多实际实现中额外进行了归一化步骤：将含噪梯度之和除以预期批次大小或实际采样批次大小。这些机制应分别形式化为期望平均SGM（EASGM）和批次平均SGM（ASGM）。论文重新分析了EASGM和ASGM下的隐私保证，理论结果表明这些保证可能弱于标准SGM保证，意味着在某些情况下真实隐私泄露可能超过报告的保证。此外，论文审计了四个最先进的DP-SGD实现，包括Meta的Opacus库，并观察到超出SGM保证的经验泄露。最后，对Opacus v0.9.0至v1.5.4版本进行审计，并为最新实现推导了修正后的隐私保证。

浮点算术在计算领域无处不在，因其能够表示极大和极小的数值范围，成为存储、分析和操作数值数据的首选方法。然而，这种灵活性在安全/隐私敏感的场景中带来了额外风险。本文探讨了当向敏感值添加噪声时，浮点算术导致的信息泄露威胁——这种泄露可能使敏感信息被恢复（例如在差分隐私中）。作者提出了一种名为尾数位操作（Mantissa Bit Manipulation, MBM）的解决方案，该方案比当前最先进的方法快数个数量级，适用于大多数连续概率分布以及所有浮点数格式。MBM通过直接操作浮点数的尾数位来高效地生成符合要求的噪声，避免了传统方法中复杂的计算和舍入误差，从而在保证安全性的同时大幅提升性能。实验表明，MBM在多种分布（如拉普拉斯、高斯）和浮点格式（32位、64位等）下均能有效工作，显著降低了噪声添加的计算开销。该研究为差分隐私等需要加噪的场景提供了更实用的基础工具，有助于推动隐私保护技术的实际部署。

本文研究了差分隐私中个性化隐私预算的局限性。在差分隐私中，隐私预算ε的选择至关重要，它需要在满足隐私要求的同时最大化数据效用。一种常见的思路是为不同用户（或数据点）分配不同的隐私预算，即个性化隐私预算。然而，本文通过理论分析证明，个性化隐私预算的收益在均值估计任务中是有限的。具体而言，影响效用的主导因素并非完全个性化，而是选择合适的有效隐私预算。作者提出了一种简单的阈值化操作：将所有隐私预算低于某个阈值的用户视为非隐私数据，或统一分配一个公共预算。与这种阈值化基线相比，完全个性化机制带来的改进最多只能达到常数因子级别。论文精确量化了在混合公共和私有数据集、以及具有两层隐私要求的私有数据集场景中，个性化机制相对于阈值化基线的常数因子改进。此外，对于任意的隐私要求分布，作者建立了个性化机制可能达到的最大收益的上界，并识别了收益最大的参数区间。该研究否定了“个性化预算能大幅提升效用”的普遍直觉，为差分隐私系统的设计者提供了重要的理论指导，即通过简单的阈值化即可接近最优效用，无需复杂的个性化机制。

本文提出一种名为 DP-LAC 的轻量级自适应裁剪方法，用于解决联邦学习（FL）中差分隐私（DP）随机梯度下降（DP-SGD）的裁剪阈值自调整问题。在联邦微调大规模语言模型（LLM）时，DP-SGD 通过裁剪每个客户端贡献的梯度范数至阈值 C 并添加与 C 成比例的高斯噪声来保护隐私。现有的自适应裁剪方法虽然能动态调整 C，但需要繁琐的超参数调优，且可能消耗额外的隐私预算。DP-LAC 首先通过私有直方图估计在最优阈值的一个数量级内估算初始裁剪阈值，随后在训练过程中在不消耗额外隐私预算且不引入新超参数的情况下自适应调整该阈值。实验结果表明，DP-LAC 在多个任务上平均准确率比当前最优自适应裁剪方法和原始 DP-SGD 提高 6.6%，显著提升了模型效用与隐私保护之间的权衡。该方法特别适用于资源受限的边缘设备场景，为联邦学习中差分隐私的实用化提供了轻量级解决方案。

该论文研究差分隐私（DP）约束下的分布采样问题。传统方法使用KL散度等密度比度量评估DP采样效用，但存在两个关键局限：1）无法捕捉支撑集的几何结构；2）当分布支撑集不同时不适用。为克服这些局限，作者提出以Wasserstein距离作为效用度量的新框架，并设计了基于Wasserstein投影的Wasserstein投影机制（WPM），该机制在极小化极大意义下最优。此外，还开发了近似计算该机制的高效算法并提供了收敛性保证。该工作为差分隐私采样提供了几何感知的实用工具，适用于需要生成隐私保护且保持数据几何结构样本的场景。

本文提出了一种新的差分隐私随机梯度下降（DP-SGD）变体，称为分数阶差分隐私随机梯度下降（FO-DP-SGD）。传统的DP-SGD通过逐样本裁剪、子采样、高斯扰动和隐私会计来保护隐私，每步只释放当前裁剪并加噪的梯度求和。FO-DP-SGD在加噪之前将当前裁剪的梯度求和与过去若干步已释放的私有求和输出进行加权聚合，其中权重遵循幂律分布（分数阶记忆），从而在释放机制中引入分数阶记忆。该方法保持了标准的“求和-加噪-除以批量大小”结构。在Poisson子采样下的增/删邻接关系中，敏感性分析表明只有当前步的裁剪求和是新的数据依赖项，因此有效ℓ2敏感性至多为βC（C为裁剪阈值，β∈(0,1]控制当前步贡献）。因此，FO-DP-SGD可借助Poisson子采样高斯机制的标准每步Rényi差分隐私会计来获得全局(ε,δ)-差分隐私保证。FO-DP-SGD提供了一个研究私有优化中长期记忆效应的框架，分数阶、记忆窗口和混合系数共同调节当前步敏感性、信号保留和私有历史影响之间的权衡。在SVHN、CIFAR-10和CIFAR-100数据集上的实验表明，与DP-SGD、DP-Adam、DP-IS、SA-DP-SGD、ADP-AdamW、DP-SAT和DP-Adam-AC等基线相比，FO-DP-SGD在测试准确率和隐私-效用权衡方面均有提升。

本文提出 PACZero，一种基于 PAC（Probably Approximately Correct）隐私的零阶（Zeroth-Order）微调框架，旨在解决大语言模型（LLM）在强隐私保护下的可用性问题。核心思想是利用符号量化（Sign Quantization）技术对聚合后的零阶梯度进行离散化，使得在模型更新时，如果所有候选子集对更新方向一致（即 unanimity），则该步骤释放的梯度符号条件互信息为零，从而实现严格的隐私保障。PACZero 包含两个变体：PACZero-MI 通过精确校准二值释放的互信息来预算隐私；PACZero-ZPL 则在分歧步骤使用均匀随机掷硬币强制实现零互信息。实验在 SST-2（情感分类）和 SQuAD（问答）上使用 OPT-1.3B 和 OPT-6.7B 模型进行 LoRA 和全参数微调。结果显示，在零互信息（I=0）下，PACZero-ZPL 在 SST-2 上达到 88.99% 准确率，仅比非私有的 MeZO 基线（91.1%）低 2.1 个百分点；在 SQuAD F1 分数上也取得有意义的结果。此前没有任何方法能在高隐私保护（ε<1 的 DP 等价水平）下获得可用效用。该工作为隐私敏感的 LLM 微调提供了新的理论框架和实践方案，特别适合需要抵御成员推断攻击（MIA）的场景。

本文研究了基于随机洗牌子采样（random shuffling）的差分隐私随机梯度下降（DP-SGD）在f-DP框架下的权衡函数（trade-off function）。与传统的泊松子采样（Poisson subsampling）不同，后者只能通过机器计算得到非封闭的隐式公式，随机洗牌子采样允许进行紧致分析，从而推导出透明且可解释的封闭形式界限。作者利用Berry-Esseen定理，得出了在单轮次（E=1）场景下紧至常数因子的上下界。具体而言，当噪声乘数σ≥√(3/ln M)时（M为单轮次内的轮数），所导出的权衡函数可表达为1-a-δ，即仅比理想随机猜测对角线（1-a）差δ。例如，取δ=1/100、σ=1时，约需M≈1.14×10^6轮和N≈1.14×10^7个训练样本即可实现有意义的差分隐私。这与最近关于σ≤1/√(2 ln M)区域的负面结果形成对比。对于多个轮次（epoch）的组合，δ呈线性增长（δ∝E），这限制了E=O(√M)。为了超越Berry-Esseen近似，作者引入了一种基于大数定律推广的新证明技术，得到了渐近随机猜测对角线极限结果：若E=c_M^2 M且c_M→0，则E重组合后的权衡函数f^⊗E(a)在a∈[0,1]上一致趋于1-a，此时δ仅具有O(√E)依赖性。文章还将此渐近区域与相应的泊松子采样渐近进行了对比，并指出明确收敛速率的刻画仍是开放问题。本工作为DP-SGD的隐私分析提供了更紧致、更透明的理论工具，有助于设计人员精确选择参数以实现隐私与效用的平衡。适合对差分隐私理论、特别是DP-SGD隐私核算感兴趣的研究人员阅读。

该论文提出了一种基于α-Wasserstein距离的机制来实现Rényi Pufferfish隐私保护，使用了拉普拉斯噪声和高斯噪声。通过应用Hölder不等式，作者证明了拉普拉斯机制的尺度参数可以通过W_α度量的上界进行校准，从而对于α∈(1, ∞]满足(α, ε)-Rényi Pufferfish隐私。在α=∞的极限情况下，该框架恢复了已有的用于ε-Pufferfish隐私的W_∞机制。该结果随后被扩展到指数机制。此外，作者提出了一种用于α∈(1, ∞)的高斯噪声的W_α机制，证明了它推广了Rényi差分隐私框架下的现有结果。实验评估表明，与传统的基于W_∞的方法相比，α-Wasserstein机制显著降低了噪声功率，其中高斯机制比拉普拉斯机制提供了更好的效用。值得注意的是，本文推导的机制实现了精确的(α, ε)-Rényi Pufferfish隐私，无需像δ近似这样的额外松弛。该工作为隐私保护领域提供了新的理论工具，有助于在数据发布和分析中实现更强的隐私保证。

本文提出CARIBOU框架，一种面向多层图神经网络的隐私保护方案。核心创新在于将收缩图层（Contractive Graph Layer, CGL）与收敛隐私会计相结合，实现边缘级差分隐私（EDP）和节点级差分隐私（NDP）下的深度聚合，同时保持较高的模型效用。传统GNN隐私保护方法往往在深层网络中面临隐私预算快速耗尽或效用严重下降的困境。CARIBOU通过设计收缩消息传递机制，限制每一层信息的扩散幅度，从而在不显著增加敏感度的情况下支持更多层的聚合。结合收敛隐私会计，能够更精确地追踪总体隐私损失，避免过估计。实验表明，在多个图基准数据集上，CARIBOU在相同隐私预算下比现有方法显著提升分类准确率，尤其在深度GNN中优势更为明显。该工作为隐私敏感场景下的图数据分析提供了可行方案。

该论文提出了PrivCode，这是首个专门为代码数据集设计的差分隐私（DP）合成器，旨在解决大型语言模型（LLM）在代码生成时微调私有数据集可能引发的隐私泄露问题。传统的DP方法在代码数据上面临语法依赖强和隐私-效用权衡的挑战。PrivCode采用两阶段框架：第一阶段“隐私净化”，利用DP-SGD训练模型生成符合差分隐私的合成代码，并通过引入语法信息保留代码结构；第二阶段“效用提升”，在合成的无隐私代码上微调更大的预训练LLM，以缓解DP带来的效用损失。在四个LLM和四个基准测试上的实验表明，PrivCode在各种任务下生成的代码具有更高的效用，同时在不同隐私预算下能保护敏感数据。该研究为代码领域的隐私保护生成提供了新的方法论，适合对差分隐私、代码生成和LLM隐私保护感兴趣的研究者阅读。

本文研究了大型语言模型（LLM）推理过程中键值缓存（KV-cache）带来的隐私风险。KV-cache是LLM中用于加速自回归解码的关键组件，它会存储中间注意力层的键和值张量。作者发现，KV-cache中可能残留用户输入的敏感信息，例如个人身份、医疗记录或金融数据。通过分析KV-cache的数据生命周期，攻击者若获得缓存访问权限（如通过共享内存、侧信道攻击或模型托管环境中的越权访问），可重建部分用户输入，导致隐私泄露。论文提出了一种基于差分隐私的缓存扰动机制，在KV-cache写入内存前添加精心设计的噪声，使得攻击者无法准确恢复原始数据，同时最小化对推理质量和性能的影响。实验在多个主流LLM（如LLaMA、GPT类模型）上验证了方法的有效性：隐私保护强度可调节，且模型困惑度下降不超过2%，推理延迟增加小于5%。此外，论文还讨论了与现有内存加密和访问控制技术的互补性。该研究首次系统性地披露了KV-cache作为LLM隐私攻击面的可能性，并提供了实用的防御思路。

因果推断在多个科学研究领域扮演关键角色，其中平均处理效应（ATE）的估计是核心问题之一。然而，使用真实世界观测数据计算ATE会带来显著的隐私风险。差分隐私作为一种严格理论保证的隐私保护技术，已成为隐私保护数据分析的标准方法。但现有的差分隐私ATE估计工作通常依赖于特定假设、提供有限的隐私保护或无法实现全面的信息保护。为此，本文提出了PrivATE——一个实用的、确保差分隐私的ATE估计框架。考虑到不同场景对隐私保护级别的需求各异（例如，教育评估中仅考试成绩为敏感信息，而医疗记录的所有数据通常都需要保护），PrivATE设计了两种级别的隐私保护：标签级（仅保护结果变量）和样本级（保护所有变量）。通过推导自适应匹配界限（adaptive matching limit），PrivATE有效平衡了噪声引入的误差和匹配误差，从而获得更准确的ATE估计。实验评估在多个数据集和不同隐私预算下验证了PrivATE的有效性，其性能优于现有基线方法。该方法适用于需要因果推断又必须保护用户隐私的广泛应用场景，如医疗、教育和经济学分析。

该论文提出了一种名为FME（Filtering-with-Multiple-Encryption）的增强型洗牌差分隐私协议，用于解决大规模分类数据和键值数据统计估计中的隐私保护问题。传统的洗牌差分隐私协议虽然能提供高精度和隐私保护，但容易受到数据收集者与用户合谋攻击以及数据投毒攻击。近期研究通过引入用户不添加噪声、由洗牌器执行随机采样和虚拟数据添加的增强协议来抵御这些攻击，但该方法仅适用于小域分类数据，在大域场景下通信和计算成本过高。本文提出的FME协议通过哈希函数过滤掉非流行项，然后对流行项进行精确频率估计。为了实现用户与洗牌器单轮交互，协议采用多重加密方法进行系统内通信。此外，论文将FME协议扩展到更高级的键值统计估计，并引入偏差减少技术。对于分类数据和键值数据，论文证明该协议能提供计算差分隐私、对上述两种攻击具有高鲁棒性、准确性和效率。通过与十二种现有协议的比较，实验验证了所提方法的有效性。该研究适合对差分隐私、统计估计、安全多方计算等方向感兴趣的安全研究人员和隐私保护从业者。

该论文提出了PrivORL，这是首个将差分隐私（DP）应用于离线强化学习（RL）数据集合成的方法。离线RL通过共享预收集的轨迹或过渡数据来训练智能体，避免与环境的直接交互，在导航等关键任务中有效。然而，数据集可能包含敏感信息，存在隐私泄露风险。PrivORL利用扩散模型（用于过渡合成）和扩散Transformer（用于轨迹合成）在差分隐私保护下生成合成数据集。该方法采用先在公开数据集上预训练生成器，再在敏感数据集上使用DP-SGD微调的策略。此外，PrivORL引入好奇心驱动的预训练，通过好奇心模块的反馈增加合成数据的多样性，从而生成与敏感数据集高度相似且多样化的合成过渡和轨迹。在五个敏感离线RL数据集上的大量实验表明，与基线方法相比，PrivORL在DP过渡和轨迹合成中均实现了更优异的效用和保真度。论文提供了GitHub仓库的复现包。

该论文研究了从差分隐私（DP）保护的图神经网络（GNN）解释中重建隐藏图结构的安全风险。虽然差分隐私通常被视为发布解释时降低隐私风险的标准手段，但作者证明了仅依赖DP并不足够：攻击者仅观察到经过DP扰动的GNN解释，就能以高精度重建原始图结构。作者提出的攻击方法PRIVX利用了高斯DP机制实质上是已知噪声水平σ(ε)下的单步DDPM（去噪扩散概率模型）前向过程，将重建问题转化为以被污染信号为条件的反向扩散，从而成为在已知DP扰动下的贝叶斯去噪器。论文形式化了一个分层攻击者模型，参数为(M, ε̂, δ̂, S, ρ)，可插值从无信息攻击者到全能攻击者，并推导了重建AUC的端点匹配双边界。针对实践者，论文提供了关于解释器选择的按状态分层指导：在同质图上，相同DP预算下，邻域聚合解释器（如GraphLIME、GNNExplainer）比逐节点梯度解释器泄露更多结构；而在强异质图上顺序相反。此外，论文引入PRIVF作为辅助诊断工具，共享相同的扩散骨干，用于将泄露分解为解释器引起的部分和内在图分布引起的部分。在七个基准数据集、三种DP机制和三种GNN主干网络上的实验表明，PRIVX在五个数据集上实现了AUC大于0.7（ε=5），且攻击在典型部署的隐私预算内成功。

该论文研究了在隐私敏感环境中，运行时监控系统如何保护敏感信息的问题。现代基于流的监控器会收集被观测系统运行时的详细统计数据，这些数据可能泄露隐私。差分隐私是保护敏感信息的先进方法，但将其集成到运行时监控中面临挑战：时序算子会导致单个输入值随时间影响多个输出，从而反复泄露隐私。论文提出了一种自动在基于流的监控规范中强制实施差分隐私的方法，通过分析时间依赖性并在规范中注入经过校准的噪声来实现。为了保持输出的效用，论文识别了规范中策略性的噪声注入位置，并利用基于树的机制来减轻聚合算子噪声注入带来的精度损失。通过在公共交通使用监控的案例研究，展示了该方法的实用性和有效性。

本文针对联邦学习中的隐私保护问题，提出了一套完整的隐私保护机器学习工作流，专注于敏感表格数据。首先，结合匿名化与差分隐私技术，在数据层面和模型训练层面提供隐私保障。其次，对客户端漂移（client drift）给出了正式定义，并设计了检测方法以减轻投毒攻击的影响。核心贡献在于提出了一种基于重识别风险度量的个性化全局差分隐私预算分配方法，允许为网络中不同客户端分配差异化的隐私预算。在公开的医疗记录数据集上的实验表明，与固定全局差分隐私预算的方案相比，所提出的个性化预算方法在两个误差指标上取得了更优的模型性能。该工作流涵盖了从数据预处理到模型聚合的全流程，为敏感数据场景下的联邦学习实践提供了系统性的隐私保护框架。

该论文研究本地差分隐私（LDP）下的最优隐私-效用权衡（PUT）问题。现有方法往往针对特定问题进行案例分析，缺乏统一理论框架。作者提出一个通用理论框架，系统刻画了一般隐私保护统计决策问题中的最优PUT和最优LDP通道。首先，他们识别了贝叶斯风险和极小化风险作为LDP通道函数的关键功能性质，包括数据处理不等式（DPI）、直和拟凸性（或可加性）、凹性和对称不变性。利用这些性质，他们缩小了计算最优PUT所需的优化域。此外，基于凸几何的洞见，他们建立了Blackwell序下最大LDP通道与有限维多面体之间的一一对应关系，给出了精确的几何刻画，使得最优PUT可以通过顶点枚举或线性规划进行有效计算。当问题具有由传递群作用表征的对称性时，他们推导出最优PUT的精确解析表达式，无需数值优化即可得到闭式解。该框架不仅适用于风险最小化，还广泛适用于信息论度量（如互信息、f-散度、Fisher信息）在LDP通道上的最大化。作者通过恢复或强化多个已知结果，并推导出此前未解决的特定任务中最优PUT的精确解析表达式，展示了该理论框架的有效性。该研究适合对差分隐私、信息论和统计决策理论感兴趣的研究者。

本文研究在线差分隐私（DP）线性查询流回答问题，针对数据库工作负载中查询流高度可预测的特点（即重复任务和模板主导，即使到达顺序未知），提出了一种学习增强型差分隐私算法LAPRAS。核心思想是利用预测来指导隐私预算分配：假设存在一个预言机，输出可能出现在流中的查询预测集，然后对预测查询使用离线最优的矩阵机制（Matrix Mechanism）在其对应的全局敏感度下进行回答，而对未预测到的查询则从剩余预算中在线回答。为了在未知数量的未预测查询之间合理分配隐私支出，论文提出了一种平滑分配（Smooth Allocation）方法，该方法通过前T=Θ(log²S)个未预测查询形成无偏停止时间估计，并持续重新校准每个查询的支出。实验结果显示，在两个真实数据集上，LAPRAS实现了预期的一致性与鲁棒性平衡：当预测与实际查询重叠度高时，达到接近离线最优的效用；重叠度低时，性能优雅地退化为基线水平。本文主要贡献在于将预测引入在线DP查询回答，同时保证了鲁棒性，并提出了理论保证的新分配机制。适合对差分隐私、数据库安全和学习增强算法感兴趣的研究人员阅读。

本文针对基因组数据的高度敏感性和访问限制，提出了一种跨机构安全合成基因组数据生成方法。由于基因组数据的隐私性，数据共享受到严格监管，阻碍了AI在基因组学中的发展。合成数据生成通过训练生成模型并采样保留相关统计信息的人工数据，可以在不泄露个体敏感信息的同时促进数据共享。但在许多应用中（如罕见病研究），单个机构的数据量不足以训练有效的生成模型，需要跨机构协作。为此，本文设计了一种结合安全多方计算（MPC）和差分隐私（DP）的方案，使得多个数据持有者能够在不暴露原始数据的情况下联合训练合成数据生成器。MPC确保输入隐私，即任何一方都不会以未加密形式泄露其数据；DP则提供输出隐私，通过限制从发布的合成数据中泄露信息来保护个体隐私。作者使用多个真实RNA-seq数据集在联邦环境中进行了实验，结果表明该方法能够在数据分布在不同机构的情况下生成高质量、高实用性的合成数据集，同时有效保护隐私。该工作为隐私保护的跨机构基因组数据共享提供了可行的技术路径。

该论文聚焦于差分隐私（DP）对比学习中的隐私-效用权衡问题。现有的DP对比学习方法因标准对比目标中样本间固有的强依赖性而遭受严重的效用退化：每个样本的梯度依赖于批次中的所有其他样本，这放大了DP噪声的影响。作者指出，有效的DP对比学习需要显式地减少这种内在的样本间依赖。为此，他们提出了DP-GCL，一个原则性的DP对比学习框架，通过限制组级贡献来结构化地限制梯度依赖。DP-GCL将每个批次划分为小的、不相交的组，并将可用的负样本限制在组内，从而局部化梯度影响并降低敏感度。为了弥补由此造成的负样本多样性损失，进一步引入了组内增强，在不增加隐私成本的情况下生成额外的负视图。在八个数据集上的大量实验表明，在实际隐私预算下，DP-GCL在单模态和多模态对比学习中均持续提升了现有技术水平：与现有DP对比方法相比，图像分类准确率提升5.6%，图像-文本检索准确率提升20.1%。该工作为部署或共享在敏感用户数据上训练的嵌入模型提供了更实用的隐私保护方案。