论文针对差分隐私（DP）中多种曲线型隐私定义并存、选择不同定义会影响隐私分析与效用的问题，提出统一的信息论框架。作者考虑四类主流定义：两个方向性的 (ε,δ)-DP 隐私轮廓、假设检验权衡函数对，以及扩展隐私损失分布。对固定输出分布的有序对，论文证明这些对象之间存在信息等价：只要精确 Rényi 差分隐私（RDP）曲线在某阶数大于 1 时有限，RDP 曲线也加入该等价类。因此在这些温和条件下，选择不同定义只改变语义解释和计算需求，不改变隐私信息本身。相反，若对方向性隐私轮廓取最大值，或把 RDP 曲线压缩成单个零集中差分隐私（zCDP）参数，会丢失信息。作者进一步量化精确 RDP 曲线与其 zCDP 上界之间的信息损失，发现高斯噪声下损失为零，但高斯混合、拉普拉斯、离散高斯、泊松子采样高斯机制下通常为正，且损失随独立组合机制数量线性增长。实证上，在同等认证隐私水平下，保留完整 RDP 曲线而非 zCDP，可在类似美国社区调查规模的工作负载中将高斯混合噪声所需方差最多降低 45%；在 Fashion-MNIST 上泊松子采样的 DP-SGD 中，RDP 隐私会计师相比 zCDP 会计师可将测试准确率提高最多 8.73 个百分点。

近期研究表明，大语言模型可被“组合式”越狱攻击：有害意图与若干看似无害的任务被拼接进同一条查询，单独的恶意请求会被拒绝，但嵌入更大规模的良性查询后却可能获得回应。该论文从信息论视角系统刻画这类“意图隐藏”越狱。作者为每个任务赋予一个“被判定为有害”的估计概率：在整个任务集合上取平均得到有害意图的先验概率，在包含目标任务的所选任务束（bundle）上取平均得到后验概率；若通过挑选辅助任务使二者相等，即所谓“先验—后验匹配”，则即便有害目标仍在任务束内，整体估计意图也可保持不变。论文区分两种设定：在与查询构造无关的设定中，任务选择不考虑最终表达方式，作者证明在任务束规模约束下实现精确先验—后验匹配是计算困难的，随后给出分数权重下的最优注水（water-filling）解，并刻画满足给定安全阈值所需的最小任务束；在与查询构造相关的设定中，任务选择与查询生成被联合优化，意图隐藏程度与目标行为保留程度直接在最终查询上评估。实验在多种任务束规模、不同查询生成器与若干开源模型上，度量越狱有效性与目标行为的保留情况。结果显示，在所评估的搜索预算内，组合式查询比直接请求基线更易诱发目标行为；同时揭示一种权衡：随着任务束规模增大，若干模型在响应层面的目标保留程度趋于下降。该工作为理解组合式越狱的可行边界、安全阈值与搜索预算之间的关系提供了形式化框架。

该论文针对当前用于满足生成内容可追溯法规的多比特后验水印（post-hoc watermarking）方案展开理论剖析与改进。此类现代方案通常由一对深度神经网络构成编码器与解码器，被当作纯黑盒进行端到端训练；训练时把水印信道中的噪声建模为一组固定的几何变换与值度量（valuemetric）变换施加于含水印图像之上。作者指出，这种纯粹经验式的做法会导致未经审视的设计缺陷，并且无法给出任何理论层面的性能保证。为此，本文首先提出一个现代后验水印方案的通用理论模型，其基础是对编码器/解码器输出进行统计分析。作者证明，这类深度神经网络实际上隐式地定义了一个可被建模为并行加性高斯白噪声（AWGN）信道的水印信道，且消息以 BPSK 调制方式进行传输。这一结论意味着系统被迫使用二元字母表，从而极大地限制了水印系统的容量上限。论文指出的第二个致命缺陷是此类方案普遍不包含秘密密钥，因而在本质上是不安全的；作者为后验水印方案给出了精确的安全性定义，将其与在给定解码器输出统计模型下能否估计出秘密密钥这一问题联系起来。综合上述理论分析结果，作者提出了一种新的后验水印系统 SNW，其在容量方面显著优于现有最先进的基线方法，同时还能提供较强的安全性保证。尤为关键的是，SNW 不依赖固定码本或二元字母表，而是借助容量可达的纠错码，使传输速率能够逼近香农容量。该工作适合关注生成内容溯源、水印鲁棒性与容量理论、以及水印安全性（密钥不可估计性）的研究者与工程人员阅读。

本文研究 c-内点点态最大泄露（c-interior pointwise maximal leakage, PML）作为收缩性分析与披露控制工具的理论价值。传统局部差分隐私（LDP）要求对任意相邻输入，输出核满足有界似然比，这在实际系统中往往过于严格，且难以刻画确定性系统或仅对特定数据生成假设成立的场景。作者提出的 c-内点 PML 将 LDP 推广到密度一致地远离零（下界为 c>0）的数据生成分布族：只有落在该 c-内点集合内的输入分布才需要满足约束，因此可把 PML 视作作用在核（kernel）上的代数约束，而非逐点最坏情况约束。这一视角使收缩性分析比标准 LDP 更灵活，且在多数情形下给出更紧的界。论文给出的主要技术贡献包括：对 Dobrushin 系数的紧界；对 Hockeystick 散度收缩系数的界；以及在 c-内点 PML 约束、且散度输入分布被限制在 c-内点集合内时，针对 f-散度的强数据处理不等式。这些结果突破了纯 LDP 的范围，可覆盖包括任意随机矩阵在内的更大一类核。作者随后把结论应用于极小极大（minimax）理论，针对二元假设检验与均值估计给出在 c-内点 PML 约束下渐近最优的策略。分析中反复出现的一个有趣结论是：当隐私问题相对正则（即密度界 c 较大）时，私有推断可以在样本复杂度上不付出额外代价。整体上，该工作为分析者提供了更细粒度的披露控制推理框架，既能量化确定性系统的隐私泄露，也能在任意分布假设下给出精确的对抗性保证。

该论文研究大语言模型（LLM）驱动的智能体在看似正常的对话中隐藏信息传输（隐写/隐蔽信道）的问题。作者指出，现有 LLM 隐写方案大多是白盒的：收发双方必须共享载体（cover）统计信息，通常意味着要能访问模型权重与提示词，部署门槛高；已有的黑盒方案虽只要求接收方拿到生成文本，却依赖固定长度、开环的水印式方法，在变长 token 生成场景下解码错误率很高。论文把黑盒 LLM 隐写重新建模为一个带因果、无噪反馈的序贯通信问题：每个已生成的 token 收发双方都能观测到，并可用于指导后续嵌入，这在信息论上等价于带反馈的编码信道。基于该视角，作者提出 BAM（Burnashev Adaptive Posterior Matching），一种把后验匹配（posterior matching）与“解码—确认”阶段结合的反馈编码方案：发送方按后验分布自适应地选择 token，接收方在过程中解码并进行确认，从而在采样随机性造成的“噪声”下逼近反馈容量。安全性方面，论文给出了密码学归约证明，说明方案在相应假设下满足不可区分性。实验上，在三个开放权重模型上，8 bit 载荷、约 50 个 token、1000 次试验条件下，经验消息错误率仅 0-0.1%，而最强黑盒基线在相近长度下为 10-17%。作者进一步展示了基于该算法构建端到端隐蔽通信协议的可行性，可在多种对话场景中保持较高通信速率。适合关注 LLM 智能体安全、隐蔽信道、水印与信息隐藏的研究人员与防御工程师阅读。

本文研究图结构存储系统中的「任意隐私需求下的私有信息检索（PIR）」问题。经典 PIR 要求用户从多个服务器取回某条消息时，向所有服务器隐藏目标消息的索引；近期提出的本地 PIR（LPIR）则只要求对实际存储该消息的服务器保密。本文指出，在服务器存储容量受限、数据（消息）总量庞大、且不同消息的隐私敏感性差异巨大的现实场景中，这两种极端设定都不够灵活，因此提出一种更一般的建模：每条消息都可被指定一个「隐私服务器子集」，在该子集上必须保证检索的私密性，且该子集必须包含实际存储该消息的服务器；等价地，每个服务器关联一个隐私集合，预先规定哪些消息索引在从该服务器检索时必须是私密的。若每个服务器的隐私集合包含全部消息索引，即退化为经典 PIR；若隐私集合恰为该服务器所存消息索引，即为 LPIR，因此新框架把二者统一并桥接起来。作者将存储结构抽象为图：节点为服务器，边刻画消息的存储与复制关系，并在此基础上推导了一般图在特定隐私需求下的 PIR 容量（capacity）的通用上界与下界，这些界同时抓住了 LPIR 与经典 PIR 的本质特征。随后论文聚焦两类低度数图——路径存储图与环形存储图，在更细粒度的隐私需求设定下，对部分情形给出精确容量结果，对另一些情形给出上下界；低度数使分析更易深入，也能承载比其它简单图更丰富的隐私需求组合。最后，作者提出一种全新的金字塔存储图（pyramid storage graph）用于刻画服务器存储，该结构在消息存储与副本放置上具有良好的对称性，此前在 PIR 文献中从未被研究过。整体而言，这是一项信息论/编码理论方向的容量分析工作，主要贡献是刻画了「隐私需求可任意指定」这一新维度对 PIR 容量的影响，并给出若干具体图族下的可达方案与不可达证明。

该论文研究差分隐私算法的隐私审计问题。传统审计通过模拟基于游戏的协议来猜测两个相邻数据集中哪一个是原始输入，通常需要数千次模拟，计算开销巨大。近期有工作提出对目标算法进行单次运行审计以大幅降低计算成本，但其通用性和所得经验隐私保证的紧致性尚不明确。本文对此进行了深入研究。贡献主要有两点：第一，提出一个基于信息论的统一隐私审计框架，将审计建模为噪声信道中的比特传输问题。该形式化允许推导出基本极限，并为多种差分隐私（DP）协议开发出一种能够给出紧致隐私下界的审计方法。第二，利用此框架揭开“单次运行审计”的机理，识别出单次运行审计可行或不可行的条件。分析结果为执行隐私审计提供了总体指导，并加深了对隐私审计的深层理解。最后，实验表明，该方法在常见差分隐私机制上能产生更紧致的隐私下界，同时所需观测样本数显著更少。文中还通过案例研究证明该方法能够成功检测有缺陷的隐私算法实现中的隐私违规行为。

本论文探讨图像水印扰动作为对抗性噪声时，对深度学习模型产生的欺骗威胁。传统对抗样本 (AE) 检测方法通常假设噪声为典型的扰动模式（如 Lp 范数约束），因此面对嵌入水印标志这类结构化噪声时往往失效，即水印扰动 AE 可绕过现有检测。文章提出 Themis，一种无需修改受保护分类器、也不依赖 AE 生成过程的检测方法。Themis 基于可用信息论（Usable Information Theory）计算每个样本的点级得分（pointwise score），利用该得分识别出可能经过水印扰动的异常实例。实验涵盖 5 种不同标志的水印扰动，在图像分类任务上，Themis 的检测准确率比五种 SOTA 检测方法平均提升超过 15%；可视化表明其得分在 AE 与非 AE 之间具有明显可分离性；并且 Themis 在广泛阈值下实现更大的 ROC 曲线下面积 (AUC)，显示了良好的阈值鲁棒性。计算开销仅约 0.04 秒，适合近实时应用。由于 Themis 不干扰原分类器，可作为一种外挂式防御组件。本文对该领域的主要贡献在于把可用信息论引入水印对抗样本检测，解决了水印噪声结构化与异质性的难点，并通过对比实验证实了有效性。

本文研究带边信息（side-information）的独立同分布随机序列猜测问题。猜测（guesswork）衡量攻击者按某种策略尝试猜测未知序列时所需的猜测次数，通常用于分析密码暴力破解的强度。此前已有工作通过大偏差技术给出了无侧信息情形下猜测次数尾概率的指数表达式。本文提出一种基于类型计数（method of types）的证明方法，对无侧信息的情形给出了更简洁的尾概率估计，并将该方法推广至条件猜测（conditional guesswork），即攻击者获得与目标序列逐元素相关的边信息时，推导出猜测次数尾指数的显式表达式，该表达式可表示为条件倾斜分布之间的散度（divergence）。作者进一步将这些指数应用于带侧信息的暴力密码猜测场景，展示如何利用相关边信息估算猜测难度的变化。本文的核心贡献在于提供了一种新的分析工具，使得条件猜测的指数计算成为可能，并建立了信息论度量与密码猜测复杂度之间的桥梁。适合信息论、密码学和网络安全的理论研究人员阅读。

本文研究了一个差分隐私中的基础问题：是否可以对较大的组提供更强的隐私保障？Pujol和Desfontaines曾提出，在发布直方图时，是否可以允许对大计数有更大的误差，从而利用这一松弛来更强地保护大组成员。本文在固定不相交组以及“添加或删除一个个体”的邻接关系下系统研究该问题。隐私预算v(n)依赖于受影响的计数n，是非增函数，并且必须在所有阶数上同时约束Rényi散度的两个方向——这是本文研究的基于计数的零集中差分隐私（zCDP）形式。原始严格相对误差条件在计数为零时无法满足，因此作者通过要求E|widehat{x}_i - x_i| < r * max{x_i, 1}来显式引入边界容忍度，同时不改变任何正计数上的要求。主要结果确定了组大小的最优依赖关系。上界方面，作者直接特化了现有的移位变换框架，得到的移位对数高斯机制具有认证预算v(n)=O_r(n^{-2})。下界方面，对于任意固定的0<r<1，任何满足相同正计数效用要求和基于计数的zCDP的机制必须满足v(n)=Ω_r(n^{-2})。因此，在修正的问题表述下，逆平方速率是最优的。进一步，通过多计数信息论论证，将大计数-小误差极限下的主导系数限制在π/(4e^2)与1/π之间，因子小于3。当r=1时，一种数据无关的发布在零隐私损失下满足修正后的条件。该工作为差分隐私中的组隐私保护提供了理论基础，证明了基于计数的隐私预算的最优缩放关系，对设计更精细的隐私保护机制具有指导意义。

本文从信息论角度系统分析了生成模型水印的取证能力。传统水印仅用于检测文本是否由机器生成，但本文提出水印还可用于用户归属（识别生成文本的用户）、隐藏载荷提取以及定位编辑后残留部分，这构成了一个“取证阶梯”（forensic ladder）。作者引入信息轮廓ν(t)=I(S;X_t|X_{<t})，该轮廓刻画了每个token关于秘密S（用户身份或载荷）所揭示的信息量。该轮廓的总和决定了归属和提取的样本复杂度，而其分布决定了定位能力；检测则不是由信息量而是由标记分布与无标记分布的距离决定。主要定理：对于统计上无失真的方案，在熵率为h的平稳遍历信源上，归属一个文本到N个用户之一需要Θ(log N/h)个token，这是首个紧致的多用户归属熵率定律（通过精确对齐实现）。自然碰撞计数分析会导致无界过估计；只有通过每个候选者自己的实际惊喜度（realized surprisal）设置阈值的解码器才能达到该速率，同时几乎不错误指责无辜用户。匹配的逆定理使得该定律双向成立。提取ℓ比特载荷需要Θ(ℓ/h)个token。存在两个真实间隙：一个Θ(log N)大小的窗口内，文本可证明是机器生成但无法归属；以及一个足迹-分辨率不确定性原理。在GPT-2、Pythia-410M和Qwen2.5上的实验恢复了预测的常数。

该论文聚焦于协作边缘-云推理场景中的隐私泄露问题。资源受限的设备通过将部分计算卸载到云服务器来利用大型语言模型（LLM），但中间激活值在传输过程中容易受到提示反转攻击，即攻击者从共享表示中重构原始用户输入。现有防御方法多依赖启发式扰动或经验调优，缺乏对隐私泄漏及其与效用、延迟约束之间相互作用的理论理解。作者提出了一种基于信息论的防御框架，通过学习隐私保护表示，明确最小化中间激活值与输入提示之间的互信息，同时维持计算约束下的任务效用。论文推导了提示重构误差的理论保证，刻画了隐私-效用的基本权衡，并建立了下游推理的token级准确率界限。进一步提出基于低维信息瓶颈的隐私适配器实现防御方法。在多种设置下的广泛实验表明，该方法在隐私-效用-延迟权衡上优于现有防御（攻击成功率降低最高35%），为私有高效的协作LLM推理提供了理论基础。适合对LLM隐私保护、边缘计算安全感兴趣的研究人员阅读。

本文研究代码大语言模型（Code LLM）在提示词扰动下的安全性与功能性之间的信息论权衡。作者将代码补全任务建模为从自然语言提示到代码输出的映射过程，提出了容量（Cap）和安全性（Sec）两个信息论量：Cap衡量生成代码与理想正确代码之间的互信息，即模型的功能容量；Sec衡量扰动提示下生成代码与原始提示下生成代码之间的互信息，即扰动保留量。文中证明了Cap + Sec ≤ H(c^*) + I(p; ̃p)的理论上界，其中H(c^*)是任务熵，I(p; ̃p)是提示扰动引入的泄漏。通过确定性嵌入推论得到了隐藏状态版本，并利用tokenizer/gzip边界给出了模型无关的任务熵上限。实验部分，作者在两个模型（CodeLlama和Qwen）、两个数据集（HumanEval和MBPP）、两种精度（INT4/BF16）以及多种估计器消融下，验证了嵌入检查不等式成立，饱和度为0.27-0.92，定理松弛为2.36-26.94 nats。此外，提出了上下文混合余弦相似度作为生成-提示对齐信号，与pass@1具有显著相关性（如CodeLlama-HumanEval中ρ=0.36, p<0.0001）。自适应压力测试（包括23种扰动池、固定通用后缀和提示嵌入PGD）均留下正松弛，表明当前模型远未达到理论安全预算上限。本文为评估和提升代码LLM对提示扰动的鲁棒性提供了理论框架。

本文重新定义了私有信息检索（PIR）问题中的隐私概念，以容纳灵活的隐私需求。传统PIR要求用户检索消息时，对所有服务器隐藏被检索的消息索引。然而，实际场景中可能不需要如此严格的隐私保护。作者聚焦于图复制PIR系统，其中每个服务器仅存储部分消息，且存储模式由某种图结构（如路径图或循环图）决定。他们引入了一个通用隐私需求集：对于每个服务器，可以指定其需要隐藏的消息索引子集（不必是所有消息），只要该服务器的存储消息索引包含在隐私需求集中即可。由于存储设置和隐私需求集有多种可能，论文重点分析了路径图和循环图两种存储拓扑，并针对每种拓扑考虑了多种隐私配置，例如隐私需求集仅包含某个邻域范围内的消息索引。通过引入邻域范围参数，实现了从局部PIR到标准图复制PIR的平滑过渡。作者推导了这些场景下的容量界或精确容量，揭示了隐私强度与通信开销之间的权衡关系。该工作为设计灵活、高效的PIR系统提供了理论基础，尤其适用于分布式存储和隐私保护通信等场景。适合对隐私计算、信息论和安全存储感兴趣的研究人员阅读。

本文重新审视了多服务器、图复制私人信息检索（PIR）系统中的隐私定义，提出了一种新的设置，其中用户的隐私由服务器的存储结构决定。具体而言，当用户从某个服务器检索消息时，只有当该服务器存储了该消息时，用户才关心隐藏其所需消息的索引。作者将这种隐私需求称为本地用户隐私，并将由此产生的PIR问题称为图上的本地PIR。目标是建立本地PIR的容量，即每下载一个符号可检索的最大消息符号数，从而衡量其与经典PIR相比的通信效率增益。研究发现，对于不相交的图的并集，本地PIR容量相比经典PIR容量有显著的倍增增益，特别是当各子图相同时。对于连通图，作者提出了方案来建立边传递图和二部图的下界，这些下界高于已知的最佳经典PIR容量界。最后，推导了循环图和奇数顶点的路径图的精确本地PIR容量。本文主要贡献在于提出了一种更细粒度的隐私模型，并揭示了图结构对PIR通信效率的有利影响，为分布式存储系统中的隐私保护提供了新思路。

本文提出了一种高效的网站指纹防御方法，通过迭代互信息最小化（Iterative Mutual Information Minimization, IMIM）来降低流量分析攻击的有效性。网站指纹攻击利用加密流量的统计特征（如数据包长度、时间间隔、方向等）来识别用户访问的网站，严重威胁隐私。现有防御方法（如随机填充、流量变形）往往牺牲带宽或延迟，且效果有限。作者将防御问题建模为在保留流量基本功能的前提下最小化原始流量与伪装流量之间的互信息，从而去除与网站身份相关的敏感特征。具体地，设计了一个基于变分信息瓶颈的迭代优化框架，交替更新编码器（伪装生成器）和攻击判别器，逐步压缩冗余信息。实验使用Tor流量数据集评估，与多种防御（如WTF-PAD、Glue、TamAR）对比。结果显示，IMIM在相同带宽开销下将攻击准确率从90%以上降至30%以下，且延迟增加小于10%。该方法还可迁移到其他加密应用场景，表明其通用性。本文适合网络隐私研究者、流量分析防御工程师阅读。