该论文针对用户与大语言模型（LLM）交互过程中的隐私保护问题展开研究。现有的隐私保护方法通常只关注直接的显式标识符，即标准检测器能捕获的个人身份信息（PII），例如姓名、邮箱、电话等。然而，隐私风险并不仅仅源于显式标识符，还包括不含PII的自我披露（self-disclosures），这些信息可以通过准标识符（quasi-identifying traits）的组合重新识别出用户身份。论文在隐私意识委托（PCD）框架下提出概率变体，PCD是一种让本地LLM作为中介来代理用户查询的方法，以避免原始查询直接暴露给服务端。作者在该框架中引入由LLM驱动的k-匿名性概率估计，并作为优化目标的一部分。为支持该研究，作者创建了PUPA-SD数据集，其中包含带有自我披露的自然用户查询。基于该数据集，他们优化了名为PAPILLON的方法。初步实验表明，在PUPA-SD上优化的PAPILLON在多种本地模型上的未见对话质量均有提升，并且在Llama-3.2-3B上取得了最佳的隐私-效用平衡；而较小的模型难以同时优化生成质量和隐私保护。此外，作者提出将k-匿名性作为辅助度量标准，以更好地评估和指导PCD方法。该研究为LLM查询委托中的隐私风险评估提供了新思路，强调了超越简单PII检测的隐私保护需求。

本文针对k匿名化在数据脱敏中的隐私风险进行了深入研究。尽管k匿名化因简单、符合法规且保持数据可用性而被广泛采用，但隐私界长期批评其保护不足。非专业人员常认为在没有辅助信息的情况下，k匿名化无法被攻破。本文首次提出组合精炼攻击（Combinatorial Refinement Attacks, CRA），这是一种新型隐私攻击方法，专门针对使用局部编码（local recoding）生成的k匿名化数据集。CRA不依赖任何外部辅助信息或对数据分布的假设。它利用ARX（临床数据匿名化广泛使用的开源软件）中局部编码的效用优化行为，构建线性规划模型，显著减少可能的敏感值空间。为验证该攻击的有效性，作者与一个免费社区健康诊所网络合作，该环境既缺乏辅助信息又因资源和法规限制而采用开源k匿名化方案。基于真实临床微观数据的实验表明，即使没有外部信息，现有的匿名化框架也无法提供所承诺的隐私保护水平，引发了严重的隐私担忧。本文的核心贡献是揭示k匿名化在无辅助信息场景下的脆弱性，并提供了可复现的攻击方法。适合数据隐私研究人员、医疗数据管理者及匿名化工具开发者阅读。

本文研究了表格基础模型（tabular foundation models）中注意力机制的隐私漏洞。尽管这些模型通常在合成数据上预训练，被认为隐私风险较低，但它们采用上下文学习（in-context learning），在推理时可能直接包含敏感记录作为标注的上下文示例。论文提出了一种基于注意力机制的成员推理攻击（AMIA），该攻击无需影子模型，利用Transformer注意力模式的集中性来推断特定记录是否属于训练集。实验表明，注意力机制泄露了强烈的成员信号，在低假阳性率下平均攻击成功率比传统的基于置信度的攻击高出7.7%。为缓解风险，作者提出了一种基于k-匿名原则的推理时防御方法，通过降低上下文键表示的独特性（不添加随机噪声或重训练模型），仅针对AMIA得分识别的高风险查询进行保护。该防御能将AMIA攻击的成员泄露平均降低50%，对基于置信度的攻击降低25%，同时仅造成3.9%的性能下降。论文还发现，微调会引入额外的隐私风险：微调后预测置信度升高的样本更容易受到成员推理攻击，表明微调可能加剧记忆化并通过置信度变化暴露敏感训练信息。