本论文关注机器学习模型隐私审计的可扩展性问题。成员推理攻击（MIA）是评估模型是否泄露训练数据隐私的主流手段，但当前最先进的攻击需要训练大量计算昂贵的影子模型（shadow models），成本和算力开销极高，导致对大规模模型库或频繁迭代的模型进行系统性隐私评估在实践中难以落地。作者提出的核心研究问题是：能否用廉价、无需额外训练攻击模型的谱（spectral）指标，作为 MIA 脆弱性的代理度量？具体做法是采用源自重尾自正则化（heavy-tailed self-regularisation）框架的若干 WeightWatcher 权重谱指标，在图像分类与表格分类任务上进行评估，并将其与成员推理隐私泄露之间的关系，同传统泛化能力度量（如泛化差距 generalization gap）进行对比。实验发现：跨数据集上，稳定秩（stable rank）与整体 MIA 攻击成功率之间存在强正相关；而 Log alpha-Norm 在低假阳性率区间与 MIA 脆弱性呈一致的负相关。更重要的是，这些谱指标与隐私泄露的关联强度明显高于泛化差距所给出的关联。这说明神经网络的权重谱中可能携带了传统过拟合度量未能完全捕捉的隐私泄露信息，即“泛化好”并不必然等价于“隐私风险低”。论文由此倡导将谱分析作为可扩展隐私审计的一条有前景的研究方向，为在不训练影子模型的前提下快速筛查模型隐私风险提供了初步证据。该工作适合隐私审计、机器学习安全、模型发布风险评估方向的研究者与工程师阅读，属于方法论探索阶段的实证研究。

该论文关注差分隐私（DP）合成文本发布中的残余隐私风险审计问题。合成数据被越来越多地提议作为敏感真实数据的替代品发布，即使通过DP对最坏情况隐私泄露提供理论保证，实践中仍存在残余风险。现有的成员推断攻击（MIA）审计只测量随机抽取记录的平均风险，可能掩盖脆弱子群体面临的风险。为此，作者定义了一种“子群体定向的成员推断博弈”，将目标池作为显式参数，并在四种数据集、三种生成器（DP-SGD微调、基于API的提示生成、激活引导）和五个隐私预算下，用32个代理在三种不同攻击者知识场景中实例化审计。审计结果表明：合成发布确实会泄露子群体成员信息，且既有攻击会系统性地低估这种泄露。DP在聚合层面有效，在所测试的每个预算下都显著降低平均泄露。但有三点观察削弱了这一乐观结论：第一，残余泄露是集中而非均匀分布的，在DP下约十分之一的记录承载约40%的泄露；第二，DP在实践中提供的保护并不均衡——在其最坏情况保证范围内，噪声从随机记录中移除的泄露量多于从高风险记录中移除的量，而将两类记录对共享负样本评分的合并池审计也在记录层面证实了这一点；第三，哪些记录会泄露取决于发布机制本身的属性，而非仅由记录决定，因此记录级风险不能脱离具体发布机制来评估。主要贡献包括：提出子群体定向MIA博弈框架，执行跨数据集、生成器和隐私预算的大规模审计，揭示平均情形审计对子群体风险的低估，以及记录级泄露集中性和DP保护不均衡性的实证证据。

该论文针对《加州消费者隐私法案》(CCPA) 生效五年后缺乏规模化合规审计手段这一问题, 提出了一套名为 PrivAudit 的自动化审计框架。作者指出, 既有研究多依赖人工、个案式的执法与检查, 无法系统性地覆盖网站面向用户的两个关键合规信号: 隐私披露内容与前端用户追踪行为。PrivAudit 采用“双镜片”设计: 其一, 基于大语言模型对隐私政策文本进行解析, 并将分析锚定在 CCPA 的具体条款之上, 判断政策是否披露了退出机制 (opt-out)、数据共享实践与用户权利等信息; 其二, 通过自动化浏览器测量, 在多种隐私配置 (如不同地区、不同同意选择状态) 下记录网站写入 cookie 的行为, 从而观察用户可感知的数据收集活动。作者将框架应用于 998 个网站, 得到两组主要结论。第一, 法律确实与更强的隐私披露相关: 受 CCPA 约束的政策更倾向于公开退出机制、数据共享做法和用户权利。第二, 基于 cookie 的追踪依然普遍, 受约束与不受约束的网站合计写入了 6,392 个定向 (targeting) cookie, 其中 49% 为第三方写入; 而且这些 cookie 对隐私信号与用户同意选择的响应程度仅为有限到中等, 即便网站在政策中声称会尊重相关选择。研究因此强调, 需要将政策文本分析与行为证据相结合的多层次、可扩展审计方法; PrivAudit 可大规模产出可供人工复核的可操作信号与模式, 作者已开源该框架并与监管机构合作推动落地。

该论文研究差分隐私算法的隐私审计问题。传统审计通过模拟基于游戏的协议来猜测两个相邻数据集中哪一个是原始输入，通常需要数千次模拟，计算开销巨大。近期有工作提出对目标算法进行单次运行审计以大幅降低计算成本，但其通用性和所得经验隐私保证的紧致性尚不明确。本文对此进行了深入研究。贡献主要有两点：第一，提出一个基于信息论的统一隐私审计框架，将审计建模为噪声信道中的比特传输问题。该形式化允许推导出基本极限，并为多种差分隐私（DP）协议开发出一种能够给出紧致隐私下界的审计方法。第二，利用此框架揭开“单次运行审计”的机理，识别出单次运行审计可行或不可行的条件。分析结果为执行隐私审计提供了总体指导，并加深了对隐私审计的深层理解。最后，实验表明，该方法在常见差分隐私机制上能产生更紧致的隐私下界，同时所需观测样本数显著更少。文中还通过案例研究证明该方法能够成功检测有缺陷的隐私算法实现中的隐私违规行为。

本文聚焦于图像到图像的人脸生成器（如 FaceFusion、InstantID）的隐私审计问题。尽管视觉差异常被当作隐私保护证据，但作者指出这种直观判断缺乏形式化的身份级隐私保证。为此，他们提出一个统一的审计框架，比较四种适用于预训练黑盒人脸生成器的差分隐私（Differential Privacy, DP）审计方法：(1) 基于高斯机制的每身份敏感度估计（GaussMech），(2) 基于每维核密度估计对数似然比并经基础组合聚合的 KDE-LR，(3) 利用最大均值差异（MMD）与总变差距离（TV）推导纯 DP epsilon 的解析总体下界（MMD-TV），(4) 基于交叉验证分类器折叠外 ROC 的假设检验评估（ROC-HT）。作者详细阐明了每种方法的假设、超参数依赖、有限样本局限以及其 epsilon 估计有效的适用区间。实验在 FaceFusion 和 InstantID 上，使用多种身份编码器和参考数据集进行，结果显示：所有审计均一致地揭示了显著的身份可区分性，但不同方法报告出的 epsilon 估计值却差异很大，这反映了各自不同的假设和有限样本处理方式。在高区分度场景下，实验结果不支持对四种方法进行可靠排序；作者认为它们的相对权衡应在部分私有机制上评估，并指出这是下一步的自然研究目标。该框架将多种审计置于共享的身份级审计环境中，澄清了各自的假设和有限样本处理如何影响最终 DP 估计。本文适合隐私保护领域、生成模型安全、以及考虑部署人脸生成服务时进行隐私合规验证的研究人员与工程师阅读。

本文研究差分隐私随机梯度下降（DP-SGD）中，使用数据打乱（shuffling）替代传统泊松子采样（Poisson subsampling）时隐私保证的准确性。传统DP-SGD通过泊松子采样随机选择每轮训练批次，但打乱因计算开销低、兼容性好而被广泛采用，然而其理论隐私保证的紧致性仍是开放问题。现有实践常直接用泊松子采样的隐私分析来评估打乱下的模型，可能导致隐私保证被高估。为此，作者提出了面向打乱DP-SGD的新型审计程序，以量化理论隐私界限与实际泄露之间的差距。实验设置包括不同批次大小、隐私预算和威胁模型。结果表明，使用打乱的DP模型隐私保证被高估达4倍，且这种差距在不同参数和威胁模型下并不均匀。进一步研究发现，打乱过程的两种常见变体导致隐私泄露增加至多10倍。本文强调了在缺乏严格分析方法时，使用打乱替代泊松子采样存在的隐私风险。适合研究差分隐私、机器学习隐私保护的研究者和工程师阅读。

该研究探讨了代码语言模型中的功能性记忆（functional memorization）现象，即模型在生成代码时可能会复制训练数据中的功能逻辑，即使文本上不相似。现有工作主要基于文本重叠的审计指标来检测训练数据泄露，但代码具有功能等价而文本不同的特点。作者为Olmo-3-32B模型构建了一个反事实实验设置：比较一个中间训练版本（已暴露于目标代码）和一个预训练参考版本（未暴露）。向两个模型提供Python函数签名，并分别评估生成代码的文本相似性和功能相似性（使用LLM作为评判和基于执行的方法）。实验结果显示明确的功能性记忆证据，表明需要超越文本重叠的审计指标。该工作对代码生成模型的安全审计和数据隐私保护具有重要意义。

本文对苹果公司差分隐私框架（DifferentialPrivacy.framework）进行了首次客户端审计，覆盖 macOS Sonoma 14.2 和 Sequoia 15.6 系统。苹果自 2016 年起声称其设备分析数据受差分隐私保护，但并未开源私有化算法，导致独立验证困难。研究团队通过逆向工程、恢复 Objective-C 接口、构建运行时测试工具，对苹果实际部署的 Count Median Sketch、Hadamard-CMS、随机响应机制和 Prio 类安全聚合等机制进行了全面测试。结果发现多个编程错误和配置缺陷：所有依赖浮点噪声的机制均因使用不安全的采样器而未能达到宣称的差分隐私或零知识证明保证；部分安全聚合配置禁用了本地差分隐私，使得拥有日志访问权限的方可获取聚合前的原始记录。在审计的 9 个机制中，5 个存在差分隐私违规问题，影响 macOS Sonoma 87% 和 Sequoia 68% 的数据收集。此外，他们还发现了公开泄露的 iPhone 日志，可被解码恢复 Safari 域名和键盘表情符号等私密信息。该研究揭示了苹果差分隐私实现中的系统性风险，对用户隐私保护构成实际威胁。