本文提出了一种新的差分隐私变体——Ball-DP（球差分隐私），旨在解决传统差分隐私（DP）在防御数据重建攻击时噪声过大的问题。传统DP通过添加噪声来确保任意单条记录替换后的输出不可区分，但这一保证对重建攻击而言过于保守，因为实际攻击者通常只关心与原始记录相似的替代记录（即嵌入空间中距离较近的点）。Ball-DP将不可区分性限制在嵌入空间中半径为r的球内，从而在保持对局部重建攻击防御能力的同时显著降低噪声量，提升模型效用。论文为正则化凸学习问题提供了Ball-DP的噪声校准公式，并推导了相应的重建鲁棒性证书Ball-ReRo，该证书能够上界攻击者的重建成功率。此外，作者推导了最优有限先验MAP重建攻击，并在7个基准学习任务上实证审计了Ball-ReRo证书。实验表明，在高隐私预算（小epsilon）下，Ball-DP在噪声减少和重建鲁棒性之间取得了更好的平衡，显著优于传统DP。本文的核心贡献在于：1) 提出Ball-DP概念，使隐私保证范围显式化；2) 给出理论噪声校准与鲁棒性证书；3) 通过实验验证了其效用提升。该研究适合对差分隐私、数据重建防御感兴趣的安全研究人员阅读。

本文是首篇对合成表格数据的重建攻击（即属性推断攻击）进行系统化研究的论文。研究背景是合成数据被广泛宣传为一种隐私保护替代方案，用于发布敏感表格记录，但对其核心对抗威胁——重建攻击（通过合成数据和少量已知准标识符恢复个体隐藏属性值）的研究此前零散且难以比较。作者构建了攻击分类体系，按攻击利用的结构（如分布、关联、记忆）组织攻击；进行了迄今最系统的实证评估，在五个基准数据集上评估了九种合成数据生成（SDG）方法对十四种攻击的抵抗能力；并提出了一组填补分类空白的新攻击，其中CoBP-RA是测得的最强攻击。关键贡献在于引入了解释攻击成功含义的方法论：一个记忆测试，区分重建攻击是利用了总体分布还是对训练记录的记忆；以及一个约化方法，将重建攻击和成员推断攻击置于同一可比尺度。主要发现包括：SDG方法的选择对风险的影响远大于攻击选择；差分隐私（DP）仅在很小的预算（ε≲1）下有效，超过后保护效果趋于平稳，受限于合成器的容量而非噪声；去标识化方法暴露风险最高；大多数重建攻击反映的是分布结构而非记忆，个体风险集中在异常记录上。该攻击和基础设施在2025年美国国家标准与技术研究院（NIST）合作研究周期中，在所有红队中获得第一名，从而得到外部验证。