该论文研究的是神经网络后门攻击中的一个基础理论问题: 攻击者到底需要多大的预算才能构造既成功又隐蔽的后门。作者把攻击者预算拆解为两个量: 训练数据中的投毒比例 π 与触发器强度 α。研究动机来自近期的实证观察: 对大语言模型投毒时, 即使干净数据集规模不断增长, 所需的恶意样本数量却近似保持恒定, 这与经典数据投毒理论给出的直觉不符, 也说明现有对后门成本的理解并不完整。为此, 作者设计了一个可精确求解的最小模型: 在一个投毒的高斯混合分布上训练一个二次神经元, 并给出闭式解形式的攻击成功条件分析。结论颇具反直觉性: 正是让神经网络具备强大能力的特征学习动力学, 同时让它更容易被植入后门。具体而言, 在干净任务准确率仅以一阶 O(π) 的代价被保持的前提下, 处于惰性学习(lazy learning, 近似核方法)区制时, 成功攻击要求触发器强度满足逆平方根缩放 α ∝ π^{-1/2}; 而一旦模型进入特征学习(feature learning)区制, 会形成一个二次型检测器, 其损失间隔(loss margin)量级为 O(α^4), 从而把攻击预算改善为 α ∝ π^{-1/4}。这意味着在很小的投毒比例下, 非线性特征学习显著降低了所需的触发器强度, 使特征学习型模型在某种意义上比惰性模型更易受后门影响。作者进一步指出, 该理论机制与大规模语言模型投毒实验的观测结果一致, 并给出了一个重要推论: 基于线性启发式(如线性探针、线性可分性假设)的安全审计方法, 会系统性地低估当前主流特征学习范式的后门脆弱性。论文属于纯理论/机制解释类工作, 未涉及具体攻击实现细节, 适合 AI 安全研究者、后门攻防与模型审计方向的安全工程师阅读, 用于校准投毒风险评估与检测灵敏度。

差分隐私已成为隐私保护数据发布的标准技术，但其与具体披露风险之间的关系并不直观。特别是在成员推理场景下，一个对手在观察到差分隐私保护后的发布数据时，其对某个目标个体是否被包含进数据集的信念（后验信念）相比先前信念（先验信念）会发生多大变化，一直是悬而未决的问题。本文针对这一核心问题展开了理论研究。作者在“有界差分隐私”（包括有界概率差分隐私和有界近似差分隐私）框架下，推导了包含信念后验-先验比率的严格上界和下界。他们假设了一类最坏情况的对手，即该对手掌握了除一个目标个体之外所有数据参与者的辅助信息（all-but-one知识），从而证明了由此获得的界限对任何对手均适用。由于这些概率性界限在机制随机性下可能以非零概率失效，论文进一步以高斯机制为研究对象，深入分析了其失效概率。作者推导了该失效概率的理论上限，并在广泛的参数设置范围内通过蒙特卡洛模拟估计了实际失效概率。实验结果表明，观测到的实际失效率比理论上的最坏情况上限小了好几个数量级，说明理论上限极为保守。这一发现意味着，在实际运行中，差分隐私机制提供的推断隐私保证可能远比理论上限所暗示的要强。论文为理解差分隐私与成员推断风险之间的量化关系提供了新视角，为隐私保护数据发布的安全性评估给出了更精细的工具。

差分隐私通过向输出注入随机噪声来保护个人数据隐私，但在选举等场景中，噪声可能导致错误结果，尤其是当胜负差距很小时。本文系统研究了在中央差分隐私和本地差分隐私模型下，多种常见投票规则（包括 Plurality、Condorcet、Maximin、Plurality with Runoff 和单记名可转让票 STV）保证私有机制以高概率返回正确获胜者所需的最小获胜优势（称为 decisive margin）。针对每种规则，作者设计了发布获胜者的差分隐私算法，并证明了这些算法所需的边界上界；同时，通过构造反例或信息论论证，证明了下界，说明非平凡的获胜优势是必要的，其中许多上界与下界在对数因子内匹配。特别地，对于 STV 规则，信息论上界与下界完全匹配，但作者进一步证明，这样的最优精确度保证在多项式时间内无法实现，除非假设 NP ⊆ BPP，这构成了一个罕见的计算复杂性现象：原本易于计算的任务，在同时要求差分隐私和效用保证后变得计算上不可行。本文的主要贡献在于系统地刻画了差分隐私投票中隐私与效用之间的基本权衡，揭示了不同投票规则的固有精度限制，并指出了计算复杂度与隐私约束之间的相互作用。该结果对设计隐私保护的选举系统、排名聚合或数据发布机制具有理论指导意义，帮助研究者理解隐私预算、噪声规模和输出精度之间的取舍。