差分隐私(DP)的 ε-δ 定义与组合定理

CH-16-02-013·约 17 分钟·AI安全与对抗攻防·更新 2026-08-12

想象你住在一个叫“柳河小区”的社区。社区体检中心每周都会把全体居民的血压、血脂汇总成一张统计报表，贴在公告栏上——“平均收缩压 138 mmHg”“高血脂比例 27%”。这些数字看起来无害，但有一天，细心的邻居老张发现：如果上周没看到小红参加体检，公告栏上的“总人数”就从 512 变成了 513。于是老张立刻断定：小红上周去体检了，而且她的数据被用在了那份报表里。这就是成员推断攻击——通过比较“含某人”与“不含某人”的统计结果，判断某条隐私记录是否在数据集中。差分隐私（Differential Privacy，简称 DP）就是用来对付这种攻击的一套数学协议。它的思路非常像体检中心的“隐私搅拌机”：在公布任何统计结果之前，由机器主动往数字里掺一些随机噪声，让“含小红”和“不含小红”两份报表看起来几乎一模一样。搅拌机上有一个旋钮，标注着 ε（读作“艾普西龙”），它决定了要掺多少噪声；旁边还有一个保险阀 δ，允许极小概率的“破例”。而组合定理，则是有经验的“预算会计”用来计算：如果一个月要公布十次报表，每次拧多少 ε，总共还能剩多少隐私余量。这篇文章，就是带你把这台“隐私搅拌机”从外壳拆到核心，看懂它的每一个零件。

岗位关联

掌握差分隐私的 ε-δ 定义与组合定理，是成为可信 AI 系统设计师的必备内功——它决定了你在保护用户隐私与保证模型可用性之间，究竟能做到多精细的平衡。

可视化演示
DP 基本思想：为什么要在统计里“掺沙子”
ε 隐私预算：允许多少失真
δ 与松弛定义：安全阀与破例条款
串行组合定理：预算的一次次消耗
高级组合定理：聪明地“团购”预算
核心机制实现：三种加噪配方
工程权衡实践：预算分配的智慧
AI 应用场景
Python 演示
常见误区
面试题

可视化演示

展示差分隐私三维度：epsilon定义（邻接数据集-查询机制-概率比界e^epsilon）、噪声机制（拉普拉斯L1敏感度-高斯L2敏感度分布对比）、组合定理（顺序组合k*eps-高级组合sqrt(k)*eps-并行组合max），理解隐私预算数学基础。

本节配有交互动效（进入视口后自动加载，约 3KB）。

epsilon差分隐私定义邻接数据集仅差一条记录查询输出概率比受e^epsilon约束 Pr[M(D)] <= e^eps * Pr[M(D\')] 差分隐私确保邻接数据集查询输出分布几乎不可区分，保护个体隐私。

DP 基本思想：为什么要在统计里“掺沙子”

体检中心的周师傅发现一个让他头疼的规律：只要报表足够精确，有心人就能反推“那条多出来或消失的记录”属于谁。比如本月总人数是 513，上个月是 512，再结合物业的门禁记录——小红这个月去过体检，总人数就正好多一。周师傅苦恼地问：“报表既要真实，又要认不出谁来体检过，这能做到吗？”差分隐私的回答是：能，但前提是我们在公布之前，主动往数字里“掺沙子”。

这里的“掺沙子”在数学上叫随机化机制，记作 M。它接收原始数据，吐出一个带随机噪声的结果。差分隐私要求：对两个邻近数据集 D 和 D'（只差一条个人记录，比如“含小红”和“不含小红”的体检名单），机制 M 的输出分布必须几乎一样。这样，老张无论怎么对比报表，都看不出小红的痕迹。写成形式化定义就是：

所以，搅拌机 M 输出的不是精确数字，而是一个“被噪声模糊过的真实数字”。公告栏上的 138 mmHg 可能是真实的 137.6 加了 0.4 的噪声，也可能是 138.4 减了 0.4——没人能确定。小红在不在名单上，报表给出的线索都被这层“安全雾”挡住了。

\displaystyle \Pr[\mathcal{M}(D)\in S] \le e^{\varepsilon}\times \Pr[\mathcal{M}(D')\in S]

输出落在集合 S 的概率S 是任意可能输出结果的集合，比如“平均血压落在 138~139 之间”。这个概率表示机制产生某种报表的可能性。
$\displaystyle \Pr[\mathcal{M}(D)\in S]$
邻近数据集D 与 D' 只相差一条记录，这是差分隐私讨论“个人影响”的基准单位。
$\displaystyle D,\ D'\ 满足\ d(D,D')=1$
隐私损失上界两个概率的比值被 e^ε 压住，等价于“含小红”与“不含小红”的报表在统计上难以区分。
$\displaystyle \frac{\Pr[\mathcal{M}(D)\in S]}{\Pr[\mathcal{M}(D')\in S]} \le e^{\varepsilon}$

ε 隐私预算：允许多少失真

周师傅的搅拌机上有一个旋钮，标着 ε。这个旋钮控制“掺沙子”的量：ε 越小，沙子越多，报表越模糊，隐私保护越强；ε 越大，沙子越少，报表越真实，但隐私风险也越高。ε 像一个“预算”——你愿意为每一次数据使用付出多少隐私代价。

在数学上，ε 被定义为隐私损失的上限。所谓隐私损失，就是比较“含小红”与“不含小红”两个世界下，某种输出出现的概率比值取对数：

ε 和噪声幅度是“冤家”：ε 越小，需要的噪声越大。比如拉普拉斯机制（后面会讲）的噪声尺度是 Δq / ε，ε 从 1 降到 0.1，噪声就放大 10 倍。用生活化的说法：你把旋钮往“更安全”方向拧一格，报表上的数字就要多模糊一分。周师傅得记住一个原则——ε 是花出去的隐私硬币，每用一次就少一枚。

\displaystyle \ln\frac{\Pr[\mathcal{M}(D)\in S]}{\Pr[\mathcal{M}(D')\in S]} \le \varepsilon

概率比值取对数如果比值是 1，对数等于 0，说明两个世界完全无法区分；比值越偏离 1，对数越大，泄露风险越高。
$\displaystyle \ln\frac{\Pr[\mathcal{M}(D)\in S]}{\Pr[\mathcal{M}(D')\in S]}$
隐私损失不超过 ε这个对数在所有输出集合 S 上都小于等于 ε，因此 ε 是“最坏情况”下的隐私损失上限。
$\displaystyle \max_{S}\ \ln\frac{\Pr[\mathcal{M}(D)\in S]}{\Pr[\mathcal{M}(D')\in S]} \le \varepsilon$

δ 与松弛定义：安全阀与破例条款

纯差分隐私的 ε-DP 定义非常严格：它要求不管输出什么，概率比值都必须被 e^ε 压住，一点商量的余地都没有。但在现实中，很多算法（比如高斯机制、深度学习中的噪声训练）在极低概率下会有“意外”——就像一台机器，99.999% 时间正常运行，但偶尔会卡一下壳。为了容纳这种极端情况，研究者引入了 ε-δ 差分隐私，也叫近似差分隐私。

这个定义多加了一个“安全阀” δ：允许机制在极小概率 δ 的情况下完全无视 ε 的限制，其余时候依然严格遵守 ε-DP。

给周师傅打个比方：公告栏规则是“报表必须模糊到认不出个人”，但万一遇到百年一遇的雷暴，备用的保险丝允许电力中断一秒钟，这就是 δ 存在的意义。工程上，只要 δ 远小于数据集规模的倒数（比如 1/人口数），破例的天平就不会倾斜到让人揪出小红的程度。当 δ=0 时，ε-δ DP 就退化为纯 ε-DP，所以 δ 是整个定义向实用化妥协的“温柔一步”。

\displaystyle \Pr[\mathcal{M}(D)\in S] \le e^{\varepsilon}\times \Pr[\mathcal{M}(D')\in S] + \delta

原概率比值的界前半部分与纯 DP 相同，保证绝大多数输出的隐私损失不超过 ε。
$\displaystyle \Pr[\mathcal{M}(D)\in S] \le e^{\varepsilon}\times \Pr[\mathcal{M}(D')\in S]$
加上的 δ 破例项δ 是一个绝对值很小的概率（通常取 10⁻⁵ 以下），表示可以无视规则的最坏情况概率。
$\displaystyle +\,\delta$

串行组合定理：预算的一次次消耗

周师傅一个月要发布十张报表：血压统计、血脂统计、身高统计、体重统计……每张报表都要拧一次搅拌机。如果每次用 ε=0.1，那么十次之后，总预算还剩多少？最朴素也最常用的回答是串行组合定理：把每次消耗的 ε 直接相加。

并行组合定理则是另一种情况：如果周师傅把数据集按楼栋切成互不相交的 5 块，每块单独统计，那么整体隐私预算不是累加，而是取其中最大的一次：

串行组合像逛超市：买十样东西，每样 1 元，总花费 10 元。并行组合则像分桌吃饭：每桌各吃各的，你关心的隐私只受“你在的那一桌”影响。这两条定理是设计任何差分隐私系统的预算底稿。

\displaystyle \varepsilon_{\text{total}} = \sum_{i=1}^{k}\varepsilon_i

互不相交的子数据集每个住户只属于一个子集，因此攻击者通过某一块的输出来推断某个人时，只触发那一次查询的隐私保护。
$\displaystyle D = D_1 \sqcup D_2 \sqcup \dots \sqcup D_k$
整体隐私由最大者决定因为每人的数据只出现在一块里，所以总隐私损失不会超过各块中最高的 εᵢ。
$\displaystyle \varepsilon_{\text{total}} = \max\{\varepsilon_1,\varepsilon_2,\dots,\varepsilon_k\}$

高级组合定理：聪明地“团购”预算

如果十次查询每次都花 ε=0.1，串行组合给出总预算 1.0。但很多真实系统要做成千上万次查询，线性累加很快就会耗光预算。研究者发现：串行组合太“保守”了——它假设每次查询的攻击力完全叠加，但实际上，十次查询的最坏泄露通常不会同时发生。于是有了高级组合定理（Advanced Composition），它允许牺牲一点 δ，换来总预算的“团购折扣”。

这就像超市的“会员日团购”：单独买十件商品要 10 元，但办一张 9.9 元的会员卡，十件只要 4 元——代价是偶尔遇到一次排队堵车（δ'）。在这个公式里，子采样放大是另一个“省钱技巧”：每次查询只随机抽取极小一部分数据（比如 1%），泄露隐私的比例就会大大降低，等效隐私预算几乎免费翻倍。动量隐私分析（Momentum Privacy Accounting）则是更精细的“记账本”，它在训练深度学习模型时逐轮记录隐私损失的矩母函数，比高级组合定理更紧。这类分析方法的共同逻辑是：花出去的不是硬币，而是一张可以打折的信用卡。

\displaystyle \varepsilon_{\text{total}} = 2\varepsilon\sqrt{2k\ln\left(\frac{1}{\delta'}\right)} + k\varepsilon\left(e^{\varepsilon}-1\right)

主项与 δ' 的关系第一项是“折扣主项”，随查询次数 k 按 √k 增长，而不是 k 增长；δ' 是这次组合额外引入的破例概率。
$\displaystyle 2\varepsilon\sqrt{2k\ln\left(\frac{1}{\delta'}\right)}$
修正项第二项是“优惠券折损”，当 ε 很小时近似为 kε²，几乎可以忽略。
$\displaystyle k\varepsilon\left(e^{\varepsilon}-1\right)$

核心机制实现：三种加噪配方

周师傅的搅拌机里到底装的什么“沙子”？差分隐私最经典的三款配方是拉普拉斯机制、指数机制和高斯机制。拉普拉斯机制专门对付数值型查询，比如“平均血压是多少？”它对真实结果加上服从拉普拉斯分布的噪声，噪声尺度由全局敏感度 Δq 和预算 ε 共同决定：

指数机制则用于非数值型查询，比如“选出最受欢迎的体检项目”。它给每个候选结果 r 打一个“实用性分数” u(D, r)，然后以正比于 exp(ε·u(D,r)/(2Δu)) 的概率随机挑一个输出。分数越高的项目被选中的概率越大，但又不会 100% 确定，避免对手通过“必然性”反推成员关系。高斯机制则是拉普拉斯机制的“表亲”：它加的是高斯噪声，配合 ε-δ 近似 DP 使用，常用于深度学习梯度扰动。三种配方的共同点是：所有能让人“确定”的东西，都必须掺入“随机”。

\displaystyle \mathcal{M}(D) = q(D) + \mathrm{Lap}\left(\frac{\Delta q}{\varepsilon}\right)

真实查询结果q(D) 是对数据集 D 的某个统计量，比如平均血压。
$\displaystyle q(D)$
全局敏感度Δq 表示删除一个人后查询结果最多变化多少，是“一个人对统计值的影响上限”。
$\displaystyle \Delta q = \max_{D,D'}\ |q(D)-q(D')|$
拉普拉斯噪声以尺度 Δq/ε 的拉普拉斯分布采样随机噪声并加到结果上，数学上恰好满足 ε-DP。
$\displaystyle \mathrm{Lap}\left(\frac{\Delta q}{\varepsilon}\right)$

工程权衡实践：预算分配的智慧

最后的难题在周师傅手上：总隐私预算就这么多，怎么分给几十张报表？工程实践给出了几条原则。第一条是总预算约束：任何系统的设计都必须满足组合定理的约束，比如串行组合下所有子查询 ε 之和不超过预设的年度上限：

第二条是精度与隐私的取舍：ε 减半，噪声幅度加倍，统计误差以同样速度放大。设计者得像周师傅一样思考：血压平均差 1 mmHg 无所谓，但血糖统计差 2 mmol/L 就危险——所以给“高风险报表”大方一点的预算，给“低风险报表”抠门一些。第三条是向真实案例取经：苹果的差分隐私系统给常用词频统计分配约 1~4 的 ε 预算；美国 2020 年人口普查则把总预算控制在 19.61，并利用“子采样 + 高斯机制”处理海量地域单元；联邦学习常用“梯度裁剪 + 噪声注入”让模型参数不泄露个体样本。回到柳河小区，周师傅的最终方案是：把年度总预算写在公告栏上，每张报表像存款一样从预算里“取钱”——这就是工程与理论的完美闭环。

\displaystyle \sum_{i=1}^{k}\varepsilon_i \le \varepsilon_{\text{budget}}

年度隐私预算ε_budget 是系统承诺给用户的隐私上限，比如苹果公司宣称的 ε=4。
$\displaystyle \varepsilon_{\text{budget}}$
所有查询的预算总和不能超支每条查询分配 εᵢ，通过串行组合汇总后仍需小于等于总预算。
$\displaystyle \varepsilon_1+\varepsilon_2+\cdots+\varepsilon_k \le \varepsilon_{\text{budget}}$

AI 应用场景

苹果设备端频次统计

阶段：数据采集与统计发布

解决的问题：传统做法直接往服务器上报用户输入词频，苹果无法知道“哪个词是哪个人敲的”，但攻击者可以通过设备ID 关联去重推断个体习惯。差分隐私在每个用户的设备端先注入拉普拉斯噪声，再上传“已污染”的词频计数，让服务器汇总结果仍然可用，但无法反推任何单个用户。

具体案例：iPhone 键盘的“新词学习”功能。当用户输入一个生僻词，设备端先判断这个词是否值得上报，然后以 ε≈4 的隐私预算对词频直方图加噪。服务器聚合千万台设备的噪声直方图后，能够可靠识别出全网热门新词，而单个用户的输入词库永远不会以明文形式出现。

美国 2020 年人口普查的预算管理

阶段：数据发布与下游建模

解决的问题：传统人口普查直接公布各州、各街区的人口统计表，存在通过“差分攻击”反推出某户家庭成员的巨大风险。普查局用差分隐私给每一张统计表分配 ε 预算，并通过组合定理计算全链路总隐私损失。

具体案例：普查局把全国分成数百万个地理单元，为每个单元的人口数、种族、年龄等数百个维度分配子预算，再用“逐步改进”的机制（Top-Down 算法）在满足总预算 ε=19.61 的前提下，尽可能保证各层级数据的精度一致。下游研究人员拿到的微数据集已经经过噪声扰动，但全国总人口的误差控制在个位数。

联邦学习中的隐私保护

阶段：模型训练与参数聚合

解决的问题：联邦学习虽然不上传原始数据，但攻击者仍可通过梯度反演样本或成员推断。差分隐私在客户端梯度上传前做“裁剪 + 高斯噪声”，并利用子采样放大效应降低噪声量。

具体案例：某医疗机构联盟训练肺炎影像识别模型，100 家医院在本地训练，只上传扰动后的梯度更新。服务端用 Rényi 差分隐私会计逐轮累计 ε 预算，训练 200 轮后将总 ε 控制在 3.0 左右。即使服务器被攻破，攻击者也无法判断某位患者的影像是否参与过训练。

Python 演示

python35 行

# -*- coding: utf-8 -*-"""Differential privacy demo: Laplace mechanism for private sum."""import mathimport random  def sensitivity(data):    """Sensitivity of sum query: removing one record changes sum at most by range."""    return max(data) - min(data)  def laplace_noise(epsilon, sens):    """Draw a Laplace noise with scale = sens / epsilon."""    scale = sens / epsilon    u = random.random() - 0.5    if u == 0:        u = 0.001    return -scale * math.copysign(1.0, u) * math.log(1.0 - 2.0 * math.fabs(u))  def private_sum(data, epsilon):    """Return noisy sum satisfying epsilon-differential privacy."""    sens = sensitivity(data)    noise = laplace_noise(epsilon, sens)    return sum(data) + noise  if __name__ == "__main__":    ages = [72, 68, 90, 55, 71, 66, 83, 79, 62, 74]    true_sum = sum(ages)    print("True sum:", true_sum)    for eps in (0.1, 0.5, 1.0, 2.0):        noisy = private_sum(ages, eps)        error = abs(noisy - true_sum)        print("eps=%.1f  noisy_sum=%.2f  error=%.2f" % (eps, noisy, error))

目的：演示拉普拉斯机制如何用 ε 控制噪声幅度，实现满足差分隐私的数值求和查询。

def sensitivity(data):计算全局敏感度：删除一个人后“总和”最多变化多少，这里等于数据极差。
scale = sens / epsilon拉普拉斯噪声的尺度与敏感度成正比、与 ε 成反比，ε 越小噪声越大。
u = random.random() - 0.5生成 [-0.5, 0.5) 的均匀采样点，用于逆变换采样拉普拉斯分布。
return -scale * math.copysign(1.0, u) * math.log(1.0 - 2.0 * math.fabs(u))拉普拉斯噪声的标准采样公式，保证噪声符合 Lap(scale) 分布。
for eps in (0.1, 0.5, 1.0, 2.0):用多个 ε 对比误差，直观验证“预算越小、噪声越大”的权衡关系。

常见误区

误区既然 ε 越小越安全，那直接设 ε=0，是不是就完全没隐私风险了？

正解ε=0 意味着两个邻近数据集的输出分布必须完全相同，唯一的实现方式是输出一个与数据无关的常数（或纯随机数）——统计结果完全失真。真正的目标不是 ε=0，而是在可接受误差范围内选择尽可能小的 ε，让“可用性”和“隐私性”达成平衡。

为何常见：初学者看到“ε 越小越安全”后，容易忽略差分隐私还有“数据可用性”这另一半天平，把保护极端化。

误区δ 是破例概率，那我把它设为 10⁻¹⁰⁰，近似 DP 不就几乎等于纯 DP 了吗？

正解δ 的选择要结合场景。如果 δ 小于数据集规模的倒数，攻击者靠“破例事件”几乎不可能命中任何个体，这是安全的；但若 δ 设置过小，会导致高斯机制等算法的噪声尺度剧烈增大，精度崩坏。工程上通常把 δ 设为 1/（人口数×少量常数），而不是无限小。

为何常见：人们容易把 δ 当作“越小越光荣”的指标，却不理解它是与机制噪声、组合损耗联动的工程参数。

误区数据过了差分隐私，攻击者就彻底拿我没办法了。

正解差分隐私只保证“成员推断”（某条记录是否在数据集中）和部分重放攻击难以得逞。它不能防 SQL 注入、恶意查询篡改、输出语义本身的危险（比如模型被诱导生成有害文本），也不能防止数据在采集端被直接窃取。它是隐私保护拼图中的一块，不是万能盾牌。

为何常见：行业宣传常把差分隐私包装成“金牌防护”，让人误以为它能替代访问控制、加密和审计。

误区只要反复查询同一个数据集，每次 ε 都得加起来，那做深度学习岂不是预算瞬间归零？

正解串行组合是“最坏情况”的保守估计，不是唯一选择。借助子采样放大、高级组合定理或 Rényi 差分隐私会计，总预算增长可以从线性降为平方根级别，甚至利用并行组合让不同子数据集上的查询互不累加。

为何常见：教材通常先讲串行组合，容易让人形成“预算必须线性累加”的思维定势。

误区差分隐私就是在数据上乱撒随机数，出来的报表根本没法用。

正解噪声的期望是 0，大量独立噪声在聚合时会相互抵消。拉普拉斯机制保证统计量“无偏”，只是单次结果有波动，重复测量取平均后误差会收敛到可接受范围。真实系统中，ε=1 时 10 万人的平均血压误差通常不到 0.5 mmHg。

为何常见：初看单次噪声的幅度会吓一跳，但忽略了大数定律的平滑力量和“预算分配”的艺术。

面试题

Q1. 在差分隐私定义中，ε 的核心含义是什么？

单选题 · easy

A.数据集的记录总数目
B.隐私泄漏的预算上限← 正确答案
C.噪声信号的期望幅度
D.查询操作的重复次数

答案：B。ε 是隐私损失的预算上限，控制两个邻近数据集输出分布的接近程度。A 是数据集规模，C 是噪声结果而非预算，D 是查询次数，均不准确。

Q2. 近似差分隐私中的 δ 表示什么？

单选题 · easy

A.允许隐私保证失效的概率上界← 正确答案
B.每次查询注入噪声的具体数值
C.数据集中受到保护的用户总数
D.组合定理中消耗的总预算值

答案：A。δ 是“破例概率”上界，允许机制在极小概率下不遵守 ε-DP。B 是噪声采样值，C 与定义无关，D 是组合定理里的预算，均不是 δ。

Q3. 邻近数据集的准确定义是什么？

单选题 · mid

A.字段结构一致但数据量不同
B.只差一条个人记录的两个集合← 正确答案
C.存储在不同服务器上的数据副本
D.数据量完全相同但顺序不同

答案：B。邻近数据集指 D 与 D' 仅相差一条记录，这是差分隐私衡量“单一个体影响”的基础。A 忽略了记录维度，C 是物理分布，D 是排列问题，都不构成邻近关系。

Q4. 以下哪些属于差分隐私的核心机制？

多选题 · mid

A.拉普拉斯机制（加噪统计查询）← 正确答案
B.指数机制（按分数随机选择输出）← 正确答案
C.反向传播机制（梯度回传训练网络）
D.高斯机制（配合 ε-δ 近似 DP）← 正确答案

答案：ABD。拉普拉斯、指数、高斯是三大经典机制。反向传播是深度学习的训练算法，本身不提供差分隐私保证（除非与噪声配合），所以不选。

Q5. 串行组合定理指出，连续 k 次 ε-DP 查询的总隐私预算如何计算？

单选题 · mid

A.k 次 ε 直接相加得到总预算← 正确答案
B.总预算等于单次 ε 除以 k
C.总预算等于 ε 的 k 次幂
D.总预算取各次 ε 的最大值

答案：A。串行组合的最保守算法是线性累加：ε_total = kε。B 是均摊反算，C 是指数放大，D 是并行组合的规则，均不适用于顺序查询。

Q6. 并行组合定理适用于哪种查询场景？

单选题 · mid

A.同一数据集被连续查询多次
B.数据集切分为不相交子集后分别查询← 正确答案
C.同一查询在多个设备上重复执行
D.多个用户同时查询相同的数据域

答案：B。并行组合的前提是数据域互不相交，每个人的记录只出现在一个子集，所以总体隐私预算取各子查询最大值。A 是串行场景，C 和 D 未涉及数据切分。

Q7. 关于 ε-δ 差分隐私，下列说法正确的有？

多选题 · mid

A.δ 表示概率意义上的破例情形← 正确答案
B.ε 控制两个数据集输出分布的接近程度← 正确答案
C.δ=0 时退化为纯 ε-DP← 正确答案
D.ε 可以取任意负数以增强保护

答案：ABC。ε-δ DP 中 δ 是破例概率，ε 是分布距离上界，δ=0 时纯 DP 是特例。ε 是隐私损失上界，必须非负，取负数无意义，故 D 错误。

Q8. 高级组合定理相比朴素串行组合的主要优势是什么？

单选题 · hard

A.总预算随查询次数线性增长更快
B.用更小的总预算实现可证明的隐私保证← 正确答案
C.完全消除所有形式的隐私损失
D.允许任意大的 ε 却不增加隐私风险

答案：B。高级组合定理利用“最坏情况不会同时发生”的统计现实，让总预算按 √k 量级增长，比线性累加更省。A 是负面描述，C 和 D 违背差分隐私基本原理。

Q9. 拉普拉斯机制的噪声尺度取决于哪两个因素？

单选题 · hard

A.数据集记录数与 ε
B.查询全局敏感度与 ε 的比值← 正确答案
C.数据分布均值与方差
D.查询次数与 δ 的乘积

答案：B。拉普拉斯噪声尺度为 Δq/ε，其中 Δq 是全局敏感度，ε 是隐私预算。A、C、D 都不构成本机制噪声尺度的决定因素。

Q10. 差分隐私能够有效防御的攻击包括哪些？

多选题 · easy

A.成员推断（判断某人是否在数据集中）← 正确答案
B.重放攻击和中间人窃听
C.拒绝服务瘫痪查询接口
D.利用查询差异反推个体记录← 正确答案

答案：AD。差分隐私的核心目标就是让“含某人”和“不含某人”的输出难区分，因此 A 和 D（本质上是成员推断的一种变体）可被防御。B 属于通信安全范畴，C 属于可用性攻击，二者不由差分隐私处理。