城市中心的静安体检中心，每天有几百位市民留下血压、血糖、用药史等敏感数据。体检中心想训练一个 AI 助手帮医生快速解读报告——但没人愿意把自己的健康状况交给一个会“背答案”的机器。于是医院想出一个办法：给数据“打马赛克”。每份体检报告进入 AI 助手的学习流程前，都会被注入一层可控的随机扰动。AI 助手依然能从上百份报告中学到“血压偏高的人往往也有血脂问题”这样的大规律，却无法还原“张先生上周的血糖是 7.8”这样的细节。更妙的是，这层马赛克的厚度可以被精确量化——按需调节，既保住医疗效果，又守住患者隐私。 这就是差分隐私（Differential Privacy）：一个让 AI 在“学会规律”与“保护个体”之间找到平衡的数学框架。当它被应用到大型语言模型微调时，就像给实习医生戴上一副“防背诵眼镜”——看得见疾病规律，却记不住任何一位具体病人的秘密。本文将带你从隐私风险、核心机制、经典算法一路走到工程实践，完整拆解这套“体检马赛克系统”的方方面面。

岗位关联

掌握差分隐私，意味着你能在 AI 模型训练中提供“可量化的隐私承诺”——这是隐私计算时代数据合规岗位与 AI 安全工程师的核心竞争力。

目录
  1. 可视化演示
  2. 1. 隐私风险威胁
  3. 2. 差分隐私原理
  4. 3. 核心机制算法
  5. 4. 隐私预算管理
  6. 5. DP-SGD微调
  7. 6. 效用权衡优化
  8. 7. 工程实践应用
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

展示DP-SGD梯度裁剪加噪管道、DP-PEFT方案对比及RDP隐私预算追踪，支持三模式切换。

本节配有交互动效（进入视口后自动加载，约 3KB）。

DP-SGD梯度裁剪加噪管道 逐样本梯度：每个训练样本独立计算梯度 范数裁剪：限制单样本梯度贡献至C 高斯噪声：叠加N(0,σ²C²)封堵记忆 g_dp = clip(g_i, C) + N(0, σ²C²) 裁剪阈值C越大保留信息越多但隐私预算消耗越快

1. 隐私风险威胁

静安体检中心的实习医生小安被安排学习历年体检报告，以便为患者提供初步健康建议。小安非常勤奋——勤奋到能背出张先生三年前的血糖数值、李女士的用药清单。更让人不安的是，如果有人问小安“刘阿姨是不是来体检过”，小安总能给出肯定的回答。这些“过目不忘”的表现，在语言模型身上被叫作隐私风险。

当大型语言模型在敏感数据上微调时，会暴露出三类典型的隐私威胁。第一类是记忆攻击：模型直接“背出”训练语料中的原始片段，比如病历里的诊断结论或聊天记录中的姓名电话。第二类是成员推断攻击：攻击者通过模型对某条样本的“熟悉度”，判断该样本是否出现在训练集中——相当于侦探通过小安的神情判断某人是否住院过。第三类是梯度泄露：在分布式训练或联邦微调中交换梯度时，恶意参与方可以反推出本地训练数据的具体特征。

为什么这些攻击如此危险？因为它们的本质是：攻击者能通过模型输出区分“数据在不在训练集里”。我们把攻击者的这种能力形式化——在一对相邻数据集 D 和 D'（它们只相差一条记录）上，攻击者算法 A 观察机制 M 的输出后给出判断：

小安之所以令人担忧，就因为他面对“有没有这个人”的测谎时区分优势太高。我们必须给学习过程引入一层“选择性遗忘”机制，把优势压到可忽略的程度——这正是差分隐私登场的理由。

Adv(A)=∣Pr⁡[A(M(D))=1]−Pr⁡[A(M(D′))=1]∣\displaystyle \text{Adv}(\mathcal{A}) = \left| \Pr[\mathcal{A}(M(D)) = 1] - \Pr[\mathcal{A}(M(D')) = 1] \right|
这个“区分优势”衡量的是侦探能多准地猜出某个病人是否参与过研究。优势越大，隐私泄露越严重。
  1. 攻击者算法 A扮演“侦探”角色的函数，输入模型输出，返回 1 表示“数据在训练集里”，返回 0 表示“不在”。
    A(⋅)∈{0,1}\mathcal{A}(\cdot) \in \{0, 1\}
  2. 相邻数据集 D 与 D'两者只差一条记录，D 包含目标个体，D' 不含目标个体。
    D′=D∪{r},r∉DD' = D \cup \{r\}, \quad r \notin D
  3. 概率之差取绝对值两个概率差距越大，说明模型“记得”目标个体；差距越小，说明模型做到了“集体学习、个体遗忘”。
    ∣Pr⁡[A(M(D))=1]−Pr⁡[A(M(D′))=1]∣\left| \Pr[\mathcal{A}(M(D)) = 1] - \Pr[\mathcal{A}(M(D')) = 1] \right|

2. 差分隐私原理

医院提出的解决方案是“盲体检查询”：所有交给模型学习的报告，都要先过一层马赛克滤镜。这层滤镜保证：无论张先生在不在数据集里，模型读到的统计图景都几乎一样。用专业的话说，一个随机机制 M 满足 ε-差分隐私，如果对于任意相邻数据集 D 和 D'，以及任意输出集合 S，都有：

当 δ = 0 时，称为纯 ε-差分隐私；当 δ > 0 时，称为近似 (ε, δ)-差分隐私。高斯机制天然服务于后者。回到体检中心的场景：马赛克滤镜让实习医生小安在回答“某个病人是否体检过”时，给出的概率分布几乎不随病人的去留变化——他甚至记不清到底见没见过这个人，但他仍然知道“高血压人群普遍血脂偏高”这条流行病学规律。

Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]+δ\displaystyle \Pr[\mathcal{M}(D) \in S] \leq e^{\varepsilon} \cdot \Pr[\mathcal{M}(D') \in S] + \delta
翻译成人话：把某个人的数据加进去，模型输出的整体概率分布几乎不变。ε 是“马赛克厚度”的量化值——ε 越小，分布越接近，保护越强。
  1. M 随机机制比如“训练好的模型”或“查询函数 + 噪声”，它的输出带有随机性。
    M:D→S\mathcal{M}: \mathcal{D} \to \mathcal{S}
  2. 相邻数据集 D 与 D'差一条记录的两个数据集，这是差分隐私“保护个体”的锚点。
    dsym(D,D′)=1d_{\text{sym}}(D, D') = 1
  3. 输出集合 S机制所有可能输出中的任一子集，比如“模型生成的回答”或“查询结果的数值区间”。
    S⊆Range(M)S \subseteq \text{Range}(\mathcal{M})
  4. 核心不等式两条数据集上输出落在同一集合的概率被限制在 e^ε 倍以内，攻击者几乎区分不出数据集加了谁、少了谁。
    Pr⁡[M(D)∈S]≈Pr⁡[M(D′)∈S]\Pr[\mathcal{M}(D) \in S] \approx \Pr[\mathcal{M}(D') \in S]
  5. δ 尾项允许一个小概率的“翻车”，δ 通常设为 10⁻⁵ 数量级，对应“比中彩票还难”的失败率。
    0≤δ≪10 \leq \delta \ll 1

3. 核心机制算法

给查询结果“打马赛克”有三种常用滤镜，分别适用于不同的数据形态。拉普拉斯机制适用于数值型统计（如平均血压、计数人数）：它在真实结果上叠加一个服从拉普拉斯分布的随机噪声。噪声的“剂量”由查询的全局敏感度 Δf 和隐私预算 ε 共同决定：

除了拉普拉斯机制，还有高斯机制：对数值查询加入高斯噪声 \(\mathcal{N}(0, \sigma^2 \Delta f^2)\)，配合 (ε, δ)-差分隐私使用，在高维场景（如深度学习梯度）中更常见；指数机制则服务于非数值输出——比如从候选项集合中挑一个“最优”答案，常用于类别标签或文本片段的选择。三种滤镜的选型逻辑，就像给体检报告打马赛克时先判断“要遮盖的是数字、文字还是选项”。

M(D)=f(D)+Lap(Δfε),Δf=max⁡D∼D′∥f(D)−f(D′)∥1\displaystyle \mathcal{M}(D) = f(D) + \text{Lap}\left(\frac{\Delta f}{\varepsilon}\right), \quad \Delta f = \max_{D \sim D'} \| f(D) - f(D') \|_1
敏感度衡量的是“修改一条数据最多能让查询结果变化多少”——它决定了要加多少噪声才能盖住个体影响。变化越大，噪声就得越猛。
  1. f(D) 真实查询结果比如“体检人群的平均空腹血糖”。
    f(D)=1n∑x∈Dxf(D) = \frac{1}{n}\sum_{x \in D} x
  2. Δf 全局敏感度在任意相邻数据集上，查询结果的最大变化量。敏感度越高，需要的噪声越大。
    Δf=max⁡D∼D′∣f(D)−f(D′)∣\Delta f = \max_{D \sim D'} | f(D) - f(D') |
  3. 拉普拉斯噪声 Lap(b)以 b 为尺度参数的对称噪声，大部分噪声集中在 0 附近，偶尔出现大的扰动。
    Lap(b)∼12bexp⁡(−∣x∣b)\text{Lap}(b) \sim \frac{1}{2b} \exp\left(-\frac{|x|}{b}\right)
  4. 噪声尺度 = Δf / ε敏感度越高或 ε 越小，噪声尺度越大，马赛克越厚。
    b=Δfεb = \frac{\Delta f}{\varepsilon}

4. 隐私预算管理

体检中心对“马赛克滤镜”的使用是有配额的。每次查询（或每轮模型训练）都要消耗一定的“模糊额度”ε。如果不加限制地反复查询，马赛克再厚也会被攻击者像“叠图猜字”一样逐层剥开。因此，差分隐私引入了隐私预算的概念：总预算 = 初始 ε，每次机制运行消耗一部分，剩余预算递减。

多个机制顺序执行时，隐私损失按组合定理累积。最简单的情形——同一数据集上运行 T 次相互独立的 ε_t-差分隐私机制，总隐私损失为：

实践中，DP-SGD 在成千上万轮训练中会让 ε 迅速增长。为了不让“水杯”瞬间见底，工程师采用隐私会计（Privacy Accountant）工具精确追踪累积损失，并配合子采样放大（见第 7 节）把每轮有效 ε 压到极小。预算管理的艺术，就是把这些额度精打细算地分配到每一轮梯度更新上。

εtotal=∑t=1Tεt\displaystyle \varepsilon_{\text{total}} = \sum_{t=1}^{T} \varepsilon_t
组合定理像“水杯倒水”：每轮倒掉 ε_t，杯里的水只剩 ε_total。预算耗尽后要么停止训练，要么“换杯子”（换数据集）。高级组合定理还告诉我们：T 轮各自 ε 的简单求和是保守上界，实际损失可能更小。
  1. 每次运行消耗 ε_t第 t 次查询或第 t 轮训练使用了 ε_t 的隐私参数。
    εt:第 t 次的隐私参数\varepsilon_t: \text{第 } t \text{ 次的隐私参数}
  2. 线性累加总损失等于各次损失之和，这是“简单组合定理”的核心结论。
    εtotal=∑t=1Tεt\varepsilon_{\text{total}} = \sum_{t=1}^{T}\varepsilon_t
  3. 预算耗尽判定当累计消耗接近预设上限时必须停止训练或降低查询频率，否则隐私保证失效。
    εremaining=εinit−εtotal≥0\varepsilon_{\text{remaining}} = \varepsilon_{\text{init}} - \varepsilon_{\text{total}} \geq 0

5. DP-SGD微调

为了让实习医生小安“戴着马赛克学习”，医院开发了一套标准流程——DP-SGD（差分隐私随机梯度下降）。它的核心思想是：在每一个训练步，都不让任何单份病历的影响力超过上限，并在聚合梯度上加一层噪声。正式地，第 t 步的参数更新公式为：

在大型语言模型微调中，DP-SGD 的挑战在于：大模型的梯度维度极高（动辄上亿），高斯噪声的方差也随之放大，导致模型“学不动”。为此，工程上通常冻结大部分参数，只对低秩适配器（如 LoRA）施加 DP 保护——就像让小安只“马赛克式”地学习病历摘要，而不是逐字背诵整本病历。

g~t=1∣Bt∣(∑i∈Btclip(gi,C)+N(0,σ2C2I))\displaystyle \tilde{g}_t = \frac{1}{|B_t|} \left( \sum_{i \in B_t} \text{clip}(g_i, C) + \mathcal{N}(0, \sigma^2 C^2 I) \right)
这是差分隐私版梯度下降的“心脏”：先裁剪，再平均，最后加噪。裁剪保证“个体影响有上限”，加噪保证“上限被掩盖”。
  1. B_t 子采样批次每轮从训练集中随机抽一小批样本，子采样本身会放大隐私保护（见第 7 节）。
    Bt⊆{1,2,…,n},∣Bt∣=LB_t \subseteq \{1, 2, \dots, n\}, \quad |B_t| = L
  2. g_i 单样本梯度用第 i 条样本算出的梯度，它最容易“泄露”该样本的信息。
    gi=∇θℓ(fθ(xi),yi)g_i = \nabla_\theta \ell(f_\theta(x_i), y_i)
  3. clip(g_i, C) 梯度裁剪把梯度的 L2 范数截断到 C 以内，相当于规定“任何一份病历对学习方向的影响不超过 C”。
    clip(g,C)=g⋅min⁡(1,C∥g∥2)\text{clip}(g, C) = g \cdot \min\left(1, \frac{C}{\|g\|_2}\right)
  4. 高斯噪声注入在聚合后的梯度上叠加均值为 0、协方差为 σ²C²I 的高斯噪声，掩盖个体痕迹。
    N(0,σ2C2I)\mathcal{N}(0, \sigma^2 C^2 I)
  5. 除以批次大小 |B_t|得到平均梯度后更新参数，使整体方向仍代表群体规律。
    θt+1=θt−ηtg~t\theta_{t+1} = \theta_t - \eta_t \tilde{g}_t

6. 效用权衡优化

马赛克太厚，医生看不清病灶；太薄，患者隐私不保。差分隐私的核心矛盾正是隐私与效用的权衡。给定裁剪范数 C、训练轮数 T 和允许的失败概率 δ，要达到隐私预算 ε，所需噪声标准差 σ 的下界近似为：

为了在合理 ε 下保住模型效果，工程界总结了三条缓解策略。第一，增加数据量：同样的 ε 下，数据越多，每个样本的敏感度相对越小，噪声对整体梯度的干扰越弱。第二，参数高效微调：只对 LoRA 等少量参数施噪，大幅降低有效梯度维度，让噪声“射程”更集中。第三，噪声校准：在训练中动态调整裁剪范数与批次大小，利用子采样放大效应，让每轮实际隐私损失远小于理论最坏值。评估时通常对比 DP 微调模型与普通微调模型在验证集上的困惑度或准确率差值，用量化指标验证效用损失是否在可接受范围内。这三板斧，好比医生在保证诊断准确的前提下，选择最薄的马赛克。

σ≥C⋅2Tln⁡(1/δ)ε\displaystyle \sigma \geq \frac{C \cdot \sqrt{2T \ln(1/\delta)}}{\varepsilon}
这个式子说明：想要更小的 ε（更强隐私），就要更大的 σ（更猛噪声）；训练轮数 T 越多，噪声也越积越大。隐私与效用像跷跷板两端。
  1. 裁剪范数 C单样本梯度的最大影响半径，C 越小隐私越好但梯度信息损失越大。
    ∥∇θℓi∥2≤C\|\nabla_\theta \ell_i\|_2 \leq C
  2. 训练轮数 T模型更新次数越多，累计隐私损失越大，所需每步噪声越高。
    T=训练步数T = \text{训练步数}
  3. δ 与对数项δ 越小，要求越严格，√(2T ln(1/δ)) 越大，噪声越大。
    2Tln⁡(1/δ)\sqrt{2T \ln(1/\delta)}
  4. 反比于 ε隐私预算越小，噪声越大，模型效用越低。
    σ∝1ε\sigma \propto \frac{1}{\varepsilon}

7. 工程实践应用

体检中心最终把“盲体检查询”升级为全院统一的隐私保护平台。不同科室（任务）共享同一套基础设施：开源框架（如 Opacus、TensorFlow Privacy）封装了 DP-SGD 与隐私会计；隐私合规部门按法规要求对 ε、δ 进行审计并生成报告；行业案例表明，在医疗、金融等场景中，ε 取 3~8 时可以在隐私和模型能力之间取得实用平衡。

工程落地中的一个关键加速器是子采样放大定理：当每轮只随机采样比例为 p 的批次时，单轮机制的有效隐私预算会从 ε 缩小为：

展望未来，差分隐私正在与联邦学习、同态加密走向融合：联邦学习解决“数据不出域”，差分隐私解决“模型不记人”，同态加密解决“计算不泄露”。三者构成隐私计算的三驾马车。对于 AI 从业者来说，理解差分隐私不再是学术选修课——当你的模型开始处理真实用户的数据时，它就是你向用户和监管者做出的“可量化隐私承诺”。

ε′=ln⁡(1+p(eε−1))\displaystyle \varepsilon' = \ln\left(1 + p(e^{\varepsilon} - 1)\right)
子采样相当于“只让一小部分答卷进入阅卷机”——攻击者连数据是否被读过都不确定，隐私自然倍增。这是 DP-SGD 能支撑成千上万轮训练的秘密武器。
  1. p 采样率批次大小占数据集的比例，p 越小，攻击者越难判断某个样本是否被选中。
    p=LNp = \frac{L}{N}
  2. e^ε - 1 单步泄漏量单次机制在没有子采样时的最坏泄漏。
    eε−1e^{\varepsilon} - 1
  3. 对数变换嵌套在对数里后，整体数值被“压缩”，ε' 明显小于 ε。
    ε′=ln⁡(1+p(eε−1))\varepsilon' = \ln(1 + p(e^\varepsilon - 1))
  4. 当 p 很小时ε' ≈ p·e^ε，隐私放大效果显著。

AI 应用场景

医疗病历大模型的隐私保护微调

阶段：数据准备与模型训练

解决的问题：医院要用脱敏病历微调临床问答大模型，但传统匿名化无法抵御记忆攻击——模型可能直接背诵出患者 ID 和诊断细节。差分隐私通过 DP-SGD 在梯度层面注入噪声，让模型只能学到“症状—诊断”的群体规律，无法还原任何单个患者的病历。

具体案例：某三甲医院用 Opacus 框架对 10 万份病历做 DP 微调，设置 ε≈6、δ=10⁻⁵，在医疗问答准确率仅下降 2.8% 的前提下，通过了院内伦理委员会与数据安全等保测评，成为当地首个“可审计隐私承诺”的医疗大模型案例。

金融机构客服模型的合规微调

阶段：模型微调与上线审计

解决的问题：金融监管机构要求：模型不得复述客户的交易记录、身份证号等敏感字段。传统做法是训练后做一轮“毒性检测”，但无法提供数学保证。差分隐私提供形式化隐私上界，配合隐私会计生成合规报告，让审计从“抽检”变成“可证明”。

具体案例：某股份制银行微调客服对话模型时，对对话历史做 (ε=4, δ=10⁻⁵)-差分隐私微调，上线后的对抗测试显示模型对训练语料的逐字复述率从 7% 降至 0.03%，同时工单解决率保持稳定。

联邦学习中的梯度隐私增强

阶段：分布式训练与多方协作

解决的问题：联邦学习只交换梯度不交换数据，但研究已证明梯度可以反推原始样本。在客户端本地训练时叠加 DP 噪声，可以在不显著影响全局模型精度的前提下，切断“梯度 → 原文”的反推链路。

具体案例：多家医院组成乳腺影像联邦学习联盟，各院本地用 DP-SGD 微调特征提取器后再上传梯度聚合。实验表明，在 ε=3 的配置下，全局模型的 AUC 仅下降 1.5%，而成员推断攻击的成功率从 82% 骤降到 54%（接近随机猜测）。

Python 演示

python68 行
import mathimport random  def laplace_noise(scale):    """Sample from Laplace distribution with given scale."""    u = random.random()    return -scale * math.copysign(math.log(1.0 - u), u)  def dp_mean(data, lower, upper, epsilon):    """Return differentially private mean of data.     Sensitivity of mean is (upper - lower) / len(data).    """    sens = (upper - lower) / len(data)    true_mean = sum(data) / len(data)    return true_mean + laplace_noise(sens / epsilon)  def clip_gradient(grad, clip_norm):    """Clip gradient L2 norm to clip_norm."""    norm = math.sqrt(sum(g * g for g in grad))    if norm <= clip_norm:        return list(grad)    scale = clip_norm / norm    return [g * scale for g in grad]  def dp_sgd_update(params, sample_grads, lr, clip_norm, noise_std):    """One DP-SGD step: clip -> sum -> noise -> average -> update."""    batch_size = len(sample_grads)    clipped = [clip_gradient(g, clip_norm) for g in sample_grads]    summed = [0.0] * len(params)    for g in clipped:        for i in range(len(summed)):            summed[i] += g[i]    for i in range(len(summed)):        summed[i] += random.gauss(0.0, noise_std * clip_norm)    avg_grad = [v / batch_size for v in summed]    return [p - lr * g for p, g in zip(params, avg_grad)]  def main():    random.seed(42)    # synthetic linear data: y = 2x + 1 + noise    xs = [i * 0.1 for i in range(20)]    ys = [2.0 * x + 1.0 + random.gauss(0, 0.05) for x in xs]     # simple linear model y = w * x + b    params = [0.0, 0.0]    lr = 0.05     for _ in range(60):        grads = []        for x, y in zip(xs, ys):            pred = params[0] * x + params[1]            err = pred - y            grads.append([err * x, err])        params = dp_sgd_update(params, grads, lr,                               clip_norm=1.0, noise_std=0.3)     print("DP-SGD fitted: w=%.3f, b=%.3f" % (params[0], params[1]))    print("Underlying:   w=2.000, b=1.000")  if __name__ == "__main__":    main()
目的：用纯 Python 实现差分隐私均值查询与 DP-SGD 单步更新，演示“敏感度 + 噪声 + 裁剪”的核心机制。
  1. def laplace_noise(scale):生成拉普拉斯噪声，是差分隐私“马赛克”的最小单元。
  2. sens = (upper - lower) / len(data)计算均值查询的全局敏感度：单条数据对均值的影响上限。
  3. return true_mean + laplace_noise(sens / epsilon)真均值加上与敏感度成正比、与 ε 成反比的噪声。
  4. clip_gradient(grad, clip_norm)把梯度 L2 范数裁剪到 C 以内，限制单样本影响力。
  5. summed[i] += random.gauss(0.0, noise_std * clip_norm)在聚合梯度上叠加高斯噪声，这是 DP-SGD 的关键步骤。
  6. avg_grad = [v / batch_size for v in summed]平均梯度后更新参数，保证学习方向反映群体规律。

常见误区

误区“微调前把数据里的姓名、手机号、身份证号删掉，模型就不会泄露隐私了。”

正解匿名化是一种“掩耳盗铃”——模型可以从上下文关联中推断身份，比如“某三甲医院心内科主任提到自己昨天做的手术”，结合公开信息就能定位到具体个人。差分隐私不依赖删除字段，而是保证“任何单条记录的存在与否都不影响模型输出分布”，即使攻击者知道所有其他信息，也无法推断特定个体。

为何常见：传统隐私保护习惯都聚焦于 PII（个人身份信息）字段，人们没有意识到大语言模型还有一种叫“记忆”的能力。

误区“隐私预算 ε 设得越小越安全，干脆设成 0.001。”

正解ε 越小噪声越大，模型效用会急剧下降。当 ε = 0 时，机制输出与输入完全独立，模型什么都学不到。工程上 ε 通常取 3~10（LLM 微调甚至更高），追求的是“可接受的风险 + 可用的模型”之间的平衡点，而不是极端值。

为何常见：新手容易把“隐私保护强度”绝对化，忽略了模型存在的根本目的是“有用”。

误区“用 DP-SGD 微调过的模型是绝对安全的，不会泄露任何训练数据。”

正解差分隐私提供的是概率性保证，且受预算管理影响。它限制的是“单条数据的影响”，但如果隐私预算耗尽后继续训练，保护能力会下降；实现 Bug（如噪声强度算错、裁剪失效）也会破坏保证。差分隐私是“风险管控”而非“绝对保险”。

为何常见：人们期望一个“加了就安全”的开关，而忽略差分隐私是一个需要全生命周期管理的数学承诺。

误区“为了保险，每个梯度都加特别大的噪声，反正有隐私保护。”

正解噪声过大会让梯度方向完全失真，模型不收敛。DP-SGD 的核心是“裁剪到合适范围 + 匹配噪声强度”，噪声标准差与裁剪范数 C 和隐私预算 ε 联动。噪声的“剂量”要根据任务需求校准，加噪不是目的，在保护下学到有用知识才是目的。

为何常见：把差分隐私理解为简单的“加噪声”，忽略了信噪比这个更本质的工程指标。

误区“差分隐私不是和同态加密一样吗？都是给数据加密。”

正解两者完全不同。同态加密是对数据进行“可计算的加密”——数据保持加密状态但可计算结果，解密后是精确值，不牺牲精度，但计算开销巨大；差分隐私是往查询结果注入噪声、以精度换隐私，计算友好但会引入统计噪声。二者可以组合使用：同态加密保护传输过程，差分隐私保护分析结果。

为何常见：二者同属“隐私保护”大类，且词面上都有“隐私/加密”语义，初学者很容易混淆。

面试题

Q1. DP-SGD 中梯度裁剪的主要作用是什么？

单选题 · easy

  • A.减少计算量存储开销
  • B.限制单样本梯度影响上限← 正确答案
  • C.加速模型收敛速率
  • D.防止过拟合风险发生

答案：B。梯度裁剪把每个样本梯度的 L2 范数截断到 C 以内，确保任何单条数据对聚合梯度的影响不超过上限。它是 DP-SGD 中“限制个体影响力”的关键步骤，与减少计算量、加速收敛、防止过拟合无关。

Q2. 差分隐私中 ε 越小意味着什么？

单选题 · easy

  • A.隐私保护越强噪声越大← 正确答案
  • B.隐私保护越弱噪声越小
  • C.模型精度越高效果越好
  • D.训练速度越快效率越高

答案：A。ε 是隐私预算，也是“马赛克厚度”的量化。ε 越小，噪声尺度越大，输出分布越接近，隐私保护越强，但模型效用会下降。ε 与训练速度和精度没有直接正比关系。

Q3. 拉普拉斯机制最适用于哪类查询场景？

单选题 · easy

  • A.返回数值型统计结果← 正确答案
  • B.返回离散类别标签
  • C.返回文本生成结果
  • D.返回图像分类结果

答案：A。拉普拉斯机制通过添加连续噪声来保护数值型查询结果（如均值、计数、求和）。离散类别选择和文本生成更适合指数机制或其他定制机制，因为加连续噪声无法直接作用于非数值输出。

Q4. 差分隐私中“相邻数据集”是指什么？

单选题 · mid

  • A.两个完全不同的数据集
  • B.只差一条记录的数据集← 正确答案
  • C.按创建时间相邻的数据集
  • D.特征空间中邻近的数据集

答案：B。相邻数据集是差分隐私的锚点：两个数据集只相差一条记录，一个包含目标个体，另一个不包含。差分隐私保证在这两个数据集上机制输出的概率分布几乎一致，从而保护“任何单一个体”的隐私。

Q5. 哪些属于大模型微调中的隐私攻击方式？

多选题 · mid

  • A.成员推断攻击← 正确答案
  • B.记忆提取攻击← 正确答案
  • C.梯度反演攻击← 正确答案
  • D.量化剪枝压缩

答案：ABC。成员推断（判断样本是否在训练集）、记忆提取（诱导模型背诵原文）、梯度反演（从梯度还原样本）是大模型微调三大隐私攻击。量化剪枝是模型压缩技术，不构成隐私攻击。

Q6. 简单组合定理下，T 轮迭代累积的隐私预算是多少？

单选题 · mid

  • A.每轮预算之和 T·ε← 正确答案
  • B.每轮预算之差 T-ε
  • C.每轮预算的乘积 ε^T
  • D.每轮预算的均值 ε/T

答案：A。简单组合定理说总隐私损失等于各轮隐私损失之和：ε_total = T·ε。它像一个不断往外倒水的水杯，每轮倒掉 ε，总额就是多次倒水量的累加。高级组合定理则给出更紧凑的上界。

Q7. DP-SGD 中噪声注入应发生在哪个环节？

单选题 · mid

  • A.数据预处理阶段
  • B.梯度裁剪聚合之后← 正确答案
  • C.模型推理输出阶段
  • D.损失函数计算过程

答案：B。DP-SGD 的标准流程是：采样批次 → 计算单样本梯度 → 裁剪 → 聚合 → 加高斯噪声 → 更新参数。噪声必须在裁剪之后、聚合梯度上注入，因为裁剪先限定了敏感度，噪声的尺度才可计算。

Q8. 高斯机制与哪种差分隐私变体直接对应？

单选题 · hard

  • A.纯 ε-差分隐私
  • B.近似 (ε,δ)-差分隐私← 正确答案
  • C.本地差分隐私
  • D.不可区分的极端隐私

答案：B。高斯噪声的尾部比拉普拉斯噪声更薄，需要引入 δ（小概率失败项）来换取可用的噪声尺度，因此高斯机制天然服务于 (ε,δ)-近似差分隐私，也是 DP-SGD 中梯度加噪的标准选择。

Q9. 以下哪些策略能有效缓解差分隐私带来的效用下降？

多选题 · hard

  • A.增大隐私预算 ε← 正确答案
  • B.采用参数高效微调← 正确答案
  • C.增加训练数据规模← 正确答案
  • D.完全消除噪声正常训练

答案：ABC。增大 ε 会减小噪声尺度；参数高效微调（如 LoRA）降低有效梯度维度；更多数据让同等噪声下信噪比更高。完全消除噪声等于放弃差分隐私，与“缓解效用下降”的前提矛盾。

Q10. 关于子采样放大定理，以下说法正确的是哪些？

多选题 · hard

  • A.采样率越低放大效应越强← 正确答案
  • B.每轮有效隐私预算会变小← 正确答案
  • C.采样率越高放大效应越强
  • D.每轮有效隐私预算会变大

答案：AB。子采样放大定理表明 ε' = ln(1 + p(e^ε - 1))。采样率 p 越小，ε' 越接近 0，隐私放大效应越强；每轮有效预算被“压缩”变小。因此低采样率配合大批量训练是 DP-SGD 控制总预算的重要手段。