想象你是一家高档餐厅的常客，门口挂着“本店卫生等级 A+，绝无地沟油”的招牌。你会直接相信吗？大概率不会——你会期望有专业的食品安全审计员悄悄上门，检查后厨的食材、温度、操作流程，甚至故意点一道“刁钻”的菜来试探厨师的底线，最后给你一份可信的卫生报告。 DP 隐私审计（Differential Privacy Audit）做的事情一模一样，只不过对象从餐厅变成了 AI 模型。当一家公司宣称“我们的模型用差分隐私训练，ε 值不超过 3，用户隐私绝对安全”时，DP 审计员的工作就是：验证这个 ε 承诺是否真实、用“卧底顾客”式的攻击去试探系统是否会泄露训练数据、用统计仪器量化泄露风险、最后出具一份合规审计报告。简而言之，它就是 AI 世界的“食品安全检查”。

岗位关联

对 AI 从业者的价值：掌握 DP 隐私审计，意味着你能为团队构建可信的隐私合规闭环，让“我们用了差分隐私”从一句口号变成可验证的工程事实——这是 AI 合规时代的核心竞争技能。

目录
  1. 可视化演示
  2. 审计方法论
  3. 隐私预算验证
  4. 重构攻击测试
  5. 统计检验工具
  6. 审计工具链
  7. 合规验证流程
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

\u5c55\u793a\u81ea\u9876\u5411\u4e0b\u89e3\u6790\u8fc7\u7a0b\u4e2d\uff0c\u8bcd\u6cd5\u5355\u5143\u5e8f\u5217\u5982\u4f55\u901a\u8fc7\u4e0a\u4e0b\u6587\u65e0\u5173\u6587\u6cd5\u89c4\u5219\u9010\u6b65\u6784\u5efa\u51fa\u89e3\u6790\u6811\uff0c\u63d2\u5165\u5f0f a+b*c \u7684\u63a8\u5bfc\u8fc7\u7a0b\u3002

本节配有交互动效（进入视口后自动加载，约 3KB）。

\u89e3\u6790\u6811\u6784\u5efa \u5f00\u59cb\u89e3\u6790\u8868\u8fbe\u5f0f a+b*c \u5f53\u524d\u8282\u70b9 E\u2192E+T \u81ea\u9876\u5411\u4e0b\u89e3\u6790\u8fc7\u7a0b

审计方法论

食品安全审计员有一本厚厚的《卫生检查手册》，上面写着：检查什么、怎么检查、什么标准算合格。没有这套方法论，所谓的“卫生检查”就是走马观花。DP 隐私审计也一样，第一步是建立方法论——明确理论承诺和实际保证之间的鸿沟，定义审计流程，识别挑战。

这里的核心概念是：差分隐私提供的是数学上的理论承诺（理论保证），但实际实现中，浮点精度、采样偏差、实现 bug 都可能导致实际隐私保护弱于理论承诺。就像餐厅的宣传册写着“我们只用新鲜食材”，但后厨的冰箱温度可能不达标。审计的意义在于验证现实，而不是相信宣传。

审计流程框架分三步：声明收集——了解系统声称的 ε、训练算法、数据流程；证据验证——设计攻击测试和统计检验来验证声明；结论报告——将发现整理成合规报告。每一步都有具体的方法论支撑：

回到餐厅比喻：审计方法论就是检查员的工作手册——先问“餐厅承诺了什么卫生等级”，再制定“查哪些位置、用什么手段查”，最后考虑“遇到刁难怎么办”。有了方法论，后面的每一节都是手册中的具体章节。

Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]\Pr[M(D) \in S] \leq e^{\varepsilon} \cdot \Pr[M(D') \in S]
ε-差分隐私的定义：对任意只相差一条记录的相邻数据集 D 与 D'，在任意输出集合 S 上，两个输出分布的概率比值不超过 e^ε。ε 越小，隐私保护越强。审计的首要工作就是验证这个不等式在实际系统中是否成立。
  1. 相邻数据集 D 与 D'两者只相差一条记录，是审计“对照实验”的基础工具。
    相邻数据集：D′=D∪{xnew} 或 D′=D∖{xremoved}\text{相邻数据集：} D' = D \cup \{x_{\text{new}}\} \text{ 或 } D' = D \setminus \{x_{\text{removed}}\}
  2. 输出集合 S模型所有可能输出结果的任意子集。
    S⊆Range(M)S \subseteq \text{Range}(M)
  3. 概率比值约束两条数据的输出分布差异被 e^ε 这个“锁链”限制住。
    Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]\Pr[M(D) \in S] \leq e^{\varepsilon} \cdot \Pr[M(D') \in S]

隐私预算验证

审计员想验证餐厅宣称的“微辣”到底有多辣，不能靠厨师一张嘴，必须拿辣度计去测。隐私预算验证要回答的问题就是：模型声称"ε≤3"，实际上消耗的隐私预算是多少？核心工具是隐私损失分布（Privacy Loss Distribution）。

差分隐私中，隐私损失定义为某个输出下，两个相邻数据集概率对数的比值。每次查询都会消耗一定的隐私预算，多次查询的预算按照组合定理累加。审计员需要模拟或追踪这些预算消耗，并与宣称的上限对比：

回到餐厅：每次厨师推出新菜（查询），辣度都会累积。审计员手里的“辣度计”记录每一次的增量，最后对比菜单承诺的总辣度是否超限。如果实测超出承诺，那“微辣”就是谎话。类似地，审计中如果实际隐私损失超过宣称的 ε 上限，隐私承诺就不成立。

L(o)=ln⁡Pr⁡[M(D)=o]Pr⁡[M(D′)=o]\mathcal{L}(o) = \ln \frac{\Pr[M(D) = o]}{\Pr[M(D') = o]}
隐私损失度量了某个具体输出 o 泄露了关于单条记录的多少信息。对一次查询，隐私损失的期望就是 ε；对 k 次组合查询，总隐私损失可以按组合定理上界为 k·ε（简单组合）。
  1. 概率比的自然对数用对数把比值转化为可累加的“信息量”。
    L(o)=ln⁡Pr⁡[M(D)=o]Pr⁡[M(D′)=o]\mathcal{L}(o) = \ln \frac{\Pr[M(D) = o]}{\Pr[M(D') = o]}
  2. 损失上界差分隐私要求对于任意输出 o，隐私损失不超过 ε。
    L(o)≤ε,∀o∈Range(M)\mathcal{L}(o) \leq \varepsilon, \quad \forall o \in \text{Range}(M)
  3. 组合累加k 次独立查询的总隐私损失上界为 k·ε。
    Ltotal≤k⋅ε\mathcal{L}_{\text{total}} \leq k \cdot \varepsilon

重构攻击测试

餐厅审计员不能只看记录，还要“卧底试吃”——点一道最刁钻的菜，看服务员会不会无意中透露配方。DP 审计中的“卧底试吃”就是重构攻击测试：故意以攻击者视角尝试从模型输出中还原训练数据信息，通过攻击成功率来推断系统真实的隐私保护水平。

成员推断攻击（Membership Inference Attack）是审计最常用的“试吃”之一——攻击者拿到某个样本，判断它是否在训练集里。如果攻击者的猜测准确率显著高于随机水平，说明模型泄露了成员信息。重构攻击则更进一步，目标是直接还原训练样本的敏感特征值。攻击成功率与 ε 之间有明确的数学关系：

回到餐厅：卧底顾客每次都点“最辣的菜”，如果服务员每次都准确说出秘方里的花椒用量，卧底就知道这家店的保密是纸糊的。DP 审计也一样——攻击成功率越高，说明隐私保护越薄弱。

Pr⁡[Attack Success]≤eε1+eε\Pr[\text{Attack Success}] \leq \frac{e^{\varepsilon}}{1 + e^{\varepsilon}}
攻击成功概率的上界。当 ε=0 时，成功率为 1/2（等同于抛硬币随机猜测）；ε 越大，攻击成功率的理论上限越高。审计员通过实测攻击成功率，反推系统实际达到的 ε 水平。
  1. 攻击成功概率攻击者正确判断某个样本是否为训练集成员的概率。
    Pr⁡[Success]=Pr⁡[1y^=y=1]\Pr[\text{Success}] = \Pr[\mathbb{1}_{\hat{y} = y} = 1]
  2. 理论上界表达式由差分隐私定义直接推导出的攻击成功率上界。
    Pr⁡[Success]≤eε1+eε\Pr[\text{Success}] \leq \frac{e^{\varepsilon}}{1 + e^{\varepsilon}}
  3. 反推实际 ε审计员根据实测攻击成功率解出实际隐私损失。
    εactual=ln⁡(pattack1−pattack)\varepsilon_{\text{actual}} = \ln\left(\frac{p_{\text{attack}}}{1 - p_{\text{attack}}}\right)

统计检验工具

审计员测到一组辣度数据，怎么判断“整体辣度是不是真的超了 3 级？”靠肉眼？不，靠统计检验。DP 审计中的攻击测试会产生大量试验数据，必须用统计工具区分“真泄露”和“随机噪声”。

假设检验的核心思想是：先假设系统没有泄露（零假设），然后看观测数据是否与零假设矛盾到足够显著的程度。p 值表示在零假设下观察到当前或更极端结果的概率。p 值越小，越说明系统真的有问题；功效分析则保证审计本身有能力检测出真实的隐私漏洞——否则审计可能“误判安全”：

回到餐厅：审计员不是用舌头尝一次就下结论，而是反复测量多次，用统计学方法排除“这次手抖”的偶然因素。只有当测量结果在统计上显著偏离“合格辣度”时，才会开出整改单。

t=xˉ−μ0s/nt = \frac{\bar{x} - \mu_0}{s / \sqrt{n}}
单样本 t 统计量。其中 x̄ 是攻击成功率的观测均值，μ₀ 是零假设下的期望成功率（如 0.5），s 是样本标准差，n 是试验次数。t 值越大，p 值越小，隐私漏洞的证据越强。
  1. 观测均值与零假设的差分子表示实际观测与“无泄露”假设之间的偏差。
    xˉ−μ0\bar{x} - \mu_0
  2. 标准误分母度量样本均值估计的波动范围。
    SE=sn\text{SE} = \frac{s}{\sqrt{n}}
  3. t 值与 p 值的关系t 值经过 t 分布转化为 p 值，p < 0.05 则拒绝零假设。
    p=2⋅(1−Ft(∣t∣))p = 2 \cdot (1 - F_t(|t|))

审计工具链

食品安全检查员不能只靠笔记本和温度计，得像模像样地配一套移动检测实验室。DP 审计的工具链就是把前面的方法固化成工具和自动化流程。常见的开源工具包括 Google 的 TensorFlow Privacy 提供的审计模块、PyTorch Opacus 的隐私引擎、以及专门做隐私攻击测试的库如 privacy-meter 等。

自动化审计流水线将审计从“半年一次的专项检查”变成“每次模型发布前自动跑一遍”的流程。持续监控系统则在模型运行期间实时跟踪隐私预算消耗，一旦超限立即告警。三者形成“工具—流程—监控”的闭环。审计工具链的完整性可以用覆盖率来衡量：

回到餐厅：高级餐厅的厨房会配温度记录仪、消毒水浓度测试纸、留样冰箱——这就是他们的“工具链”。检查员同样依赖这些工具，才能在几个小时内从质疑“你承诺卫生达标”到给出“卫生合规”的权威结论。

Ccoverage=NauditedNtotalC_{\text{coverage}} = \frac{N_{\text{audited}}}{N_{\text{total}}}
审计覆盖率：被审计的模块数占总模块数的比例。覆盖率越高，审计的置信度越高。工具链的价值在于把覆盖率从“抽查几处”提升到“全量覆盖”。
  1. 被审计模块数已经过攻击测试和统计检验的组件数量。
    NauditedN_{\text{audited}}
  2. 总模块数系统内所有涉及数据处理和模型推理的组件数量。
    NtotalN_{\text{total}}
  3. 覆盖率的意义覆盖率低于阈值时，审计结论不应被采信。
    Ccoverage≥CthresholdC_{\text{coverage}} \geq C_{\text{threshold}}

合规验证流程

最后一个环节：检查员把厚厚一沓证据装订成报告，贴上盖章。DP 合规验证流程的核心输出就是审计报告——它要将所有的攻击测试、统计检验、预算追踪结果汇总，给出一个明确的合规结论，并划分风险等级。

风险等级评估用综合评分法：将隐私预算超支程度、攻击成功率、审计覆盖率等指标加权，映射到低/中/高三个风险等级。对于高风险系统，必须进入修复与再验证闭环——修完 bug 或调整噪声机制后，重新审计，直到合规：

回到餐厅：审计报告就是那张贴在窗口的卫生等级牌。如果实测辣度超限、后厨温度记录仪坏了一半（覆盖率不足），检查员就会给出“整改”的红色标签。整改后复检通过，才换成绿色标签。合规验证流程保证了“合规”二字不是自封的，而是被验证过的。

---

R=w1⋅Eε+w2⋅Asuccess+w3⋅(1−Ccoverage)R = w_1 \cdot E_{\varepsilon} + w_2 \cdot A_{\text{success}} + w_3 \cdot (1 - C_{\text{coverage}})
综合风险评分：E_ε 是隐私预算超支率，A_success 是攻击成功率，C_coverage 是审计覆盖率，w 为权重。R 值超过阈值即判定为高风险，需整改后重新审计。
  1. 预算超支率实际隐私损失与宣称预算上限的比值。
    Eε=εactualεpromiseE_{\varepsilon} = \frac{\varepsilon_{\text{actual}}}{\varepsilon_{\text{promise}}}
  2. 攻击成功率项攻击测试中成功比例越高，风险评分越大。
    Asuccess=Pr⁡[Attack Success]A_{\text{success}} = \Pr[\text{Attack Success}]
  3. 覆盖率缺口项审计未覆盖的模块按潜在风险计入评分。
    1−Ccoverage=1−NauditedNtotal1 - C_{\text{coverage}} = 1 - \frac{N_{\text{audited}}}{N_{\text{total}}}

AI 应用场景

金融风控模型的隐私合规审计

阶段：模型发布前验证

解决的问题：银行用差分隐私训练贷款审批模型，声称 ε≤1，但合规团队无法确定实际实现是否真正达到该水平。若实际隐私保护过弱，可能泄露客户敏感金融信息，面临监管处罚。DP 审计通过成员推断攻击和统计检验，验证实际 ε 值，确保发布合规。

具体案例：某银行风控团队使用审计工具对训练好的模型执行 10000 次成员推断攻击试验，实测攻击成功率为 51.5%。通过 t 检验发现与随机猜测差异显著，进一步追踪发现浮点数舍入错误导致中间层的 ε 消耗被低估，实际 ε 达到 1.8。审计团队要求修复后重新审计。

医疗数据共享平台的持续隐私监控

阶段：运营期持续监控

解决的问题：多家医院联合训练医学影像诊断模型，每周发布新版本。传统做法只在发布时抽查，容易漏掉运行期间的预算超支问题。DP 持续审计通过自动化工具链实时追踪隐私损失，并在超限时自动告警。

具体案例：平台使用开源审计模块搭建持续监控管线，每次模型更新后自动执行一轮重构攻击测试（100 次试验），并将攻击成功率与隐私损失曲线写入审计日志。某次更新后攻击成功率突增至 58%，系统自动暂停模型上线并触发告警，调查发现是数据采样 pipeline 的 bug 导致重复样本进入训练集。

联邦学习系统的跨参与方验证

阶段：多方协作训练验证

解决的问题：多个参与方在联邦学习框架下协作训练，单个参与方无法验证全局模型的隐私保证。DP 审计工具链为每个参与方提供独立的审计接口，验证收到的模型更新是否满足约定的隐私预算。

具体案例：联盟内一家医院对收到的聚合模型进行独立审计，通过本地影子模型模拟成员推断攻击，发现某一轮聚合后的 ε 超出约定值，定位到某参与方由于本地计算精度不足导致隐私损失被放大，最终调整了该参与方的噪声机制。

Python 演示

python74 行
import numpy as np  class DPAuditor:    def __init__(self, epsilon, budget_limit):        self.epsilon = epsilon        self.budget_limit = budget_limit        self.spent = 0.0        self.query_count = 0        self.logs = []     def noisy_query(self, data, func, sensitivity=1.0):        if self.spent + self.epsilon > self.budget_limit:            raise RuntimeError("privacy budget exhausted")        true_value = func(data)        noise = np.random.laplace(0.0, sensitivity / self.epsilon)        self.spent += self.epsilon        self.query_count += 1        self.logs.append((self.query_count, float(true_value) + noise))        return float(true_value) + noise     def estimate_epsilon(self, data_a, data_b, func, trials=500):        diffs = []        for _ in range(trials):            out_a = self.noisy_query(data_a, func)            out_b = self.noisy_query(data_b, func)            diffs.append(abs(out_a - out_b))        if not diffs:            return 0.0        return float(np.max(diffs)) * self.epsilon     def audit_report(self):        status = "PASS" if self.spent <= self.budget_limit else "FAIL"        return {            "queries": self.query_count,            "spent_epsilon": round(self.spent, 4),            "limit": self.budget_limit,            "status": status,        }  def membership_attack_score(model, target_sample, candidate_pool):    scores = []    for item in candidate_pool:        dist = abs(float(model(target_sample) - model(item)))        scores.append(dist)    threshold = float(np.median(scores))    hit = [1.0 if d < threshold else 0.0 for d in scores]    return float(np.mean(hit))  def main():    rng = np.random.default_rng(42)    dataset = rng.normal(0, 1, size=(200, 5))    neighbor = dataset + rng.normal(0, 0.5, size=dataset.shape)    auditor = DPAuditor(epsilon=0.2, budget_limit=3.0)    mean_func = lambda d: float(np.mean(d, axis=0))     for i in range(10):        value = auditor.noisy_query(dataset, mean_func)        print("query %02d value=%s spent=%.2f eps"              % (i + 1, np.round(value, 3), auditor.spent))     est = auditor.estimate_epsilon(dataset, neighbor, mean_func, 200)    print("estimated epsilon=%.4f declared=%.2f" % (est, auditor.epsilon))    model = lambda row: float(np.dot(row, np.ones(5)))    attack = membership_attack_score(model, dataset[0], dataset[1:50])    print("membership attack score=%.4f (random=0.5)" % attack)    report = auditor.audit_report()    print("audit status:", report)  if __name__ == "__main__":    main()
目的：模拟一个带差分隐私保护的数据查询系统，审计员通过隐私预算追踪、ε 反推和成员推断攻击测试，验证系统宣称的隐私保护是否真实可信。
  1. class DPAuditor:定义审计器类，相当于审计员的“检查工具箱”。
  2. def noisy_query(self, data, func, sensitivity=1.0):执行带噪声的隐私查询。
  3. noise = np.random.laplace(0.0, sensitivity / self.epsilon)注入 Laplace 噪声，噪声尺度由灵敏度与 ε 共同决定。
  4. if self.spent + self.epsilon > self.budget_limit:查询前检查预算，超支立即抛异常。
  5. def estimate_epsilon(self, data_a, data_b, func, trials=500):用相邻数据集输出差异反推实际 ε。
  6. diffs.append(abs(out_a - out_b))记录每对相邻数据的输出差异。
  7. def membership_attack_score(model, target_sample, candidate_pool):实现成员推断攻击的评分函数。
  8. threshold = float(np.median(scores))以中位数作为成员判定的经验阈值。
  9. auditor = DPAuditor(epsilon=0.2, budget_limit=3.0)初始化审计器，设置每次查询的 ε 与总预算上限。
  10. est = auditor.estimate_epsilon(dataset, neighbor, mean_func, 200)执行 ε 验证，得到实际隐私损失估计。
  11. print("audit status:", report)输出最终审计状态（PASS/FAIL）。

常见误区

误区“模型用了差分隐私训练，ε=1，那一定绝对安全，不用再验证了。”

正解差分隐私是数学承诺，但工程实现可能破坏它——浮点精度、随机数生成器缺陷、采样偏差等都会导致实际隐私保护弱于理论值。想想餐厅宣称“绝不使用地沟油”，但后厨进货记录没人核查，谁信？DP 审计正是为“理论承诺”与“实际保证”之间的鸿沟而存在的。

为何常见：大多数开发者接触的差分隐私只是调用现成库的 API，容易把“库的文档说安全”等同于“实际系统安全”。

误区“做了攻击测试，攻击成功率只有 52%，和 50% 差不多，模型隐私是安全的。”

正解需要统计检验来量化 52% 与 50% 的差异是否显著。如果试验次数足够多，52% 的微小偏差在统计上可能非常显著（p<0.01），意味着系统确实存在隐私泄露。就像检查员不能因为“只是比合规标准高了一点点”就不开罚单，而要用测量仪器和统计方法精确评估。

为何常见：人眼对百分比差异不敏感，容易忽视小偏差在大量样本下的统计显著性。

误区“模型发布前做过一次审计，结论是合规，以后就不用再看了。”

正解数据分布变化、模型更新、代码改动都会改变隐私保证。DP 审计应像餐厅的卫生检查一样定期与突击结合：发布前做完整审计，运行期间做持续监控。工具链中的自动化流水线和持续监控系统就是为此设计的。

为何常见：传统软件安全中“发布前测试通过”的惯性思维被带到了隐私领域，忽视了隐私保证是动态的。

误区“审计发现 ε 远超承诺，我把 ε 调小不就行了？调小一定更安全。”

正解ε 调小确实增强隐私保护，但会放大噪声，显著降低模型可用性。DP 审计的目标是在“合规”与“可用”之间找到平衡，而不是一味追求极小 ε。审计报告应同时报告效用指标（如准确率损失），帮助决策者权衡。就像餐厅不能为了绝对卫生把菜全做成全熟无味——审计员考察的是卫生达标，而非“极致卫生”。

为何常见：初学者容易把隐私保护强度简单等同于 ε 值大小，忽略了差分隐私的本质是隐私-效用权衡。

面试题

Q1. DP 审计的首要目标是什么？

单选题 · easy

  • A.提升模型预测准确率
  • B.验证隐私承诺的真实性← 正确答案
  • C.加快模型训练的速度
  • D.减少模型参数的规模

答案：B。DP 审计的核心是验证差分隐私实现是否真正达到宣称的隐私保护水平，而不是优化模型性能。选项 B 准确描述了“验证理论承诺与实际保证一致性”这一目标。其他选项都是模型训练优化目标，与审计无关。就像卫生检查的目的是确认餐厅卫生达标，而不是帮餐厅提升菜品口味。

Q2. 在差分隐私中，ε 的值越小意味着什么？

单选题 · easy

  • A.隐私保护能力越弱
  • B.隐私保护能力越强← 正确答案
  • C.模型准确率一定越高
  • D.训练数据规模一定越小

答案：B。ε 是隐私损失的上界，ε 越小表示输出分布对单条记录的差异越小，隐私保护越强。但 ε 小也意味着注入噪声更大、模型效用降低。C 说“准确率一定越高”正好说反了，D 与 ε 无直接关系。

Q3. 成员推断攻击的目标是判断什么？

单选题 · mid

  • A.还原模型全部参数
  • B.篡改原始训练数据
  • C.样本是否在训练集中← 正确答案
  • D.提升模型泛化能力

答案：C。成员推断攻击是给定一个样本和模型输出，判断该样本是否属于训练集成员。如果攻击者能高准确率区分，说明模型记忆了训练数据——即隐私泄露。这与还原参数（模型提取攻击）、篡改数据（投毒攻击）和提升泛化（训练目标）都不同。

Q4. 隐私预算验证需要追踪哪些内容？

多选题 · mid

  • A.每次查询消耗的 ε 值← 正确答案
  • B.累计隐私损失总量← 正确答案
  • C.训练集样本的总数
  • D.预算超支情况的检测← 正确答案

答案：ABD。隐私预算验证要追踪每次查询消耗的 ε、累计隐私损失以及预算是否超支，这三者构成“消耗—累积—告警”闭环。训练集样本总数与差分隐私保证本身无关（保证不依赖数据集大小），所以不需要追踪。

Q5. p 值小于显著性水平 α 时，正确的做法是？

单选题 · mid

  • A.接受零假设并继续
  • B.拒绝零假设并告警← 正确答案
  • C.立即重新训练模型
  • D.提高模型隐私预算上限

答案：B。统计检验中，p<α 意味着观测数据在零假设下极不可能出现，所以拒绝零假设。在 DP 审计中，零假设通常是“模型无隐私泄露”，拒绝它意味着发现了显著的泄露证据。B 最好地表达了“p<α → 拒绝零假设 → 触发隐私告警”的完整逻辑。其他选项是泄露确认后的后续动作。

Q6. 攻击成功概率上界与 ε 的函数关系是？

单选题 · hard

  • A.概率随 ε 增大而递减
  • B.概率随 ε 增大而递增← 正确答案
  • C.概率与 ε 的大小无关
  • D.概率恒定等于 0.5

答案：B。理论上界 Pr[success] ≤ e^ε/(1+e^ε)，这是 ε 的单调递增函数。ε=0 时等于 1/2（随机猜测），ε 越大上界越接近 1。审计员正是利用这个关系，由实测成功率反推实际 ε。

Q7. 若实测攻击成功率为 p，审计员反推实际 ε 的公式是？

单选题 · extreme

  • A.ε = ln(p / (1 - p))← 正确答案
  • B.ε = ln(1 - p) / p
  • C.ε = p / (1 - p)
  • D.ε = e^p / (1 + e^p)

答案：A。由攻击成功概率上界公式 Pr = e^ε/(1+e^ε) 做等式变换，解得 ε = ln(p/(1-p))。这是隐私审计的“证据公式”，将实测的攻击成功率转化为实际隐私损失估计。B、C、D 都不是正确的反函数变换。

Q8. DP 审计中，隐私预算超支的第一步处理是？

单选题 · easy

  • A.立即删除模型历史版本
  • B.追踪并定位超支来源← 正确答案
  • C.向监管机构主动上报
  • D.终止所有线上查询服务

答案：B。发现预算超支后，第一步是定位超支来源——是组合计数错误、噪声实现缺陷还是查询次数异常？通过审计日志追踪到具体环节，才能针对性修复。其他选项是后续的管控措施，不应在未定位根因前盲目执行。

Q9. 功效分析可以评估审计的哪些方面？

多选题 · mid

  • A.检测真实隐私泄露的能力← 正确答案
  • B.避免误报安全结果的能力← 正确答案
  • C.加速模型训练收敛的能力
  • D.减少注入噪声大小的能力

答案：AB。功效分析评估审计方法自身的检测能力——功效越高，越能检测到真实泄露（真阳性率高），同时避免漏报（假阴性率低）。C 和 D 是模型训练优化目标，与审计检测能力无关。

Q10. 以下哪些因素会影响攻击成功率？

多选题 · hard

  • A.隐私预算 ε 的取值上限← 正确答案
  • B.攻击者投入的计算资源← 正确答案
  • C.模型发布的更新轮数← 正确答案
  • D.训练数据集的总体大小

答案：ABC。ε 越大，理论攻击成功上界越高；攻击者计算资源越多，攻击能力越强；发布轮数越多，组合泄露越严重。差分隐私保证本身与数据集大小无关——无论数据集多大，ε-DP 都给出同样的最坏保证，因此 D 不直接影响攻击成功率。