想象你是一位人气餐馆的大厨，你的招牌菜“顾客口味分析汤”远近驰名。但最近街对面开了一家竞品餐馆，总想偷学你的秘方。你既要让食客们知道“本周最受欢迎的菜系是川菜”，又不想让对手从数据里反推出某位特定顾客的口味偏好。 聪明的你发现了一个绝妙的方法：在端出每道“数据菜肴”之前，撒上一撮“特制盐”——这盐不是用来调味的，而是用来“混淆”的。它让每道菜的数值都偏离一点点真实值，但大体趋势依然清晰可辨。菜还是那道菜，味道还是那个味，但谁也说不清这道菜究竟用了哪块特定食材。差分隐私（Differential Privacy）就是这个“特制盐罐子”，而 Laplace 机制、Gaussian 机制和指数机制，就是这个罐子里三种不同颗粒度、不同功效的“配方盐”。

岗位关联

掌握差分隐私的三种噪声注入机制，你将理解现代隐私保护机器学习系统的核心设计逻辑，能够在实际项目中为数据发布和模型训练配上“安全的盐罐子”，成为 AI 安全领域不可或缺的技术专家。

目录
  1. 可视化演示
  2. 隐私保护基础
  3. 敏感性计算
  4. Laplace机制
  5. Gaussian机制
  6. 指数机制
  7. 隐私预算管理
  8. 机器学习应用
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

三步展示DP机制：Laplace噪声校准b=Δf/ε实现纯ε-DP、Gaussian机制σ=√(2ln(1.25/δ))·Δ₂f/ε放松(ε,δ)、三机制对比与DP-SGD梯度扰动训练。

本节配有交互动效（进入视口后自动加载，约 3KB）。

Laplace机制噪声校准 查询结果f(D)叠加Laplace噪声尺度b=Δf/ε 敏感性Δf=max|f(D)-f(D\')|邻接数据集最大差 M(D) = f(D) + Lap(b), b = Δf/ε Laplace机制实现纯ε-差分隐私适用于数值型连续输出。

隐私保护基础

还记得那位大厨吗？他的“特制盐”之所以高明，不是因为它把菜变得齁咸，而是它让每一道菜的味道都产生了微妙的“漂移”——你尝得出这菜属于川菜系，但绝尝不出它是不是用了你家楼下菜市场那根特定萝卜。差分隐私的精髓正是如此：它对查询结果注入随机性，使得任何单个数据记录的加入或移除，都不会显著改变最终输出的概率分布。

形式化地说，假设我们有一个数据集 \(D\)，以及它的“邻居” \(D'\)（两者只相差一条记录）。一个随机化算法 \(\mathcal{M}\) 如果满足 \(\varepsilon\)-差分隐私，那么对任何可能的输出集合 \(S\)，都有：

说到底，差分隐私给数据发布者和分析者之间，签订了一份“概率学合同”：我可以告诉你统计规律，但绝不会泄露组成规律的任何单一个体。这份合同的法律效力，来自数学而非道德。

Pr⁡[M(D)∈S]≤eε×Pr⁡[M(D′)∈S]\Pr[\mathcal{M}(D) \in S] \le e^{\varepsilon} \times \Pr[\mathcal{M}(D') \in S]
这个公式是说：不管数据库里有没有你这个人，查询结果的概率分布差异被严格限制在 \(e^{\varepsilon}\) 倍以内。\(\varepsilon\) 越小，两条曲线越贴近，隐私保护越强。就像大厨撒的盐粒越细，对手越分不清食材来源。
  1. 随机算法 \(\mathcal{M}\)这是我们的“加盐工序”，即一个带有随机性的查询过程。任何确定性查询（比如直接返回平均值）都是不满足差分隐私的，因为它一翻一个准。
    M:D→S\mathcal{M}: \mathcal{D} \rightarrow \mathcal{S}
  2. 邻近数据集 \(D\) 与 \(D'\)这对数据集互为“邻居”，即仅有一条记录不同。这里的“一条记录”，就是我们要保护的那个“特定萝卜”。
    ∣D△D′∣=1|D \triangle D'| = 1
  3. 概率比限制对于任意输出集合 \(S\)，两个数据集上输出落在 \(S\) 内的概率之比不超过 \(e^{\varepsilon}\)。这保证了无论某个人是否在数据集中，分析结果都不会“露馅”。
    Pr⁡[M(D)∈S]Pr⁡[M(D′)∈S]≤eε\frac{\Pr[\mathcal{M}(D) \in S]}{\Pr[\mathcal{M}(D') \in S]} \le e^{\varepsilon}

敏感性计算

现在大厨遇到了新问题：不同菜品所需的“盐量”是完全不同的。做一道清蒸鱼，稍微多撒两粒盐就露馅；但做一锅麻辣香锅，多放半勺盐根本尝不出来。在差分隐私的世界里，这个“需要撒多少盐”的度量标准，就叫敏感性（Sensitivity）。

敏感性衡量的是：当数据集中某一条记录被修改时，查询函数输出的最大变化量。对于数值型查询函数 \(f\)，其全局敏感性定义为：

其中 \(D\) 和 \(D'\) 是任意一对邻近数据集。这个 \(\Delta f\) 直接决定了噪声的“剂量”——敏感性越大，需要的噪声越大。

举个具体例子：如果 \(f\) 是“数据集中有多少人年龄超过30岁”，那么删掉一个人最多让结果变化 1，所以 \(\Delta f = 1\)。但如果 \(f\) 是“平均工资”，那么删掉一个高薪者可能让平均值变化很大，\(\Delta f\) 就必须按最极端情况计算。值得注意的是，局部敏感性在特定数据集上可能更小，但为了安全，差分隐私总是采用全局敏感性——就像大厨总是按“最容易露馅的菜”的标准来准备盐量。

Δf=max⁡D,D′∥f(D)−f(D′)∥1\Delta f = \max_{D, D'} \| f(D) - f(D') \|_1
  1. 查询函数 \(f\)这是我们的“菜品配方”，比如“统计平均年龄”“计算总消费额”等。它是确定性的，输入数据集、输出一个数值。
    f:D→Rkf: \mathcal{D} \rightarrow \mathbb{R}^k
  2. 遍历所有邻近数据集对我们需要枚举所有可能相差一条记录的数据集对，看看输出到底能“波动”多大。
    max⁡D,D′\max_{D, D'}
  3. 曼哈顿距离 \(\|\cdot\|_1\)对于多维输出，用曼哈顿距离度量变化程度，即各维度绝对差之和。
    ∑i=1k∣f(D)i−f(D′)i∣\sum_{i=1}^k |f(D)_i - f(D')_i|

Laplace机制

现在大厨要正式调制他的第一种“盐方”了：Laplace 机制。这种盐的特点是“双指数衰减”——大多数时候撒盐量很小，但偶尔会有一大把盐撒下去，形成一个长长的尾巴。这种分布形态恰好能覆盖掉一条记录带来的最大影响。

Laplace 机制适用于数值型查询，它的做法极简单：在真实答案上加上服从 Laplace 分布的随机噪声。Laplace 分布的概率密度关于 0 对称，峰值在 0 处，向两侧指数衰减。关键在于，噪声的尺度参数必须和敏感性挂钩：

其中 \(\text{Lap}(b)\) 表示尺度参数为 \(b\) 的 Laplace 分布。当 \(b = \Delta f / \varepsilon\) 时，整个机制恰好满足 \(\varepsilon\)-差分隐私。

Laplace 机制的优雅之处在于“一把尺子量到底”：无论你的查询函数长什么样，只要敏感度算得准，加这一种噪声就万事大吉。大厨的第一款“盐方”就这样调配完成——它适合那些数值型输出，比如“平均消费额是多少”“确诊人数几何”。

ML(D)=f(D)+Lap(Δfε)\mathcal{M}_L(D) = f(D) + \text{Lap}\left(\frac{\Delta f}{\varepsilon}\right)
  1. 注入噪声 \(\text{Lap}(\Delta f/\varepsilon)\)这是“撒盐动作”，即生成一个均值为 0、尺度为 \(\Delta f/\varepsilon\) 的随机数并加到真实答案上。
    X∼Lap(b),b=ΔfεX \sim \text{Lap}(b), \quad b = \frac{\Delta f}{\varepsilon}
  2. Laplace 分布的概率密度它像一座尖顶帐篷，中间高、两侧指数式下降。这种形状保证了大多数噪声很小，但尾部足够厚以掩盖极端变化。
    p(x)=12bexp⁡(−∣x∣b)p(x) = \frac{1}{2b} \exp\left(-\frac{|x|}{b}\right)
  3. 隐私保障的数学证明关键在于概率密度之比恰好被 \(e^{\varepsilon}\) 界住——噪声分布的形状与敏感性校准后，天然满足差分隐私的定义。
    pA(x)pB(x)≤exp⁡(∣f(D)−f(D′)∣Δf/ε)≤eε\frac{p_A(x)}{p_B(x)} \le \exp\left(\frac{|f(D) - f(D')|}{\Delta f / \varepsilon}\right) \le e^{\varepsilon}

Gaussian机制

但大厨很快发现，Laplace 盐方有个短板：当菜品（模型）维度很高时，这种“尖顶帐篷”形状的噪声会让整道菜的味道偏离太多，甚至盖过食材本身。于是大厨研发了第二种配方：Gaussian 盐方。它撒出的盐呈钟形曲线分布，噪声相对集中，极少出现极端值。

Gaussian 机制的代价是它无法满足严格的 \(\varepsilon\)-差分隐私，只能满足 \((\varepsilon, \delta)\)-差分隐私——这是一个“放松版”的隐私合同，允许以极小的概率 \(\delta\) 出现隐私泄露。其噪声注入形式为：

Gaussian 机制特别适用于需要连续多次查询的高维场景（如深度学习训练中每轮梯度加噪），因为它的噪声能量更“温和”——总噪声方差远小于 Laplace。大厨的第二款盐方在“保味”上更胜一筹，但需要额外接受一个极小的“意外泄味概率”。

MG(D)=f(D)+N(0,σ2),σ=Δf⋅2ln⁡(1.25/δ)ε\mathcal{M}_G(D) = f(D) + \mathcal{N}\left(0, \sigma^2\right), \quad \sigma = \frac{\Delta f \cdot \sqrt{2\ln(1.25/\delta)}}{\varepsilon}
  1. Gaussian 噪声 \(\mathcal{N}(0, \sigma^2)\)从均值为 0、方差为 \(\sigma^2\) 的正态分布中采样一个随机数，加到真实答案上。
    X∼N(0,σ2)X \sim \mathcal{N}(0, \sigma^2)
  2. 噪声方差校准\(\sigma\) 的取值由 \(\Delta f\)、\(\varepsilon\)、\(\delta\) 共同决定。\(\delta\) 是“可以接受的隐私失败概率”，通常取 \(10^{-5}\) 量级。
    σ=Δf⋅2ln⁡(1.25/δ)ε\sigma = \frac{\Delta f \cdot \sqrt{2\ln(1.25/\delta)}}{\varepsilon}
  3. 放松保证的数学形式保证“除概率 \(\delta\) 的失败外，概率比不超过 \(e^{\varepsilon}\)”。
    Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]+δ\Pr[\mathcal{M}(D) \in S] \le e^{\varepsilon} \cdot \Pr[\mathcal{M}(D') \in S] + \delta

指数机制

前面两种盐方都只擅长处理“数值型”菜肴。但真实世界里，很多查询的答案是离散的、非数值的——比如“哪个菜系最受欢迎”“哪款车型满意度最高”“哪条路线最短”。这种选择题没法直接“加盐”，因为答案不是数字，你不能在“川菜”上加上"0.3"。大厨的第三种配方为此而生：指数机制。

指数机制的核心思想是引入一个打分函数（Utility Score） \(u(x, r)\)，它衡量在数据集 \(D\) 下选择候选答案 \(r\) 的效用高低。机制的输出是一个随机选中的候选答案，选中概率与效用的指数成正比：

其中 \(\Delta u\) 是打分函数的敏感性，衡量当一条记录变化时，打分函数值的最大变化量。

指数机制像一个“带偏见的抽奖转盘”：高分项占据了转盘的大部分面积，但低分项也保留了一席之地。这让对手即便看到输出结果，也无法确定它是真实最高分还是偶尔逆袭的次高分——隐私由此得到保护。大厨的三种盐方至此全部完成：数值用 Laplace、高维用 Gaussian、选择题用指数机制。

Pr⁡[输出 r]∝exp⁡(ε⋅u(D,r)2Δu)\Pr[\text{输出 } r] \propto \exp\left(\frac{\varepsilon \cdot u(D, r)}{2 \Delta u}\right)
  1. 打分函数 \(u(D, r)\)比如对“最受欢迎菜系”这个查询，\(u\) 可以是“该菜系在数据集 \(D\) 中的销量占比”。
    u:D×R→Ru: \mathcal{D} \times \mathcal{R} \rightarrow \mathbb{R}
  2. 打分函数敏感性 \(\Delta u\)衡量一条记录的变化最多能让某个候选的得分改变多少。
    Δu=max⁡D,D′max⁡r∣u(D,r)−u(D′,r)∣\Delta u = \max_{D, D'} \max_{r} |u(D, r) - u(D', r)|
  3. 指数采样概率得分越高的候选，被选中的概率呈指数级增大；但得分低的候选仍有非零概率被选中——这就是随机性的来源。
    Pr⁡[r]=exp⁡(ε⋅u(D,r)2Δu)∑r′∈Rexp⁡(ε⋅u(D,r′)2Δu)\Pr[r] = \frac{\exp(\frac{\varepsilon \cdot u(D,r)}{2\Delta u})}{\sum_{r' \in \mathcal{R}} \exp(\frac{\varepsilon \cdot u(D,r')}{2\Delta u})}

隐私预算管理

大厨的盐罐子并非无限大，他手里的盐总量是有限的——这就是隐私预算 ε。每一次加噪发布，都会消耗一部分预算。如果一次性把预算花光，之后任何查询都将毫无隐私保护可言。因此，如何合理分配预算，是大厨的必修课。

核心的预算管理工具是两个组合定理。顺序组合定理说：如果对同一数据集依次执行 \(\varepsilon_1\)-DP 和 \(\varepsilon_2\)-DP 两个机制，那么整体满足 \((\varepsilon_1 + \varepsilon_2)\)-DP。并行组合定理则说：如果将数据集拆分成互不相交的分块，对每个分块分别执行 DP 机制，那么整体隐私预算只取决于单个机制中最大的 \(\varepsilon\)，而不是累加。

理解组合定理至关重要：它告诉你为什么同一份数据不能无限次地“免费试吃”。大厨每次撒盐都要记账，盐罐子见底之时，就是隐私保护失效之日。合理的预算规划，能让有限的一罐盐支撑一整天的营业。

εseq=∑i=1nεi且εpar=max⁡iεi\varepsilon_{\text{seq}} = \sum_{i=1}^n \varepsilon_i \quad \text{且} \quad \varepsilon_{\text{par}} = \max_i \varepsilon_i
  1. 顺序组合多个机制依次作用于同一个数据集，隐私预算线性累加。就像同一道菜先后撒了多次盐，咸度逐次累加。
    εseq=ε1+ε2+⋯+εn\varepsilon_{\text{seq}} = \varepsilon_1 + \varepsilon_2 + \cdots + \varepsilon_n
  2. 并行组合数据集按个体拆分，每个个体只经历一次机制。虽然做了多次查询，但每次面对的都是“不同的人”，所以取最大值即可。
    εpar=max⁡(ε1,ε2,⋯ ,εn)\varepsilon_{\text{par}} = \max(\varepsilon_1, \varepsilon_2, \cdots, \varepsilon_n)
  3. 预算分配策略常见做法是将总预算拆成多份，分配给不同查询；或使用自适应调度，先做探索性分析，再集中预算做精确发布。
    εtotal=∑iεi(顺序场景)\varepsilon_{\text{total}} = \sum_i \varepsilon_i \quad (\text{顺序场景})

机器学习应用

大厨的三种盐方最终要端上 AI 的宴席。在实际的机器学习工作流中，差分隐私可以在多个环节发挥作用——从数据发布到模型训练，再到联邦学习。

最常见的应用是统计数据发布：比如医疗机构对外发布“平均住院天数”“各年龄段患病率”等统计信息前，用 Laplace 机制对聚合结果加噪，让外部研究者既能利用数据趋势，又无法反推任何一位患者的信息。其次是梯度扰动训练：在训练深度学习模型时，每轮计算梯度后立即注入 Gaussian 噪声（对应 \((\varepsilon, \delta)\)-DP），再执行梯度下降。这个被称为 DP-SGD 的方法，让模型参数本身不直接依赖任何单条训练样本。最后是联邦学习结合：联邦学习各客户端本地训练后，上传梯度前先做裁剪和加噪，服务器聚合时噪声相互抵消，既保护了各参与方数据，又保证了模型性能。

对于大厨而言，这意味着他的厨房可以对外开放：“食客们，欢迎来品尝我们的统计分析汤，配方保密，但味道绝对真实可靠。”数据科学家和 AI 工程师由此可以在不触碰隐私红线的条件下，充分利用数据的价值——这正是差分隐私在 AI 安全领域的重要地位。

AI 应用场景

医疗统计数据安全发布

阶段：数据预处理与特征工程

解决的问题：医院希望公开其治疗统计数据（如平均住院天数、各病种治愈率）供医学研究使用，但直接发布会泄露患者隐私。传统做法是脱敏后发布，但攻击者可通过关联攻击（如结合外部人口数据）重识别个体。差分隐私通过向统计结果注入校准噪声，确保任何单条记录的变化都无法被可靠感知。

具体案例：某三甲医院计划发布近五年“各科室平均住院费用”统计报告。数据团队先用 Laplace 机制对每个科室的平均费用加噪（敏感性为“单笔最高费用/科室人数”），并设置 ε=0.5 的隐私预算。这样，外部研究者可以对比科室费用趋势用于医疗经济学研究，但即便结合患者入院记录，也无法确认任何特定住院患者的费用是否被包含在统计中。

联邦学习中的梯度隐私保护

阶段：模型训练与参数更新

解决的问题：在联邦学习框架下，各参与方本地训练模型后上传梯度。梯度本身可能泄露训练数据信息（如通过梯度反演攻击重构图像或文本）。Gaussian 机制可在校准敏感度后对梯度加噪，防止恶意服务器或窃听者从梯度中恢复隐私数据。

具体案例：某银行联盟联合训练反欺诈模型，10 家银行各自持有本行交易数据。每一轮训练中，各银行计算梯度 → 裁剪（限制 L2 范数 ≤ C）→ 添加 Gaussian 噪声（σ = 2C√(2ln(1.25/δ))/ε）→ 上传至中央服务器聚合。最终模型在保持 AUC 指标仅下降约 3% 的情况下，实现了可证明的 (\(\varepsilon\)=3, \(\delta\)=10⁻⁵)-差分隐私保证。

个性化推荐系统的隐私候选选择

阶段：模型推理与排序

解决的问题：推荐系统需要从海量候选物品中选出推荐给用户的 Top-K 项。直接返回最高分物品会暴露用户偏好。指数机制通过对打分函数（如预测点击率）加“指数噪声”，使高分项以高概率入选、低分项保留少量概率，既保证了推荐质量，又防止了精确行为画像。

具体案例：某短视频平台希望改善推荐流中用户的“信息茧房”问题，同时不泄露个体观看历史。算法团队引入指数机制：打分函数定义为“视频与用户兴趣的匹配度”，敏感性校准为 1，ε=1.0。这样用户的推荐结果中含有约 10%-15% 的“意外”候选（真实得分并非最高），既拓展了兴趣边界，又让任何外部观察者无法确定推荐的精准依据。

Python 演示

python73 行
"""差分隐私机制演示：用三种机制保护统计数据"""import numpy as npimport matplotlib.pyplot as plt class LaplaceMechanism:    """Laplace机制：适用于数值型查询，满足ε-差分隐私"""    def __init__(self, epsilon, sensitivity):        self.epsilon = epsilon        self.sensitivity = sensitivity     def query(self, f_value):        # 噪声尺度 = 敏感性 / ε        scale = self.sensitivity / self.epsilon        noise = np.random.laplace(0, scale)        return f_value + noise class GaussianMechanism:    """Gaussian机制：满足(ε,δ)-差分隐私，适合高维场景"""    def __init__(self, epsilon, delta, sensitivity):        self.epsilon = epsilon        self.delta = delta        self.sensitivity = sensitivity     def query(self, f_value):        # 噪声标准差 = 敏感性 * sqrt(2*ln(1.25/δ)) / ε        sigma = self.sensitivity * np.sqrt(2 * np.log(1.25 / self.delta)) / self.epsilon        noise = np.random.normal(0, sigma)        return f_value + noise class ExponentialMechanism:    """指数机制：适用于非数值域的选择问题"""    def __init__(self, epsilon, utility_sensitivity):        self.epsilon = epsilon        self.utility_sensitivity = utility_sensitivity     def select(self, candidates, utility_func, data):        # 计算每个候选的得分，按指数概率采样        scores = np.array([utility_func(data, r) for r in candidates])        probs = np.exp(self.epsilon * scores / (2 * self.utility_sensitivity))        probs = probs / np.sum(probs)        return np.random.choice(candidates, p=probs) def utility_count(data, category):    """打分函数：统计某个类别的数量"""    return np.sum(data == category) def run_demo():    # 模拟数据集：10000人的年龄和偏好    rng = np.random.RandomState(42)    ages = rng.normal(loc=35, scale=12, size=10000)    cities = rng.choice(['北京', '上海', '广州'], size=10000, p=[0.5, 0.3, 0.2])     true_mean_age = np.mean(ages)    print(f'真实平均年龄: {true_mean_age:.2f}')     # 1. Laplace机制查询平均年龄    lap_mech = LaplaceMechanism(epsilon=1.0, sensitivity=0.001)    lap_mean = lap_mech.query(true_mean_age)    print(f'Laplace发布结果: {lap_mean:.2f}')     # 2. Gaussian机制查询平均年龄    gau_mech = GaussianMechanism(epsilon=1.0, delta=1e-5, sensitivity=0.001)    gau_mean = gau_mech.query(true_mean_age)    print(f'Gaussian发布结果: {gau_mean:.2f}')     # 3. 指数机制：查询最常见的城市    exp_mech = ExponentialMechanism(epsilon=1.0, utility_sensitivity=1.0)    top_city = exp_mech.select(['北京', '上海', '广州'],                               utility_count, cities)    print(f'指数机制选出的最受欢迎城市: {top_city}') if __name__ == '__main__':    run_demo()
目的：用 numpy 实现差分隐私的三种核心机制，演示如何对统计查询结果注入校准噪声，并在数值查询（Laplace/Gaussian）和离散选择（指数机制）场景下进行隐私保护发布。
  1. class LaplaceMechanism:定义 Laplace 机制类，封装噪声生成逻辑
  2. scale = self.sensitivity / self.epsilon噪声尺度 = 敏感性/隐私预算，这是保证 ε-DP 的关键校准
  3. noise = np.random.laplace(0, scale)从 Laplace 分布采样，模拟“撒盐”动作
  4. sigma = self.sensitivity * np.sqrt(2 * np.log(1.25 / self.delta)) / self.epsilonGaussian 噪声的标准差公式，由 ε 和 δ 共同决定
  5. probs = np.exp(self.epsilon * scores / (2 * self.utility_sensitivity))指数机制的采样概率正比于打分函数的指数，实现“高分高概率但不垄断”
  6. np.random.choice(candidates, p=probs)按指数概率分布从候选集中采样，完成隐私保护的“选择题”
  7. run_demo()完整演示流程：构造模拟数据、三机制依次发布结果

常见误区

误区想要更强的隐私保护，就把 ε 设得很小，比如 0.01，反正多加噪声总没错。

正解这就像大厨为了保密把整罐盐倒进汤里——汤完全没法喝了。差分隐私的目标不是“最大化随机性”，而是在隐私保护与数据可用性之间取得平衡。ε 过小会导致注入的噪声淹没真实信号，使得发布的统计结果失去研究价值。实际工程中，ε 通常设置在 1-10 之间，并通过实验验证数据效用不显著下降。

为何常见：初学者容易把“隐私保护”理解为“随机性越强越好”，忽略了差分隐私定义中“保护与效用”这对天然矛盾。越“糊”的数据越安全，但也越没用。

误区在查询结果上加个随机数，就算实现了差分隐私。

正解差分隐私绝不是“随便加点噪声”那么简单。噪声必须有可证明的校准关系——它必须和查询的敏感性挂钩。比如 Laplace 机制的噪声尺度必须等于 \(\Delta f / \varepsilon\)，否则要么保护不足，要么效用损失过大。不加校准地随便加噪，在隐私保护强度上是不可证的，攻击者完全可能在不知道噪声分布的情况下进行攻击。

为何常见：因为差分隐私的数学形式（概率比限制）比较抽象，初学者容易把它简化为“加随机噪声”这个直观动作，而忽略了背后严格的概率保证和校准公式。

误区我的数据集不大，删掉一条记录影响很小，所以敏感性可以直接用当前数据集实测。

正解差分隐私要求在最坏情况下依然安全，因此必须使用全局敏感性——即对所有可能的邻近数据集对的输出差异取最大值。局部敏感性虽然看起来更小、噪声更少，但它依赖当前数据集的特性，攻击者可能在构造数据时利用这一点发起攻击。在正式实现中，只有全局敏感性才能给出可靠的隐私保证。

为何常见：人的直觉是“看实际影响”，而数学上要求“考虑最坏场景”。初学者容易将“我这个数据库的实际变化”与“所有可能数据库的极端变化”混淆，导致低估所需噪声量。

误区Gaussian 机制的 δ 就是个小容错率，设成 0.01 甚至 0.1 也没什么大不了。

正解δ 本质上是“隐私失败的赌博概率”。如果 \(\delta > 1/|D|\)，攻击者可以直接随机猜中一个个体（概率为 δ），隐私保护形同虚设。因此实践要求 δ 必须远小于数据集规模分之一（如 \(10^{-5}\) 或更小），且通常应满足 \(\delta \ll 1/n\)。把 δ 设大就等于允许“偶尔完全泄露”，这在法律上也站不住脚。

为何常见：初学者容易把 δ 理解为工程上的“可容忍误差”，而忽略了它在数学上代表“无条件泄露”的概率——这是一个法律级的安全底线，不是可随意调参的旋钮。

误区用差分隐私发布了 100 个统计结果，每个都是 ε=1，所以整个系统隐私保护等级是 ε=1。

正解根据顺序组合定理，对同一数据集执行多次差分隐私查询，总隐私预算会线性累加——100 次 ε=1 的查询整体的隐私保证是 ε=100，这已经是“裸奔”级别。正确做法是：事先规划总预算，将其拆分给不同的分析任务，或者采用并行组合（对互不相交的数据分块查询）来控制累加效应。

为何常见：实践中，团队容易把每次发布当作独立任务，忽略了共享同一数据集时隐私损失的叠加效应。这种“预算透支”在审计时往往被忽视，直到发生严重泄露事故。

面试题

Q1. 差分隐私的核心目标是？

单选题 · easy

  • A.删除所有敏感字段
  • B.加密存储数据
  • C.掩盖单条记录影响← 正确答案
  • D.限制外部网络访问

答案：C。差分隐私通过向查询结果注入校准噪声，让任何单条记录的加入或移除对输出概率分布的影响被限制在 \(e^{\varepsilon}\) 倍以内，而非删除或加密数据本身。

Q2. Laplace 机制中噪声尺度参数 b 应如何设置？

单选题 · easy

  • A.固定为 1
  • B.等于敏感性除以 ε← 正确答案
  • C.等于数据集大小
  • D.等于查询结果本身

答案：B。Laplace 机制的噪声尺度必须校准为 \(b = \Delta f / \varepsilon\)。只有这样才能保证概率密度比被 \(e^{\varepsilon}\) 界住，满足 ε-差分隐私。

Q3. 全局敏感性（Global Sensitivity）的计算方式是？

单选题 · mid

  • A.随机抽样求平均值
  • B.当前数据集上实测最大变化
  • C.所有邻近数据集对输出差异的最大值← 正确答案
  • D.查询函数输出的标准差

答案：C。全局敏感性需遍历所有可能的邻近数据集对，取查询输出差异的最大值。这是为了在最坏情况下仍保证隐私，而不是用实际数据集计算。

Q4. 关于 Gaussian 机制，正确的说法是？

多选题 · mid

  • A.满足严格的 ε-差分隐私
  • B.满足 (ε, δ)-放松版差分隐私← 正确答案
  • C.噪声来自正态分布← 正确答案
  • D.适用于任何数据域无需校准

答案：BC。Gaussian 机制只能满足含 δ 的放松版定义，噪声服从正态分布 \(\mathcal{N}(0, \sigma^2)\)，且 σ 必须由敏感性、ε、δ 共同校准，不能随意使用。

Q5. 指数机制主要解决什么问题？

单选题 · mid

  • A.大规模矩阵乘法加速
  • B.高维向量的降维处理
  • C.非数值域的隐私保护选择← 正确答案
  • D.图像数据的加密压缩

答案：C。Laplace 和 Gaussian 机制只适用于数值型输出，而现实中有大量查询是离散选择（如推荐 Top-K、选出最优模型）。指数机制通过打分函数加指数噪声来解决这类问题。

Q6. 关于差分隐私组合定理，正确的是？

多选题 · hard

  • A.顺序组合隐私预算累加← 正确答案
  • B.并行组合隐私预算累加
  • C.并行组合取最大预算← 正确答案
  • D.顺序组合取最大预算

答案：AC。顺序组合（同一数据集多次查询）总预算为各次之和；并行组合（互不相交的数据分块各查询一次）总预算为各块中最大值。错误选项正是混淆了这两种组合关系。

Q7. ε 在差分隐私中的含义是？

单选题 · easy

  • A.数据集的大小
  • B.允许的噪声功率
  • C.隐私损失预算← 正确答案
  • D.查询函数的敏感性

答案：C。ε 是隐私预算，控制隐私保护的强度。ε 越小，隐私保护越强但噪声越大、数据可用性越低；ε 越大则反之。它不是噪声功率或数据集大小。

Q8. 某查询函数 f 统计“年龄大于30的人数”，其全局敏感性 Δf 是？

单选题 · mid

  • A.100
  • B.30
  • C.1← 正确答案
  • D.0.5

答案：C。计数查询的敏感性恒为 1，因为增减一条记录至多让计数变化 1。这是差分隐私中最常用的敏感性值，也是许多算法设计的基石。

Q9. 在机器学习中应用差分隐私，常用做法包括？

多选题 · hard

  • A.对训练数据做脱敏替换
  • B.对梯度添加 Gaussian 噪声← 正确答案
  • C.对损失函数加密计算
  • D.对统计聚合结果用 Laplace 加噪← 正确答案

答案：BD。DP-SGD 对每轮梯度裁剪后加 Gaussian 噪声；数据发布场景用 Laplace 机制保护统计聚合结果。脱敏替换和加密计算都不是差分隐私的典型实现手段。

Q10. 关于 (\(\varepsilon\), \(\delta\))-差分隐私中的 δ，正确的理解是？

单选题 · mid

  • A.允许以 δ 的概率完全泄露隐私← 正确答案
  • B.δ 越大隐私保护越强
  • C.δ 表示噪声的方差大小
  • D.δ 必须大于数据集规模

答案：A。δ 是隐私保护的“失败概率”——最多以 δ 的概率出现无保护的情况。实践中要求 δ 远小于 \(1/n\)（n 为数据集规模），否则攻击者可随机猜中个体。δ 越大保护越弱。

Q11. 设计一个指数机制时，若打分函数敏感性 Δu 变大，采样概率分布会？

单选题 · mid

  • A.更集中选择最高分项
  • B.更均匀地分散到各项← 正确答案
  • C.完全不受影响
  • D.只输出最低分项

答案：B。指数机制中概率与 \(\varepsilon \cdot u / (2\Delta u)\) 成正比。Δu 变大时，指数中的分子效应被稀释，各项概率更加接近，输出趋于随机均匀，隐私保护增强但效用下降。

Q12. 以下哪种查询适合用 Laplace 机制保护？

单选题 · easy

  • A.选出最优推荐商品
  • B.输出数据集平均收入← 正确答案
  • C.判断某条记录是否存在
  • D.生成模拟数据样本

答案：B。Laplace 机制面向数值型查询，如平均值、计数、求和等。选出推荐商品属于离散选择，应使用指数机制；判断记录存在性可直接用随机化应答器处理。