想象你的大脑是一间书房，书桌上摊着一本私密日记。日记里写着你此刻的念头、下一句话想说什么、藏在心底的恐惧，甚至你自己都未察觉的偏好。脑机接口（BCI）设备就像一位信使，每天替你把脑中的电信号誊抄出来，交给外头的智能应用。问题在于，信使走的是公共马路——路上的小偷可能偷看日记、涂改内容、模仿你的笔迹，甚至根据前几篇猜出你明天会写什么。神经数据隐私与安全保护，研究的就是如何给这些“日记”上锁、涂掉敏感细节、管理钥匙，以及在小偷动手时第一时间报警。这篇文章将用“书房日记”这条线，带你从神经数据为何特殊讲起，依次认识威胁类型、加密认证、安全存储、法规伦理，最后来一场攻防演练。

岗位关联

掌握神经数据隐私保护，是 AI 交互产品走向合规、赢得用户信任的必修课，也是脑机接口从业者区别于“只会做 Demo”的关键竞争力。

目录
  1. 可视化演示
  2. 神经数据特性
  3. 隐私威胁类型
  4. 加密与认证
  5. 安全存储与脱敏
  6. 法规与伦理合规
  7. 攻防实战演练
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

展示神经数据隐私保护四阶段：BCI信号采集与风险、脑纹识别威胁、差分隐私噪声保护、联邦学习去中心化训练。切换步骤查看各阶段，拖动滑块调节隐私预算。

本节配有交互动效（进入视口后自动加载，约 3KB）。

BCI神经信号采集 脑机接口通过EEG电极采集大脑皮层电信号，信号频率覆盖δ(0.5-4Hz)至γ(30-100Hz)全频段 神经数据不仅含生理状态，还直接反映认知过程、情绪反应和潜意识偏好，敏感度远超普通健康数据 neural_data = collect(EEG_channels, sampling_rate) 神经数据采集是隐私风险源头

神经数据特性

想象书房里有一本日记，它不只是记录“几点起床”的流水账，而是写满了你下一个决定、藏在心底的恐惧、甚至自己都没意识到的偏好。这样的日记，显然比一张便利贴更值得保护。神经数据就是大脑的“私密日记”：每一段脑电波形，都是思维活动投下的影子。

当脑机接口头环把电极贴到头皮上，采集到的原始脑电（EEG）信号经过放大、滤波、数字化，变成 AI 模型可以处理的数值流。它和普通传感器数据最大的不同在于四个特性：一是高敏感性，波形里藏着情绪、注意力、意图；二是身份可识别性，每个人的脑纹（brainprint）像笔迹一样独一无二；三是实时动态性，数据以毫秒级持续流动；四是不可替代性，一旦泄露无法像密码一样重置。

如何量化“这段数据到底有多敏感”？信息论给出了一个漂亮工具——信息熵。熵越高，说明数据携带的不确定性（信息量）越大，被推断出隐私的风险也越高。对一个仅含两种状态的信号，熵最大为 1 bit；状态越多、分布越均匀，熵越大，日记也就越“耐人寻味”。

所以，保护神经数据的第一步不是急着加锁，而是先认清“这本日记到底多值钱”。一个只会统计眨眼次数的头环，和一个能读出你意图的高级设备，保护等级完全不同。这自然引出了下一节——威胁者究竟会怎么下手。

H(X)=−∑i=1np(xi)log⁡2p(xi)\displaystyle H(X) = -\sum_{i=1}^{n} p(x_i) \log_2 p(x_i)
通俗说明：信息熵衡量“数据的意外程度”。日记里全是“今天也起床了”这种废话，熵很低；如果写着“我决定辞职去学冲浪”，熵就很高——也越值得被保护。
  1. 事件集合设神经数据可能处于 n 种状态，X 表示这些状态的随机变量，x_i 是第 i 种状态。 X={x1,x2,…,xn}X = \{x_1, x_2, \dots, x_n\}
  2. 概率分布p(x_i) 表示第 i 种状态出现的概率，所有概率之和为 1，这是熵计算的前提。 ∑i=1np(xi)=1\sum_{i=1}^{n} p(x_i) = 1
  3. 对数运算对每个概率取以 2 为底的对数，用来度量该状态发生时的“惊讶程度”，概率越小惊讶越大。 log⁡2p(xi)\log_2 p(x_i)
  4. 加权求和把每个状态的惊讶程度按概率加权后求和并取负，得到平均信息量，也就是熵。 H(X)=−∑i=1np(xi)log⁡2p(xi)\displaystyle H(X) = -\sum_{i=1}^{n} p(x_i) \log_2 p(x_i)

隐私威胁类型

小偷盯上书房里的日记，通常会做四件事：趴在窗外偷看几页（窃听），拿笔涂改内容（篡改），模仿你的字迹写信骗人（身份冒充），甚至根据前几篇预测你明天写什么（意图推断）。神经数据的攻击者，玩的也是同样的把戏。

在脑机接口系统中，信号要从头环传到手机或云端，这条无线信道就是“窗外”。攻击者可以嗅探信道拿到原始脑波（窃听攻击）；可以截获并修改信号，让轮椅往错误方向移动（数据篡改）；可以用足够多的脑波样本提取“脑纹”，日后追踪同一个用户（身份指纹追踪）。最可怕的是利用事件相关电位（如 P300）进行意图推断——屏幕上闪过一个目标时，大脑会在约 300 毫秒后产生一个可检测的电位峰，攻击者据此判断你是否认出了某个目标，从而实现“读心”。

如何评估一份数据集的“暴露程度”？k-匿名模型给出了一个直观标准：如果一条记录与至少 k−1 条其他记录在准标识符上无法区分，那么攻击者锁定具体个体的概率只有 1/k。

当然，k-匿名只是“降低猜中概率”，并不能挡住所有攻击。就像小偷可能带着笔迹专家来认字——这就把话题推向真正的对抗手段：加密与认证。

S={r1,r2,…,rk},P识别=1k\displaystyle S = \{ r_1, r_2, \dots, r_k \}, \qquad P_{\text{识别}} = \frac{1}{k}
通俗说明：把日记混进一摞完全相同的本子里，小偷猜中真正那一本的概率就是 1/k。k 越大，越难猜中。
  1. 匿名集合设攻击者面对 k 条在关键字段上无法区分的记录，这些记录构成候选集合 S。 S={r1,r2,…,rk}S = \{ r_1, r_2, \dots, r_k \}
  2. 等概率假定在没有额外信息时，攻击者只能认为每条记录被认定的概率相同，这是匿名性的基础。 P(ri)=1k,i=1,2,…,kP(r_i) = \frac{1}{k}, \quad i = 1, 2, \dots, k
  3. 个体识别风险目标被精确识别的概率等于 1/k，k 越大、风险越低，对应 k-匿名等级越高。 P识别=1k\displaystyle P_{\text{识别}} = \frac{1}{k}

加密与认证

意识到日记会被偷看后，书房的主人买了一把锁。加密就是这把锁：明文（原始脑波）在密钥作用下变成密文（乱码），没有钥匙的人即使拿到也读不懂。在脑机接口场景里，从电极到终端的每一跳传输都应该“上锁”。

最直观的加密方式是 XOR（异或）加密。发送方用密钥 K 与明文 P 逐位异或得到密文 C；接收方再用同一个 K 与 C 异或即可还原 P。因为两次异或相互抵消（a ⊕ a = 0），计算开销极低，非常适合脑波这种高吞吐的流式信号。

但密钥本身也可能被偷，所以现代系统不会只靠一把锁。脑纹（brainprint）是天然的“笔迹锁”——不同人对同一刺激的脑电反应模式独一无二，极难伪造；多因素认证则要求“你戴着的设备 + 你的脑纹 + 你的口令”三者同时成立，相当于书房装了密码锁、指纹锁和保安三重门禁。此外还有一层“软保护”：差分隐私。它不追求完全防住窃听，而是从统计上保证：攻击者无论怎么做，都难以判断某个具体个体是否出现在数据集中。

有了加密和认证，日记在运输途中不再“裸奔”。但锁只能防住路上的小偷，日记放进保险柜之后还要考虑长期存放的问题——于是我们进入下一节：安全存储与脱敏。

C=P⊕K,P=C⊕K\displaystyle C = P \oplus K, \qquad P = C \oplus K
通俗说明：在对外公布的统计结果里混入恰到好处的“假话”。噪音足够大时，小偷看不出某一页日记是不是你写的；噪音又不能太大，否则整本日记都没法读了。
  1. 原始查询f(D) 表示对神经数据集合 D 进行的某个统计查询，例如“全体用户的平均放松指数”。 f(D)f(D)
  2. 敏感度Δf 衡量删除一条记录后查询结果的最大变化量，单条记录影响越大，越需要更多噪声掩护。 Δf=max⁡D,D′∥f(D)−f(D′)∥1\displaystyle \Delta f = \max_{D, D'} \left\lVert f(D) - f(D') \right\rVert_1
  3. 拉普拉斯噪声按敏感度与隐私预算的比值缩放噪声，ε 越小注入噪声越大、隐私越强。 Lap⁡(Δfε)\operatorname{Lap}\left(\frac{\Delta f}{\varepsilon}\right)
  4. 隐私发布对外公布加噪后的结果，让任何个体是否参与数据集都难以被察觉。 M(D)=f(D)+Lap⁡(Δfε)\displaystyle \mathcal{M}(D) = f(D) + \operatorname{Lap}\left(\frac{\Delta f}{\varepsilon}\right)

安全存储与脱敏

日记主人发现，天天把整本日记交给信使送去远方誊抄太危险了，于是改变策略：能在家完成的事，绝不出门。这就是端侧本地化处理——尽量在头环或手机上完成信号预处理和推理，原始脑波不出设备，只把“结论”送出去。

必须外传的数据，也要先做匿名脱敏：涂掉日记中的人名和地名，丢弃与任务无关的通道，必要时叠加噪声。脱敏不是简单删字段，而是让数据“既可用、又认不出主人”。这时可以用相关系数来衡量脱敏后数据还保留了多少有用信息——相关性越高，说明脱敏对下游任务越友好。

更进一步，多个机构想共同训练一个“读脑”模型，又不愿共享原始数据，联邦学习便登场了：每家在自己的本地用自家数据训练模型，只上传模型参数的更新到中心服务器聚合，原始脑波永不离开本地。与此同时，系统还要做好分级权限管理：用户本人、医生、算法工程师、运维人员只能访问不同粒度的数据，就像书房里不同的抽屉配不同的钥匙。

端侧处理、脱敏、联邦学习、分级权限，这四道防线把“日记”牢牢锁在书房里。不过，光有锁和抽屉还不够——小区里还需要规则来约束所有人，这就是法规与伦理。

ρX,Y=Cov⁡(X,Y)σXσY\displaystyle \rho_{X,Y} = \frac{\operatorname{Cov}(X,Y)}{\sigma_X \sigma_Y}
通俗说明：相关系数衡量“脱敏后的假日记”和“真实日记”的相似度。太高说明噪声加得不够，太低说明数据已被破坏到没法用。
  1. 协方差Cov(X,Y) 描述两组数据共同变化的程度，正值表示同向变化，是相关性的原始度量。 Cov⁡(X,Y)=1n∑i=1n(xi−xˉ)(yi−yˉ)\displaystyle \operatorname{Cov}(X,Y) = \frac{1}{n}\sum_{i=1}^{n}(x_i - \bar{x})(y_i - \bar{y})
  2. 标准差归一分别除以两组数据的标准差 σX 和 σY，把结果压缩到 [−1, 1]，消除量纲影响。 σX=1n∑i=1n(xi−xˉ)2\displaystyle \sigma_X = \sqrt{\frac{1}{n}\sum_{i=1}^{n}(x_i - \bar{x})^2}
  3. 脱敏效用指标|ρ| 越接近 1，脱敏后数据与原始数据越相似，保留的可用信息越多。 ρX,Y=Cov⁡(X,Y)σXσY\displaystyle \rho_{X,Y} = \frac{\operatorname{Cov}(X,Y)}{\sigma_X \sigma_Y}

法规与伦理合规

再好的锁，也挡不住“没有人管”的乱象。小区推行《日记保护公约》，规定信使不能随便抄写、管理处在抄写前要得到户主签字。对应到神经数据领域，这就是法律法规与伦理框架：知情同意、数据最小化、监管合规、伦理审查。

知情同意要求设备厂商用用户听得懂的语言讲清楚“采集什么、为什么采集、传给谁”，而不是把说明藏在几十页条款里；数据最小化原则要求只采集完成任务所需的最少数据——测量睡眠只需要 δ 波段的统计量，就没必要把整个 64 通道的原始 EEG 全传走；监管框架（如欧盟 GDPR、我国《个人信息保护法》）把神经数据认定为高度敏感的个人信息；伦理审查则要求医疗或研究项目先过独立的伦理委员会，确保研究目的正当、风险可控。

产品团队在做隐私决策时，需要一个简单的权衡工具——隐私风险评估。

法规与伦理给了“保护日记”一个社会共识。但规则再完善，也要靠实战来检验——如果小偷真的来了，我们的防线扛得住吗？下面进入攻防演练。

R=L×I\displaystyle R = L \times I
通俗说明：风险 = 发生概率 × 危害程度。就像判断“书房有没有必要装防盗窗”：住在低层且日记价值高，风险就高；住在高层且日记只是流水账，风险就低。
  1. 可能性 L表示威胁事件发生的概率，取值 0 到 1，可根据历史攻击频率和系统暴露面估计。 L∈[0,1]L \in [0, 1]
  2. 影响 I表示事件一旦发生造成的伤害程度，取值 0 到 1，可从隐私泄露的严重性评估。 I∈[0,1]I \in [0, 1]
  3. 风险合成两者相乘得到风险值，任何一方接近 0 时整体风险趋近于 0，强调了“可能性”与“影响”缺一不可。 R=L×IR = L \times I

攻防实战演练

小区每年组织一次“小偷演习”：请专业人员尝试翻窗、撬锁、冒充业主，找出书房的薄弱点。神经数据团队同样要定期做攻击模拟——白帽黑客尝试窃听信道、篡改指令、注入恶意视觉刺激，检验“日记”是否真的安全。

针对攻击，防御方有几板斧。对抗防御策略：在训练阶段加入对抗样本，让模型对微小的恶意扰动更鲁棒；异常行为检测：持续监控信号特征，一旦发现“有人正在暴力破解密钥”或“脑波模式与用户历史模板明显不符”立刻告警；安全应急预案：定义事件分级、响应流程、数据隔离与用户通知机制。要评估检测系统好不好，最常用的指标是查准率（Precision）与查全率（Recall），以及两者的调和平均 F1 分数。

在真实产品中，攻防不是一次性项目，而是持续循环：上线前的渗透测试 → 运行中的异常监控 → 事件后的复盘与模型更新 → 新的攻击模拟。每一次循环，都让“书房日记”的安全等级提升一档。

从认清日记的价值，到了解小偷的手段，再到上锁、入柜、立规矩、搞演练，神经数据隐私与安全保护形成了一套完整闭环。正如我们每天离开书房前会检查门锁一样，AI 交互产品也应当默认把“保护思维隐私”写进每一行代码。

F1=2×Precision×RecallPrecision+Recall,Precision=TPTP+FP,Recall=TPTP+FN\displaystyle F1 = \frac{2 \times \text{Precision} \times \text{Recall}}{\text{Precision} + \text{Recall}}, \qquad\text{Precision} = \frac{TP}{TP+FP}, \quad \text{Recall} = \frac{TP}{TP+FN}
通俗说明：查准率回答“报警的人里有多少是真小偷”，查全率回答“真小偷里有多少被抓住”。F1 是两者的综合评分，像给两道题分别打分后再算平均。
  1. 四类结果TP 是正确报出的攻击，FP 是误报，FN 是漏报，TN 是被正确放行的正常数据。 TP+FP+TN+FN=NTP + FP + TN + FN = N
  2. 查准率所有报警中真正是攻击的比例，衡量系统“不乱报警”的能力。 Precision=TPTP+FP\displaystyle \text{Precision} = \frac{TP}{TP + FP}
  3. 查全率所有真实攻击中被发现的比例，衡量系统“不漏报”的能力。 Recall=TPTP+FN\displaystyle \text{Recall} = \frac{TP}{TP + FN}
  4. F1 调和平均对查准率和查全率取调和平均，任何一边太差都会拉低总分，适合攻防这种两类错误都代价高昂的场景。 F1=2×Precision×RecallPrecision+Recall\displaystyle F1 = \frac{2 \times \text{Precision} \times \text{Recall}}{\text{Precision} + \text{Recall}}

AI 应用场景

冥想头环产品的本地隐私设计

阶段：数据采集与交互设计

解决的问题：传统方案把原始 EEG 上传云端分析，用户的情绪、专注度等状态间接暴露给厂商和第三方。AI 方案把“日记”留在书房——在设备端完成加密与特征提取，只上传“放松指数”等脱敏指标，既满足个性化推荐需求，又避免原始脑波出境。

具体案例：某睡眠冥想头环团队在设计 App 时采用端侧处理：头环内置轻量模型实时计算放松指数，原始 α/θ 波段数据仅保存在本地，云端的个性化推荐只接收指数序列，产品顺利通过隐私评审并显著提升了用户对品牌的安全信任。

神经疾病远程诊疗平台的联邦学习

阶段：模型训练与部署

解决的问题：癫痫患者的 EEG 数据高度敏感且分散在不同医院，集中训练既违反数据最小化原则，又面临数据出境合规风险。联邦学习让每家医院在本地训练模型、只上传梯度更新，配合差分隐私加噪，实现“数据不动、模型动”。

具体案例：一个多中心脑电研究项目中，五家医院各持约 2 万小时的 EEG 记录，通过联邦学习框架联合训练癫痫发作检测模型，中心服务器只聚合参数，全程无原始脑波外流，最终模型检出率比单中心模型提升了约 9%。

脑控打字系统的防意图劫持

阶段：实时交互与安全监控

解决的问题：基于 P300 的脑控拼写器容易被恶意视觉刺激诱导，用户可能在不知情的情况下“帮”攻击者打出敏感信息。AI 方案在交互链路中部署异常检测模型，实时比对当前脑波响应与用户历史模板，发现偏差立即暂停交互并触发二次认证。

具体案例：某脑控轮椅厂商在指令链路中加入轻量异常检测模块：当指令队列中出现与用户历史习惯显著不符的连续选择时，系统要求用户复述一次口令，成功拦截了多起注入式攻击实验，把意图推断威胁挡在了门外。

Python 演示

python70 行
import mathimport random  def generate_signal(length=1000, seed=42):    """Generate a synthetic EEG-like signal."""    random.seed(seed)    signal = []    for i in range(length):        wave = math.sin(i * 0.05) * 0.6 + math.sin(i * 0.13 + 1.0) * 0.4        noise = random.uniform(-0.3, 0.3)        signal.append(wave + noise)    return signal  def quantize_to_bits(signal, bits=8):    """Convert float values into fixed-width bit lists."""    top = 2 ** bits - 1    encoded = []    for value in signal:        q = int((value + 1.5) / 3.0 * top)        q = max(0, min(top, q))        encoded.append([(q >> b) & 1 for b in range(bits)])    return encoded  def bits_to_values(bit_stream, bits=8):    """Rebuild float values from bit lists."""    top = 2 ** bits - 1    values = []    for bits_list in bit_stream:        q = 0        for b in range(bits):            q |= bits_list[b] << b        values.append(q / top * 3.0 - 1.5)    return values  def xor_cipher(bit_stream, key):    """Encrypt or decrypt a bit stream with a repeating XOR key."""    result = []    for i, bits_list in enumerate(bit_stream):        kb = key[i % len(key)]        result.append([b ^ kb for b in bits_list])    return result  def mean_abs_error(a, b):    """Mean absolute error between two float lists."""    return sum(abs(a[i] - b[i]) for i in range(len(a))) / len(a)  def main():    raw = generate_signal()    bits = quantize_to_bits(raw)    key = [1, 0, 1, 1, 0, 0, 1, 0]    cipher = xor_cipher(bits, key)    restored = xor_cipher(cipher, key)    wrong_key = [0, 1, 0, 0, 1, 1, 0, 1]    attacker_view = xor_cipher(cipher, wrong_key)     ok_values = bits_to_values(restored)    bad_values = bits_to_values(attacker_view)    print("correct key MAE: %.4f" % mean_abs_error(raw, ok_values))    print("wrong key MAE: %.4f" % mean_abs_error(raw, bad_values))    print("tiny MAE = exact restore, huge MAE = unreadable garbage")  if __name__ == "__main__":    main()
目的：用模拟脑电信号演示 XOR 加密——同一把密钥能无损还原“日记”，窃听者用错密钥只能得到完全无法读懂的乱码。
  1. raw = generate_signal()合成一段模拟脑电波形，相当于“日记的原稿”
  2. bits = quantize_to_bits(raw)把连续幅值量化成 8 位二进制流，日记变成机器可读的“文字”
  3. key = [1, 0, 1, 1, 0, 0, 1, 0]一把只有收发双方共享的八位“钥匙”
  4. cipher = xor_cipher(bits, key)逐位异或，给日记上锁得到密文
  5. restored = xor_cipher(cipher, key)同一把钥匙再异或一次，无损还原明文
  6. attacker_view = xor_cipher(cipher, wrong_key)窃听者用“假钥匙”解出完全错误的信号
  7. print("correct key MAE: %.4f" % mean_abs_error(raw, ok_values))误差极小，说明正确密钥还原成功
  8. print("wrong key MAE: %.4f" % mean_abs_error(raw, bad_values))误差巨大，说明窃听者拿到的是垃圾数据

常见误区

误区把姓名、ID 删掉，脑电数据就安全了，可以放心拿去训练模型。反正没有名字，谁能知道这是我？

正解神经数据几乎无法真正匿名。脑电波形本身含有稳定的个体特征（脑纹），攻击者只要拿到该用户另一段公开脑波，就能通过相关性分析重新识别身份，就像日记即使不署名，笔迹专家也能认出是谁写的。真正的做法是脱敏、加噪、密文计算多管齐下，而不是只删字段。

为何常见：传统关系型数据里去掉姓名确实能大幅降低识别风险，人们把这个经验直接套用到生物信号上，忽略了脑波本身就能当“指纹”用。

误区给脑波加密一定会带来明显延迟，实时交互会卡顿，所以消费类产品宁可明文裸传。

正解现代轻量加密（如 XOR 流密码、带硬件加速的 AES-GCM）对毫秒级的脑波处理开销极小；真正影响延迟的是不合理的“全链路加密 + 频繁密钥协商”架构。分层设计——端侧明文处理、信道密文传输、云端见不到原始信号——就能同时兼顾实时性和安全性。

为何常见：拿大文件加密或 HTTPS 握手经验来类比流式传感器数据，忽略了脑波信号是短包、流水线式的传输模式。

误区思维藏在颅骨里，别人不可能读到，所以神经数据不需要额外保护。

正解脑电一旦被 BCI 设备采集并转换成数字信号，就离开了“物理隔离区”，需要经过无线信道和第三方服务。攻击者可以窃听信道、注入恶意视觉刺激诱发 P300 反应、甚至通过数据分析推断用户正在想什么。隐私威胁发生在“设备—云端”链路的每一跳。

为何常见：把“思维的私密性”与“神经数据的可窃取性”混为一谈，忽略了采集、传输、处理这条完整链路的存在。

误区为了让脑波数据绝对安全，应该注入尽量大的噪声。数据变模糊没关系，反正模型可以自己学。

正解差分隐私中 ε 是“隐私预算”，噪声越大 ε 越小、隐私越强，但数据效用会急剧下降——下游模型可能学到纯粹的噪声，就像日记被涂改到连自己都看不懂。工程上要在隐私预算与信号保真度之间权衡，通常用相关系数这样的指标持续监控效用损失。

为何常见：把隐私保护简单理解为“加噪声”这一个动作，忽视了隐私和效用之间此消彼长的本质矛盾。

面试题

Q1. 神经数据相比普通生物特征数据，最核心的特殊性是什么？

单选题 · easy

  • A.只需接触皮肤即可采集
  • B.蕴涵思维意图等高敏信息← 正确答案
  • C.采集到的数据量更小
  • D.完全不依赖任何设备

答案：B。神经数据最核心的特殊性在于它能反映认知与意图，像日记里的“心里话”；A 描述的是采集方式并非本质区别，C 与事实相反（脑波数据量很大），D 与事实相反（脑波必须依赖设备采集）。

Q2. 下列哪种攻击最关注“从脑波中识别用户在想什么”？

单选题 · easy

  • A.无线信道窃听
  • B.数据内容篡改
  • C.思维意图推断← 正确答案
  • D.身份指纹比对

答案：C。意图推断攻击利用 P300 等事件相关电位判断用户是否认出某个目标，从而实现“读心”；A 关注的是偷看传输内容，B 关注的是修改数据，D 关注的是跨设备追踪身份，三者都不是直接读取思维内容。

Q3. 在 XOR 加密中，已知密文 C 与共享密钥 K，解密得到明文 P 的运算是？

单选题 · easy

  • A.P = C AND K
  • B.P = C XOR K← 正确答案
  • C.P = C OR K
  • D.P = C NOT K

答案：B。两次异或会相互抵消（a ⊕ b ⊕ b = a），所以解密与加密使用同一个 XOR 运算；AND、OR、NOT 都不具备这种自反可逆性，无法用同一密钥还原明文。

Q4. 关于 k-匿名模型在神经数据中的应用，下列说法正确的是？

单选题 · mid

  • A.k 值越小脱敏效果越好
  • B.k 值越大身份越难被锁定← 正确答案
  • C.k 值只影响数据文件大小
  • D.k 值必须为偶数正整数

答案：B。k-匿名中个体被识别的概率是 1/k，k 越大攻击者越难在候选记录中锁定目标；A 说反了，C 错误（k 影响的是隐私强度而非文件大小），D 中的“必须为偶数”没有依据。

Q5. 差分隐私中，参数 ε（隐私预算）偏小意味着什么？

单选题 · mid

  • A.注入噪声更大隐私更强← 正确答案
  • B.注入噪声更小数据更准
  • C.数据采集频率会明显提高
  • D.密文密钥长度会显著变长

答案：A。ε 越小，拉普拉斯噪声的尺度 Δf/ε 越大，单个个体的贡献越难被察觉，隐私更强；B 说反了，C 与差分隐私无关，D 混淆了加密与隐私保护两个概念。

Q6. 联邦学习保护神经数据隐私的核心思想是？

单选题 · hard

  • A.把所有原始脑波汇总到云端再训练
  • B.本地训练模型只上传模型更新← 正确答案
  • C.用公开数据集替代真实脑波数据
  • D.删除全部敏感数据后再建模

答案：B。联邦学习让每家机构在本地训练、只上传梯度或模型参数，原始脑波不出本地；A 是传统集中式做法，C 无法解决真实场景建模需求，D 直接放弃数据更不可行。

Q7. 攻击者用特殊视觉刺激诱导用户产生目标脑波，这属于哪类威胁？

单选题 · hard

  • A.无线信道窃听
  • B.恶意诱导注入← 正确答案
  • C.存储介质泄露
  • D.模型参数窃取

答案：B。通过视觉刺激诱发 P300 等特定脑电响应，进而操控拼写器产生攻击者想要的输出，属于典型的恶意诱导注入；A、C、D 分别是信道、存储、模型三个环节的威胁，与“诱导大脑”无关。

Q8. 下列哪些做法属于端侧本地化处理的合理设计？

多选题 · mid

  • A.脑波在设备本地完成加密← 正确答案
  • B.原始信号不出本地设备← 正确答案
  • C.全量原始数据先上传云端
  • D.只向外发送脱敏后的特征← 正确答案

答案：ABD。端侧处理强调把计算和加密放在设备端，原始信号留在本地、只外传脱敏特征；C 把全量原始数据先上传云端，恰好违背了端侧处理“日记不出书房”的核心原则。

Q9. 隐私风险评估公式 R = L × I 中，关于 L 和 I 的说法正确的是？

多选题 · mid

  • A.L 表示事件发生可能性← 正确答案
  • B.I 表示事件影响程度← 正确答案
  • C.L 表示损失金额大小
  • D.I 表示攻击者数量多少

答案：AB。风险由发生概率（L）与影响程度（I）相乘得到，任何一方为 0 整体风险即归零；C 把可能性偷换成了金额，D 把影响偷换成了攻击者人数，都不符合公式定义。

Q10. 关于神经数据的法规与伦理要求，下列哪些说法正确？

多选题 · hard

  • A.采集前应获得用户知情同意← 正确答案
  • B.应坚持数据最小化的原则← 正确答案
  • C.匿名处理后仍可能被重识别← 正确答案
  • D.匿名化后的数据绝对安全

答案：ABC。知情同意和数据最小化是 GDPR、个人信息保护法等框架的基本要求；神经数据存在“脑纹重识别”风险，匿名处理后仍可能通过波形特征被重新识别，所以 C 正确、D 错误。