很多大牌明星拍危险戏份时，剧组会请替身演员。替身身形、动作与明星高度相似，观众在银幕上看到的画面几乎一样，但真正承受风险的人换了。数据世界也有同样的烦恼：医院、银行握着大量敏感数据，直接交给外部机构做研究，无异于让明星本人去跳火圈，隐私随时可能泄露。于是，“数据替身”——合成数据（Synthetic Data）——登上了舞台。它模仿真实数据的统计规律，却能隐去真实个体的身份痕迹，让数据共享既安全又高效。 然而，替身演员并非绝对安全。如果模仿过头，替身可能把明星的私密小习惯也“演”了出来；合成数据的生成模型若是把训练数据“背”了下来，攻击者就能反推出某个真实记录是否存在于训练集中——这就是成员推断攻击。为了应对这种风险，我们需要给替身上“安检门”（隐私风险评估）、戴“变声器”（差分隐私保护），才能让它安全上岗。这篇文章会用“替身演员”这条故事线，帮你把合成数据的生成原理、隐私风险与防御手段一次讲透。

岗位关联

对AI从业者来说，理解合成数据的隐私风险与评估方法，是从“能生成数据”进阶到“能安全地生成数据”的关键一步，也是隐私保护计算工程化落地的核心能力。

目录
  1. 可视化演示
  2. 合成数据基础
  3. 生成模型原理
  4. 隐私风险来源
  5. 风险评估方法
  6. 差分隐私保护
  7. 防御工程实践
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

展示生成模型记忆泄露、成员推断攻击影子模型方法及DP-SGD差分隐私保护流程，支持三模式切换。

本节配有交互动效（进入视口后自动加载，约 3KB）。

生成模型记忆泄露 真实数据：训练集含敏感样本 生成器：可能复现训练分布尖峰 合成数据：含记忆泄露的近似样本 leakage = P(synthetic ≈ training) 小样本与重复样本加剧GAN记忆泄露风险

合成数据基础

剧组拍爆炸戏时，导演会让替身演员穿上和明星一模一样的戏服、化上几乎相同的妆，在远景镜头里以假乱真。数据共享也是这个道理：医院想联合多家机构训练疾病预测模型，但患者的病历、基因信息是“真身”，绝不能直接交给外部。于是“数据替身”登台了——合成数据。

合成数据不是从真实数据里随机抽几行，也不是凭空捏造的假数字。它的正式定义是：通过生成模型创建的、与真实数据统计特征相似但不含原始记录的新样本。一个合成患者记录里可以写着“50岁、男性、患有糖尿病”，但这个档案不对应任何真实个体。它的价值在于：研究者可以在不接触敏感原始数据的前提下，完成算法开发、模型验证和数据分析。

衡量替身“像不像”真身，需要一个数学刻度。常用的刻度是 JS 散度（Jensen-Shannon Divergence），它度量合成数据分布 \(P_G\) 与真实数据分布 \(P_{data}\) 之间的差距，值越小说明合成数据越逼真。

有了 JS 散度这把“尺子”，我们就能在训练中实时监控替身与明星的相似度，也能在后面评估隐私风险时判断“是不是像过头了”。

DJS(Pdata∥PG)=12DKL(Pdata∥Pdata+PG2)+12DKL(PG∥Pdata+PG2)\displaystyle D_{JS}(P_{data}\parallel P_{G}) = \frac{1}{2}D_{KL}\left(P_{data}\Big\|\frac{P_{data}+P_{G}}{2}\right) + \frac{1}{2}D_{KL}\left(P_{G}\Big\|\frac{P_{data}+P_{G}}{2}\right)
JS 散度可以理解为“两个分布中间站了一个裁判，分别看两边的分歧有多大”，它总是非负的，等于零时说明合成分布与真实分布完全重合。
  1. 两个主角 \(P_{data}\) 与 \(P_{G}\)\(P_{data}\) 是真实数据的概率分布，\(P_{G}\) 是生成模型产出的合成数据的概率分布，前者是明星本人，后者是替身演员。
    Pdata,  PGP_{data},\; P_{G}
  2. 中间分布 \(M\)取两个分布的算术平均 \(M = \frac{P_{data}+P_{G}}{2}\)，相当于把明星和替身拉到一起拍合照，作为比较的基准参照。
    M=Pdata+PG2M = \frac{P_{data}+P_{G}}{2}
  3. 两项 KL 散度分别计算真实分布与中间分布的 KL 距离、合成分布与中间分布的 KL 距离，衡量双方各自偏离基准的程度。
    DKL(Pdata∥M),  DKL(PG∥M)D_{KL}\left(P_{data}\|M\right),\; D_{KL}\left(P_{G}\|M\right)
  4. 取平均得到最终距离两项 KL 散度各乘 \(1/2\) 后相加，把两个方向的偏差汇总成一个对称的、可比较的数值。
    12DKL(Pdata∥M)+12DKL(PG∥M)\frac{1}{2}D_{KL}(P_{data}\|M) + \frac{1}{2}D_{KL}(P_{G}\|M)

生成模型原理

要让替身演员“神似”明星，必须经过严格的训练营打磨。生成对抗网络（GAN）就是培养数据替身的顶级训练营。这个训练营里有两个角色：生成器是“正在学艺的替身”，判别器是“火眼金睛的验戏考官”。替身每产出一段表演（合成样本），考官都要判断这段表演是“真身出演”还是“替身代演”。替身的目标是骗过考官，考官的目标是识破替身——两人在对抗中共同进步。

这种博弈被写成了一个极小极大目标函数：生成器想让整个式子的值最小，判别器想让整个式子的值最大。

除了 GAN，另一类主流生成模型是扩散模型。它的训练方式和 GAN 完全不同：先把一张“清晰照片”逐步加噪到面目全非，再让模型学习逆向操作——从纯噪声中一步步还原出清晰图像。这种“先毁容再整容”的思路，让扩散模型在图像生成质量上常常优于 GAN，但它同样存在记忆训练数据的隐私风险。

min⁡Gmax⁡DV(D,G)=Ex∼Pdata[log⁡D(x)]+Ez∼Pz[log⁡(1−D(G(z)))]\displaystyle \min_{G}\max_{D}V(D,G) = \mathbb{E}_{x \sim P_{data}}[\log D(x)] + \mathbb{E}_{z \sim P_{z}}[\log(1 - D(G(z)))]
  1. 期望符号 \(\mathbb{E}\)表示“平均而言”，即对所有真实样本 \(x\) 或所有噪声向量 \(z\) 计算平均效果，相当于训练营里一场接一场的考核。
    Ex∼Pdata[⋅],  Ez∼Pz[⋅]\mathbb{E}_{x \sim P_{data}}[\cdot],\; \mathbb{E}_{z \sim P_{z}}[\cdot]
  2. 真实样本的判别输出 \(D(x)\)把真实样本交给考官打分，考官输出越接近 1，说明它越确信这是“真身”，因此目标函数里是 \(\log D(x)\)。
    D(x)∈[0,1]D(x) \in [0,1]
  3. 生成样本的判别输出 \(D(G(z))\)噪声向量 \(z\) 经过生成器 \(G\) 变成假样本 \(G(z)\)，考官给它打分。我们希望考官认为它是假的，所以目标是 \(\log(1 - D(G(z)))\)。
    1−D(G(z))1 - D(G(z))
  4. 极小极大博弈判别器 \(D\) 最大化 \(V\) 以提高识别准确率，生成器 \(G\) 最小化 \(V\) 以让假样本越来越逼真，最终达到纳什均衡——替身以假乱真，考官无法分辨。
    min⁡Gmax⁡DV(D,G)\min_{G}\max_{D}V(D,G)

隐私风险来源

替身演员有个致命隐患：模仿过头。如果替身把明星咬嘴唇、撩头发、走路内八这些私密小习惯全学了去，狗仔队就能通过观察替身的言行，反推出“明星本人某天是否来过这个片场”。在合成数据的世界里，这种“反推”就是成员推断攻击（Membership Inference Attack，MIA）：攻击者拿到一个生成模型或一批合成数据，试图判断某条真实记录是否在模型的训练集中。

为什么生成模型会泄露这种信息？因为模型可能会“背答案”。当训练数据里存在大量重复样本、或模型容量大到可以过拟合时，生成器就不仅仅是学习统计规律，而是把个别样本原样记了下来。就像替身不仅学会了明星的普通动作，连明星私底下的一次咳嗽都记得清清楚楚，一演就露馅。此外，即使不复制完整记录，训练数据中某些敏感模式（比如某病种集中在某个人群）也可能被模型学走，造成群体层面的隐私泄露。

评估攻击是否成功，最直接的指标是攻击准确率：

成员推断攻击就像一个验尸官，总能从合成数据的细节里找到“真身”的蛛丝马迹。这也告诉我们：生成数据“像”不等于“安全”。

AccMIA=TP+TNTP+TN+FP+FN\displaystyle Acc_{MIA} = \frac{TP + TN}{TP + TN + FP + FN}
  1. 真正例 \(TP\)攻击者正确判断出“这条记录确实在训练集中”，就像狗仔队准确认出替身模仿的确是明星本人的动作。
    TP=预测正、实际正TP = \text{预测正、实际正}
  2. 真负例 \(TN\)攻击者正确判断出“这条记录不在训练集中”，相当于替身演的某个动作其实不是明星特有的，狗仔队没冤枉人。
    TN=预测负、实际负TN = \text{预测负、实际负}
  3. 误报 \(FP\) 与漏报 \(FN\)\(FP\) 是把不在训练集的样本误判为在内，\(FN\) 是把在训练集的样本漏判为不在，对应狗仔队认错人和看走眼。
    FP+FN=错误判断总数FP + FN = \text{错误判断总数}
  4. 总准确率正确判断的数量除以全部判断数量。准确率贴近 50% 说明攻击基本靠猜（模型没记住个体），逼近 100% 则说明隐私大量泄露、模型把训练数据背下来了。
    AccMIA→1  ⇒  严重泄露Acc_{MIA} \to 1 \;\Rightarrow\; \text{严重泄露}

风险评估方法

剧组在替身上岗前，要过一道安检门：让他做一系列高难度动作，看能否暴露出明星的隐私信息。评估合成数据的隐私风险，同样采用“攻击模拟”的思路——我们主动扮演攻击者，对合成数据或生成模型发起成员推断攻击，看看能攻破到什么程度。

风险评估中，一个比准确率更有说服力的指标是攻击优势 \(Adv\)。它把攻击准确率换算成“超出随机猜测多少”。如果攻击准确率是 50%（瞎猜），攻击优势就是 0，说明模型没有记忆个体；如果准确率是 100%，攻击优势就是 1，说明隐私完全裸露。

除了攻击模拟，工程上还常用近邻距离检测：计算每个合成样本与所有训练样本的最近距离，如果这个距离小于某个阈值（比如 0.2），就认为生成器可能是在“抄写”训练样本——如同替身连明星脸上的一颗痣都复制了。距离检测配合基线对比（与完全不训练模型的随机生成做比较），能画出完整的隐私风险画像。

Adv=2×AccMIA−1\displaystyle Adv = 2 \times Acc_{MIA} - 1
  1. 对攻击准确率翻倍把 0 到 1 之间的准确率放大，便于观察微小差异，相当于安检中把可疑动作放慢镜头回放。
    2×AccMIA2 \times Acc_{MIA}
  2. 减去随机基线减去 1 相当于扣除“瞎猜也能猜对一半”的运气成分，剩下的就是攻击者真正获得的信息优势。
    Adv∈[−1,1]Adv \in [-1, 1]
  3. 解读数值\(Adv = 0\) 表示无信息泄露，\(Adv = 0.5\) 表示有明显泄露风险，\(Adv \to 1\) 表示灾难性泄露。
    Adv>0.5  ⇒  需要干预Adv > 0.5 \;\Rightarrow\; \text{需要干预}

差分隐私保护

与其等替身泄露秘密，不如提前给他戴上“变声器”、打上“特效滤镜”，让他模仿得“大致像、但细节上永远差一点”。差分隐私（Differential Privacy，DP）就是这套特效妆的数学内核：通过向训练过程注入精心设计的噪声，让最终模型对“某一条记录是否存在”变得不敏感，从而在根源上切断成员推断攻击的路径。

差分隐私的严格定义是：任意两张只差一条记录的相邻数据集 \(D\) 和 \(D'\)，算法 \(M\) 在它们上产生相同输出的概率之比不超过 \(e^\varepsilon\)。通俗地讲：无论攻击者怎么改一条数据，模型输出的变化都在一个可容忍的范围内，他再努力也看不出“这个人来过没有”。

在生成模型的训练中融入差分隐私，最常用的是 DP-SGD：在每次梯度更新时裁剪梯度范数、加入高斯噪声。它相当于给替身的每个动作都打上一层磨砂滤镜，让狗仔队即使拍到照片，也永远看不清关键细节。当然，滤镜太重也会影响成片质量——这就是隐私与数据效用的权衡。

Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]+δ\displaystyle \Pr[M(\mathcal{D}) \in S] \leq e^{\varepsilon} \cdot \Pr[M(\mathcal{D}') \in S] + \delta
  1. 相邻数据集 \(\mathcal{D}\) 与 \(\mathcal{D}'\)两者只相差一条记录，好比两份剧组名单里只多了一名叫“小张”的群演，其他完全一样。
    D,D′:仅差一条记录\mathcal{D}, \mathcal{D}' : \text{仅差一条记录}
  2. 算法输出落在集合 \(S\) 中的概率\(\Pr[M(\mathcal{D}) \in S]\) 表示算法在数据集 \(\mathcal{D}\) 上输出结果落入指定范围 \(S\) 的可能性。
    Pr⁡[M(D)∈S]\Pr[M(\mathcal{D}) \in S]
  3. 隐私保护系数 \(e^{\varepsilon}\)两个概率之比被 \(e^{\varepsilon}\) 限制，\(\varepsilon\) 越小，比值越接近 1，说明算法几乎区分不了两条数据集、保护越强。
    ε↓  ⇒  保护↑\varepsilon \downarrow \;\Rightarrow\; \text{保护} \uparrow
  4. 松弛项 \(\delta\)允许小概率的“破功”发生，是隐私与效用之间的一个小让步，一般要求 \(\delta\) 极小（远小于 \(1/n\)）。
    δ≈10−5\delta \approx 10^{-5}

防御工程实践

让替身演员安全上岗，靠的不是一道保险，而是全流程的安保体系。合成数据的安全工程化同样如此：训练时的记忆抑制、训练后的样本过滤、发布前的攻击评估，缺一不可。

训练阶段的记忆抑制，核心思想是让模型“记不住个体”。除了 DP-SGD 加噪，还可以：限制模型容量、早停（在过拟合之前停止训练）、在损失函数中增加记忆惩罚项。生成后的过滤，则是对合成样本集体“体检”：用近邻距离检测找出疑似抄袭训练样本的数据点，把它们删除或模糊化。发布前的攻击评估，则是把成员推断攻击作为标准化测试环节——攻击成功率超过阈值就返工。

内部监控中，一个实用的“记忆仪表盘”是泛化差距——模型在训练集上的损失与在测试集上的损失之差：

回到替身演员的故事：训练时的记忆抑制，是给替身立规矩“不许学明星的私事”；生成后的过滤，是开机前把替身身上的名牌衣服仔细检查一遍，剪掉所有能识别身份的标签；持续评估则是每场戏拍完后复盘，确保没有留下任何穿帮镜头。只有这三道防线都立起来，合成数据才能既好用、又安全。

Gap=Ltrain(h)−Ltest(h)\displaystyle Gap = \mathcal{L}_{train}(h) - \mathcal{L}_{test}(h)
  1. 训练损失 \(\mathcal{L}_{train}\)模型在训练数据上的平均误差，替身在训练营里“照着剧本演”的熟练程度，误差越小越熟练。
    Ltrain(h)\mathcal{L}_{train}(h)
  2. 测试损失 \(\mathcal{L}_{test}\)模型在未见过数据上的平均误差，相当于替身拿到新剧本时的表现，误差越小说明泛化能力越强。
    Ltest(h)\mathcal{L}_{test}(h)
  3. 两者相减得到差距差距越大说明模型越可能是在“背剧本”而不是真正掌握表演的规律；差距接近 0 说明学习的是通用模式，记忆泄露风险较低。
    Gap→0  ⇒  记忆风险低Gap \to 0 \;\Rightarrow\; \text{记忆风险低}

AI 应用场景

医院多中心联合研究

阶段：数据准备与共享

解决的问题：传统方式中，医院 A 和医院 B 想联合训练罕见病诊断模型，但病历包含患者身份、基因等敏感信息，直接共享违反合规且风险极高。使用合成数据后，各医院先用本地数据训练生成模型，只把“替身演员”（合成病历）送给对方，双方在不触碰原始记录的条件下完成联合建模。

具体案例：某医疗AI公司从 10 万份真实病历中训练出生成模型，产出 30 万份合成病历发布给高校实验室。发布前，团队对合成病历执行了近邻距离检测，筛掉了 2.3% 疑似“记忆抄写”的样本，并模拟成员推断攻击得到优势 0.08，确认隐私安全后才对外提供。

金融反欺诈模型迭代

阶段：模型训练与测试

解决的问题：银行的交易流水极度敏感，外包给第三方做反欺诈模型训练时，传统脱敏方法（删卡号、打码）仍可能被关联分析还原身份。用合成交易数据替代真实流水，让外包团队在“替身数据集”上完成模型调优，既保证训练效果，又将真实客户隐私锁定在银行内部。

具体案例：某银行构建了基于 GAN 的合成交易生成器，配合差分隐私训练（\(\varepsilon=3\)）生成合成流水。风控团队对比发现，合成数据上训练的反欺诈模型在真实数据上 AUC 仅下降 1.9%，但成员推断攻击优势从 0.63 降到 0.11，隐私与效用的平衡达到业务要求。

大模型训练数据合规清洗

阶段：数据集构建与合规审查

解决的问题：大模型训练需要海量文本，其中可能包含个人隐私、版权内容。传统做法是人工清洗，成本高且漏网之鱼多。用合成数据替换高风险段落：训练一个文本生成模型学习语料的写作风格与知识分布，再生成同风格的合成语料参与训练，从源头消除记忆真实用户内容的可能。

具体案例：某语音助手团队在微调用户对话数据时，先训练小型生成模型产出合成对话，再对全部合成样本执行成员推断攻击扫描，将攻击成功率超过阈值的类别整体丢弃，最终在保证意图识别准确率的前提下，通过内部隐私合规审查。

Python 演示

python46 行
# -*- coding: utf-8 -*-"""合成数据的隐私风险与效用评估演示"""import numpy as np  def make_real_data(n=400, seed=42):    rng = np.random.default_rng(seed)    c1 = rng.normal([2.0, 2.0], 0.5, (n // 2, 2))    c2 = rng.normal([-2.0, -2.0], 0.5, (n // 2, 2))    return np.vstack([c1, c2])  def synth_sample(real, noise, m=500, seed=0):    """模拟生成模型输出：真实样本加扰动，噪声越小模仿越逼真"""    rng = np.random.default_rng(seed)    idx = rng.integers(0, len(real), m)    return real[idx] + rng.normal(0, noise, (m, real.shape[1]))  def privacy_leak_rate(syn, real, threshold=0.2):    """成员推断攻击率：与真实样本最近邻距离过近的合成点占比"""    leak = 0    for s in syn:        dists = np.sqrt(np.sum((real - s) ** 2, axis=1))        if np.min(dists) < threshold:            leak += 1    return leak / len(syn)  def utility_score(syn, real):    """数据效用：合成数据与真实数据统计特征的接近程度"""    return 1.0 - float(np.mean(np.abs(syn.mean(axis=0) - real.mean(axis=0))))  def main():    real = make_real_data()    print("noise  leak_rate  utility")    for noise in [0.1, 0.4, 1.5]:        syn = synth_sample(real, noise=noise)        risk = privacy_leak_rate(syn, real)        util = utility_score(syn, real)        print("%.1f    %.1f%%      %.2f" % (noise, risk * 100, util))  if __name__ == "__main__":    main()
目的：演示“生成噪声强度 → 隐私泄露风险 + 数据效用”三者间的权衡关系，对应正文中“越像越危险”的核心结论。
  1. make_real_data(n=400)生成两组高斯簇模拟真实敏感数据，每个点是二维特征。
  2. synth_sample(real, noise)模拟生成模型输出：在真实样本上叠加高斯噪声，噪声越大“替身”越模糊。
  3. privacy_leak_rate(syn, real)成员推断攻击实现：统计与任意真实样本最近距离小于阈值的合成点比例。
  4. utility_score(syn, real)用均值向量差异近似数据效用，差异越大效用越低。
  5. for noise in [0.1, 0.4, 1.5]依次测试小、中、大噪声三档配置，观察风险与效用的此消彼长。

常见误区

误区“把原始数据里的姓名、手机号删掉，再打上码，这不就是合成数据吗？我们公司一直是这么处理的。”

正解删字段、打码属于去标识化，只是给明星戴了口罩，身材体态照样能认出人。合成数据是从零“创造”新样本，不保留任何原始记录的完整字段。真正的合成记录是统计仿真产物，对任意一行合成数据，你都无法找到与之逐字段对应的真实个体。

为何常见：日常工作中“脱敏”和“合成”经常混用，且初学者容易把“看起来不像明文”等同于“和原始记录无关”。

误区“既然合成数据越像真实数据越好，那就让 GAN/扩散模型训练久一点、拟合彻底一点，质量肯定更高。”

正解训练时间过长会导致生成模型过拟合，把个别训练样本原封不动“背”下来。这时候数据效用虽然提高了，但成员推断攻击成功率也会逼近 1，隐私形同虚设。正确做法是监控泛化差距和攻击优势，在效用与隐私的交汇点提前早停，或引入差分隐私约束训练。

为何常见：传统监督学习中“训练越久过拟合越严重但测试集不可见”，而生成任务中“逼真”直接可见，容易让人忽视过拟合背后的记忆泄露。

误区“ε 越大说明隐私保护越强，因为加了更多噪声，攻击者更难猜。”

正解恰恰相反，ε 越小保护越强。ε 控制的是两条相邻数据集的输出概率之比上限，ε 越小比值越接近 1，算法越区分不出个体是否存在，隐私越好；ε 越大噪声越少，数据效用越高但隐私越差。想象变声器：变声强度越大，越听不清原声（ε 小），但台词也听不清了。

为何常见：很多资料把 ε 称为“隐私预算”但没强调预算越小越安全，初学者凭直觉把数字大当作效果好。

误区“既然合成数据里没有真实记录，那公开合成数据不可能泄露隐私，不用做什么评估。”

正解生成模型可能记忆训练数据，也可能隐含群体级敏感模式。即使单条记录没有复制，攻击者仍能通过成员推断攻击确定“某人是否在训练集里”，进而推断其属性。因此发布合成数据前必须执行攻击模拟、近邻距离检测等评估，把风险量化而不是想当然。

为何常见：合成数据与“虚构”“匿名”在词义上相近，非隐私专业人士容易将它等同于绝对安全。

误区“只要合成样本和训练样本距离不太近，攻击者就没办法判断成员身份。”

正解成员推断攻击利用的是模型的置信度差异和分布偏移，不只是靠查重。即使生成样本没有复制任何一条记录，模型对“见没见过”的样本在输出分布上仍有系统性差异，攻击者可以训练一个二分类器来捕捉这种差异。近邻检测只是最简单的评估手段之一，不是全部。

为何常见：人们倾向用直观的“复制粘贴”想象泄露，忽视了统计层面的隐式记忆。

面试题

Q1. 关于合成数据的定义，以下哪一项最准确？

单选题 · easy

  • A.从原始数据中随机抽取出样本
  • B.人工编造与真实数据无关的数据
  • C.保持统计特征但无原始记录的新样本← 正确答案
  • D.对真实数据加密后得到的密文数据

答案：C。合成数据的核心是“统计相似、记录无关”。A 是采样不产生新数据；B 缺少与真实数据的统计关联；D 是加密，可逆且保留原始结构，不是合成。C 准确描述了替身演员“神似但形不似”的本质。

Q2. GAN 中判别器的主要作用是？

单选题 · easy

  • A.负责生成逼真的样本
  • B.区分真实样本与合成样本← 正确答案
  • C.给样本添加隐私保护噪声
  • D.计算两个分布之间的散度

答案：B。判别器像考场上的考官，任务是判断输入是“真身”还是“替身”。A 是生成器的职责；C 是差分隐私的操作；D 是评估工具而非判别器功能。只有 B 准确描述了对抗博弈中判别器的角色。

Q3. 与 GAN 相比，扩散模型的主要特点是？

单选题 · easy

  • A.不需要训练即可直接采样
  • B.通过逐步去噪过程生成样本← 正确答案
  • C.依赖对抗损失函数来优化
  • D.通常只能处理一维数据

答案：B。扩散模型先对数据逐步加噪练坏它，再学逆向去噪逐步还原，B 正确。它仍需训练（A 错），不依赖对抗损失（C 错），且广泛用于图像等高维数据（D 错）。

Q4. 成员推断攻击的目标是？

单选题 · mid

  • A.破解模型内部的训练核心参数
  • B.推测某样本是否属于训练集← 正确答案
  • C.提升生成样本的整体质量
  • D.缩短模型训练的总体时间

答案：B。成员推断攻击像狗仔队凭借替身的表现反推“明星是否来过片场”，核心是判断某条记录是否在训练集中。A 是模型窃取，C 是生成优化，D 是工程性能问题，均不属于 MIA。

Q5. 差分隐私中参数 ε 的含义是什么？

单选题 · mid

  • A.隐私保护强度控制参数← 正确答案
  • B.生成样本数量控制参数
  • C.训练数据规模控制阈值
  • D.模型参数更新控制步长

答案：A。ε 是隐私预算，ε 越小相邻数据集输出概率比越接近 1，攻击者越难分辨个体是否存在，隐私保护越强。它与样本数量、训练数据规模、梯度步长无关，因此 B、C、D 均错误。

Q6. 关于合成数据的隐私风险，以下说法正确的是？

多选题 · mid

  • A.训练数据记忆会带来泄露风险← 正确答案
  • B.合成数据完全不包含任何信息
  • C.统计相似不等于个体绝对安全← 正确答案
  • D.隐私风险只在模型公开时存在

答案：AC。生成模型可能“背”下训练样本，A 正确；统计相似也可能隐含群体级敏感模式，C 正确。B 错误——合成数据包含统计信息，否则毫无效用；D 错误——模型不公开但查询接口被滥用同样有风险，攻击者可通过合成样本与模型的交互实施推断。

Q7. 隐私风险评估中“攻击模拟”的主要作用是？

单选题 · hard

  • A.提升生成模型的收敛速度
  • B.度量隐私泄露风险的实际水平← 正确答案
  • C.消除训练数据中的各类噪声
  • D.替代差分隐私的噪声机制

答案：B。攻击模拟让评估者主动扮演攻击者，对合成数据发起成员推断攻击，用实际攻击成功率量化泄露水平，B 正确。它不加速收敛（A）、不消除噪声（C），也不能替代差分隐私——评估发现问题，防护机制解决问题，两者互补。

Q8. 拉普拉斯机制中的敏感度 Δf 表示什么？

单选题 · hard

  • A.单条记录变动引起输出的最大变化← 正确答案
  • B.训练过程中损失值的最大波动值
  • C.合成与真实数据的分布距离大小
  • D.攻击者提交查询请求的次数上限

答案：A。Δf 是相邻数据集上函数输出的最大差异，它决定了需要注入多少噪声才能掩盖单条记录的影响，A 正确。B 是训练动态，C 是分布距离，D 是查询限额，都与敏感度定义无关。

Q9. 关于合成数据发布前的安全实践，正确的做法是？

多选题 · hard

  • A.训练完成后立即对外发布
  • B.发布前做成员推断风险评估← 正确答案
  • C.对可疑泄露样本补充过滤← 正确答案
  • D.模型参数越多隐私风险越低

答案：BC。发布前必须用攻击模拟和近邻检测评估泄露水平，B 正确；对筛查出的近似样本要过滤或模糊化，C 正确。A 跳过了评估环节，等于不检查替身是否会穿帮就开机；D 是误解——参数越多模型容量越大，反而更容易记忆训练数据。

Q10. 关于 GAN 目标函数 \(\min_G\max_D V(D,G)\)，下列理解正确的是？

单选题 · extreme

  • A.生成器与判别器的目标完全一致
  • B.判别器识别越强，生成器越要对抗它← 正确答案
  • C.生成器只需要最小化生成损失
  • D.判别器错误率越低生成效果越好

答案：B。目标函数中判别器最大化 V（提高识别力），生成器最小化 V（降低判别器胜率），双方目标对抗，B 正确。A 把对立说成一致；C 忽略了对判别器的博弈；D 方向反了——判别器错误率低说明它强，生成器虽面临更大压力，但长期能逼出更逼真的样本，不代表生成效果直接变好。