8. 隐私权限 privacy

数据隐私概述

经典定义:
- 隔离权(Louis Brandeis): 免受他人侵扰的权利
- 控制权: 选择何时, 如何共享个人信息的控制能力
- 保密权(Richard Posner): 隐藏可能对自身不利的信息
- 自由基础: 隐私是言论自由与个人自主的前提

GIC链接攻击:
- 通过马萨诸塞州选民登记数据(公开)与匿名医疗数据关联, 重新识别州长 William Weld
- 关键信息: 出生日期 + 5位 zip 可识别69%美国人, 9位 zip 可识别97%
Netflix匿名数据集破解:
- 结合公开的IMDb评分数据, 重新识别用户观影记录

步骤:
- 移除直接标识符(PII Personal Information Identifier, 如姓名, 身份证号)
- 保留准标识符(QID, 如邮编, 年龄, 性别)和敏感属性(SA Sensitive Attribute, 如疾病)
示例:

QID(邮编, 年龄, 性别) SA(疾病)

47627, 59, F 卵巢癌

QID(邮编, 年龄, 性别)	SA(疾病)
47627, 59, F	卵巢癌

链接攻击(Linkage Attack):
- 利用公共数据(如选民登记, 社交媒体)与匿名数据集结合, 重新识别个体
- 关键技术: 准标识符组合的唯一性

数据匿名化(Data Anonymization)
- 移除个人可识别信息(PII, Personally Identifiable Information)
链接攻击(Linkage Attack)
- 结合公开信息(如邮编, 生日, 性别)可重新识别个体, 破坏匿名化效果

聚合数据风险(Aggregation Risks)
- 统计查询(如计数, 均值)可能泄露个体信息
- 示例:
  - 查询1(A1=103)与查询2(A2=102)的差值揭示唯一用户的偏好
  - 2010年美国人口普查中, 46%人口记录通过统计数据库被重构

训练数据记忆(Training Data Memorization)
- 模型可能泄露训练数据细节(如GPT-2生成包含真实电话号码的文本)
- Carlini等人研究(2021): 从大语言模型中提取训练数据

核心矛盾
- 数据的有用性分析必然泄露部分个体信息
- 多次分析或发布导致信息泄露累积
信息恢复基本定律(Fundamental Law of Information Recovery)
- 过多精确回答将彻底破坏隐私(Dinur & Nissim, 2003)

定义
- 随机算法满足ε-DP, 当对相邻数据集(D, D’)的输出概率比满足:
$\frac{Pr[M(D)=o]}{Pr[M(D')=o]} \leq e^\epsilon$
- 隐私参数\epsilon: $\epsilon$ 越小, 隐私保护越强
核心特性
- 自动选择退出(Automatic Opt-out): 个体数据是否参与对输出影响微小;
- 合理否认(Plausible Deniability): 输出无法确定个体真实数据;
- 噪声注入(Noise Addition): 通过拉普拉斯分布(Laplace Distribution)添加可控噪声;
应用案例
- 谷歌Chrome, COVID-19社区流动报告
- 2020年美国人口普查采用DP保护数据

拉普拉斯机制(Laplace Mechanism)
- 对查询函数 ( f(D) ) 添加噪声:
  $M(D) = f(D) + v$
  - $v$ 服从拉普拉斯分布 $\text{Lap}(\mu, b)$ , 参数 $b = \frac{\Delta f}{\epsilon}$ , $\Delta f$ 为函数敏感度;
随机响应(Randomized Response)
- 随机化应答流程
  - 先掷一次, 如果是正面(head), 则"如实回答"问题
  - 如果是反面, 再掷一次骰子, 正面回答 yes, 反面回答 no

后处理免疫性(Post-Processing Immunity)
- 若算法 ( M ) 满足 ε-DP, 则其任意后处理输出 ( g(M(D)) ) 仍满足 $\epsilon$ -DP;
- 公式表示:
  [ \text{若 } M \text{ 为 } \epsilon\text{-DP}, \text{则 } g \circ M \text{ 也为 } \epsilon\text{-DP} ]
组合性(Composition)
- 多次查询时, 总隐私消耗为各次 $\epsilon$ 之和: $\text{总隐私损失 } \epsilon_{\text{total}} = \epsilon_1 + \epsilon_2 + \dots + \epsilon_k$
- 在差分隐私中, 我们会设定一个隐私预算(通常用 $\varepsilon$ 表示), 每次查询或数据操作都会消耗一部分这个预算;随着查询次数的增加, 隐私预算逐渐减少, 当预算耗尽时, 就意味着再进行查询可能会使隐私保护失效;因此, "privacy 的 consumable"就是指在使用隐私保护机制时可被消耗的资源, 需要谨慎管理和分配

中心化差分隐私(Central DP, CDP)
- 架构: 受信任服务器存储原始数据, 统一添加噪声;
- 优势: 高准确性(误差 ( \Theta(1/\epsilon) ));
- 应用场景: 谷歌, 美国人口普查;
本地差分隐私(Local DP, LDP)
- 架构: 用户端直接添加噪声, 无需信任服务器;
- 劣势: 低准确性(误差 ( \Theta(\sqrt{n}/\epsilon) ), n 为用户数);
- 应用场景: 微软数据收集, 移动设备用户行为分析;

攻击示例
- 通过聚合查询差值泄露个体信息(如披萨配料偏好);
- 差分隐私防御: 噪声使差值无法确定个体行为(如 Q1=108, Q2=105 时无法推断 UM 用户偏好);