差分隐私

差分隐私要求：把任何一个人的记录换掉后，观察者看到某个输出的可能性都不会剧烈改变。于是观察者很难仅从发布结果判断这条记录究竟是哪一个值，甚至是否以相邻约定所描述的方式出现。保护对象是单条记录的边际影响，不是把数据中的所有总体规律都隐藏起来。

$\epsilon$ 越小，相邻输入的输出分布越接近；它不是“泄漏了 $\epsilon$ bit”的直接换算。$\delta$ 也不是普通算法失败概率：它允许隐私比较在一小部分概率质量上失去纯 DP 的乘法控制，因此通常必须远小于目标人群规模的倒数，并与威胁模型共同报告。

灵敏度把这个分布条件变成可操作的噪声尺度。查询在最坏相邻数据集间最多移动多少，噪声就必须有足够宽度掩盖这次移动；样本量增大后，均值的单点影响会下降，而未限制值域的查询仍可能被一个极端值任意拉远。

bit 计数与均值 ​

例如数据是 $m$ 个 bit，发布总和 $f(S)=\sum _i{S}_i$。替换一条记录最多改变 1，因此加入尺度 $1/\epsilon$ 的 Laplace 噪声即可保护计数。发布均值时灵敏度为 $1/m$，噪声随样本量缩小；若值域不先限制在 $[0,1]$，均值查询的全局灵敏度可能无界，公式便没有可用尺度。

信任与观察边界 ​

中央 DP 假设可信机制接触原始数据后只发布私有输出；本地 DP 要求每位用户在发送前先随机化记录，通常为同等统计精度付出更多样本。shuffle、pan-privacy 和 continual observation 又改变观察者能看到的中间状态。只写“使用 DP”而不说明信任边界，无法判断定义覆盖了数据库、客户端还是持续日志。

DP 对任意辅助信息保持其相邻分布比较，但不会修复输入收集、访问控制、实现侧信道或输出语义本身的问题。若发布的统计量在业务上已经唯一确定某个人，机制必须靠噪声和参数承担这项风险；哈希标识符或删除姓名并不自动满足 DP。

后处理、组合与群体差异 ​

若 $A$ 满足 $(\epsilon ,\delta )$-DP，任何不再访问原数据的随机后处理 $g(A(S))$ 保持相同参数。攻击者把输出转换、筛选、与公开信息拼接，都不能让两分布比原先更可区分；但若 $g$ 再读取私有数据，它已不是后处理。

依次运行机制会累积隐私损失。最基本的自适应顺序组合把 $({\epsilon }_i,{\delta }_i)$ 相加为 $(\sum _i{\epsilon }_i,\sum _i{\delta }_i)$；高级组合、Rényi DP 或 privacy accountant 可以在额外结构下给出更紧预算。不能把每轮单独安全理解成无限轮仍用同一预算，也不能在交互结束后只挑“最好看”的一轮而忽略此前输出。

群体差异会放大参数：若两数据集相差 $k$ 条记录，可沿邻接链反复应用定义，纯 DP 的乘法因子增长为 $e^{k\epsilon }$。DP 保护单条记录的边际影响，不承诺整个群体模式、总体均值或由许多人共同决定的事实保持秘密。

从隐私稳定性到泛化 ​

差分隐私也不等于泛化。它最初是隐私定义；输出分布对单条样本稳定，又能作为控制自适应过拟合的充分条件。这个额外统计结论及其样本量和失败概率见差分隐私蕴含泛化公理库差分隐私蕴含泛化Differential privacy implies generalization · Differential privacy and generalization · 隐私稳定性泛化把相邻数据集上的差分隐私稳定性转化为自适应选择统计量的高概率泛化保证。，不能反向写进 DP 的定义。