差分隐私考量（如适用）

当合成数据生成融入差分隐私（DP）时，隐私评估的方法呈现出独特的层面。差分隐私为原始数据集中个人所享有的隐私保护提供了正式的数学保证。与基于经验攻击的方法（例如成员推断攻击，MIAs）不同，DP在考虑任何特定攻击之前，就对隐私泄露提供了一个可证明的界限。

理解差分隐私的保证

从根本上说，$(\epsilon, \delta)$-差分隐私确保合成数据生成算法的输出在统计上是相似的，无论输入中是否包含任何单个个体的数据。形式上，如果对于任意两个相邻数据集 $D_1$ 和 $D_2$（仅相差一个个人记录），以及对于任何可能的输出集合 $S$，随机算法 $\mathcal{M}$ 满足 $(\epsilon, \delta)$-DP：

$$P[\mathcal{M}(D_1) \in S] \le e^\epsilon P[\mathcal{M}(D_2) \in S] + \delta$$

• Epsilon ($\epsilon$)：这是隐私预算。更小的 $\epsilon$ 值意味着更强的隐私保护，表示单个个体的存在或缺失对输出分布的影响非常有限。 $\epsilon$ 为0将意味着输出完全独立于输入数据（最大隐私，可能零效用）。典型值范围从小于1（强隐私）到约10（弱隐私）。
• Delta ($\delta$)：此参数表示纯粹的 $\epsilon$-DP 保证可能被打破的概率。它理想情况下应是一个非常小的数值，通常小于 $1/n$，其中 $n$ 是原始数据集的大小。如果 $\delta=0$，则机制提供纯粹的 $\epsilon$-DP。

如果合成数据生成过程声称是 $(\epsilon, \delta)$-差分隐私的，这将从根本上改变隐私评估的方式。主要关注点从通过攻击发现漏洞转向验证和解释所声称的DP保证。

验证所声称的DP保证

验证所声称的 $(\epsilon, \delta)$ 参数并非易事，通常涉及多种方法：

1. 算法分析：最严谨的方法是对用于生成的特定DP算法（例如DP-SGD、应用于统计数据的拉普拉斯/高斯机制、PATE）进行仔细的理论分析。这包括了解隐私预算 $\epsilon$ 如何在算法的不同步骤中构成和累积。此分析通常由DP系统的设计者执行，并依赖于已建立的组合定理（例如基本和高级组合）来追踪总隐私成本。作为评估者，您可以审查描述生成过程的已发布方法论或技术论文。

2. 实现审计：即使算法在理论上是健全的，实现错误（例如不正确的噪声校准、浮点问题、不安全的随机数生成）也可能破坏DP保证。审计源代码或使用专业分析工具可以帮助识别此类缺陷，尽管这需要大量的专业知识。

3. 经验测试（健全性检查）：虽然经验测试不能证明DP，但它们可以作为健全性检查或帮助检测重大违规行为。

   • 敏感性分析：可以尝试经验性地估计生成过程的敏感性。这涉及在仅相差一个记录的数据集上运行生成器并观察输出变化。然而，这通常计算成本高且统计上困难。
   • 目标攻击：运行专门针对DP机制设计的成员推断攻击可能提供一些信息。如果MIAs的表现明显优于 $(\epsilon, \delta)$ 所暗示的理论界限，这可能表明声明或实现存在问题。然而，攻击的失败并不能证明DP保证成立。

在特定背景下解释DP保证

鉴于所声称的 $(\epsilon, \delta)$-DP 保证，其实际意义需要解释：

• 最坏情况界限：DP针对具有任意背景知识的攻击者提供了最坏情况保证。它限制了攻击者可以学到的额外信息，尤其是因为其数据被包含在用于生成的数据集中。
• 隐私与效用：这里存在固有的权衡。实现非常小的 $\epsilon$（强隐私）通常需要添加更多噪声或更显著地扰动数据，这通常会降低合成数据的统计保真度和机器学习效用。评估这种权衡非常重要。所实现的 $(\epsilon, \delta)$ 是否在保持足够效用的同时为预期的下游任务提供了有意义的隐私？

效用通常会随着隐私预算epsilon的降低而下降（这意味着隐私保护变得更强）。

DP在更全面的隐私评估中的作用

当DP被使用时，它提供了一个强大的隐私保护基础。然而，它不一定会否定本章讨论的其他技术的价值：

• 补充信息：在DP合成数据上运行MIAs或属性推断攻击仍能提供信息。虽然DP在理论上限制了这些攻击的成功率，但经验结果可以帮助了解所实现的实际隐私级别，尤其是在与特定模型和数据特点相关时。它们也可作为前面提到的健全性检查。
• 效用评估：DP噪声对下游模型性能（第3章）的影响成为主要关注点。评估TSTR/TRTS性能很重要，以确保数据在隐私增强后仍保持有用。
• 沟通：在报告合成数据集的隐私特点时，清晰地说明所实现的 $(\epsilon, \delta)$ 值是必不可少的。

总之，如果在合成数据生成过程中采用了差分隐私机制，您的评估应侧重于验证所声称的参数，理解 $(\epsilon, \delta)$ 保证的含义，并评估其与数据效用产生的权衡。虽然DP提供了正式保证，但通过经验检查和效用评估进行补充，可以更全面地了解合成数据的隐私状况。