隐私评测与泄露响应
本节目标
能把隐私声明拆为设计、机制、实现、系统与攻击五层证据；能监控目的、预算、访问、输出、证明和删除；能在泄露或推断风险事件中限制影响并避免二次扩散。
隐私评测不是一个分数
1. 设计与治理证据
检查目的/非目标、字段必要性、主体与贡献、参与方、信任边界、保留删除、输出接收者、责任和法律/政策待确认项。没有这层，技术机制不知道要保护谁。
2. 机制证据
DP 检查邻接、裁剪、参数、随机机制和会计；MPC/安全聚合检查对手、串谋、掉线与输出；FHE 检查参数、密钥和支持计算；TEE 检查证明链、测量值和补丁。论文证明只覆盖明确模型，不自动覆盖产品实现。
3. 实现与配置证据
版本、来源、参数、随机性、数值边界、并发预算、访问控制、密钥、日志、错误/重试、默认配置和升级回归。密码库被错误调用时，理论保证可能不存在。
4. 端到端系统证据
追踪原始数据、Prompt/RAG、训练、推理、指标、缓存、Embedding、模型、输出、调试和备份。检查是否有绕过正式机制的导出、管理员、离线副本或供应商路径。
5. 攻击与滥用评测
按授权范围测试链接重识别、成员/属性推断、模型反演/提取、差分与小组查询、恶意客户端、串谋、参与集合操纵、侧信道和输出旁路。使用合成或明确授权数据，记录攻击知识、样本、版本、成功标准和限制。一次攻击失败不能证明无风险。
效用与隐私一起报告
报告总体和群体效用、随机波动、错误类型、延迟/资源、预算与隐私声明。只优化平均准确率可能牺牲小群体；只报理论 ε 可能掩盖实现旁路。版本比较必须冻结数据、机制、会计和评判规则。
运行监控
| 对象 | 信号 |
|---|---|
| 目的/访问 | 目的外查询、跨租户访问、异常导出、管理员突增 |
| 发布/预算 | 预算预留与消费、并发冲突、过小分组、重复/差分查询 |
| 协议/密码 | 参与数/掉线/串谋假设变化、证明失败、密钥操作、版本漂移 |
| 数据生命周期 | 新字段、保留过期、删除失败、备份恢复后复现、模型/向量残留 |
| 攻击结果 | 链接/成员推断成功率、敏感输出命中、异常接收者 |
遥测仍遵循最小化：用事件 ID、分类、哈希和受控证据位置代替复制完整个人数据。限制访问、保护完整性并设置保留期。
隐私事件响应
- 准备：数据/系统清单、联系人、严重度、处理暂停、导出阻断、凭据撤销、发布撤回、密钥处置和删除手册。
- 检测与范围：确认数据类别、主体、地区、接收者、版本、时间窗、查询/模型/日志路径和是否仍可访问。
- 遏制：停止相关处理/输出，隔离数据和身份，冻结预算或知识源，撤回公开产物；不要让“继续取证”扩大泄露。
- 证据保全：保存最小必要事件、配置、版本与哈希，控制访问和保全链；避免复制原始个人数据。
- 清除与恢复：修复字段/授权/机制/预算/协议，轮换密钥，清除缓存/向量/备份路径，重跑攻击和正常回归，分阶段恢复。
- 复盘：把真实路径加入风险评估、回归、监控和删除/事件演练；记录残余风险与负责人。
是否构成法律意义上的泄露、通知谁以及时限是多少，取决于地区、数据、角色和事实，必须由有资质的隐私/法律团队判断。本库不提供统一通知期限。
常见错误
- 用一次成员推断失败宣称模型无隐私风险。
- 测试只覆盖算法 notebook，不覆盖 API、缓存、日志和管理员导出。
- 为事件调查复制全量数据到不受控表格或聊天工具。
- 删除主库后忽略可恢复备份、模型、向量和下游接收方。
- 机制参数改变却不重新运行效用、公平和攻击评测。
练习与自测
模拟公开统计可定位一个小群体：写出发现信号、立即撤回/阻断、历史查询与接收者范围、证据最小化、机制/分组修复、恢复门和法律升级点。再将路径转成两个自动回归和一个演练。
- 能区分机制保证、实现证据和端到端隐私结果。
- 能同时评测隐私、效用、群体影响和运行成本。
- 能监控预算、访问、输出、证明、密钥和删除。
- 能在调查中保留必要证据而不制造二次数据扩散。
下一步
完成 离线隐私方案评审。
参考资料
- NIST Privacy Framework 与 PF 1.1 项目页（获取日期：2026-07-21；PF 1.1 final 尚未发布，页面仍标 Initial Public Draft/coming soon）
- NIST SP 800-226（最终版，2025-03）
- NIST IR 8053（去标识风险）