面向效用与对抗鲁棒性的本地差分隐私后处理方法基准测试

《Computers & Security》：Benchmarking post-processing methods in local differential privacy for utility and adversarial robustness

　　

局部差分隐私（LDP）最近作为从用户设备收集和分析敏感数据的强大范式而备受关注。然而，LDP 协议固有的扰动降低了收集数据的效用。为缓解这一问题，开发了多种后处理（PP）方法。然而，不同效用和对抗设置下 PP 方法的 comparative 性能研究尚不充分。在本文中，我们提出了 LDP3+，这是一个开源且可扩展的基准测试平台，用于从效用和对抗两个角度分析 LDP 协议和 PP 方法。该平台集成了六种广泛使用的 LDP 协议、七种 PP 方法、三种对抗攻击、多种效用和对抗评估指标，以及用于可扩展实验的多线程执行框架。使用 LDP3+，我们在几个真实世界和合成数据集上进行了广泛的实验。我们的结果表明，PP 方法的有效性取决于隐私预算、协议选择、数据集特征和评估指标等因素。尽管 Norm-Sub 和 Norm-Mul 通常在频率估计中提供强大的效用改进，但 Norm-Cut 在排名保留任务中表现最佳。此外，我们表明 PP 方法可以间接提高对投毒和预算推断等对抗攻击的鲁棒性。总体而言，我们的工作为 PP 方法在提高效用和对抗鲁棒性方面的作用提供了新的见解，并提供了一个开源基准测试平台来支持未来的研究和部署。

引言
在过去几年中，局部差分隐私（LDP）已成为隐私保护数据收集和分析的流行概念。在 LDP 中，用户在本地对其敏感数据进行扰动，然后将其发送给数据收集者。添加的扰动使数据收集者无法对任何特定用户做出推断，但数据收集者仍能从扰动数据的聚合中估计总体级统计信息。LDP 的这一特性使其非常适合去中心化环境中的数据收集。因此，LDP 已在各个研究领域（Cormode 等人，2018，Du 等人，2023，Gursoy 等人，2019，Kim 等人，2019，Yang 等人，2023）以及行业产品中得到广泛应用，例如 Google Chrome、Apple iOS 和 Microsoft Windows（Ding 等人，2017，Erlingsson 等人，2014，Thakurta 等人，2017）。
随着 LDP 的日益流行，文献中开发了许多 LDP 协议（Cormode 等人，2021，Gursoy 等人，2022 和 Wang 等人，2017）。然而，由于这些协议本质上会引入扰动以确保隐私，数据收集者估计的总体级统计信息会变得嘈杂，导致效用损失。为减少效用损失，提出了多种后处理（PP）方法（Jia 和 Gong，2019，Wang 等人，2020），例如 Base-Pos、Norm、Norm-Cut、Norm-Sub、Norm-Mul、Power 和 Power-NS。本质上，PP 方法将估计结果作为输入，并以不同方式处理它们以提高效用。尽管 PP 方法已在特定上下文中使用或用特定协议进行了测试，但据我们所知，目前没有基准测试或详细分析来比较不同 PP 方法在多种设置下的表现，例如在不同组合的 LDP 协议、数据特征、效用指标和对抗攻击下。
为满足这一需求，我们设计并开发了 LDP3+（读作 LDP-Cube-Plus），这是一个开源且模块化的基准测试平台，由六个模块组成。其 LDP 协议模块包含六种最先进的 LDP 协议（GRR、RAPPOR、OUE、BLH、OLH、SS），其后处理模块包含七种 PP 方法（Base-Pos、Norm、Norm-Cut、Norm-Sub、Norm-Mul、Power、Power-NS），其对抗模块包含三种攻击（MGA、BIA 和纵向攻击），其指标模块包含三种对抗指标（GR、BIE、LASR）和五种效用指标（?1、?2、EMD、KL 散度、Kendall τ）。LDP3+ 的设计具有模块化和可扩展性，以便将来可以添加新的协议、PP 方法、指标和攻击。此外，LDP3+ 支持多线程执行（通过其多线程模块）以减少执行时间，使研究人员和从业人员能够快速对协议和 PP 方法进行基准测试。这样，我们希望 LDP3+ 能作为一个实用系统，帮助从业人员为其设置选择最佳的 LDP 协议和 PP 方法，例如其所需的数据集、隐私预算和效用指标。
我们使用 LDP3+ 进行实验分析，并在论文中报告（部分）结果。我们的结果和分析得出了几个与效用相关的有趣发现。首先，我们发现当隐私预算 ε 较小时（严格隐私），PP 方法确实带来了实质性的效用收益，但随着 ε 变大，它们的效用结果趋同，收益减少。其次，我们发现表现最佳的 PP 方法（就效用改进而言）并非静态，而是取决于多种因素，包括 LDP 协议、ε 预算、数据特征（例如统计分布、域大小）和效用指标。第三，我们发现当 ε 较小时，表现最佳的 PP 方法更为一致，但随着 ε 的增加，它变得更加不一致。最后，我们发现 Norm-Sub 和 Norm-Mul 成为频率估计任务中使用 PP 方法的强有力选择，而 Norm-Cut 成为排名估计任务中最佳的 PP 方法选择。
除了效用之外，我们还分析了 PP 方法在对抗攻击下的行为，这是一个先前工作中未探索的角度。我们研究了三种攻击类型：(i) 最大增益攻击（MGA），一种投毒攻击，恶意用户注入精心制作的报告以提高目标项目的频率；(ii) 预算推断攻击（BIA），一种推断攻击，攻击者试图从收集的扰动报告中推断出真实的隐私预算 ε；(iii) 纵向攻击，攻击者利用对同一用户在多轮收集中的重复观察来推断其真实值。我们的分析揭示，PP 方法可以间接作为针对 MGA 和 BIA 的“防御”。Norm-Mul、Norm-Sub 和 Power-NS 在 MGA 中实现了攻击者增益的最大减少，虽然单一 PP 方法在 BIA 中并不占主导，但 Norm-Mul 和 Norm-Cut 更可靠地降低 BIA 的有效性。相比之下，对于纵向攻击，我们发现 PP 方法提供的保护很少，因为这些攻击依赖于对同一用户的重复观察，而后处理并不修改这一点。这些发现揭示了 PP 方法在提高针对攻击的鲁棒性方面的有趣副作用。
贡献。简而言之，在本文中，我们做出了以下主要贡献：
• 我们设计并开发了 LDP3+，包含六种 LDP 协议、七种 PP 方法、三种攻击、三种对抗指标和五种效用指标的实现。LDP3+ 是一个模块化、可扩展且多线程的平台，旨在分析多种设置下 PP 方法的行为和最优性。
• 我们使用 LDP3+ 对 PP 方法进行实验效用分析，并表明表现最佳的 PP 方法取决于多种因素，包括 LDP 协议、ε 预算、数据特征和效用指标。尽管如此，我们的结果表明，Norm-Sub 和 Norm-Mul 成为频率估计任务中最理想的选择，而 Norm-Cut 成为排名估计任务中最理想的选择。
• 我们还进行了实验分析，以衡量 PP 方法对使用 LDP3+ 的投毒和推断攻击的影响。我们发现 PP 方法可以间接作为防御，提高协议针对 MGA 和 BIA 的鲁棒性。
• 为了推进该领域的研究并帮助研究人员和从业人员为其设置选择最佳的协议和 PP 方法，我们提供了 LDP3+ 的开源实现 1。
会议版本的扩展。本文是我们发表在 IFIP SEC 2025 上的会议论文的扩展（Khodaie 等人，2025）。与会议版本相比，主要的扩展和增强如下。首先，我们为 LDP3+ 添加了一个新模块：对抗模块。我们以支持所有 LDP 协议和 PP 方法的方式实现了三种攻击（MGA、BIA 和纵向攻击）。其次，我们显著增强了 LDP3+ 的指标模块。我们添加了排名保留任务作为效用任务，并添加了 Kendall τ 指标来衡量其有效性。我们还添加了三种新的对抗指标：GR、BIE 和 LASR。第三，我们增强了 LDP3+ 的执行模块以支持所有效用和对抗任务。我们还添加了对新执行命令（用于新任务）和基于 YAML 的配置文件的支持。第四，我们对新添加的排名保留任务进行了实验和分析。我们发现，与原始 LDP 估计相比，PP 方法，特别是 Norm-Cut，通常能提高排名保留能力，尤其是在 ε 值较低到中等时。第五，我们对新添加的 MGA、BIA 和纵向攻击进行实验和分析。我们发现 PP 方法也有助于保护免受 BIA 和 MGA 的攻击。我们发现 Norm-Mul 特别有效地抵御 MGA，虽然无法挑选出单一的最佳 PP 方法来抵御 BIA，但 Norm-Mul 和 Norm-Cut 在提高抵御 BIA 的鲁棒性方面最为一致。最后，我们添加了更多完整的描述，涵盖了许多章节和 LDP3+ 模块，这些内容由于页数限制未能完全包含在我们之前的会议论文中，例如：相关工作（第 2 节），以及 LDP3+ 的协议模块、多线程模块和执行模块。

章节片段
LDP 协议和后处理方法
LDP 最近已应用于多种上下文和数据分析任务，例如多维数据分析（da Costa Filho 和 Machado，2023，Arcolezi 等人，2021，Zhang 等人，2018）、集合值数据分析（S. Wang 等人，2023，Y. Huang 等人，2024）、位置数据分析（Hong 等人，2022，Du 等人，2023，Alptekin 等人，2025）、图数据分析（Imola 等人，2021，Lin 等人，2022）以及深度学习（B. Wang 等人，2023，Truex 等人，2020）。其中许多...

背景和符号
我们首先建立与局部差分隐私（LDP）和我们的上下文相关的基本符号和定义。全文使用的符号摘要见表格 1。
LDP 是一种流行的概念，用于在保护个人隐私的同时收集数据。在典型的 LDP 设置中，有多个用户（客户端）和一个服务器（数据收集者）。我们将用户群体记为 P，用户记为 u∈P，用户的真实值记为 v_u∈D，其中 D 是允许的域...

LDP3+ 设计与实现
LDP3+ 是一个用于基准测试和分析不同组合的开源平台，涉及不同的 LDP 协议和后处理方法，适用于各种数据特征、效用指标和对抗攻击。它使用 Python 编程语言以模块化和可扩展的方式实现。LDP3+ 的设计可视化见图 1。它包含以下六个模块：LDP 协议模块、后处理模块、指标模块、对抗模块、多线程模块和...

实验设置
在本节中，我们使用 LDP3+ 进行实验，以分析 PP 方法变化的效用和对抗影响。我们的实验评估围绕三个主要视角组织。首先，我们分析标准频率估计和排名保留任务下的效用，重点关注 LDP 协议、隐私预算 ε 和 PP 方法的选择如何共同塑造性能。其次，我们通过检查数据特征（例如... 来研究对实验条件的敏感性。

结论
在本文中，我们设计并开发了 LDP3+，这是一个用于分析 LDP 中 PP 方法行为的模块化和可扩展平台。LDP3+ 在多线程执行框架下集成了六种广泛使用的 LDP 协议、七种 PP 方法、三种对抗攻击以及多种效用和对抗评估指标。我们使用 LDP3+ 进行了广泛的实验，并突出了几个要点。我们的结果表明，PP 方法的有效性取决于...

CRediT 作者贡献声明
Alireza Khodaie：撰写 – 原稿，可视化，软件，方法论，调查，形式分析，数据整理，概念化。Berkay Kemal Balioglu：撰写 – 审查与编辑，撰写 – 原稿，可视化，验证，软件，方法论，调查，形式分析，数据整理，概念化。M. Emre Gursoy：撰写 – 审查与编辑，监督，资源，项目管理，方法论，资金获取，概念化。

利益冲突声明
作者声明他们没有已知的竞争性财务利益或个人关系，这些利益或关系可能影响本论文报告的工作。

致谢
本研究由土耳其科学与技术研究委员会（TUBITAK）在第 123E179 号资助和 BAGEP 杰出青年科学家奖的支持下完成。作者感谢 TUBITAK 和科学院的支持。

Alireza Khodaie|Berkay Kemal Balioglu|M. Emre Gursoy