AI 的隱私預算：為什麼差分隱私要加雜訊
這裡有兩個關鍵字必須牢牢記住：隨機化與相鄰資料集。差分隱私保證的是「單一個體的加入或移除，對輸出影響極小」，這正好對應到我們對隱私的直覺：我的資料參不參與，不應該讓別人能夠察覺。
敏感度（Sensitivity）：雜訊該加多少的第一把尺
要讓「加一筆資料」與「不加」的輸出分布幾乎相同，最直接的方法就是加入隨機雜訊。但雜訊該加多少？這取決於函數的敏感度。
敏感度衡量的是：當資料集改變一筆資料時，函數輸出最多會改變多少。以「計算平均身高」為例，假設資料集有一萬人，新增或移除一人，平均值最多只會變動極小。但如果函數是「計算最大值」，新增一個特別高的人，最大值可能瞬間跳升，敏感度就非常大。
敏感度越大，需要的雜訊就越大，才能把那個差異「淹沒」掉。這也解釋了為什麼某些統計查詢天生難保護：最大值、最小值、計數中的極端值，都是敏感度很高的查詢類型。差分隱私不是魔法，它只是把「洩漏的風險」轉換成「輸出精度的代價」，並讓這個代價可以被量化、被管理。
隱私預算 ε：可以「花」多少隱私來換取效用
ε 這個參數，業界習慣稱之為「隱私預算」（privacy budget）。這個比喻非常精準：每一次對資料的查詢、每一次模型的訓練，都會「消耗」一部分預算。ε 越小，隱私越強，但雜訊越大、結果越不準；ε 越大，結果越精確，但隱私保護越弱。
這裡有個重要的性質叫做組合性（Composition）：如果你對同一份資料做了兩次 ε 分別為 ε₁ 與 ε₂ 的查詢，總隱私損失大約是 ε₁ + ε₂（基本組合定理）。也就是說，預算是會累加的。你不能無限制地查詢同一份資料然後期待隱私永遠不變——查得越多，洩漏的風險就越高，這是差分隱私最現實、也最常被忽略的一環。
因此，實務上我們會設定一個總預算上限（例如 ε_total = 1.0），然後在每次訓練或查詢時分配一部分。這就是所謂的「隱私預算會計」（privacy budget accounting）。它不是單純的技術細節，而是一個組織層級的治理問題：誰有權決定預算怎麼花、花在哪些模型上、超過上限時該怎麼辦。
三、為什麼一定要加雜訊？不加會怎樣
很多人的疑問是：難道不能只靠加密、存取控制、或是 federated learning 來保護隱私嗎？為什麼非得用「加雜訊」這種會犧牲準確度的方式？
答案是：加密與存取控制保護的是「傳輸與儲存」，但差分隱私保護的是「輸出」。當模型訓練完成、權重被公開、或是預測 API 對外開放時，加密已經幫不上忙了。此時唯一能限制「輸出洩漏多少資訊」的，就是雜訊。
換句話說，雜訊是把「隱私」變成一種可以被數學證明、被審計、被量化的資源。沒有雜訊，你只能祈禱攻擊者不夠聰明；有了雜訊，你有一條可證明的界線。這也是差分隱私之所以被 Apple、Google、Microsoft、美國人口普查局等機構採用的原因。
攻擊面一：成員推斷攻擊（Membership Inference）
成員推斷攻擊是差分隱私最經典的動機之一。攻擊者的目標不是還原資料，而是判斷「某筆特定資料是否被用於訓練」。聽起來無害，但它的隱私意涵極為嚴重：如果一家醫院發布了一個疾病預測模型，攻擊者只要能推斷「某人的病歷在訓練集中」，就等於確認了這個人罹患該疾病。
研究顯示，未經防護的模型在許多情境下，成員推斷的準確率可以顯著高於隨機猜測。原因是模型對訓練資料「過度自信」：看過的資料，預測信心特別高；沒看過的資料，信心相對低。這個信心差距就是攻擊者的訊號。差分隱私透過加入雜訊，把這個差距壓平，讓「看過」與「沒看過」在統計上難以區分。
攻擊面二：模型反演與資料重建
比成員推斷更激進的是模型反演（model inversion）與資料重建（data reconstruction）。攻擊者利用模型對輸入的梯度或預測輸出，反推出訓練資料的近似內容。在某些人臉辨識系統中，研究人員已經證明可以從模型輸出重建出相當清晰的人臉影像。
這類攻擊之所以可行，是因為模型參數（尤其是深度網路的大量權重）實質上「編碼」了訓練資料的資訊。差分隱私的雜訊會讓參數帶有不確定性，使得反演過程中的誤差被放大，重建結果變得不可用。這是一種「主動防禦」：不是阻擋攻擊者查詢，而是讓查詢結果本身帶有雜訊，使攻擊失去精確度。
四、雜訊怎麼加：Laplace、Gaussian 與其他機制
差分隱私不是只有一種「加雜訊」的方法。不同的機制對應不同的隱私定義、不同的敏感度假設、以及不同的效用特性。理解這些機制的差異，是實作時的重要基礎。
Laplace 機制
Laplace 機制是最經典、也最容易理解的差分隱私機制。它的做法是：對查詢結果加入服從 Laplace 分布的隨機雜訊，雜訊的尺度（scale）設為「敏感度 ÷ ε」。
Laplace 分布的形狀是雙指數，在零附近有尖峰，尾巴較厚。這個性質使得大部分時候雜訊不大，但偶爾會出現較大的偏移。數學上可以證明，只要雜訊尺度滿足上述條件，演算法就滿足 ε-差分隱私（純 DP）。
Laplace 機制的優點是理論乾淨、保證嚴格；缺點是當查詢需要多次組合時，ε 會線性累加，預算消耗很快。此外，Laplace 雜訊的尾巴較厚，對於某些需要高精度輸出的應用（例如深度學習訓練）來說，可能不是最有效率的選擇。
Gaussian 機制與 (ε, δ)-差分隱私
為了解決 Laplace 機制在多次組合下的效率問題，實務上更常使用 Gaussian 機制。它加入的是常態分布雜訊，並對應到較寬鬆的 (ε, δ)-差分隱私定義：允許演算法以極小的機率 δ（例如 10⁻⁵ 或 10⁻⁶）違反純差分隱私的保證。
這個「小小的鬆綁」換來的是巨大的效率提升。Gaussian 機制在組合時，總隱私損失的成長速度遠低於線性累加，這使得它在需要大量迭代的機器學習訓練中成為首選。事實上，目前主流的 DP-SGD（差分隱私隨機梯度下降）就是建立在 Gaussian 機制之上。
值得注意的是，δ 的選擇並非無關緊要。δ 代表「隱私保證被攻破的機率上限」，如果設得太大（例如超過 1/n，n 為資料筆數），保證就會變得空洞。業界常見的做法是設在 10⁻⁵ 到 10⁻⁶ 之間，並在論文中明確揭露。
隨機響應與本地差分隱私
前面兩種機制都屬於「中央差分隱私」：資料先集中到可信的伺服器，再由伺服器加雜訊後輸出。但如果連伺服器都不可信呢？這時就需要「本地差分隱私」（Local Differential Privacy，LDP）。
本地差分隱私的代表技術是隨機響應（Randomized Response）。最經典的例子是：受訪者被問到「你是否曾經作弊？」時，先擲一次硬幣；若正面，就誠實回答；若反面，就再擲一次硬幣，並依結果回答「是」或「否」，不論真實答案為何。如此一來，任何單一回答都無法被直接解讀，但統計上仍可還原母體比例。
Google 在 Chrome 瀏覽器與 Android 系統中大量使用本地差分隱私來收集使用統計；Apple 也採用類似技術收集表情符號使用率、鍵盤輸入統計等。本地差分隱私的優勢是「資料離開裝置前就已經被擾動」，連服務提供者都無法取得原始資料；代價則是需要極大的樣本量，才能從高雜訊中還原有意義的訊號。
五、隱私預算的會計：ε 不是免費的
差分隱私最容易被低估的部分，就是「預算管理」。許多團隊在論文或產品說明中宣稱「我們採用了 ε = 1 的差分隱私」，卻沒有說明這個 ε 是如何累積的、涵蓋了哪些查詢、是否包含超參數調校的過程。這種揭露方式其實是不完整的。
組合定理（Composition）
組合定理告訴我們：多個差分隱私機制的組合，仍然是差分隱私的，但隱私參數會累加。基本組合定理給出的是線性上界（ε₁ + ε₂ + …），而進階組合定理（Advanced Composition）與 Rényi 差分隱私（RDP）則能給出更緊繃、更實際的估計。
舉例來說，訓練一個神經網路可能需要數萬次梯度更新。如果每次更新都消耗 ε = 0.001，線性累加就變成 ε = 10，隱私保護幾乎消失。這就是為什麼 DP-SGD 必須依賴進階的會計方法（如 moments accountant 或 RDP），才能在意義上把總預算控制在可接受範圍（例如 ε ≤ 8）。
這也帶出一個關鍵觀念：隱私預算不是單次查詢的參數，而是整個系統生命週期的總帳。同一個資料集如果被用來訓練多個模型、做多次 A/B 測試、跑多次超參數搜尋，每一次都應該計入總預算。否則「ε = 1」只是紙上談兵。
隱私預算追蹤實務
在工程實作上，預算追蹤通常包含幾個環節：
這些流程聽起來很像財務管理，事實上也確實如此。差分隱私把「隱私」從一個模糊的倫理概念，轉變成一個可以被記帳、被審計、被問責的資源。這是它最有價值、也最被低估的貢獻。
六、在 AI 訓練中實踐差分隱私：DP-SGD
講完理論，來談實作。目前深度學習中最主流的差分隱私訓練方法，是 Abadi 等人在 2016 年提出的 DP-SGD（Differentially Private Stochastic Gradient Descent）。它的核心思想非常優雅：把雜訊加在「梯度」上，而不是加在「資料」或「模型輸出」上。
梯度裁剪與雜訊注入
DP-SGD 的流程可以拆成三個步驟：
這裡的 σ 就是所謂的「雜訊乘數」，它與隱私預算 ε、δ、取樣率、訓練步數之間有明確的數學關係。實務上，工程師會先設定目標 ε 與 δ，再反推所需的 σ，然後觀察模型準確度是否還能接受。
梯度裁剪是 DP-SGD 的關鍵，也是最容易被做錯的地方。如果裁剪閾值 C 設得太小，梯度資訊被過度壓縮，模型學不動；設得太大，敏感度上升，需要更多雜訊才能達到同樣的隱私保證，結果一樣是準確度下降。因此，C 的選擇本身就是一個隱私—效用權衡的問題，通常需要透過實驗來調整。
隱私—效用—成本的三角難題
DP-SGD 在實務上會面臨三重壓力：
第一是效用損失。加入雜訊必然降低模型準確度，尤其在小型資料集或高維度任務上更明顯。研究顯示，在 MNIST、CIFAR-10 等基準資料集上，DP-SGD 可以達到接近非隱私模型的準確度，但代價是需要更長的訓練時間與更仔細的超參數調校。在大型語言模型上，挑戰則更大。
第二是計算成本。DP-SGD 需要對每一筆樣本單獨計算梯度，無法像標準 SGD 那樣把整個 batch 的梯度一次算完。這使得訓練速度顯著下降，記憶體占用也增加。雖有各種加速技巧（如 ghost clipping、mixed precision），但成本仍高於非隱私訓練。
第三是調參的隱私洩漏。這是最容易被忽略的一點：如果在訓練過程中反覆用驗證集調整超參數，這些驗證查詢本身也會消耗隱私預算。嚴謹的做法是把調參納入預算會計，或者使用公開資料進行調參。
面對這三角難題，實務上的策略通常是「分層防護」：對高敏感資料（如醫療、金融）採用較嚴格的 ε 與較大的模型容量；對低敏感資料（如公開文本）則可放寬預算，或採用其他隱私強化技術（如聯邦學習、安全多方計算）作為互補。
七、常見誤解與實務建議
差分隱私是一門容易「望文生義」的技術，許多誤解會在導入階段造成嚴重問題。以下整理幾個最常見的迷思：
迷思一：加了雜訊就一定安全。錯。差分隱私保證的是「演算法輸出」的隱私，但如果實作有誤（例如雜訊尺度算錯、預算沒有正確累計、或者同時發布了多個相關統計），保證就會失效。差分隱私是「可證明的」，但前提是證明所依據的假設真的成立。
迷思二：ε 越小越好。不一定。ε 太小會導致結果不可用，最終使用者可能轉而使用更不安全的替代方案，反而造成更大的隱私風險。比較務實的觀點是：ε 應該根據資料敏感度、應用場景、以及可接受的效用損失來設定，並且公開揭露。
迷思三：差分隱私可以取代所有隱私保護。錯。差分隱私處理的是「統計輸出」的洩漏，但無法防止伺服器被駭、內部人員濫用、或是傳輸過程中的攔截。它應該與加密、存取控制、資料最小化等機制並行，而不是取而代之。
迷思四：只有大公司才玩得起。不盡然。雖然完整的 DP-SGD 訓練需要相當的工程資源，但許多開源工具（如 Opacus、TensorFlow Privacy、OpenDP）已經大幅降低了門檻。對中小型團隊而言，更實際的做法可能是：先從統計報表、A/B 測試結果等「低垂果實」開始導入差分隱私，再逐步擴展到模型訓練。
在實務建議上，我會給出三點：
八、結語：雜訊是信任的定價
回到最初的問題：為什麼差分隱私要加雜訊？
因為在資訊理論的意義上，「輸出結果」本身就是一種洩漏。只要模型或統計結果依賴於你的資料，就必然攜帶關於你的資訊。要限制這個洩漏，唯一的方法是讓輸出變得不確定——而讓輸出變得不確定的手段，就是加入隨機性。
雜訊不是缺陷，而是定價。它把「隱私」從一個無法衡量的道德呼籲，轉換成一個可以被量化、被交易、被管理的資源。你花多少 ε，就換多少效用；你省多少雜訊，就承擔多少洩漏風險。這種「把隱私當成預算來管理」的思維，正是差分隱私對 AI 產業最深刻的貢獻。
當然，差分隱私不是萬靈丹。它有成本、有極限、有實作門檻，也無法解決所有隱私問題。但在一個模型越來越強大、資料越來越密集的時代，它提供了一條罕見的、可以被數學證明的防線。而這條防線的起點，就是那看起來微不足道、卻至關重要的一點點雜訊。
下一次當你看到某個模型宣稱「我們採用了差分隱私」，不妨多問一句：你們的 ε 是多少？預算是怎麼算的？雜訊加在哪一層？這些問題的答案，才是隱私保護真正的試金石。