7.2 隐私保护技术

7.2 隐私保护技术

多模态能力打开了功能边界，本节处理另一条边界：向量携带语义，所以向量本身可能是敏感数据。承接 6.4 的安全基线（认证、授权、加密、审计那里已交代，本节不重复），这里专讲三个更进阶的问题：嵌入反推与成员推断的风险到底有多真实，隐私保护有哪些技术选项、各自付出什么召回代价，以及一套按数据敏感等级分档的落地策略。读完你应当能给合规部门一份可辩护的技术答卷，而不是一句"我们加密了"。

风险模型：向量泄露等于什么

先建立直觉：嵌入向量是原始内容的有损投影，但它保留的信息远比想象多。研究反复证明，从文本嵌入可以近似还原主题、措辞风格甚至关键词；从人脸特征向量可以重建可辨认的肖像；从医疗记录嵌入可以推断诊断相关的内容。两类具体攻击值得写进威胁模型。嵌入反推：攻击者拿到一批向量（比如从备份、日志或越权接口），借助同款嵌入模型与优化手段重建近似原文——对策的核心是减少向量暴露面：访问控制到集合级以下、日志不落完整向量、跨系统共享时只给必要字段。成员推断：攻击者不必还原内容，只需判断"某条特定记录是否在库"——对医疗库，"某人有无就诊记录"本身就是泄露；攻击的抓手是系统对外暴露的距离分数与排序细节，对策是接口收敛：不返回原始距离只返回排序与分档、限制查询频率与构造自由度。

技术选项：每买一分隐私，付多少召回

把可选技术按"隐私强度与召回代价"摆开。传输与静态加密是底线不是隐私技术——它防的是信道与介质被窃，不防有权访问的人，对成员推断与反推都无效。私有化嵌入：敏感数据的向量化用自有部署的模型完成，嵌入不出域；代价是模型能力可能弱于云端旗舰模型，嵌入质量直接决定检索上限（第一章公理的代价版）。差分隐私噪声：向量发布或检索响应中注入校准噪声，从数学上限制单条记录的可推断性；代价与噪声强度成正比——噪声小则保护弱，噪声大则近邻排序失真、召回率肉眼可见地掉，适合统计发布类场景，不适合要求精排的检索。分片化处理：把一条向量切成多段分别存储、检索时重组，单点泄露拿不到完整向量；代价是工程复杂度与检索时延，适合超敏感集合。聚合与脱敏前置：能不进库的敏感字段先脱敏再嵌入（姓名、证件号替换为占位符），从源头减少向量承载的敏感信息——这是性价比最高的一招，因为最敏感的信息根本没进向量。

# 差分隐私噪声对近邻排序的影响演示
import numpy as np

rng = np.random.default_rng(0)
X  = rng.normal(size=(50, 8))
X /= np.linalg.norm(X, axis=1, keepdims=True)
q  = X[0] + rng.normal(scale=0.01, size=8)          # 近似查询

for eps in [8.0, 1.0, 0.2]:                          # 隐私预算越小保护越强
    noise = rng.laplace(scale=1.0 / eps, size=8) / np.sqrt(8)
    xn   = (X + noise)
    xn  /= np.linalg.norm(xn, axis=1, keepdims=True)
    top1 = int(np.argmax(xn @ q))
    print(f"隐私预算 {eps:>4}  噪声幅度 {np.abs(noise).mean():.3f}  第一名仍是原点吗: {top1 == 0}")
# 预算充足时排序基本不变；预算收紧后正确答案开始被挤出第一名
​

这段演示把权衡显性化：隐私预算是召回的汇率。工程上的正确姿势不是拍一个预算值，而是把不同预算下的召回率曲线画出来，交由业务方在"可接受的召回损失"处划线——隐私决策从来不是纯技术决策，技术方的责任是把代价标清楚。

按敏感等级分档的落地策略

把数据分三档，各给一套配方。公开档（公开网页、产品手册）：通用云服务、常规加密与访问控制即可，重点在成本与性能。内部档（企业文档、员工数据）：私有化嵌入或可控的托管嵌入、集合级权限、审计齐全，向量按内部数据管理，备份与导出走内部审批。敏感档（医疗、法律、金融个人数据）：脱敏前置到嵌入之前、私有化部署全套（模型与库同域）、接口收敛（不返原始距离、限频）、超敏感字段考虑分片存储，并按合规要求实现删除的物理回收时限与向量血缘记录（6.4 交代过，敏感档必须有）。三档配方的公共项是留痕：什么数据、用什么模型、什么时间嵌入、谁能查——合规问询时，这份台账比任何口头保证都硬。

问题：用云上嵌入服务处理敏感文本，风险怎么评估？

把链路拆开看数据出域的内容与范围。文本出域给嵌入服务意味着原文暴露给服务方，这比向量出域敏感得多——如果只是担心向量被反推，更优的路径是文本本地脱敏后再调用嵌入（出去的是脱敏文本，回来的向量承载的已是脱敏语义）；如果合同允许且服务方提供零数据保留条款，风险才进一步可控。评估时要求服务方书面回答三件事：请求文本是否用于训练、日志保留多久、能否限定数据处理地域。答案落不进合同，就当作没有这层保护。

把隐私要求写进检索接口的设计

隐私保护最有效的介入时机是接口设计阶段，而不是上线后的加固。四个设计决定值得前置：接口是否暴露原始距离分数（不暴露，返回分档或名次，直接压缩成员推断的抓手）；单客户端的查询频率与构造自由度限制（限频加查询模式审计，抬高自动化攻击的成本）；返回结果的载荷粒度（按角色裁剪可见字段，敏感字段只在必要角色处解密）；以及删除承诺在接口层的体现（删除请求返回回收时限，到期可查回收状态）。这四个决定在上线后补做时都要动契约、动客户端，前置设计只需要在方案评审时多说几句——隐私工程的杠杆率，最高的地方就在接口契约上。

本节要点回顾

• 向量是敏感数据：反推可近似还原内容，成员推断可判定记录是否在库。
• 加密是底线不是隐私技术，防信道不防有权访问者。
• 选项按代价排列：脱敏前置最划算，私有化嵌入保出域，差分隐私付召回，分片存储换单点安全。
• 隐私预算是召回的汇率，曲线画出来让业务方划线。
• 敏感分档配配方，台账留痕是所有档位的公共义务。

隐私边界划清了，下一节摊开这个领域当前没解决好的问题清单——读到这里你会发现，前面六章的很多"最佳实践"，其实是对未解问题的权宜之计。