隐藏状态威胁模型下更紧的 DP-SGD 隐私审计

基于摘要分析。本文研究 DP-SGD 在隐藏状态威胁模型下的隐私保证：攻击者只能访问最终模型，无法观察中间更新。核心贡献是构造旨在最大化最终模型隐私损失的梯度序列，以缩小经验隐私审计下界与理论隐私会计上界之间的差距；研究对象是差分隐私优化与审计，而非状态空间模型架构。 方法上，作者让审计攻击者设计梯度序列，在不依赖中间更新可见性的前提下挑战最终模型的隐私保证。作者报告，该方法在其开展的实验中持续优于此前针对隐藏状态威胁模型的审计尝试；摘要未提供具体指标、对照方法名称或实验规模，无法据此量化提升。 结论具有明确的协议条件。作者报告，当构造的梯度在每个优化步骤都被插入时，隐藏 DP-SGD 的中间模型更新并不增强隐私保证。当并非每一步都插入该梯度时，审计下界仅在攻击者选择的损失景观及足够大的批量条件下与隐私上界相匹配。作者据此认为，现有隐私上界在某些条件下仍可能改进；不能将这一结果泛化为所有实际训练任务都不存在隐藏状态收益。 复现时需核对攻击者对梯度及损失景观的控制权限、梯度插入方式、批量条件，以及隐私会计与审计下界的计算协议。具体模型、数据集、隐私参数、实验协议、消融及统计信息尚未验证。 平台推测（待验证）：若 EEG 模型采用 DP-SGD 且仅发布最终权重，该威胁模型可用于检查隐私保证的解释边界，但信号低信噪比、跨被试差异及小数据条件是否影响审计有效性，摘要无法回答。迁移需明确保护单位是单条记录还是单个被试，并核对构造梯度是否符合实际训练允许的攻击能力。一个可检验的小实验是在固定 EEG 任务、数据划分与隐私会计设置下，比较该审计方法和既有审计方法对仅发布最终模型所得下界的差异；这不构成已证实的 BCI 效果，已有 EEG 相关工作尚未检索确认。