大數據時代的隱私泄露如達摩克利斯之劍，高懸在每個網民頭上，而關于如何保護數據隱私我們也走了很長的路。

1977 年，統計學家 Tore Dalenius 給出關于數據隱私的嚴格定義：攻擊者不能從隱私數據里獲取任何在沒有拿到數據之前他們所不知道的個人信息。

2006 年，計算機學者 Cynthia Dwork 證明上述定義的隱私保護是不存在的。有一個直觀例子可以幫助理解：假設攻擊者知道 Alice 的身高比 Lithuanian 女性平均身高高 2 英寸，這樣攻擊者只需要從一個數據集里獲得 Lithuanian 女性身高平均值（在接觸數據前攻擊者并不知道），就能準確獲得 Alice 的精確身高，甚至 Alice 都不需要在這個數據集里。因此，對于一份有信息量的數據，不可能完全不暴露隱私信息。

2018 年，史上最嚴苛的個人隱私保護法案《通用數據保護條例》（ GDPR ）正式生效，開創了互聯網誕生以來的最大變革，數據隱私問題得到前所未有的重視。

近日，雷鋒網了解到，第四范式先知（ Sage ）企業級 AI 平臺已經完成 PrivacySeal EU 認證工作程序，率先通過歐盟 GDPR 認證，成為國內第一款通過該認證的 AI 平臺產品，實證基于第四范式隱私計算技術的數據安全性和可信任性，那么，他們是如何保護用戶隱私安全的？為此，雷鋒網和第四范式的主任科學家涂威威聊了聊。

匿名化或許是個偽命題？

不知道有多少童鞋記得去年谷歌母公司 Alphabet Inc 因違反隱私數據法被罰款 5000 萬歐元的事情，據說這是迄今為止歐洲范圍內，一家公司因違反隱私數據法遭受到的最高額處罰金。多家英文科技媒體報道時，都用了 “record high”（破紀錄地高）描述處罰力度之狠。

為什么谷歌會受到如此嚴重的懲罰？

首先，谷歌會收集自家相關應用和第三方網頁訪問的活動數據，通過安卓設備的“設備標識”以及“廣告標識符”，將應用數據上傳至谷歌服務器，并與用戶的谷歌賬戶關聯，形成了完整的閉合。簡單來說，谷歌通過被動方式收集的所謂“匿名數據”與用戶的個人信息相關聯 ——繞了一大圈，最后大費周章用“合法手段”應用用戶信息。

同樣地，Google Ad Manager 的 Cookie ID（跟蹤用戶在第三方網頁上的活動緩存信息）是另一個據稱是“用戶匿名”標識符。如果用戶在同一瀏覽器中訪問Google應用程序，Google 可以將其連接到用戶的 Google 帳戶之前訪問過第三方網頁。

換句話說，雖然通常在用戶匿名的情況下收集信息，但 Google 明顯擁有利用從其他來源收集的數據來對此類集合進行去匿名化的能力。

Google 之所以出現這類問題，主要源于其產品在數據流轉及應用上不嚴謹所致，同時，一些常規匿名化手段的技術缺陷同樣不容忽視。

而谷歌的廣告業務幾乎覆蓋了 90% 全球用戶，200 萬個主流網站，也就是說不經意間我們的生活已經被谷歌的 “數據操控” 看了個清清楚楚明明白白。

2010 年，個人隱私律師 Paul Ohm 就曾在 UCLA 法律評論中刊文指出，雖然惡意攻擊者可以使用個人身份信息（如姓名或社會安全號碼）將數據與個人身份進行關聯，但事實證明，即便只擁有那些不會被歸類為“個人身份信息”的信息，他們也可以達到同樣的目的。

Ohm 參考了 Sweeney 早期的一些研究，她發現 1990 年美國人口普查中有 87％ 的人可以通過兩條信息進行唯一識別：他們的出生日期和他們住址的郵政編碼。Ohm 還引用了 Netflix 以及其他有關數據泄露的案例，并得出結論：在傳統的以個人身份信息為保護重點的匿名化技術下，幾乎任何數據都無法實現永久的完全匿名。

鏈接攻擊、同質化攻擊等方式都可能從匿名化數據中定位個人身份。例如鏈接攻擊，通過數據的半標識符在其他能找到的表上進行查詢，則可能找到對應的身份定位標識符以及其他敏感信息。

2013 年，研究人員發現位置數據具有高度的獨特性，因此更加難以匿名化。許多匿名數據庫都可能間接泄露你的位置，例如刷卡消費或前往醫院就診。研究人員發現，通過每小時記錄4次手機連接到的信號發射塔，就可以對 95％ 的設備進行唯一識別。如果數據更精細（ GPS 跟蹤而不是信號發射塔，或者實時采集而不是每小時采集），匹配則會變得更加容易。

于是，大家開始意識到“匿名化”這東西并沒有那么安全，我們的信息還是會被竊取。

所以，一向注重用戶隱私的蘋果在 2016 的開發者大會上提出了“差分隱私（Differential Privacy）”的概念。即通過算法來打亂個體用戶數據，讓任何人都不能憑此追蹤到具體的用戶，但又可以允許機構成批分析數據以獲得大規模的整體趨勢用于機器學習。將用戶隱私信息儲存在本機而非云端也是蘋果保護用戶隱私的方法之一。例如 Face ID 面容信息、Touch ID 指紋信息等都存儲在 iPhone 的芯片上。

不過，差分隱私還是無法避免多個相關數據上報而導致的隱私泄露。更何況，道高一尺魔高一丈，匿名方法推陳出新的同時，攻擊者們也會采用更為強力的識別工具。

那么，第四范式推出的差分隱私又是如何做的呢？

機器學習中的隱私保護

據涂威威介紹，目前已有差分隱私機器學習算法上的工作，往往是通過往訓練過程內注入噪聲來實現差分隱私。

常見的有三種：目標函數擾動（objective perturbation）、輸出擾動（output perturbation）、梯度擾動（gradient perturbation）。常見的機器學習算法，以最簡單的 logistic regression 算法為例，已經有成熟的差分隱私算法，以及隱私保護和學習效果上的理論保障。然而就目前的方法以及對應的理論來看，對于隱私保護的要求越高，需要注入的噪聲強度越大，從而對算法效果造成嚴重負面影響。

為了改善上述問題，第四范式基于以往 Stacking 集成學習方法的成效，將 Stacking 方法與差分隱私機器學習算法相結合。Stacking 需要將數據按照樣本分成數份。并且提出了基于樣本和基于特征切分的兩種 Stacking 帶隱私保護的機器學習算法。

在該算法中，數據按樣本被分成兩份，其中一份按特征或按樣本分割后在差分隱私的約束下訓練 K 個子模型，并在第二份上通過差分隱私機器學習算法進行融合。

按特征切分相比過去的算法和按樣本切分算法有更低的泛化誤差。同時，按特征切分有另一個優勢，如果知道特征重要性，第四范式的差分隱私算法可以將其編入算法中，從而使得重要的特征被擾動的更少，在保持整體的隱私保護不變的情況下，可以得到更好的效果。

此外，還可以直接拓展到遷移學習上。即在源數據集上按照特征切分后得到帶隱私保護的模型，通過模型遷移，遷移到目標數據集上并通過 Stacking 進行融合。在這種情況下，源數據可以在不暴露隱私的情況下輸出模型幫助目標數據提升學習效果，而目標數據也可以在保護自身數據隱私的約束下訓練模型。

不過，值得注意的是，以差分隱私為代表的隱私保護技術仍需要在理論、效果、應用、成本等方面進一步解決和優化。

涂威威介紹說：“比如，在成本方面，核心的問題其實是人力。機器學習已經是很復雜的技術，落地需要很專業的人才。當前的隱私保護技術使用門檻較高，在保護隱私的前提下，多方聯合數據建模的常見做法依然需要比較多的專家人工介入到數據預處理、特征工程、模型調參當中，因此落地的人才門檻更高。且人力的介入又會給數據安全與隱私保護帶來一層隱患。”

因此，在差分隱私的基礎上，又衍生出了另一種保護隱私的自動多方機器學習技術。第四范式綜合了差分隱私技術、自動化機器學習技術，讓機器自動完成數據預處理、特征工程、模型調參等工作，大幅減少了專家人工的介入，一方面進一步提升了安全性，另一方面也大幅降低了隱私保護技術的使用門檻，使得廣泛落地成為可能。該技術也將是保證技術規模化落地的關鍵。

最后，雷鋒網想提醒大家，雖然在隱私和便利面前，我們都抓禿了頭，但不代表這就沒法解決了。

電影《絕對控制》中有一句話：“隱私不是公民權，而是特權”；隱私本應是每個公民最基礎的權利，只不過在過去的很長時間中，我們從未意識到行使這項權利，以至于隱私竟變成了“特權”，不過慶幸的是隱私權正在回歸，人們正在拾回分散在互聯網中的隱私