差分隐私对模型质量的影响有多大？
大语言模型训练中差分隐私的核心挑战在于隐私与效用的权衡：为保护隐私而添加噪声，不可避免地会降低模型准确率。然而，最新研究表明，这一性能损失可能小得出乎意料。一项研究发现，采用动态隐私预算分配系统，可将模型准确率控制在非隐私基线的1.8%以内，同时实现99.2%的数据泄露检测率[2]。另一框架EW-Tune在自然语言理解任务中，不仅添加了隐私保障，还将最先进大语言模型的性能提升了最高1.1%[1]。
影响在很大程度上取决于隐私预算（epsilon, ε）。在中等隐私水平（ε=8）下，一种名为PMixED的方法在大规模数据集上优于标准DP-SGD，表明在不牺牲隐私的前提下可以实现强大的生成效用[7]。对于更严格的隐私保护（更小的ε），效用损失会增加，但用户级采样等技术可以有所帮助：一篇论文指出，在需要强隐私保护时，用户级采样比样本级采样能带来显著更好的结果[3]。
差分隐私方法能否在不增加成本的前提下扩展到十亿参数模型？
是的，但并非所有差分隐私（DP）方法的计算成本都相同。标准的DP-SGD因需要对每个样本进行梯度裁剪且需要更多训练轮次而成本高昂。然而，较新的方法显著降低了开销。2025年的一项研究报告称，与传统的DP方法相比，计算开销减少了35%，同时实验规模从1亿参数扩展到1750亿参数[2]。用户级采样也有帮助：在固定计算预算下，它通常比样本级采样效果更好，尤其是当每个用户贡献多样化数据时[3]。
参数高效微调（增量调优）为模型扩展提供了另一条路径。这类方法仅更新模型参数的一小部分（即“增量”），从而大幅降低计算与存储成本，同时仍能有效应用差分隐私技术[8]。这一点至关重要，因为训练像Chinchilla（700亿参数）这样的计算最优模型时，为达到最佳性能已需要同时将模型规模和训练数据量翻倍[4]——在此基础上叠加差分隐私噪声，更需依赖高效的技术手段。
在真实世界的大语言模型应用中部署差分隐私的最佳策略是什么？
在实际部署中，最佳策略取决于您的威胁模型和资源情况。如果您只能以黑盒方式访问模型（这在云端部署中很常见），PMixED 提供了一种实用的替代方案：它通过将一组微调后的大语言模型（LLM）的输出分布与一个公共模型混合来实现差分隐私，完全无需修改训练过程[7]。这种方法与模型无关，且避免了 DP-SGD 所需的高昂内存和时间成本。
针对敏感数据的微调，EW-Tune等框架能提供有限样本下的隐私保障（而非仅渐近性），并将噪声降低高达5.6%[1]。另一种方法“低语调优”结合了个人身份信息（PII）编辑、差分隐私（DP）和输出过滤器，并配备可调节的“隐私旋钮”以适应不同数据处理者，适用于多角色环境[9]。知识蒸馏同样有效：经DP训练的教师模型可通过软标签和表征对齐向学生模型迁移知识，在保持严格(ε,δ)保障的同时，实现比基线DP更低的困惑度[5]。最后，PrivChatGPT框架表明，将DP与强化学习结合用于隐私训练是可行的，但该框架也提醒，DP、随机化和混淆处理可能影响模型效用[6]。
本文引用的文献
EW-Tune：一种基于差分隐私实现大型语言模型私有微调的框架
EW-Tune可将差分隐私（DP）引入的噪声降低高达5.6%，并在自然语言理解（NLU）任务中将大语言模型（LLM）性能提升高达1.1%，同时提供有限样本下的隐私保障。
基于差分隐私的大语言模型训练数据泄露防护机制
动态隐私预算机制实现了99.2%的数据泄露检测率，误报率仅为0.8%，准确率与非隐私基线相比偏差在1.8%以内，同时将计算开销降低了35%。
在固定计算预算下实现用户级差分隐私的学习
在固定计算预算下，用户级采样（ULS）优于样本级采样（ELS），尤其在强隐私保护或大计算预算条件下，可扩展至拥有数亿参数的模型。
训练计算最优的大型语言模型
计算最优的大语言模型训练需要同等比例地扩展模型规模与训练数据量；Chinchilla（70B）在MMLU基准测试上的表现优于Gopher（280B）和GPT-3（175B）等更大规模的模型。
差分隐私下基于公共数据增强的知识蒸馏在文本生成中的应用
公共数据增强知识蒸馏（PDA-KD）在保持严格的(ε,δ)隐私保障的同时，相比基线差分隐私方法实现了更高的文本生成质量和更低的困惑度。
隐私保护大型语言模型：基于ChatGPT案例研究的愿景与框架
PrivChatGPT 将差分隐私与私有强化学习训练相结合，应用于大语言模型，但指出差分隐私、随机化及混淆机制可能会影响模型的实用性和性能。
大型语言模型的差分隐私下一个词元预测
PMixED 在隐私保护方面优于样本级差分隐私，并在 ε=8 的条件下，在大规模数据集上表现超过 DP-SGD，为黑盒部署提供了一种与模型无关且实用的替代方案。
大规模预训练语言模型的参数高效微调
参数高效微调（增量调优）通过仅优化模型参数中的一小部分，大幅降低了计算和存储成本，从而实现了可扩展的差分隐私适配。
低语调谐：通过差分隐私保护大语言模型微调中的数据隐私
Whispered Tuning 将个人身份信息（PII）脱敏、差分隐私（DP）和输出过滤器相结合，并配备可调节的隐私预算旋钮（Epsilon Dial），从而为不同数据处理角色提供差异化的隐私预算分配，展现出对隐私攻击的强健防御能力。