LLM × 差分隐私 × 图数据：三角交叉的前沿研究全景综述（2024—2026）

摘要：大语言模型（LLM）、差分隐私（Differential Privacy, DP）与图数据，三个领域在 2024—2026 年加速交汇：LLM 正在成为图学习的新引擎，而图结构恰恰是隐私保护最棘手的对象之一。本文系统梳理这一交叉地带的最新研究：LLM 进入私有图学习的四种姿势、图发布与图分析的机制创新（节点 DP 突破、边 DP 平衡、算法级进展）、以及图拓扑泄露的攻击与反制，最后讨论五个关键开放问题。共引用 arXiv 论文 29 篇，全部为 2022—2026 年成果，其中 2026 年新作过半。

一、为什么是这三个词的交叉？

图数据无处不在：社交网络、引文网络、知识图谱、生物分子网络、推荐系统……它们把"实体之间的关系"编码成结构，而这恰恰是隐私泄露的高发地带——一条好友关系、一次转账、一个共病连接，都可能指向具体的人。

差分隐私是隐私保护事实上的黄金标准：它承诺"攻击者无法通过输出判断某条记录（或某条边、某个节点）是否存在"，无论攻击者拥有多少背景知识。但 DP 用在图上有两个天然难点：其一，图结构查询的敏感度往往很高（删一条边可能让三角形计数变化 O(N)）；其二，深度学习主流的 DP-SGD 依赖"梯度解耦"假设，与关系学习中样本天然相关的特性不兼容。

大语言模型在 2023 年后成为通用智能引擎，2024 年起开始与图数据深度碰撞：Graph RAG、图基础模型（Graph Foundation Models）、LLM 编码图知识、LLM-GNN 协作……当 LLM 与图相遇，隐私问题立刻浮出水面：LLM 的知识从哪来？会不会放大图结构泄露？

三者交叉，形成了一个小而火热的研究带。从 arXiv 数据看，"图 × DP × LLM"三词组合在 2024 年之前几乎为零，2024 年出现第一篇直接命中（PvGaLM），2025—2026 年进入密集爆发期。本文按三条主线展开：LLM 入局、机制创新、攻击反制。

二、预备知识：图数据上的差分隐私

2.1 DP 在图上的四种定义

#mermaid-svg-aPpbn9W3pE0rqVpk{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-aPpbn9W3pE0rqVpk .error-icon{fill:#552222;}#mermaid-svg-aPpbn9W3pE0rqVpk .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-aPpbn9W3pE0rqVpk .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-aPpbn9W3pE0rqVpk .marker{fill:#333333;stroke:#333333;}#mermaid-svg-aPpbn9W3pE0rqVpk .marker.cross{stroke:#333333;}#mermaid-svg-aPpbn9W3pE0rqVpk svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-aPpbn9W3pE0rqVpk p{margin:0;}#mermaid-svg-aPpbn9W3pE0rqVpk .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-aPpbn9W3pE0rqVpk .cluster-label text{fill:#333;}#mermaid-svg-aPpbn9W3pE0rqVpk .cluster-label span{color:#333;}#mermaid-svg-aPpbn9W3pE0rqVpk .cluster-label span p{background-color:transparent;}#mermaid-svg-aPpbn9W3pE0rqVpk .label text,#mermaid-svg-aPpbn9W3pE0rqVpk span{fill:#333;color:#333;}#mermaid-svg-aPpbn9W3pE0rqVpk .node rect,#mermaid-svg-aPpbn9W3pE0rqVpk .node circle,#mermaid-svg-aPpbn9W3pE0rqVpk .node ellipse,#mermaid-svg-aPpbn9W3pE0rqVpk .node polygon,#mermaid-svg-aPpbn9W3pE0rqVpk .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-aPpbn9W3pE0rqVpk .rough-node .label text,#mermaid-svg-aPpbn9W3pE0rqVpk .node .label text,#mermaid-svg-aPpbn9W3pE0rqVpk .image-shape .label,#mermaid-svg-aPpbn9W3pE0rqVpk .icon-shape .label{text-anchor:middle;}#mermaid-svg-aPpbn9W3pE0rqVpk .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-aPpbn9W3pE0rqVpk .rough-node .label,#mermaid-svg-aPpbn9W3pE0rqVpk .node .label,#mermaid-svg-aPpbn9W3pE0rqVpk .image-shape .label,#mermaid-svg-aPpbn9W3pE0rqVpk .icon-shape .label{text-align:center;}#mermaid-svg-aPpbn9W3pE0rqVpk .node.clickable{cursor:pointer;}#mermaid-svg-aPpbn9W3pE0rqVpk .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-aPpbn9W3pE0rqVpk .arrowheadPath{fill:#333333;}#mermaid-svg-aPpbn9W3pE0rqVpk .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-aPpbn9W3pE0rqVpk .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-aPpbn9W3pE0rqVpk .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-aPpbn9W3pE0rqVpk .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-aPpbn9W3pE0rqVpk .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-aPpbn9W3pE0rqVpk .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-aPpbn9W3pE0rqVpk .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-aPpbn9W3pE0rqVpk .cluster text{fill:#333;}#mermaid-svg-aPpbn9W3pE0rqVpk .cluster span{color:#333;}#mermaid-svg-aPpbn9W3pE0rqVpk div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-aPpbn9W3pE0rqVpk .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-aPpbn9W3pE0rqVpk rect.text{fill:none;stroke-width:0;}#mermaid-svg-aPpbn9W3pE0rqVpk .icon-shape,#mermaid-svg-aPpbn9W3pE0rqVpk .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-aPpbn9W3pE0rqVpk .icon-shape p,#mermaid-svg-aPpbn9W3pE0rqVpk .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-aPpbn9W3pE0rqVpk .icon-shape .label rect,#mermaid-svg-aPpbn9W3pE0rqVpk .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-aPpbn9W3pE0rqVpk .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-aPpbn9W3pE0rqVpk .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-aPpbn9W3pE0rqVpk :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

图数据上的差分隐私

边DP保护单条边

节点DP保护节点及其关联边

图级DP保护整图出现与否

本地DP LDP无可信服务器

经典: 三角形计数谱估计 割查询

2026 突破: GRANDN2E LNDP*

经典: LPGNN2026: HoGS 本地节点DP

2.2 两个结构性的难

难点一：敏感度随图结构放大。 以三角形计数为例，在无标度网络中，一个枢纽节点（hub）单条边的增删可使三角数变化 O(N)，局部敏感度无界，必须注入数量级的噪声（2026 年 DMP-MH 论文称之为 Hubness Explosion，枢纽爆炸）。这是图 DP 与表格数据 DP 最本质的差异。

难点二：DP-SGD 与关系学习不兼容。 DP-SGD 的隐私分析假设训练样本相互独立、梯度可解耦；而图上相邻样本（相邻节点、相邻边）的梯度天然耦合，直接套用会破坏隐私保证。PvGaLM（2024）正是从这一点切入，提出了依赖解耦的私有关系学习管线。

2.3 经典三件套（2021—2023）

在 LLM 入场之前，图 DP 的骨架已由三篇工作奠定：

• GAP（Sajadmanesh & Gatica-Perez, CCS 2021）：节点级 DP 下的 GNN 聚合框架，对邻域聚合注入校准噪声；
• LPGNN（Sajadmanesh & Gatica-Perez, ICLR 2023）：本地 DP 模型，提出 LDP 编码器 + 无偏整流器 + KProp 去噪层，服务器通过多跳特征聚合抵消注入噪声；
• 灵敏度有界 PPR（Epasto 等, 2022）：把 Personalized PageRank 的边敏感度钳制住，从而派生出 DP 排名、DP 节点分类与 DP 节点嵌入——这是"对工具做灵敏度手术"思路的早期代表。

这三篇奠定了两条路线：聚合端加噪（GAP/LPGNN）与结构端降敏（PPR）。2026 年的新工作几乎都在这两条路线上深化或混合。

三、主线一：LLM 入局——四种姿势

3.1 姿势一：在私有图数据上微调 LLM（PvGaLM, 2024）

PvGaLM（arXiv:2410.08299）是"LLM × DP × 图"交叉地带的开山之作。作者指出：DP-SGD 的梯度解耦假设在关系学习上不成立，因此提出了一个关系依赖解耦的私有管线——对采样关系做依赖切割，再配合量身定制的 DP-SGD 应用，从而在敏感图数据上微调 Llama2 等 LLM，并在四个真实文本属性图上显著提升关系学习任务。

它的意义不只是方法本身：它证明了 LLM 可以安全地在图数据上微调，为后续所有"LLM 吃图数据"的工作铺平了道路，并第一次正面处理了"文本属性 + 图结构"混合数据下的隐私分析。

3.2 姿势二：LLM 作为语义推理器与 GNN 协作（PriDyG, 2026）

PriDyG（arXiv:2608.04255，2026 年 8 月）是本交叉带最新的代表作，解决的是动态图上的隐私难题：图随时间演化、模型反复更新，隐私损失不断累积。

它做了三件事：

这几乎是"LLM 与 DP 图学习"最优雅的分工：GNN 吃结构（加噪）、LLM 吃语义（零成本）。用户侧观察：这印证了一个重要直觉——把隐私敏感的部分与公开先验的部分分离，是破解隐私-效用权衡的关键杠杆。

3.3 姿势三：LLM 编码知识注入联邦图学习（2025—2026）

联邦学习天然与隐私绑定，图数据在联邦场景下又叠加了"非独立同分布（non-IID）客户端"的难题：

• Guiding Federated Graph Recommendation with LLM-encoded knowledge（arXiv:2606.15277，2026）：用 LLM 编码的先验知识引导跨客户端的图表示聚合，缓解结构分布差异；
• LLM-Guided Dynamic-UMAP（arXiv:2511.09438，2025）：用 LLM 做数据增强、prompt/指令微调与上下文学习，输出信号参数化客户端专属的 Dynamic UMAP 流形，用于个性化联邦图学习；明确采用 moments accountant 建立 DP 威胁模型，覆盖知识图谱补全、推荐式链接预测、引文与商品图。

这条线的工作往往把 DP 当作"威胁模型声明"而非"核心贡献"，但它们共同回答了一个问题：联邦图学习里，LLM 的语义知识能不能当"免费的公开先验"用？ 答案是乐观的——只要 LLM 不接触私有图结构。

3.4 姿势四：图提示学习的隐私（DP-GPL, 2025）+ 推理侧清洗（PromptGraph, 2026）

DP-GPL（arXiv:2503.10544，2025）发现了图基础模型时代的隐患：图提示学习（Graph Prompt Learning）在公开数据上预训练 GNN、用轻量图提示适配敏感任务——作者用成员推理攻击实证了图提示会显著泄露敏感数据；更反直觉的是，标准 DP-SGD 在"小样本敏感提示"上失效（隐私-效用双输）。他们的解法是转向 PATE 框架，在强隐私下保持高效用。

PromptGraph（arXiv:2607.10709，2026）则站在 LLM 服务的推理侧：敏感信息不仅藏在显式标识符（姓名、电话）里，更藏在无恶意片段之间的上下文关联中。PromptGraph 用图引导的提示清洗（prompt sanitization）来平衡隐私与效用——注意这里"图"指的是敏感片段之间的关联图，是图结构辅助 LLM 隐私保护的又一形态。

#mermaid-svg-bkw0g5xWD1G4weIm{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-bkw0g5xWD1G4weIm .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-bkw0g5xWD1G4weIm .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-bkw0g5xWD1G4weIm .error-icon{fill:#552222;}#mermaid-svg-bkw0g5xWD1G4weIm .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-bkw0g5xWD1G4weIm .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-bkw0g5xWD1G4weIm .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-bkw0g5xWD1G4weIm .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-bkw0g5xWD1G4weIm .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-bkw0g5xWD1G4weIm .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-bkw0g5xWD1G4weIm .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-bkw0g5xWD1G4weIm .marker{fill:#333333;stroke:#333333;}#mermaid-svg-bkw0g5xWD1G4weIm .marker.cross{stroke:#333333;}#mermaid-svg-bkw0g5xWD1G4weIm svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-bkw0g5xWD1G4weIm p{margin:0;}#mermaid-svg-bkw0g5xWD1G4weIm .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-bkw0g5xWD1G4weIm .cluster-label text{fill:#333;}#mermaid-svg-bkw0g5xWD1G4weIm .cluster-label span{color:#333;}#mermaid-svg-bkw0g5xWD1G4weIm .cluster-label span p{background-color:transparent;}#mermaid-svg-bkw0g5xWD1G4weIm .label text,#mermaid-svg-bkw0g5xWD1G4weIm span{fill:#333;color:#333;}#mermaid-svg-bkw0g5xWD1G4weIm .node rect,#mermaid-svg-bkw0g5xWD1G4weIm .node circle,#mermaid-svg-bkw0g5xWD1G4weIm .node ellipse,#mermaid-svg-bkw0g5xWD1G4weIm .node polygon,#mermaid-svg-bkw0g5xWD1G4weIm .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-bkw0g5xWD1G4weIm .rough-node .label text,#mermaid-svg-bkw0g5xWD1G4weIm .node .label text,#mermaid-svg-bkw0g5xWD1G4weIm .image-shape .label,#mermaid-svg-bkw0g5xWD1G4weIm .icon-shape .label{text-anchor:middle;}#mermaid-svg-bkw0g5xWD1G4weIm .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-bkw0g5xWD1G4weIm .rough-node .label,#mermaid-svg-bkw0g5xWD1G4weIm .node .label,#mermaid-svg-bkw0g5xWD1G4weIm .image-shape .label,#mermaid-svg-bkw0g5xWD1G4weIm .icon-shape .label{text-align:center;}#mermaid-svg-bkw0g5xWD1G4weIm .node.clickable{cursor:pointer;}#mermaid-svg-bkw0g5xWD1G4weIm .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-bkw0g5xWD1G4weIm .arrowheadPath{fill:#333333;}#mermaid-svg-bkw0g5xWD1G4weIm .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-bkw0g5xWD1G4weIm .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-bkw0g5xWD1G4weIm .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-bkw0g5xWD1G4weIm .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-bkw0g5xWD1G4weIm .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-bkw0g5xWD1G4weIm .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-bkw0g5xWD1G4weIm .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-bkw0g5xWD1G4weIm .cluster text{fill:#333;}#mermaid-svg-bkw0g5xWD1G4weIm .cluster span{color:#333;}#mermaid-svg-bkw0g5xWD1G4weIm div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-bkw0g5xWD1G4weIm .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-bkw0g5xWD1G4weIm rect.text{fill:none;stroke-width:0;}#mermaid-svg-bkw0g5xWD1G4weIm .icon-shape,#mermaid-svg-bkw0g5xWD1G4weIm .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-bkw0g5xWD1G4weIm .icon-shape p,#mermaid-svg-bkw0g5xWD1G4weIm .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-bkw0g5xWD1G4weIm .icon-shape .label rect,#mermaid-svg-bkw0g5xWD1G4weIm .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-bkw0g5xWD1G4weIm .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-bkw0g5xWD1G4weIm .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-bkw0g5xWD1G4weIm :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

LLM 入局四种姿势

私有图上微调 LLMPvGaLM 2024

LLM-GNN 协作推理PriDyG 2026

LLM 知识注入联邦图2025-2026

图提示学习 + 推理清洗DP-GPL 2025 / PromptGraph 2026

核心命题: LLM 只吃公开先验结构敏感部分交给 DP 机制

四、主线二：图发布与图分析的机制创新（2026 井喷）

2026 年是图 DP 机制研究的丰收年。一个标志性事件是 SoK 论文（arXiv:2603.18779，D’Silva/Nepal/Kanhere）：系统化梳理了差分隐私图发布方法的全景，识别关键漏洞，并给出一个面向从业者的目标导向选择框架，在社交网络域建立了统一基准。它直言当前领域存在"误导性保护声明"——隐私定义五花八门、效用目标各不相同，方法之间难以公平对比。这篇 SoK 本身就应该成为任何入局者的第一站。

4.1 节点 DP 的三重突破

节点 DP 保护"整个节点及其所有边"，是图隐私的"最高档位"，但也是技术难度最高的档位。2025 下半年到 2026 年，三个方向同时破局：

• GRAND（arXiv:2507.00402，2025）：号称首个"保证节点 DP 且保持结构属性"的图发布机制——此前节点级工作要么只支持预设统计量的查询，要么发布结果严重破坏结构。GRAND 在潜空间模型族下证明：发布图与原图渐进同分布，实验覆盖合成与真实数据集。
• N2E（arXiv:2511.20125，2025）：提出一个通用归约框架，把任意节点 DP 图分析任务归约为边 DP，从而复用海量现成边 DP 机制。两个关键技术是"距离保持裁剪"（限制相邻图裁剪后的边距离）与首个节点 DP 最大度估计机制（提供紧致的隐私裁剪阈值）。收益惊人：边计数误差降低 2.5 倍，度分布估计误差降低 80 倍。
• LNDP*（arXiv:2602.15802，2026）：把节点 DP 搬进本地模型——每个节点只看到自己的边列表，通过本地随机化器与不可信服务器交互。核心创新是"模糊度分布"（blurry degree distribution）：一个近似度分布、敏感度更低的对象，使边计数、度分布 PMF/CDF 等线性查询达到中心模型相当或更优的精度，并给出匹配的下界。

4.2 边 DP 的隐私-效用平衡工程

• EdgeRefine（arXiv:2607.08659，2026）：批判了"向邻接矩阵全元素注入噪声"的粗暴做法，提出自适应边细化——先用 Jaccard 相似度估计边存在概率并排序，再用隐私预算 ε 决定真假边采样比例、用独立采样率 k 控制边总数。实验：ε=2.5 时节点分类精度较 SOTA 基线提升 17.8%（ACM/GAT）与 19.7%（Cora/GCN）；图重构攻击下相对绝对误差始终大于 1，抗泄露能力强。
• DMP-MH（arXiv:2605.15460，2026）：直面"枢纽爆炸"——无标度网络中 hub 单边增删使三角计数变化 O(N)。它的 Sanitize-then-Distill 框架先确定性裁剪节点度（把三角 motif 的 L2 敏感度钳制到与数据集规模无关），再用噪声镜像下降在 (ε,δ)-边 DP 下生成消毒合成图，最后双流哈希网络蒸馏拓扑。在 MIRFlickr-25K/NUS-WIDE 上比私有基线最高提升 11.4 mAP，保留非私有性能的 92.5%。

4.3 算法级进展：从"近线性"到"精确恢复"

• 私有社区检测（arXiv:2606.14540，2026，Google 团队）：随机块模型（SBM）下的首个近线性时间 DP 精确恢复算法——此前方法要么伪多项式时间、要么常数隐私预算下资源二次方增长。核心是"自适应不相交星算法"：在边不相交子图上查询节点度，天然具备强隐私保证。实验规模比此前工作大两个数量级。
• 谱与割的私有近似（arXiv:2607.18846，2026）：割查询的私有发布误差从 Aamand 等（ICML 2025）的 Õ(n^{5/4}) 改进到 Õ(n^{13/12})，靠的是新的私有谱原语——有界度图 Laplacian 谱估计首次在高密度区打败 min{2d, Õ(√n/ε)} 基线。
• 边 DP 图着色（arXiv:2602.13460，2026）、边 DP 幂律指数估计（arXiv:2604.20274，2026）、本地边 DP 三角形计数（arXiv:2305.02263，2023）：图算法"逐个做灵敏度手术"的典型样本，说明图 DP 已从"通用框架"走向"每类查询定制"。

4.4 工具类演化：从 PPR 到对抗训练

• 灵敏度有界 PPR（arXiv:2207.06944，2022）：前文已述，是"结构端降敏"路线的教科书；
• AdvSGM（arXiv:2503.21426，2025）：把 skip-gram 图嵌入私有化，核心思路是用对抗训练替代显式加噪——设计两个可优化噪声项对应 skip-gram 参数，在模块间调权即可获得 DP 梯度更新，无需额外噪声注入，在六个真实图上保持高效用。这是"用学习换噪声"的代表，与 DP 合成数据的对抗蒸馏一脉相承。

五、主线三：攻击与反制——图拓扑泄露的另一面

隐私研究不能只谈防御。2026 年三篇攻击向工作补上了这块拼图：

1. 谱嵌入泄露图拓扑（arXiv:2604.21094，2026）。论文指出标准基准"不现实地假设图集中可得"——真实场景中图是碎片化、本地化、带噪声的。作者构建了 LoGraB 局部图基准（三种切分策略、四个控制维度），并提出 AFR 自适应保真重建：用"间隙-截断稳定性比 + 结构熵"给谱碎片打分，RANSAC-Procrustes 对齐、自适应拼接、束调整组装，恢复出大块忠实图岛。理论侧给出谱泄露命题：在谱间隔假设下，只要共享的特征向量足够多，多项式时间的贝叶斯重建就是可行的。实验：Gaussian DP（ε=2）下 AFR 仍保留无防御 F1 的 75%。这篇论文的弦外之音：谱方法既是 DP 图分析的利器，也是拓扑泄露的通道——防御者必须意识到"嵌入即泄露"。

2. 本地隐私 GNN 的对抗攻击（arXiv:2603.20746，2026）。LDP 保护下的 GNN 是否更抗对抗扰动？结论很微妙：LDP 噪声既可能"顺带"淹没对抗扰动，也可能被攻击者利用来混淆防御。论文分析了现有攻击方法在 LDP 约束下的效力边界，并呼吁"同时鲁棒且隐私"的 GNN 架构——隐私与安全是两个正交的威胁模型，不能互相替代。

3. GNN 梯度泄露攻击（Leaking Circuit Secrets，arXiv:2606 系列，2026 年 6 月）。把经典梯度泄露攻击（gradient leakage attack）推广到 GNN：在联邦/拆分学习这类"梯度共享"场景下，攻击者可从梯度反推图结构敏感信息。这提醒我们：协议层的隐私（联邦、拆分）不等于信息论隐私，梯度本身就是一条泄露通道。

#mermaid-svg-s6eYJYE4MWCsKRxB{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-s6eYJYE4MWCsKRxB .error-icon{fill:#552222;}#mermaid-svg-s6eYJYE4MWCsKRxB .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-s6eYJYE4MWCsKRxB .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-s6eYJYE4MWCsKRxB .marker{fill:#333333;stroke:#333333;}#mermaid-svg-s6eYJYE4MWCsKRxB .marker.cross{stroke:#333333;}#mermaid-svg-s6eYJYE4MWCsKRxB svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-s6eYJYE4MWCsKRxB p{margin:0;}#mermaid-svg-s6eYJYE4MWCsKRxB .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-s6eYJYE4MWCsKRxB .cluster-label text{fill:#333;}#mermaid-svg-s6eYJYE4MWCsKRxB .cluster-label span{color:#333;}#mermaid-svg-s6eYJYE4MWCsKRxB .cluster-label span p{background-color:transparent;}#mermaid-svg-s6eYJYE4MWCsKRxB .label text,#mermaid-svg-s6eYJYE4MWCsKRxB span{fill:#333;color:#333;}#mermaid-svg-s6eYJYE4MWCsKRxB .node rect,#mermaid-svg-s6eYJYE4MWCsKRxB .node circle,#mermaid-svg-s6eYJYE4MWCsKRxB .node ellipse,#mermaid-svg-s6eYJYE4MWCsKRxB .node polygon,#mermaid-svg-s6eYJYE4MWCsKRxB .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-s6eYJYE4MWCsKRxB .rough-node .label text,#mermaid-svg-s6eYJYE4MWCsKRxB .node .label text,#mermaid-svg-s6eYJYE4MWCsKRxB .image-shape .label,#mermaid-svg-s6eYJYE4MWCsKRxB .icon-shape .label{text-anchor:middle;}#mermaid-svg-s6eYJYE4MWCsKRxB .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-s6eYJYE4MWCsKRxB .rough-node .label,#mermaid-svg-s6eYJYE4MWCsKRxB .node .label,#mermaid-svg-s6eYJYE4MWCsKRxB .image-shape .label,#mermaid-svg-s6eYJYE4MWCsKRxB .icon-shape .label{text-align:center;}#mermaid-svg-s6eYJYE4MWCsKRxB .node.clickable{cursor:pointer;}#mermaid-svg-s6eYJYE4MWCsKRxB .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-s6eYJYE4MWCsKRxB .arrowheadPath{fill:#333333;}#mermaid-svg-s6eYJYE4MWCsKRxB .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-s6eYJYE4MWCsKRxB .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-s6eYJYE4MWCsKRxB .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-s6eYJYE4MWCsKRxB .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-s6eYJYE4MWCsKRxB .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-s6eYJYE4MWCsKRxB .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-s6eYJYE4MWCsKRxB .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-s6eYJYE4MWCsKRxB .cluster text{fill:#333;}#mermaid-svg-s6eYJYE4MWCsKRxB .cluster span{color:#333;}#mermaid-svg-s6eYJYE4MWCsKRxB div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-s6eYJYE4MWCsKRxB .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-s6eYJYE4MWCsKRxB rect.text{fill:none;stroke-width:0;}#mermaid-svg-s6eYJYE4MWCsKRxB .icon-shape,#mermaid-svg-s6eYJYE4MWCsKRxB .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-s6eYJYE4MWCsKRxB .icon-shape p,#mermaid-svg-s6eYJYE4MWCsKRxB .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-s6eYJYE4MWCsKRxB .icon-shape .label rect,#mermaid-svg-s6eYJYE4MWCsKRxB .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-s6eYJYE4MWCsKRxB .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-s6eYJYE4MWCsKRxB .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-s6eYJYE4MWCsKRxB :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

嵌入即泄露

协议≠隐私

图拓扑泄露的攻防闭环

攻击面

谱嵌入重建AFR + 谱泄露命题

对抗扰动LDP-GNN 鲁棒性

梯度反推GNN 梯度泄露

防御面

加噪机制GRAND N2E EdgeRefine

降敏机制PPR DMP-MH 度裁剪

公开先验隔离PriDyG LLM 语义通道

六、挑战与开放问题

站在 2026 年年中回望，这个交叉领域解决了"从无到有"，但远未到"从有到优"。我看到的五个关键开放问题：

1. 隐私-效用-成本三角的度量混乱。 SoK 论文点破了现状：隐私定义（边/节点/图/本地）、效用目标（分类精度/图统计/结构保真）、预算口径各不相同，导致"误导性保护声明"泛滥。领域急需一个统一基准（SoK 已给出社交网络域的尝试）和诚实的能力边界报告——这与我们对任何新方法"先划清适用范围"的审稿纪律一致。

2. 节点 DP 的工程化缺口。 N2E 的 80 倍度分布误差改进、GRAND 的渐进同分布保证很漂亮，但节点 DP 在真实大规模图上的部署仍然稀缺——敏感度钳制（degree clipping）的阈值选择、与下游任务的耦合，都还没有成熟实践。"高隐私档位"不应只是论文里的理论奢侈品。

3. 动态图的隐私会计。 PriDyG 用并行组合给了优雅答案，但它处理的是"边增量"型演化；边的删除、节点的加入/退出、图结构整体漂移，各自的隐私成本如何累积？连续发布（continual release）的下界工作（2025 年 12 月有相关改进）正在逼近这个问题的理论天花板。

4. LLM 的双重身份。 一方面，LLM 只吃公开先验、不碰私有结构，就能以零隐私成本提供语义通道（PriDyG 的实证）；另一方面，LLM 庞大的预训练语料本身可能编码了图结构的统计规律，成为"隐式背景知识"——攻击者用 LLM 辅助做拓扑重建（谱泄露命题的工程化）会怎样？"公开先验"与"泄露放大器"之间没有清晰界线，这是 LLM × DP 最值得警惕的灰色地带。

5. 语义先验能否重构敏感度结构？ 这是我认为最有价值的方向：图 DP 的核心痛点是敏感度随结构放大（枢纽爆炸）。如果公开的语义本体（疾病分类、知识图谱层级、领域术语体系）能把原始图结构映射到语义等价类，敏感度是否可以从"结构依赖"变成"语义有界"？2026 年的 DMP-MH（度裁剪钳制敏感度）和 PPR（灵敏度手术）已经证明"降敏"可行，但用语义知识做系统性降敏（而非手工裁剪）还几乎无人系统探索——LLM 恰好是自动化构造语义等价类的最强工具。这个方向的难点在于：语义映射必须完全基于公开数据构造，否则映射本身就成了隐私负担；且"语义等价"的效用增益需要严格的定理保证，不能停留在实验直觉。谁先给出"公开语义映射 + 敏感度上界定理 + 效用最优性证明"的完整链条，谁就拿到了这个交叉领域最硬的一块成果。

七、结语

LLM、DP 与图数据的交叉，正在从"三个孤岛"变成"一个战场"：LLM 提供了语义通道与知识先验，DP 提供了可证明的隐私护栏，图数据提供了最具挑战性的结构场景。2026 年的井喷说明这个战场已经进入从机制创新到工程落地的过渡期——SoK 的诞生是领域成熟的标志，而"公开语义先验重构敏感度结构"这类问题的提出，则是下一轮突破的信号。

对研究者的建议很朴素：先读 SoK（2603.18779）建坐标系，再读 PvGaLM（2410.08299）与 PriDyG（2608.04255）看 LLM 的两种正确姿势，最后带着"我的方法在隐私定义、效用目标、公平对比上是否诚实"这个问题去做自己的贡献。

参考文献（arXiv）

本文作者：喵本喵叁肆。数据基于 arXiv 公开接口检索（2026-08-13 快照），所有论文信息均来自论文官方摘要；未读全文的论文在文中仅引用其摘要所述结论。综述属个人学术笔记性质，欢迎在评论区指正与补充。