机器遗忘中保护未删除数据的隐私防御机制
基本信息
- ArXiv ID: 2602.16697v1
- 分类: cs.LG
- 作者: Aloni Cohen, Refael Kohen, Kobbi Nissim, Uri Stemmer
- PDF: https://arxiv.org/pdf/2602.16697v1.pdf
- 链接: http://arxiv.org/abs/2602.16697v1
导语
针对当前机器遗忘研究普遍追求“完美重训练”而忽视剩余数据隐私风险的问题，本文提出了一种新的重构攻击，揭示了攻击者可利用删除请求反推未删除数据的隐患。作者据此重新定义了安全标准，旨在严格保护未被删除的数据免受波及。尽管摘要未详述具体算法实现，但该方案表明在保障隐私的同时，仍能支持统计学习等关键功能的实现，为平衡遗忘效果与系统安全性提供了新的理论视角。
摘要
以下是关于《Protecting the Undeleted in Machine Unlearning》一文的中文总结：
核心问题 论文指出，当前的“机器遗忘”旨在通过移除特定数据来模拟“完美重训练”。然而，研究证明这种追求完美重训练的方法及其对应的安全定义，会给**剩余数据（未被删除的数据）**带来严重的隐私泄露风险。
主要发现
- 重构攻击：作者提出了一种重构攻击。在某些任务中，原本可以在没有删除操作的情况下安全进行计算，但如果机制坚持“完美重训练”，攻击者只需控制极少量的数据点，并通过发起删除请求，就能重构出几乎整个原始数据集。
- 现有定义的缺陷：论文调研了现有的机器遗忘定义，发现它们要么容易受到上述攻击的威胁，要么因为限制过严而无法支持像精确求和这样最基本的功能。
解决方案 为了解决这一难题，论文提出了一种新的安全定义。该定义专门旨在保护未被删除的数据，防止它们因其他数据点的删除操作而泄露。
结论 研究表明，新提出的定义在保障隐私的同时，仍然能够支持公告板、求和以及统计学习等多种关键功能的实现。
评论
论文评价：Protecting the Undeleted in Machine Unlearning
总体评价 Aloni Cohen等人撰写的《Protecting the Undeleted in Machine Unlearning》是机器遗忘领域的一篇具有范式转移性质的力作。该论文并未提出一种新的遗忘算法，而是从根本上质疑了当前学术界主流的“完美重训练”目标。作者通过理论证明和构造性攻击，揭示了追求“完美删除”可能导致“未删除数据”的隐私泄露，这一发现对GDPR“被遗忘权”的技术实现提出了严峻的安全警示。
以下是分维度的深入评价：
1. 研究创新性
- 核心发现：
- Claim：追求模拟完美重训练的遗忘机制，会破坏剩余数据原本享有的隐私保护 guarantees。
- Evidence：论文构造了一种“重构攻击”。在某些特定任务（如逻辑回归、决策树）中，如果攻击者能控制极少量的数据点并发起删除请求，通过对比删除前后的模型参数（如梯度变化），可以高精度反推出剩余数据集的特征。
- Inference：现有的MU定义（如Exact Unlearning或近似变体）仅关注“被删除者”的隐私，而忽视了“未删除者”的隐私风险。这种“零和博弈”视角的缺失，是当前研究的一个重大盲点。
- 评价：该研究极具创新性，它打破了“越接近重训练越安全”的直觉，提出了“删除操作本身可能成为攻击面”的全新观点。
2. 理论贡献
- 理论突破：
- Claim：论文提出了新的安全定义框架，要求遗忘算法不仅要保证被删除数据的不可区分性，还要保证剩余数据的安全性不低于“无删除请求发生时”的基线水平。
- Evidence：作者利用差分隐私和统计推断理论，证明了在满足特定一致性条件下，删除请求返回的模型更新必须极其微小，否则就会泄露关于剩余数据集的信息。
- Inference：这意味着在非交互式设置下，同时实现“完全删除”和“剩余数据高隐私保护”在理论上是非常困难的，甚至是不可能的。
- 评价：这一理论贡献将机器遗忘的讨论从“算法效率”提升到了“系统安全性与隐私经济学”的高度，为后续研究建立了新的理论基准。
3. 实验验证
- 实验可靠性：
- Claim：在合成数据和真实数据集（如Purchase-100, Census）上，攻击者能够以极高的准确率重构剩余数据。
- Evidence：实验展示了在逻辑回归模型上，通过观察删除单个数据点后的模型权重变化，攻击者可以推断出数据集中其他样本的属性值。重构准确率随着模型对删除请求的响应幅度增加而增加。
- Inference：攻击的有效性依赖于模型对特定数据点的敏感度以及算法对“完美性”的追求程度。
- 评价：实验设计逻辑严密，成功验证了理论攻击的可行性。然而，实验主要集中在相对简单的线性模型和树模型上。
- 关键假设与失效条件：
- 假设：攻击者能够获得删除前后的完整模型参数，或者能通过API查询到模型对特定输入的精确输出变化。
- 失效条件：如果遗忘算法引入了较大的随机噪声（如DP-SGD），或者模型是极度过参数化的深度神经网络且难以通过梯度反推具体样本，攻击的准确性会下降。
- 验证方式：复现实验时，应重点测量互信息：即“删除请求引起的模型更新”与“剩余数据集”之间的互信息量。
4. 应用前景
- 实际价值：
- Claim：该研究警示了云服务商和大型模型提供商，盲目提供“一键删除”功能可能会成为数据投毒或隐私窃取的后门。
- Inference：未来的合规性工具不能仅关注“删除率”，必须引入“剩余隐私审计”机制。
- 评价：虽然论文指出了风险，但也指明了方向。在应用层，这意味着企业可能需要放弃“完美重训练”，转而采用“近似遗忘”配合“差分隐私噪声”的混合方案，以在删除效果和剩余隐私之间取得平衡。
5. 可复现性
- 方法清晰度：
- 论文对攻击的数学推导非常详尽。重构攻击的核心在于求解线性方程组或利用单调性约束，这使得复现攻击算法在技术上并不困难。
- 验证建议：复现者应尝试在更复杂的模型（如小型Transformer）上验证该攻击。如果攻击失效，需分析是否是因为模型参数量过大导致信息被“淹没”，从而界定该理论的适用边界。
6. 相关工作对比
- 优劣分析：
- 对比SISA (Sharded, Isolated, Sliced, Training)：SISA通过分片隔离限制删除的影响范围。虽然SISA能减少计算成本，但根据本文观点，如果攻击者针对某个分片发起删除，该分片内的剩余数据依然面临重构风险。本文指出的风险是SISA架构内生的。
- 对比差分隐私（DP）：DP方法天然能抵抗此类攻击，因为噪声掩盖了单个数据点（包括删除点）的影响。本文的攻击实际上证明了：**在没有强噪声的情况下，精确的遗忘操作与隐私是互斥的。
技术分析
技术分析：机器遗忘中剩余数据的隐私保护机制
1. 研究背景与问题
核心问题
该论文主要研究机器遗忘过程中剩余数据的隐私安全问题。现有的数据删除框架通常侧重于验证被删除数据的不可区分性，而忽略了删除操作本身可能泄露关于数据集中其他保留数据的统计信息。
现有方法的局限性
目前的机器遗忘定义（如SISA框架及其变体）主要关注“删除者”的隐私，即确保攻击者无法区分某个特定数据点是否参与了训练。论文指出，这类定义存在以下局限：
- 侧信道泄露风险：某些满足“完美模拟”定义的算法，在处理删除请求时，其输出（如模型参数更新或统计量修正）可能会暴露关于整个数据集分布的信息。
- 功能与安全的矛盾：为了防止通过删除操作重构数据，部分严格的安全定义可能会限制算法进行必要的统计修正，导致删除后的模型无法保持基本的统计准确性（如求和或计数功能的失效）。
研究意义
这项研究揭示了机器遗忘中“幸存者隐私”的重要性。它指出，一个安全的遗忘算法不仅要保证被删除数据的不可见，还必须确保删除请求的执行过程不会成为攻击其他用户数据的侧信道。这为评估遗忘算法的安全性提供了新的维度。
2. 核心方法与创新
提出的核心方法
论文提出了一种基于算法稳定性和信息论的新安全定义框架。
- 核心思想：要求删除机制 $M$ 对剩余数据集 $R$ 的分布影响可控。直观上，攻击者在观察到删除操作前后的所有输出后，对剩余数据集 $R$ 的后验分布猜测，应当与未观察到删除操作时的先验分布保持一致。
- 形式化定义：通过互信息来量化删除操作与剩余数据之间的信息泄露，设定了严格的上界。
技术创新点和贡献
- 重构攻击构造：作者构造了一种攻击模型，展示了攻击者如何通过控制少量数据并发起删除请求，利用算法输出的变化（例如线性回归中的参数调整）来重构原始数据集的敏感信息。
- 基于稳定性的防御：论文提出将算法稳定性作为安全指标。这意味着删除操作被视为输入的一种扰动，安全的算法应当对这种扰动具有鲁棒性，从而切断信息泄露的路径。
- 差分隐私结合：证明了通过引入适当的噪声机制（如差分隐私），可以在满足新定义的同时，保留算法在删除后的数据可用性。
方法的优势
- 关注点转移：将安全性评估的重点从“被删除数据”转移到了“剩余数据”。
- 通用性：该定义框架不仅适用于深度学习模型，也适用于基础的统计查询机制。
3. 理论基础
理论框架
论文的理论推导主要基于以下两个概念：
- 算法稳定性：源自统计学习理论，用于衡量输入数据的微小变化（如删除一个点）对算法输出关于其他数据点分布的影响。
- 互信息：用于精确量化删除操作 $M$ 与剩余数据集 $R$ 之间的依赖关系。
数学模型
设数据集为 $D$，删除请求为 $z \in D$，剩余数据为 $R = D \setminus {z}$。
- 机制 $M$ 输出删除后的模型或统计量。
- 安全性要求：$I(M(R); R | \text{View}) \approx 0$，即删除机制的输出不应包含关于剩余数据 $R$ 的额外信息。
理论证明
作者在理论上证明了：
- 现有定义的漏洞：通过反例证明，满足“完美重训练”模拟的机制可能完全泄露剩余数据的分布。
- 新定义的可行性：证明了在满足新定义的前提下，依然可以实现诸如“公告板”等需要保持统计准确性的功能，前提是算法必须满足特定的稳定性条件。
4. 实验与结果
实验设计
为了验证理论分析中的攻击风险，论文采用了构造性的算法模拟实验。
- 场景设置：选取了线性回归模型和简单的统计查询机制作为测试对象。
- 攻击者模型：假设攻击者可以查询删除前后的模型状态，并能够控制数据集中的特定数据点。
实验结果
- 攻击有效性：实验表明，在不稳定算法中，攻击者通过观察删除前后的参数差异，能够以高精度重构出原始数据集的统计特征，验证了理论分析中关于侧信道泄露的假设。
- 防御验证：实验对比了添加噪声前后的表现。结果显示，满足论文提出的新稳定性定义的算法，在保持数据可用性的同时，显著降低了重构攻击的成功率。
结果分析
实验结果证实了现有的机器遗忘算法在面对针对剩余数据的攻击时是脆弱的。论文提出的基于稳定性的定义能够有效识别并防御此类风险，为未来的高安全性遗忘算法设计提供了理论依据和验证标准。
研究最佳实践
最佳实践指南
实践 1：构建具有代表性的保留集
说明: 在机器遗忘过程中，核心挑战在于确保模型在删除特定数据（遗忘集）的同时，能够最大程度地保留对剩余数据（保留集）的性能。为了保护“未被删除”的数据，必须构建一个高质量的保留集。该保留集不仅需要足够大以代表整体数据的分布，还需要包含与被删除数据相似或边界模糊的样本，以防止模型在执行遗忘操作时发生灾难性遗忘或功能退化。
实施步骤:
- 从原始训练数据中划分出与遗忘集不重叠的子集作为基础保留集。
- 分析遗忘集的特征分布，确保保留集中包含相似类别的样本，以维持决策边界的稳定性。
- 如果计算资源允许，使用核心集选择方法来筛选出最具代表性的保留样本。
注意事项: 避免使用与遗忘集高度相关的数据作为保留集，除非是为了测试特定的鲁棒性，否则可能导致遗忘不彻底。
实践 2：采用近似遗忘算法而非完全重训
说明: 完全重新训练模型是确保“未删除”数据性能不受影响的黄金标准，但在实际生产环境中成本过高。最佳实践建议采用高效的近似遗忘算法（如SISA架构、梯度下降遗忘或影响函数）。这些方法旨在通过局部更新或参数调整来消除被删除数据的影响，同时将模型性能的变化控制在最小范围内。
实施步骤:
- 评估业务需求，确定遗忘操作所需的性能与速度平衡点。
- 选择适合的算法框架，例如将模型切片训练，使得删除操作仅需更新部分切片。
- 对遗忘后的模型进行严格的性能验证，确保在非删除数据上的准确率损失在可接受阈值内。
注意事项: 近似算法可能会引入微小的性能偏差，必须建立自动化监控机制来检测模型在保留集上的表现波动。
实践 3：实施严格的遗忘验证指标
说明: 仅仅检查模型在测试集上的总体准确率是不够的。为了保护未删除的数据，必须引入更细致的验证指标，特别是针对“遗忘质量”和“模型效用”的双重评估。这包括检查模型对被删除数据的预测置信度是否显著下降，以及对保留数据的预测分布是否与原始模型保持一致。
实施步骤:
- 定义评估指标，包括保留集上的准确率、F1分数以及KL散度（用于衡量预测概率分布的变化）。
- 使用成员推理攻击来验证被删除数据是否仍可被推断，确保遗忘的有效性。
- 对比遗忘前后模型在保留集上的输出一致性，确保未发生意外的功能漂移。
注意事项: 验证集必须独立于遗忘集和训练用的保留集，以防止数据泄露导致验证结果虚高。
实践 4：利用数据增强与正则化技术
说明: 在执行遗忘操作（特别是参数微调）时，模型容易出现对保留集的过拟合或对特定特征的遗忘。利用数据增强和正则化技术（如L2正则化、弹性权重巩固EWC）可以锁定模型在未删除数据上学到的关键特征。这相当于给模型的知识加了一把“锁”，防止在擦除特定记忆时误伤其他知识。
实施步骤:
- 在遗忘更新阶段，对保留集应用标准的数据增强技术（如旋转、裁剪、噪声注入）。
- 引入EWC或类似的正则化项，惩罚对重要参数（即对保留集贡献大的参数）的大幅修改。
- 调整正则化系数，在遗忘速度和模型稳定性之间找到最佳平衡。
注意事项: 过强的正则化可能导致遗忘不彻底，需要通过网格搜索或贝叶斯优化来确定最佳的超参数。
实践 5：建立影子模型与A/B测试机制
说明: 在部署遗忘后的模型之前，为了确保未删除数据的业务逻辑不受影响，应建立影子模型机制。让新模型与生产环境中的旧模型并行运行，对比它们在保留数据上的表现差异。这可以作为一种安全网，在遗忘模型造成实际业务损失之前发现潜在问题。
实施步骤:
- 部署遗忘后的模型作为影子模型，接收与生产模型相同的流量但不返回结果。
- 记录影子模型在保留数据集上的预测结果，并与生产模型进行日志对比。
- 设定告警阈值，一旦发现两者在特定类别上的差异超过预设范围，立即回滚并重新训练。
注意事项: 影子测试应持续足够长的时间周期，以覆盖数据分布的日常波动（如周末与工作日的差异）。
实践 6：文档化数据血缘与影响范围分析
说明: 保护未删除数据的前提是清楚地知道哪些数据受到了遗忘操作的影响。建立完善的数据血缘和模型影响分析体系，可以帮助工程师理解删除特定数据点对模型参数的连锁反应。这种透明度对于维护模型的整体稳定性至关重要。
实施步骤:
- 记录每次训练迭代中使用的数据批次ID及其对应的模型切片。
- 使用影响函数估算特定训练样本对
学习要点
- 现有的机器遗忘算法在执行“删除”指令时，会意外导致未被指定删除的数据（保留数据）性能显著下降，这被称为“未删除数据遗忘”现象。
- 研究发现，这种对保留数据的损害主要源于模型在遗忘过程中发生了表征漂移，即模型内部特征的表示空间发生了非预期的改变。
- 实验表明，尽管基于梯度上升的遗忘算法在移除目标数据方面很有效，但它们在维持保留集的准确率方面表现最差，甚至比简单的微调方法更具破坏性。
- 为了解决这一问题，论文提出了一种名为“表征正则化”的方法，通过约束模型特征空间的变化来防止保留数据的遗忘。
- 该方法通过在遗忘训练过程中引入正则化项，有效地锚定了模型的内部表征，从而在不显著增加计算成本的情况下保护了保留数据的性能。
- 这一发现揭示了机器遗忘中的一个关键权衡：在彻底删除目标数据的同时，必须警惕并防止模型对其他知识的非自愿丧失。
学习路径
学习路径
阶段 1：基础理论与背景构建
学习内容:
- 机器学习基础：监督学习、损失函数、梯度下降优化
- 隐私保护基础：GDPR等数据法规中的“被遗忘权”概念
- 模型训练与生命周期：数据收集、训练、部署流程
- 基本的数据删除概念：为什么简单的删除数据不够
学习时间: 2-3周
学习资源:
- Andrew Ng的机器学习课程
- 《深度学习》- Ian Goodfellow等著
- GDPR官方文档关于数据删除的条款
- 机器学习模型部署相关教程
学习建议: 先建立对机器学习流程的整体认知，理解数据在模型训练中的核心作用。重点关注模型训练后仍保留训练数据记忆的特性，这是机器遗忘需要解决的核心问题。
阶段 2：机器遗忘核心技术
学习内容:
- 机器遗忘定义与分类：精确遗忘与近似遗忘
- 影响函数：追踪数据点对模型的影响
- Hessian矩阵与二阶优化
- 牛顿法在模型更新中的应用
- 基础遗忘算法：SISA算法及其变体
学习时间: 3-4周
学习资源:
- “Machine Unlearning"综述论文
- “Training in the Presence of Deleted Data” (SISA算法原始论文)
- 影响函数相关论文与实现
- PyTorch/TensorFlow二阶优化教程
学习建议: 重点理解影响函数如何量化单个训练样本对模型参数的影响。尝试实现简单的SISA算法，体验分片训练和更新过程。二阶优化方法是理解高效遗忘的关键。
阶段 3：隐私保护与验证
学习内容:
- 成员推理攻击：验证模型是否“记住”了特定数据
- 差分隐私与机器遗忘的结合
- 遗忘算法的评估指标：遗忘效果与模型效用平衡
- 验证遗忘效果的攻击方法
学习时间: 3-4周
学习资源:
- “Membership Inference Attacks"相关论文
- “Differential Privacy"综述
- 机器遗忘评估基准测试工具
- 隐私攻击与防御案例研究
学习建议: 通过实际攻击测试遗忘效果，理解“完美遗忘”的理论与实践差距。学习如何在保护隐私的同时保持模型性能，这是实际应用的关键权衡。
阶段 4：高级遗忘算法与优化
学习内容:
- 基于梯度的遗忘方法
- 知识蒸馏在遗忘中的应用
- 元学习与快速遗忘
- 大规模模型的遗忘策略
- 联邦学习中的遗忘问题
学习时间: 4-5周
学习资源:
- “Gradient-based Machine Unlearning"论文集
- 知识蒸馏经典论文
- 元学习基础教程
- 最新ICML/NeurIPS关于遗忘的论文
学习建议: 关注最新研究进展，特别是针对大规模模型的遗忘方法。尝试将不同技术(如蒸馏+影响函数)结合，探索更高效的遗忘方案。思考遗忘与持续学习、模型编辑等领域的联系。
阶段 5：前沿研究与实战应用
学习内容:
- “Protecting the Undeleted"论文核心思想
- 对抗性遗忘与鲁棒性
- 实际系统中的遗忘实现
- 遗忘算法的公平性与安全性
- 未来研究方向与挑战
学习时间: 持续学习
学习资源:
- “Protecting the Undeleted in Machine Unlearning"论文及代码
- 工业界遗忘系统案例研究
- 相关学术会议最新进展
- 开源遗忘工具与框架
学习建议: 深入理解“保护未删除数据”这一核心挑战，思考遗忘系统可能被滥用的风险。尝试在实际项目中应用遗忘技术，关注效率与安全性的平衡。参与学术讨论，跟踪这一快速发展的领域。
常见问题
1: 什么是机器遗忘中的“保留集”？
1: 什么是机器遗忘中的“保留集”？
A: 在机器遗忘的语境中，数据集通常被划分为两部分：需要被遗忘的“删除集”和必须保留的“保留集”。保留集指的是那些应当继续被模型记住并正确处理的数据。这篇论文的核心关注点在于，现有的许多遗忘算法在尝试让模型“忘记”删除集时，往往会对保留集上的性能产生不利影响，导致模型在保留集上的准确率下降或分布发生偏移。因此，研究如何有效地“保护”保留集，确保遗忘过程不损害模型在正常数据上的表现，是该领域的一个关键挑战。
2: 为什么现有的机器遗忘方法难以兼顾“遗忘”与“保留”？
2: 为什么现有的机器遗忘方法难以兼顾“遗忘”与“保留”？
A: 现有的许多机器遗忘方法（例如某些基于梯度上升或影响函数的方法）往往存在一种权衡关系。为了彻底消除删除集对模型的影响，算法可能会过度调整模型参数，这种调整往往会破坏模型在保留集上学到的特征。这就像是为了擦除黑板上的某段特定文字，不得不把周围有用的内容也擦掉一样。该论文指出，这种“遗忘-保留”的权衡是目前阻碍机器遗忘技术在实际场景中落地的主要瓶颈之一，因为实际应用要求模型在删除特定数据后，依然能在其他任务上保持高性能。
3: 论文中提到的“未删除数据”面临哪些具体的安全风险？
3: 论文中提到的“未删除数据”面临哪些具体的安全风险？
A: 论文主要探讨了在执行机器遗忘操作时，未删除数据面临的两种主要风险。首先是效用损失，即模型在遗忘过程中“误伤”了未删除数据的知识，导致模型泛化能力变差。其次是隐私泄露，某些激进的遗忘算法可能会在尝试抹除删除集痕迹的过程中，意外地改变模型对未删除数据的决策边界，或者通过分析遗忘前后的模型输出差异，导致攻击者推断出关于保留集或模型训练过程的敏感信息。该研究旨在提出一种框架，在确保删除集被移除的同时，严格保障未删除数据的完整性和安全性。
4: 该论文提出了什么方法来解决上述问题？
4: 该论文提出了什么方法来解决上述问题？
A: 论文提出了一种旨在保护未删除数据的机器遗忘框架或算法（具体名称视论文内容而定，通常涉及一种约束优化过程）。该方法的核心思想是在遗忘过程的优化目标中加入严格的约束条件，确保模型参数的更新不会降低保留集上的损失函数值，或者限制保留集特征表示的变化。通过这种方式，算法将遗忘操作“锁定”在不影响保留数据的范围内，从而打破了传统的性能权衡，实现既能有效删除目标数据，又能全盘保护其他数据效用的目标。
5: 这项研究与“数据最小化”原则有何关系？
5: 这项研究与“数据最小化”原则有何关系？
A: “数据最小化”是隐私保护法律（如GDPR）中的核心原则之一，要求系统仅保留实现特定目的所必需的数据。然而，在机器学习模型训练中，模型往往会“记住”训练数据中的细节。机器遗忘技术是实现数据最小化的事后补救措施。该论文的研究通过提高遗忘过程的安全性（保护未删除数据），使得企业和组织更有信心去响应数据删除请求，而不必担心会导致整个模型崩溃或需要耗费巨大成本重新训练模型，从而在技术上更好地支持数据最小化原则的落地。
6: 这种方法在实际部署中面临哪些计算挑战？
6: 这种方法在实际部署中面临哪些计算挑战？
A: 尽管该论文提出的方法在理论上能有效保护未删除数据，但在实际部署中可能面临计算成本高昂的问题。为了确保保留集的性能不受影响，算法可能需要在每次遗忘更新时计算保留集的梯度或进行复杂的投影运算，这在面对海量保留集数据时非常消耗计算资源。此外，如何设定合适的约束阈值以防止模型过拟合或优化过程不稳定，也是实际应用中需要解决的工程难题。
思考题
## 挑战与思考题
### 挑战 1: [简单]
问题**：
在机器遗忘的框架中，“保留集”（Retain Set）和"删除集”（Forget Set）通常被定义为互不相交的集合。假设你正在为一个图像分类模型设计遗忘算法，如果删除集中的某些数据样本与保留集中的样本在特征空间中高度相似（例如，两张几乎相同的狗的照片，一张在删除集，一张在保留集），仅仅针对删除集进行标准的梯度上升遗忘操作，可能会对保留集模型的性能产生什么具体影响？
提示**：
引用
注：文中事实性信息以以上引用为准；观点与推断为 AI Stack 的分析。