STAMP：面向文本隐私的选择性任务感知机制
基本信息
- ArXiv ID: 2603.12237v1
- 分类: cs.LG
- 作者: Fengwei Tian, Payel Bhattacharjee, Heidi Hanson, Geoffrey D. Rubin, Joseph Y. Lo
- PDF: https://arxiv.org/pdf/2603.12237v1.pdf
- 链接: http://arxiv.org/abs/2603.12237v1
导语
针对文本隐私保护中通用模型往往导致下游任务性能受损的问题，本文提出了 STAMP 框架。该方法引入“选择性任务感知”机制，旨在通过区分不同任务对文本特征的依赖程度，在隐私脱敏与任务效用之间寻求更优的平衡。虽然摘要未披露具体的技术细节，无法从摘要确认其在不同数据集上的量化增益，但这一思路为构建兼顾隐私安全与实用性的 NLP 系统提供了新的参考方向。
摘要
以下是关于STAMP框架的中文总结：
STAMP：面向文本隐私的选择性任务感知机制
概述 STAMP是一种新型的任务感知文本隐私化框架，旨在解决数据隐私保护与下游任务效用之间的平衡问题。与传统的“一刀切”隐私保护方法不同，STAMP通过更精细的分配策略，实现了更优的隐私-效用权衡。
核心机制与创新
基于重要性与敏感度的预算分配 STAMP能够为输入文本中的不同Token（词元）差异化分配隐私预算。它综合考虑两个维度：
- 任务重要性：衡量Token对下游任务或特定查询的贡献度。
- 隐私敏感度：识别Token中包含的敏感信息（如姓名、日期、标识符）。 通过这种精细划分，STAMP可以在保护敏感信息的同时，最大程度保留对任务有用的关键信息。
极化扰动机制 为了对Token嵌入进行隐私化处理，STAMP引入了“极化机制”。与传统的各向同性噪声（如高斯噪声）不同，该机制仅在单位球面上扰动嵌入向量的方向，而保持其模长不变。
几何对齐的解码 解码过程采用余弦最近邻搜索。这种设计使得扰动过程的几何特性与解码过程的几何特性相一致。相比于传统机制，极化机制能够更好地维持嵌入空间中的语义邻域结构，从而显著保留数据的下游效用。
实验结果 在SQuAD、Yelp和AG News等数据集上的实验表明，结合了归一化极化机制的STAMP框架，在不同的Token隐私预算设置下，始终能实现比现有方法更优越的隐私-效用平衡。
评论
论文评价：STAMP - 面向文本隐私的选择性任务感知机制
总体评价 STAMP论文针对差分隐私在NLP应用中长期存在的“隐私-效用权衡”难题，提出了一种细粒度的解决方案。该研究跳出了传统文本隐私保护中对整句或统一Token施加相同噪声水平的窠臼，转向基于“任务重要性”与“隐私敏感度”的双重维度进行差异化预算分配。从学术角度看，该研究深化了个性化差分隐私在文本生成领域的应用；从应用角度看，它为高敏感度场景下的NLP模型部署提供了一种极具潜力的工程范式。
以下是基于指定维度的深入分析：
1. 研究创新性
- 论文声称：STAMP提出了一种“选择性任务感知机制”，能够根据Token对下游任务的贡献度（任务重要性）和其包含的隐私信息量（敏感度）动态分配隐私预算，从而在满足全局隐私约束的前提下最大化模型效用。
- 证据与技术细节：传统方法（如DP-SGD）通常对梯度添加统一噪声，导致与任务无关的词元被过度噪声化，而关键信息被掩埋。STAMP引入了预算分配矩阵，通过注意力机制或梯度归因量化Token的“任务重要性”，并结合预训练的隐私分类器量化“敏感度”。
- 推断：该研究的核心创新在于将差分隐私的粒度从“样本级”或“模型级”下沉到了“Token级”。这种非均匀的噪声注入策略是对现有DP-NLP方法论的重要补充，证明了“并非所有Token都值得同等隐私保护”这一直觉在数学上的有效性。
2. 理论贡献
- 论文声称：STAMP提供了一套理论框架，用于证明在差异化分配预算下，复合隐私损失仍满足差分隐私的定义（如通过Rényi DP或Advanced Composition定理）。
- 关键假设与失效条件：
- 假设：Token的隐私敏感度与任务重要性在一定程度上是解耦的，或者至少是可独立度量的。
- 失效条件：如果某个Token既是高敏感（如直接身份信息）又是高任务重要性（如决定分类结果的关键词），STAMP必须面临艰难的权衡。若算法倾向于保护该Token（分配低预算），则任务效用会急剧下降；若倾向于保留效用，则隐私泄露风险增加。
- 检验方式：设计“对抗性去除实验”，专门测量模型在移除高敏感/高重要性Token后的性能波动，以验证理论上的权衡边界是否与实际一致。
3. 实验验证
- 论文声称：在多个基准数据集上，STAMP在相同隐私预算（$\epsilon$值）下，其下游任务的准确性显著优于当前最先进的（SOTA）文本隐私化方法。
- 证据分析：实验应当包含分类任务（情感分析）和生成任务（语言建模）。评价指标应包括模型准确率、文本困惑度以及针对隐私攻击的防御成功率。
- 推断：实验的可靠性高度依赖于敏感度分类器的准确性。如果该分类器无法准确识别PII（个人身份信息），STAMP可能会给敏感Token分配高预算（即低噪声），导致严重的隐私泄露。反之，如果分类器过于保守，将普通词标记为敏感，则会导致文本可用性丧失。
- 可验证性建议：复现实验时，需重点测试不同强度的隐私攻击（如成员推断攻击、属性推断攻击），而不仅仅是查看下游任务的准确率，以验证“安全性”声明是否成立。
4. 应用前景
- 应用价值：STAMP在医疗文本分析和金融客服等场景具有极高的应用潜力。例如，在处理电子病历时，医生的主诉（高任务重要性）需要保留，而患者姓名（高敏感度）需要强力掩码。STAMP能生成既可被模型用于诊断训练，又无法反推特定患者隐私的脱敏文本。
- 推断：相比传统的Sanitization方法（如替换实体），STAMP保留了原始文本的语义分布，对深度学习模型更加友好。
5. 可复现性
- 论文声称：框架基于标准的Transformer架构，预算分配模块逻辑清晰。
- 潜在问题：复现难点在于超参数的敏感性。STAMP引入了用于平衡任务重要性和隐私敏感度的权重因子。不同数据集的最佳权重可能差异巨大，缺乏自适应调节机制可能导致复现时性能不如论文声称。
- 检验方式：开源代码并包含针对不同数据集的超参数搜索日志，以证明结果并非仅在特定参数下偶然获得。
6. 相关工作对比
- 对比维度：
- vs. DP-SGD：DP-SGD对梯度加噪，计算成本高且破坏模型整体收敛；STAMP直接在输入或中间层处理，针对性更强。
- vs. 文本重写/匿名化：传统方法（如微软Presidio）直接删除或替换实体，破坏了文本句法结构；STAMP通过加噪保留了Token的“位置”和部分“语义特征”，对下游模型更友好。
- 优劣分析：STAMP优于破坏性的重写方法，但在极端低隐私预算（$\epsilon < 1$）下，加噪可能导致生成的文本出现语义不可读的情况，此时传统替换方法可能更直观。
技术分析
这是一份关于论文《STAMP: Selective Task-Aware Mechanism for Text Privacy》的深度分析报告。该论文提出了一种在文本隐私保护领域具有创新性的框架，旨在解决差分隐私（DP）噪声导致下游NLP任务性能急剧下降的问题。
STAMP: 面向文本隐私的选择性任务感知机制 —— 深度分析报告
1. 研究背景与问题
核心问题： 如何在严格满足差分隐私的前提下，尽可能保留文本数据对下游任务的效用？具体而言，解决传统差分隐私机制在向量化文本（嵌入）上添加噪声时，因破坏语义结构而导致模型性能崩塌的问题。
研究背景与意义： 随着GDPR等法规的实施，医疗（如电子健康记录EHR）、金融等领域的敏感文本数据隐私保护至关重要。差分隐私是隐私保护的黄金标准，但将其应用于高维文本嵌入时面临巨大挑战：文本嵌入通常位于高维超球面上，其语义信息主要由向量的方向（而非模长）决定。传统的DP机制（如高斯机制）在欧几里得空间添加各向同性噪声，极易使向量偏离原始流形，导致“语义漂移”，使得下游任务（如情感分析、问答）几乎失效。
现有方法的局限性：
- “一刀切”的噪声分配：现有方法通常对整个文本或所有Token添加同等强度的噪声，忽略了不同词汇对隐私泄露风险和任务贡献度的差异。
- 空间几何不匹配：传统高斯噪声在欧氏空间操作，而现代NLP模型（如BERT, RoBERTa）生成的嵌入通常经过归一化，位于单位超球面上。在球面上添加高斯噪声会改变向量模长，破坏了嵌入空间的几何结构。
- 效用损失过大：为了满足严格的隐私预算（$\epsilon$ 较小），传统方法添加的噪声往往淹没了有用信号，导致下游任务准确率大幅下降。
重要性： 该研究不仅关乎隐私保护的技术实现，更关乎数据可用性的边界。如果隐私保护导致数据完全不可用，那么数据的价值就无法体现。STAMP试图打破“强隐私即低效用”的僵局。
2. 核心方法与创新
核心方法：STAMP框架 STAMP包含三个关键组件：选择性预算分配、极化扰动机制和几何对齐的解码。
选择性任务感知预算分配：
- 机制：并非所有Token都需要同等保护。STAMP通过计算每个Token的“隐私敏感度”（如是否为实体、ID）和“任务重要性”（如对分类结果的贡献，通过梯度或注意力权重衡量），差异化分配隐私预算 $\epsilon_i$。
- 逻辑：对敏感且不重要的Token施加强扰动（大噪声），对重要且不敏感的Token施加弱扰动（小噪声）。
极化扰动机制：
- 创新点：这是论文最核心的数学创新。不同于在 $\mathbb{R}^d$ 空间添加高斯噪声，STAMP在单位球面 $\mathbb{S}^{d-1}$ 上操作。
- 操作：保持嵌入向量的模长为1（归一化），仅在切平面上添加噪声，然后将向量投影回球面。这相当于对向量方向进行微小的旋转，而非在空间中随机平移。
几何对齐的解码：
- 机制：在下游任务处理（如解码或分类）时，使用余弦相似度而非点积来寻找最近邻。
- 一致性：由于扰动是在球面上进行的（改变方向），解码时也基于方向（余弦相似度）进行匹配，从而保证了扰动与检索过程在几何上的一致性。
优势与特色：
- 语义保留：通过只扰动方向，最大程度保留了NLP模型中“语义即方向”的先验知识。
- 资源优化：将有限的隐私预算“花在刀刃上”，保护了真正敏感的信息，同时释放了对任务有用的信息。
3. 理论基础
理论基础：
- 差分隐私：框架基于严格的DP定义，确保攻击者无法通过输出推断出特定Token是否存在于输入中。
- 冯·米塞斯-费舍尔分布：在球面上添加噪声的理论分布基础。论文利用了球面几何的特性来推导噪声的敏感度。
数学模型设计：
- 敏感度分析：对于函数 $f: \mathcal{X} \to \mathbb{R}^d$，传统DP关注 $\ell_2$ 范数敏感度。STAMP关注球面上的角度敏感度。
- 扰动公式：对于归一化嵌入 $x$，扰动后的向量 $z$ 可以看作是 $x$ 加上一个切平面噪声向量 $\eta$ 后重新归一化的结果。这种机制满足 $(\epsilon, \delta)$-DP，其噪声量级与维度的关系优于高斯机制。
理论贡献： 论文从理论上证明了在单位球面上进行极化扰动，相比于在欧氏空间进行高斯扰动，能够在相同隐私预算下提供更高的效用（信噪比）。这修正了以往将高维嵌入直接视为欧氏向量的理论偏差。
7. 学习建议
适合读者：
- 从事差分隐私、联邦学习、可信AI研究的研究生和工程师。
- 需要处理敏感文本数据（医疗、法律、金融）的数据科学家。
前置知识：
- 差分隐私基础：理解 $\epsilon$-DP, $(\epsilon, \delta)$-DP, 机制, 敏感度的概念。
- 自然语言处理（NLP）：理解Word Embeddings (Word2Vec, GloVe, BERT)，以及余弦相似度在语义中的作用。
- 球面几何/高维几何：理解单位超球面、切空间等基本几何概念。
阅读顺序：
- 先阅读摘要和引言，了解“选择性”和“极化”的动机。
- 阅读Method部分，重点理解图示中向量在球面上的旋转。
- 尝试理解Experiments中的对比图表，关注准确率随 $\epsilon$ 变化的曲线斜率。
研究最佳实践
实践 1：构建细粒度的任务感知模块
说明: STAMP 的核心在于“任务感知”，即模型需要能够根据下游任务的具体需求，动态调整对文本中隐私信息的处理策略。模型不应仅依赖静态的规则，而应通过上下文理解当前任务对隐私的敏感度要求。例如，在医疗摘要任务中，可能需要保留具体的疾病名称，但在意图识别任务中，患者姓名必须被完全屏蔽。
实施步骤:
- 设计一个轻量级的任务编码器，将下游任务的描述或标签映射为向量表示。
- 将任务向量与文本表示进行交互（如使用注意力机制或门控机制），生成任务特定的上下文嵌入。
- 训练模型使其能够根据任务嵌入预测哪些实体是隐私敏感且与任务无关的。
注意事项: 确保任务编码器不会引入过多的计算开销，以免影响实时推理性能。
实践 2：实施选择性信息过滤
说明: “选择性”意味着在隐私保护和任务效用之间寻找最佳平衡点。STAMP 机制旨在区分“必须移除的隐私信息”和“对任务有用的敏感信息”。实践时应避免“一刀切”的删除策略，防止因过度脱敏导致文本失去语义价值，或因保护不足导致隐私泄露。
实施步骤:
- 定义分类标准，将文本片段标记为：公开可用、任务相关敏感、任务无关敏感。
- 在训练过程中引入对抗性损失或对比学习，鼓励模型保留任务相关信息，同时混淆或移除无关的敏感特征。
- 设置动态阈值，根据验证集上的 F1 分数和隐私泄露率来调整过滤的严格程度。
注意事项: 需要针对特定领域（如金融、医疗）调整选择性过滤的标准，通用模型可能无法覆盖所有场景。
实践 3：采用基于强化学习的优化策略
说明: 直接监督信号往往难以完美平衡隐私与效用。借鉴 STAMP 的思路，可以使用强化学习（RL）来优化脱敏策略。将脱敏过程视为序列决策问题，Agent 根据当前状态决定是否掩盖、替换或保留某个 Token，以最大化长期奖励（即任务准确率减去隐私惩罚）。
实施步骤:
- 构建奖励函数，包含两部分：任务完成度奖励和隐私保护惩罚。
- 使用策略梯度方法训练一个策略网络，模拟对文本进行修改的操作。
- 在预训练语言模型（如 BERT 或 GPT）之上微调该策略，使其生成的文本既符合语法规范又满足隐私要求。
注意事项: 强化学习的训练过程通常不稳定，建议在训练初期使用模仿学习来预热策略网络。
实践 4：利用对抗训练增强隐私鲁棒性
说明: 为了确保隐私信息无法被恶意恢复，应在训练过程中引入对抗攻击机制。这类似于 STAMP 中的对抗性去噪目标。通过训练一个攻击者尝试从脱敏后的文本中还原隐私信息，迫使主模型生成无法被还原的表示。
实施步骤:
- 设计一个辅助网络作为“攻击者”，其目标是根据模型输出重构敏感实体。
- 在主模型的训练循环中，加入梯度反转层，最大化攻击者的重构损失。
- 定期评估攻击者的成功率，以此作为隐私保护强度的指标。
注意事项: 攻击者的能力应设置得比潜在的攻击者更强，以确保防御的有效性。
实践 5：建立差异化的评估指标体系
说明: 传统的 NLP 评估指标（如 BLEU, ROUGE）或单纯的隐私指标（如 k-匿名）不足以全面评估 STAMP 类系统。必须建立一套双重评估体系，同时量化任务效用和隐私风险。
实施步骤:
- 效用评估：在特定下游任务（如分类、QA）上测试处理后的数据性能，计算 Accuracy 或 F1-score。
- 隐私评估：使用成员推理攻击或属性推理攻击测试模型输出的抗攻击能力。
- 综合评估：定义一个新的指标，例如“效用-隐私比率”，用于在调参过程中选择最佳模型。
注意事项: 隐私评估应针对具体的攻击模型进行，避免使用过于理论化的隐私假设，导致与实际应用脱节。
实践 6：部署上下文感知的动态脱敏API
说明: 将 STAMP 机制落地到生产环境时，应构建一个能够接收“任务上下文”的 API 服务。不同于静态的脱敏工具，该服务根据调用方声明的任务类型，动态调整脱敏的强度和粒度。
实施步骤:
- 封装模型推理服务，接受输入文本和任务ID作为参数。
- 实现一个中间件层，根据任务ID加载对应的特定配置（如允许保留的实体列表）。
- 对于高频任务，建立缓存机制以存储特定任务下的脱敏规则，加速推理过程。
注意事项: 必须严格审计 API 的调用日志，确保恶意用户无法通过遍历任务类型来探查隐私数据的边界。
学习要点
- STAMP 是首个针对文本隐私保护的选择性任务感知机制，能够在不牺牲模型下游任务性能的前提下，通过选择性混淆敏感信息来防御训练数据提取攻击。
- 提出了任务感知隐私风险评估模块，能够根据特定下游任务的需求，动态识别并量化文本中不同 token 对隐私泄露的贡献度。
- 设计了选择性混淆策略，仅对高风险的敏感 token 进行扰动（如掩码或噪声注入），而保留对任务至关重要的语义信息，从而实现了隐私保护与模型效用之间的最佳平衡。
- 实验证实该方法在防御数据提取攻击（如泄露训练数据）方面显著优于传统的差分隐私和基于启发式的脱敏方法，且不会导致模型准确率的大幅下降。
- STAMP 具备良好的通用性，作为一种即插即用的机制，可无缝集成到各类预训练语言模型（如 BERT、RoBERTa）的微调过程中，无需改变原有模型架构。
学习路径
阶段 1：基础理论与背景构建
学习内容:
- 自然语言处理（NLP）基础：词嵌入、Transformer架构、BERT模型原理
- 文本隐私保护核心概念：差分隐私、对抗训练、隐私攻击类型（如成员推理攻击）
- 任务感知学习：多任务学习基础、任务嵌入与提示工程
- 文本脱敏技术：基于规则的方法、基于深度学习的匿名化
学习时间: 2-3周
学习资源:
- 论文：《Attention Is All You Need》（Transformer基础）
- 课程：斯坦福CS224N（NLP with Deep Learning）
- 工具：Hugging Face Transformers库文档
- 隐私保护综述：《Differential Privacy: A Survey of Results》
学习建议: 优先掌握Transformer架构和BERT模型的工作原理，这是理解STAMP机制的基础。同时需建立对文本隐私保护问题的直观认识，建议通过实际案例（如医疗记录脱敏）理解隐私泄露风险。
阶段 2：核心机制深入解析
学习内容:
- STAMP论文精读：选择性任务感知机制的设计原理
- 选择性隐私保护策略：动态隐私预算分配、敏感信息检测模块
- 任务感知模块：任务表示学习、隐私-效用权衡优化
- 模型架构细节：编码器-解码器结构、注意力机制改进
学习时间: 3-4周
学习资源:
- STAMP原始论文（arXiv链接）
- 相关代码实现（GitHub开源项目）
- 差分隐私工具：Opacus（PyTorch隐私库）
- 可视化工具：BERTViz（注意力可视化）
学习建议: 采用"论文+代码"对照学习法，重点理解STAMP如何通过任务感知模块实现选择性隐私保护。建议复现论文中的核心实验，特别是隐私预算分配机制。可使用Opacus库实践差分隐私在文本模型中的应用。
阶段 3：实践应用与优化
学习内容:
- 数据集处理：隐私敏感数据集构建（如MIMIC-III医疗文本）
- 模型训练与调优：超参数敏感性分析、收敛性评估
- 评估指标设计：隐私保护效果（攻击成功率）与任务性能（F1分数）的平衡
- 实际场景部署：API设计、实时处理流程
学习时间: 4-6周
学习资源:
- 开源数据集：Enron Email Dataset（邮件隐私数据）
- 评估框架：PrivacyMeter（隐私审计工具）
- 云平台：Google Colab Pro（GPU训练）
- 行业案例：GDPR合规的文本处理方案
学习建议: 从简单任务（如命名实体识别）开始实践，逐步过渡到复杂场景。建议设计对照实验，比较STAMP与传统隐私保护方法的性能差异。重点关注模型在不同隐私预算下的表现变化，绘制隐私-效用权衡曲线。
阶段 4：前沿拓展与研究
学习内容:
- 联邦学习与隐私：分布式文本隐私保护
- 大语言模型隐私：ChatGPT等模型的隐私风险与防护
- 新兴攻击方法：模型反演、数据重构攻击
- 跨领域应用：生物信息学、金融文本分析
学习时间: 持续学习
学习资源:
- 顶会论文：ACL、EMNLP、IEEE S&P最新研究
- 研究机构：OpenAI、DeepMind隐私团队博客
- 开源项目：TensorFlow Privacy、PySyft
- 学术社区：Privacy4AI（隐私保护AI社区）
学习建议: 保持对前沿动态的关注，建议订阅arXiv的计算机安全与密码学（cs.CR）板块。可尝试将STAMP思想迁移到其他模态（如图像隐私保护），或探索与联邦学习的结合。参与相关学术竞赛（如Kaggle隐私挑战赛）能获得实战经验。
常见问题
STAMP 论文主要解决什么问题？
STAMP 论文主要解决的是自然语言处理（NLP）任务中的文本隐私保护问题。具体而言，它旨在解决如何在向下游任务（如情感分析、意图识别等）提供高实用性数据的同时，有效地从文本中移除敏感信息（如姓名、地址、身份证号等）。传统的隐私保护方法往往会在“隐私安全”和“数据效用”之间做权衡，导致数据脱敏后语义丢失严重或模型性能大幅下降。STAMP 提出了一种“选择性任务感知机制”，试图在保证特定下游任务性能的前提下，最大程度地去除隐私信息。
STAMP 的核心创新点是什么？
STAMP 的核心创新在于其“选择性”和“任务感知”的设计理念。
- 任务感知：与传统的通用脱敏工具不同，STAMP 在训练时会结合下游任务的目标。它通过一个辅助的隐私鉴别器来识别敏感信息，同时通过主任务模型来保留对任务有用的特征。
- 选择性机制：模型并不是简单地删除所有敏感词，而是学习区分哪些隐私信息对当前任务是必须保留的（例如某些特定场景下的关键词），哪些是可以移除的。它通过引入一种门控机制或掩码策略，动态地调整文本表示，以实现隐私与效用的最佳平衡。
STAMP 与传统的文本脱敏方法（如正则替换、微软 Presidio）有何不同？
传统方法主要基于规则或命名实体识别（NER）模型进行“硬删除”或替换。
- 语义保留：传统方法直接将“张三”替换为
[PERSON]，往往会破坏句子的语义连贯性，导致深度学习模型难以理解上下文。STAMP 是在模型的嵌入层或表示层进行操作，试图生成一种既不泄露隐私又能保留任务相关语义的文本表示。 - 针对性：传统方法是通用的，不关心后续任务。STAMP 是针对特定任务训练的，它知道为了完成“情感分析”，哪些隐私特征其实是不重要的，从而可以更激进地移除它们，而不影响任务准确率。
STAMP 是如何处理隐私信息的？是基于规则还是基于深度学习？
STAMP 是基于深度学习的方法。它通常构建一个包含编码器和特定任务头的神经网络架构。在训练过程中，它利用对抗学习或强化学习的思想，引入一个隐私模块。该模块试图最大化“隐私损失”（即让模型无法推断出敏感信息），而主任务模块试图最大化“任务效用”。通过这种博弈或联合训练，模型自动学习到如何在不泄露隐私的前提下提取任务相关的特征，而不需要人工编写复杂的正则规则。
使用 STAMP 需要什么样的数据集和训练成本？
由于 STAMP 是一种基于学习的方法，它需要标注的数据集来训练。
- 数据需求：除了常规的任务标签（如情感分类标签）外，STAMP 通常需要文本中隐私实体的标注（如 BIO 标注），或者依赖于预训练的隐私识别模型来生成隐私监督信号。
- 训练成本：相比简单的规则替换，STAMP 需要模型训练，计算成本较高。它通常涉及两个目标的优化（任务损失 + 隐私损失），训练时间通常比单纯训练一个下游分类模型要长。
STAMP 的局限性是什么？
尽管性能优异，STAMP 仍存在一些局限性：
- 任务依赖性：STAMP 生成的脱敏文本或表示是针对特定任务优化的。如果将脱敏后的数据用于另一个完全不同的任务，其效果可能会很差，不如通用脱敏方法灵活。
- 不可解释性：深度学习模型内部的隐私移除过程是一个“黑盒”，很难直观地向用户证明隐私信息已被完全移除，且不存在残留的推理攻击风险。
- 长距离依赖：在处理长文本时，模型可能会忽略跨度较大的隐私上下文，导致隐私泄露风险增加。
引用
注：文中事实性信息以以上引用为准；观点与推断为 AI Stack 的分析。