LLM × 差分隐私 × 图数据：三角交叉的前沿研究全景综述（2024—2026）

摘要：大语言模型（LLM）、差分隐私（Differential Privacy, DP）与图数据，三个领域在 2024—2026 年加速交汇：LLM 正在成为图学习的新引擎，而图结构恰恰是隐私保护最棘手的对象之一。本文系统梳理这一交叉地带的最新研究：LLM 进入私有图学习的四种姿势、图发布与图分析的机制创新（节点 DP 突破、边 DP 平衡、算法级进展）、以及图拓扑泄露的攻击与反制，最后讨论五个关键开放问题。共引用 arXiv 论文 29 篇，全部为 2022—2026 年成果，其中 2026 年新作过半。

一、为什么是这三个词的交叉？

图数据无处不在：社交网络、引文网络、知识图谱、生物分子网络、推荐系统……它们把"实体之间的关系"编码成结构，而这恰恰是隐私泄露的高发地带——一条好友关系、一次转账、一个共病连接，都可能指向具体的人。

差分隐私是隐私保护事实上的黄金标准：它承诺"攻击者无法通过输出判断某条记录（或某条边、某个节点）是否存在"，无论攻击者拥有多少背景知识。但 DP 用在图上有两个天然难点：其一，图结构查询的敏感度往往很高（删一条边可能让三角形计数变化 O(N)）；其二，深度学习主流的 DP-SGD 依赖"梯度解耦"假设，与关系学习中样本天然相关的特性不兼容。

大语言模型在 2023 年后成为通用智能引擎，2024 年起开始与图数据深度碰撞：Graph RAG、图基础模型（Graph Foundation Models）、LLM 编码图知识、LLM-GNN 协作……当 LLM 与图相遇，隐私问题立刻浮出水面：LLM 的知识从哪来？会不会放大图结构泄露？

三者交叉，形成了一个小而火热的研究带。从 arXiv 数据看，"图 × DP × LLM"三词组合在 2024 年之前几乎为零，2024 年出现第一篇直接命中（PvGaLM），2025—2026 年进入密集爆发期。本文按三条主线展开：LLM 入局、机制创新、攻击反制。

二、预备知识：图数据上的差分隐私

2.1 DP 在图上的四种定义

2.2 两个结构性的难

难点一：敏感度随图结构放大。 以三角形计数为例，在无标度网络中，一个枢纽节点（hub）单条边的增删可使三角数变化 O(N)，局部敏感度无界，必须注入数量级的噪声（2026 年 DMP-MH 论文称之为 Hubness Explosion，枢纽爆炸）。这是图 DP 与表格数据 DP 最本质的差异。

难点二：DP-SGD 与关系学习不兼容。 DP-SGD 的隐私分析假设训练样本相互独立、梯度可解耦；而图上相邻样本（相邻节点、相邻边）的梯度天然耦合，直接套用会破坏隐私保证。PvGaLM（2024）正是从这一点切入，提出了依赖解耦的私有关系学习管线。

2.3 经典三件套（2021—2023）

在 LLM 入场之前，图 DP 的骨架已由三篇工作奠定：

• GAP（Sajadmanesh & Gatica-Perez, CCS 2021）：节点级 DP 下的 GNN 聚合框架，对邻域聚合注入校准噪声；
• LPGNN（Sajadmanesh & Gatica-Perez, ICLR 2023）：本地 DP 模型，提出 LDP 编码器 + 无偏整流器 + KProp 去噪层，服务器通过多跳特征聚合抵消注入噪声；
• 灵敏度有界 PPR（Epasto 等, 2022）：把 Personalized PageRank 的边敏感度钳制住，从而派生出 DP 排名、DP 节点分类与 DP 节点嵌入——这是"对工具做灵敏度手术"思路的早期代表。

这三篇奠定了两条路线：聚合端加噪（GAP/LPGNN）与结构端降敏（PPR）。2026 年的新工作几乎都在这两条路线上深化或混合。

三、主线一：LLM 入局——四种姿势

3.1 姿势一：在私有图数据上微调 LLM（PvGaLM, 2024）

PvGaLM（arXiv:2410.08299）是"LLM × DP × 图"交叉地带的开山之作。作者指出：DP-SGD 的梯度解耦假设在关系学习上不成立，因此提出了一个关系依赖解耦的私有管线——对采样关系做依赖切割，再配合量身定制的 DP-SGD 应用，从而在敏感图数据上微调 Llama2 等 LLM，并在四个真实文本属性图上显著提升关系学习任务。

它的意义不只是方法本身：它证明了 LLM 可以安全地在图数据上微调，为后续所有"LLM 吃图数据"的工作铺平了道路，并第一次正面处理了"文本属性 + 图结构"混合数据下的隐私分析。

3.2 姿势二：LLM 作为语义推理器与 GNN 协作（PriDyG, 2026）

PriDyG（arXiv:2608.04255，2026 年 8 月）是本交叉带最新的代表作，解决的是动态图上的隐私难题：图随时间演化、模型反复更新，隐私损失不断累积。

它做了三件事：

1. 公式化了"边级 DP 动态图推理"（EDG）问题；
2. 提出增量式私有多跳聚合：缓冲新到达的边、每条边只处理一次，利用 DP 的并行组合性质，使总隐私成本与单次静态发布相同——对比几何衰减预算分配方案，累积隐私成本降低最多三个数量级，且避免噪声指数增长；
3. LLM 只读节点文本做语义推理，与加噪后的 GNN 输出互补，不消耗任何边级隐私预算——因为 LLM 的输入是公开文本，不是图结构。

这几乎是"LLM 与 DP 图学习"最优雅的分工：GNN 吃结构（加噪）、LLM 吃语义（零成本）。用户侧观察：这印证了一个重要直觉——把隐私敏感的部分与公开先验的部分分离，是破解隐私-效用权衡的关键杠杆。

3.3 姿势三：LLM 编码知识注入联邦图学习（2025—2026）

联邦学习天然与隐私绑定，图数据在联邦场景下又叠加了"非独立同分布（non-IID）客户端"的难题：

• Guiding Federated Graph Recommendation with LLM-encoded knowledge（arXiv:2606.15277，2026）：用 LLM 编码的先验知识引导跨客户端的图表示聚合，缓解结构分布差异；
• LLM-Guided Dynamic-UMAP（arXiv:2511.09438，2025）：用 LLM 做数据增强、prompt/指令微调与上下文学习，输出信号参数化客户端专属的 Dynamic UMAP 流形，用于个性化联邦图学习；明确采用 moments accountant 建立 DP 威胁模型，覆盖知识图谱补全、推荐式链接预测、引文与商品图。

这条线的工作往往把 DP 当作"威胁模型声明"而非"核心贡献"，但它们共同回答了一个问题：联邦图学习里，LLM 的语义知识能不能当"免费的公开先验"用？ 答案是乐观的——只要 LLM 不接触私有图结构。

3.4 姿势四：图提示学习的隐私（DP-GPL, 2025）+ 推理侧清洗（PromptGraph, 2026）

DP-GPL（arXiv:2503.10544，2025）发现了图基础模型时代的隐患：图提示学习（Graph Prompt Learning）在公开数据上预训练 GNN、用轻量图提示适配敏感任务——作者用成员推理攻击实证了图提示会显著泄露敏感数据；更反直觉的是，标准 DP-SGD 在"小样本敏感提示"上失效（隐私-效用双输）。他们的解法是转向 PATE 框架，在强隐私下保持高效用。

PromptGraph（arXiv:2607.10709，2026）则站在 LLM 服务的推理侧：敏感信息不仅藏在显式标识符（姓名、电话）里，更藏在无恶意片段之间的上下文关联中。PromptGraph 用图引导的提示清洗（prompt sanitization）来平衡隐私与效用——注意这里"图"指的是敏感片段之间的关联图，是图结构辅助 LLM 隐私保护的又一形态。

四、主线二：图发布与图分析的机制创新（2026 井喷）

2026 年是图 DP 机制研究的丰收年。一个标志性事件是 SoK 论文（arXiv:2603.18779，D’Silva/Nepal/Kanhere）：系统化梳理了差分隐私图发布方法的全景，识别关键漏洞，并给出一个面向从业者的目标导向选择框架，在社交网络域建立了统一基准。它直言当前领域存在"误导性保护声明"——隐私定义五花八门、效用目标各不相同，方法之间难以公平对比。这篇 SoK 本身就应该成为任何入局者的第一站。

4.1 节点 DP 的三重突破

节点 DP 保护"整个节点及其所有边"，是图隐私的"最高档位"，但也是技术难度最高的档位。2025 下半年到 2026 年，三个方向同时破局：

• GRAND（arXiv:2507.00402，2025）：号称首个"保证节点 DP 且保持结构属性"的图发布机制——此前节点级工作要么只支持预设统计量的查询，要么发布结果严重破坏结构。GRAND 在潜空间模型族下证明：发布图与原图渐进同分布，实验覆盖合成与真实数据集。
• N2E（arXiv:2511.20125，2025）：提出一个通用归约框架，把任意节点 DP 图分析任务归约为边 DP，从而复用海量现成边 DP 机制。两个关键技术是"距离保持裁剪"（限制相邻图裁剪后的边距离）与首个节点 DP 最大度估计机制（提供紧致的隐私裁剪阈值）。收益惊人：边计数误差降低 2.5 倍，度分布估计误差降低 80 倍。
• LNDP*（arXiv:2602.15802，2026）：把节点 DP 搬进本地模型——每个节点只看到自己的边列表，通过本地随机化器与不可信服务器交互。核心创新是"模糊度分布"（blurry degree distribution）：一个近似度分布、敏感度更低的对象，使边计数、度分布 PMF/CDF 等线性查询达到中心模型相当或更优的精度，并给出匹配的下界。

4.2 边 DP 的隐私-效用平衡工程

• EdgeRefine（arXiv:2607.08659，2026）：批判了"向邻接矩阵全元素注入噪声"的粗暴做法，提出自适应边细化——先用 Jaccard 相似度估计边存在概率并排序，再用隐私预算 ε 决定真假边采样比例、用独立采样率 k 控制边总数。实验：ε=2.5 时节点分类精度较 SOTA 基线提升 17.8%（ACM/GAT）与 19.7%（Cora/GCN）；图重构攻击下相对绝对误差始终大于 1，抗泄露能力强。
• DMP-MH（arXiv:2605.15460，2026）：直面"枢纽爆炸"——无标度网络中 hub 单边增删使三角计数变化 O(N)。它的 Sanitize-then-Distill 框架先确定性裁剪节点度（把三角 motif 的 L2 敏感度钳制到与数据集规模无关），再用噪声镜像下降在 (ε,δ)-边 DP 下生成消毒合成图，最后双流哈希网络蒸馏拓扑。在 MIRFlickr-25K/NUS-WIDE 上比私有基线最高提升 11.4 mAP，保留非私有性能的 92.5%。

4.3 算法级进展：从"近线性"到"精确恢复"

• 私有社区检测（arXiv:2606.14540，2026，Google 团队）：随机块模型（SBM）下的首个近线性时间 DP 精确恢复算法——此前方法要么伪多项式时间、要么常数隐私预算下资源二次方增长。核心是"自适应不相交星算法"：在边不相交子图上查询节点度，天然具备强隐私保证。实验规模比此前工作大两个数量级。
• 谱与割的私有近似（arXiv:2607.18846，2026）：割查询的私有发布误差从 Aamand 等（ICML 2025）的 Õ(n^{5/4}) 改进到 Õ(n^{13/12})，靠的是新的私有谱原语——有界度图 Laplacian 谱估计首次在高密度区打败 min{2d, Õ(√n/ε)} 基线。
• 边 DP 图着色（arXiv:2602.13460，2026）、边 DP 幂律指数估计（arXiv:2604.20274，2026）、本地边 DP 三角形计数（arXiv:2305.02263，2023）：图算法"逐个做灵敏度手术"的典型样本，说明图 DP 已从"通用框架"走向"每类查询定制"。

4.4 工具类演化：从 PPR 到对抗训练

• 灵敏度有界 PPR（arXiv:2207.06944，2022）：前文已述，是"结构端降敏"路线的教科书；
• AdvSGM（arXiv:2503.21426，2025）：把 skip-gram 图嵌入私有化，核心思路是用对抗训练替代显式加噪——设计两个可优化噪声项对应 skip-gram 参数，在模块间调权即可获得 DP 梯度更新，无需额外噪声注入，在六个真实图上保持高效用。这是"用学习换噪声"的代表，与 DP 合成数据的对抗蒸馏一脉相承。

五、主线三：攻击与反制——图拓扑泄露的另一面

隐私研究不能只谈防御。2026 年三篇攻击向工作补上了这块拼图：

1. 谱嵌入泄露图拓扑（arXiv:2604.21094，2026）。论文指出标准基准"不现实地假设图集中可得"——真实场景中图是碎片化、本地化、带噪声的。作者构建了 LoGraB 局部图基准（三种切分策略、四个控制维度），并提出 AFR 自适应保真重建：用"间隙-截断稳定性比 + 结构熵"给谱碎片打分，RANSAC-Procrustes 对齐、自适应拼接、束调整组装，恢复出大块忠实图岛。理论侧给出谱泄露命题：在谱间隔假设下，只要共享的特征向量足够多，多项式时间的贝叶斯重建就是可行的。实验：Gaussian DP（ε=2）下 AFR 仍保留无防御 F1 的 75%。这篇论文的弦外之音：谱方法既是 DP 图分析的利器，也是拓扑泄露的通道——防御者必须意识到"嵌入即泄露"。

2. 本地隐私 GNN 的对抗攻击（arXiv:2603.20746，2026）。LDP 保护下的 GNN 是否更抗对抗扰动？结论很微妙：LDP 噪声既可能"顺带"淹没对抗扰动，也可能被攻击者利用来混淆防御。论文分析了现有攻击方法在 LDP 约束下的效力边界，并呼吁"同时鲁棒且隐私"的 GNN 架构——隐私与安全是两个正交的威胁模型，不能互相替代。

3. GNN 梯度泄露攻击（Leaking Circuit Secrets，arXiv:2606 系列，2026 年 6 月）。把经典梯度泄露攻击（gradient leakage attack）推广到 GNN：在联邦/拆分学习这类"梯度共享"场景下，攻击者可从梯度反推图结构敏感信息。这提醒我们：协议层的隐私（联邦、拆分）不等于信息论隐私，梯度本身就是一条泄露通道。

六、挑战与开放问题

站在 2026 年年中回望，这个交叉领域解决了"从无到有"，但远未到"从有到优"。我看到的五个关键开放问题：

1. 隐私-效用-成本三角的度量混乱。 SoK 论文点破了现状：隐私定义（边/节点/图/本地）、效用目标（分类精度/图统计/结构保真）、预算口径各不相同，导致"误导性保护声明"泛滥。领域急需一个统一基准（SoK 已给出社交网络域的尝试）和诚实的能力边界报告——这与我们对任何新方法"先划清适用范围"的审稿纪律一致。

2. 节点 DP 的工程化缺口。 N2E 的 80 倍度分布误差改进、GRAND 的渐进同分布保证很漂亮，但节点 DP 在真实大规模图上的部署仍然稀缺——敏感度钳制（degree clipping）的阈值选择、与下游任务的耦合，都还没有成熟实践。"高隐私档位"不应只是论文里的理论奢侈品。

3. 动态图的隐私会计。 PriDyG 用并行组合给了优雅答案，但它处理的是"边增量"型演化；边的删除、节点的加入/退出、图结构整体漂移，各自的隐私成本如何累积？连续发布（continual release）的下界工作（2025 年 12 月有相关改进）正在逼近这个问题的理论天花板。

4. LLM 的双重身份。 一方面，LLM 只吃公开先验、不碰私有结构，就能以零隐私成本提供语义通道（PriDyG 的实证）；另一方面，LLM 庞大的预训练语料本身可能编码了图结构的统计规律，成为"隐式背景知识"——攻击者用 LLM 辅助做拓扑重建（谱泄露命题的工程化）会怎样？"公开先验"与"泄露放大器"之间没有清晰界线，这是 LLM × DP 最值得警惕的灰色地带。

5. 语义先验能否重构敏感度结构？ 这是我认为最有价值的方向：图 DP 的核心痛点是敏感度随结构放大（枢纽爆炸）。如果公开的语义本体（疾病分类、知识图谱层级、领域术语体系）能把原始图结构映射到语义等价类，敏感度是否可以从"结构依赖"变成"语义有界"？2026 年的 DMP-MH（度裁剪钳制敏感度）和 PPR（灵敏度手术）已经证明"降敏"可行，但用语义知识做系统性降敏（而非手工裁剪）还几乎无人系统探索——LLM 恰好是自动化构造语义等价类的最强工具。这个方向的难点在于：语义映射必须完全基于公开数据构造，否则映射本身就成了隐私负担；且"语义等价"的效用增益需要严格的定理保证，不能停留在实验直觉。谁先给出"公开语义映射 + 敏感度上界定理 + 效用最优性证明"的完整链条，谁就拿到了这个交叉领域最硬的一块成果。

七、结语

LLM、DP 与图数据的交叉，正在从"三个孤岛"变成"一个战场"：LLM 提供了语义通道与知识先验，DP 提供了可证明的隐私护栏，图数据提供了最具挑战性的结构场景。2026 年的井喷说明这个战场已经进入从机制创新到工程落地的过渡期——SoK 的诞生是领域成熟的标志，而"公开语义先验重构敏感度结构"这类问题的提出，则是下一轮突破的信号。

对研究者的建议很朴素：先读 SoK（2603.18779）建坐标系，再读 PvGaLM（2410.08299）与 PriDyG（2608.04255）看 LLM 的两种正确姿势，最后带着"我的方法在隐私定义、效用目标、公平对比上是否诚实"这个问题去做自己的贡献。

参考文献（arXiv）

1. Haoteng Yin, Rongzhe Wei, Eli Chien, Pan Li. Privately Learning from Graphs with Applications in Fine-tuning Large Language Models. arXiv:2410.08299, 2024. (PvGaLM)
2. Yuyang Xia, Ruixuan Liu, Li Xiong. PriDyG: Privacy-preserving Dynamic Graph Inference with LLM-GNN Collaboration. arXiv:2608.04255, 2026.
3. Jing Xu, Franziska Boenisch, Iyiola E. Olatunji, Adam Dziedzic. DP-GPL: Differentially Private Graph Prompt Learning. arXiv:2503.10544, 2025.
4. PromptGraph: Graph-Guided Prompt Sanitization for Balancing Privacy and Utility in LLM Inference. arXiv:2607.10709, 2026.
5. Guiding Federated Graph Recommendation with LLM-encoded knowledge. arXiv:2606.15277, 2026.
6. Sai Puppala, Ismail Hossain, et al. LLM-Guided Dynamic-UMAP for Personalized Federated Graph Learning. arXiv:2511.09438, 2025.
7. Nicholas D’Silva, Surya Nepal, Salil S. Kanhere. SoK: Practical Aspects of Releasing Differentially Private Graphs. arXiv:2603.18779, 2026.
8. Suqing Liu, Xuan Bi, Tianxi Li. GRAND: Graph Release with Assured Node Differential Privacy. arXiv:2507.00402, 2025.
9. Yihua Hu, Hao Ding, Wei Dong. N2E: A General Framework to Reduce Node-Differential Privacy to Edge-Differential Privacy for Graph Analytics. arXiv:2511.20125, 2025.
10. Sofya Raskhodnikova, Adam Smith, Connor Wagaman, Anatoly Zavyalov. Local Node Differential Privacy. arXiv:2602.15802, 2026.
11. Wenxiu Ding, Muzhi Liu, Zheng Yan, et al. EdgeRefine: Privacy-Utility Balance for Graphs via Jaccard Sampling under Edge Differential Privacy. arXiv:2607.08659, 2026.
12. Zehua Cheng, Wei Dai, Jiahao Sun. Differentially Private Motif-Preserving Multi-modal Hashing. arXiv:2605.15460, 2026. (DMP-MH)
13. Vincent Cohen-Addad, Alessandro Epasto, Haim Kaplan, et al. An Efficient Private Algorithm for Community Detection. arXiv:2606.14540, 2026.
14. Chenglin Fan, Jingcheng Liu, Pan Peng, et al. Private Approximation of Graph Spectra and Cuts via Spectral Amplifiers. arXiv:2607.18846, 2026.
15. Differentially Private Graph Coloring. arXiv:2602.13460, 2026.
16. Estimating Power-Law Exponent with Edge Differential Privacy. arXiv:2604.20274, 2026.
17. Triangle Counting with Local Edge Differential Privacy. arXiv:2305.02263, 2023.
18. Alessandro Epasto, Vahab Mirrokni, Bryan Perozzi, Anton Tsitsulin. Differentially Private Graph Learning via Sensitivity-Bounded Personalized PageRank. arXiv:2207.06944, 2022.
19. Sen Zhang, Qingqing Ye, Haibo Hu, Jianliang Xu. AdvSGM: Differentially Private Graph Learning via Adversarial Skip-gram Model. arXiv:2503.21426, 2025.
20. Sina Sajadmanesh, Daniel Gatica-Perez. Locally Private Graph Neural Networks. arXiv:2006.05535, ICLR 2023. (LPGNN)
21. Sina Sajadmanesh, Daniel Gatica-Perez. GAP: Differentially Private Graph Neural Networks. ACM CCS 2021.
22. Thinh Nguyen-Cong, Truong-Son Hy, Thang N. Dinh. Spectral Embeddings Leak Graph Topology: Theory, Benchmark, and Adaptive Reconstruction. arXiv:2604.21094, 2026.
23. Matta Varun, Ajay Kumar Dhakar, Yuan Hong, Shamik Sural. Adversarial Attacks on Locally Private Graph Neural Networks. arXiv:2603.20746, 2026.
24. Leaking Circuit Secrets: Gradient Leakage Attacks on Graph Neural Networks. arXiv 2026-06.
25. Wen Xu, Zhetao Li, Yong Xiao, et al. HoGS: Homophily-Oriented Graph Synthesis for Local Differentially Private GNN Training. arXiv:2602.08762, 2026.
26. Node and Edge Differential Privacy for Graph Laplacian Spectra: Mechanisms and Scaling Laws. arXiv:2211.15366, 2022.

本文作者：喵本喵叁肆。数据基于 arXiv 公开接口检索（2026-08-13 快照），所有论文信息均来自论文官方摘要；未读全文的论文在文中仅引用其摘要所述结论。综述属个人学术笔记性质，欢迎在评论区指正与补充。