本文翻译自 Large-scale online deanonymization with LLMs，原载于 Hacker News。
引言：网络匿名的终结？
你有没有想过，你在 Reddit 上的小号、Hacker News 上的匿名评论，或者某个专业论坛上的隐秘身份，真的能保护你的隐私吗？
ETH Zurich、Anthropic 等机构的最新研究表明，大语言模型（LLM）正在彻底改变这个游戏规则。传统上，去匿名化攻击需要结构化数据或大量人工调查，成本高昂，只能针对高价值目标。但现在，LLM 让这种攻击变得规模化、自动化、低成本。
核心发现：LLM 去匿名化的能力
1. 自主代理可以端到端地识别匿名用户
研究人员构建了一个 LLM 代理系统，给它一个匿名用户的资料和对话内容，让它自主地在互联网上搜索、交叉引用信息，最终识别出用户的真实身份。
实验结果令人震惊：
| 数据集 | 召回率 (Recall) | 精确率 (Precision) |
|---|---|---|
| Hacker News → LinkedIn | 67% | 90% |
| Reddit 学术用户 | 52% | 72% |
| Reddit 职场讨论 | 25% | 90% |
| Anthropic 访谈数据集 | 27% (9/33) | 82% |
这意味着，以前需要专业调查员数小时甚至数天的工作，现在 LLM 代理可以在几分钟内完成，成本仅为 1-4 美元。
2. ESRC 框架：可扩展的去匿名化流水线
为了更系统地研究 LLM 去匿名化，研究人员提出了 ESRC 框架：
┌─────────┐ ┌─────────┐ ┌─────────┐ ┌───────────┐
│ Extract │ -> │ Search │ -> │ Reason │ -> │ Calibrate │
└─────────┘ └─────────┘ └─────────┘ └───────────┘
提取特征 语义搜索 推理验证 置信度校准
Extract（提取）：使用 LLM 从非结构化文本中提取身份相关特征——人口统计、写作风格、兴趣、意外披露等。与传统的预定义特征向量不同，这种方法能捕捉自然语言中丰富的异质信号。
Search（搜索）：将提取的特征编码为稠密嵌入（embedding），在数百万候选档案中进行高效的最近邻搜索。
Reason（推理）：对搜索返回的 top-k 候选进行深度推理，选择最可能的匹配。可以使用便宜模型做初步筛选，再用强大的推理模型验证。
Calibrate（校准）：通过 LLM 置信度分数或成对比较来校准预测，控制精确率-召回率的权衡。
3. 三个数据集的实验验证
数据集 1：Hacker News ↔ LinkedIn 跨平台匹配
- 任务：给定 LinkedIn 真实身份，找到对应的匿名 Hacker News 账号
- 规模：987 个查询用户，89,000 个候选用户
- 结果：在 99% 精确率下，召回率达到 45.1%（传统方法接近 0%）
方法 | 90% Precision | 99% Precision
------------------------|---------------|--------------
传统 Netflix Prize 攻击 | 0.1% | 0.1%
仅 Embedding 搜索 | 26.3% | 4.4%
+ LLM 推理 | 54.2% | 45.1%
数据集 2：Reddit 电影社区匹配
- 任务：匹配同一用户在 r/movies 和其他电影子论坛的账号
- 规模：9,781 个用户
- 关键发现：分享的电影越多，越容易被识别
| 共享电影数 | 90% Precision 召回率 | 99% Precision 召回率 |
|---|---|---|
| 1 部 | 3.1% | 1.2% |
| 2-4 部 | 8.4% | 2.5% |
| 5-9 部 | 23.2% | 7.1% |
| 10+ 部 | 48.1% | 17.0% |
数据集 3：Reddit 时间分割匹配
- 任务：将同一用户的评论按时间分成两半（间隔一年），匹配这两个”伪匿名”档案
- 规模：5,000 个查询，10,000 个候选
- 结果：在 90% 精确率下召回率达到 67.3%
4. 可扩展性：从 1K 到 100M 候选
研究表明，LLM 去匿名化攻击可以扩展到互联网规模：
| 候选池大小 | LLM 推理方法 | 仅 Embedding |
|---|---|---|
| 1K | 68.3% | 47.6% |
| 89K | 55.2% | 26.6% |
| 1M (推算) | ~45% | ~12% |
| 100M (推算) | ~27% | ~0% |
即使候选池扩大到 1 亿，LLM 推理方法仍能保持约 27% 的召回率（90% 精确率）。
技术深度：为什么 LLM 如此有效？
语义嵌入 vs 手工特征
传统的 Netflix Prize 攻击依赖预定义的特征（如电影评分向量）和手工设计的相似度函数。但网络文本是异质的、非结构化的：
- 有人谈论工作，有人分享爱好
- 有人用专业术语，有人用俚语
- 同一信息可能以无数种方式表达
LLM 的语义嵌入能够统一表示这些异质信息，捕捉深层语义相似性，而不是表面的词汇匹配。
推理能力的加持
Embedding 搜索擅长缩小候选范围，但经常无法识别正确匹配。LLM 的推理能力可以：
- 理解上下文：比如”我在湾区创业”和”旧金山 SaaS 公司 CTO”可能是同一人
- 处理矛盾：如果两个档案有无法调和的矛盾（如年龄、性别），果断拒绝
- 综合判断：权衡多个微弱信号，形成整体判断
实验表明，高推理模式在 99% 精确率下的召回率比低推理模式高一倍（2.8% vs 1.4%）。
置信度校准
传统的相似度分数是不校准的置信度度量。LLM 可以：
- 输出置信度：”这个匹配的置信度是 94%”
- 成对比较：”匹配 A 比匹配 B 更合理”
后者通过瑞士制锦标赛（Swiss-system tournament）对所有候选匹配进行排序，实现更精细的校准。
安全与隐私启示
威胁模型的重构
长期以来，网络用户依赖实际模糊性（practical obscurity）——虽然理论上可以追踪，但成本太高不值得执行。LLM 打破了这个假设：
- 成本骤降：从数小时人工调查到几分钟自动处理
- 门槛降低：任何有 API 访问权限的人都可以执行
- 规模扩展：可以同时针对数百万用户
潜在滥用场景
- 政府监控：识别异见者、记者、活动家的匿名账号
- 企业追踪：将论坛匿名发言关联到客户档案，用于精准广告
- 社会工程：大规模构建目标画像，发起个性化钓鱼攻击
- 人肉搜索：恶意团体识别并骚扰特定个人
防御的困难
传统的匿名化框架（如 k-匿名性、差分隐私）是为结构化数据库设计的，无法应对 LLM 的语义推理攻击。而且：
- 无法不分享：分享内容正是社区的价值所在
- 安全护栏有限：去匿名化可以被分解为多个”良性”任务（摘要、搜索、排序）
- 训练数据污染：大多数社交媒体数据已被纳入 LLM 训练语料
我的思考：作为开发者应该知道什么
1. 匿名不再是有效策略
如果你在网上有多个身份（主账号、工作账号、小号），假设它们可以被关联起来。你分享的每一个细节——工作地点、技术栈、项目经历、甚至写作风格——都是潜在的识别信号。
2. 最小化信息泄露
- 避免在不同平台分享相同的独特信息
- 考虑使用不同的写作风格
- 定期审查你的公开档案组合
3. 技术防护意识
- 理解 语义嵌入 可以关联看似无关的文本
- 知道 推理模型 可以从碎片信息推断身份
- 意识到 置信度校准 使攻击者可以控制精确率
4. 平台责任
如果你运营一个有用户生成内容的平台：
- 重新评估数据访问策略
- 实施速率限制和爬虫检测
- 考虑限制批量数据导出
总结
这篇论文标志着一个转折点：网络匿名的黄金时代可能已经结束。
关键要点：
- LLM 可以规模化地去匿名化：在 90% 精确率下达到 68% 召回率，远超传统方法
- ESRC 框架提供了可复用的攻击流水线：提取、搜索、推理、校准四个阶段
- 成本和门槛大幅降低：从专业调查到 API 调用
- 威胁模型需要重构：实际模糊性不再成立
- 防御困难但并非不可能：需要用户、平台、政策制定者共同努力
这不是一个技术可以简单解决的问题。它需要我们重新思考隐私、匿名和在线身份的本质。
在这个新时代，真正的匿名可能需要彻底改变我们的在线行为模式——或者接受匿名不再是一个可靠的假设。
论文作者：Simon Lermen, Daniel Paleka, Joshua Swanson, Michael Aerni, Nicholas Carlini, Florian Tramèr 机构：ETH Zurich, Anthropic 发表于：2026年2月