差分隐私这讲把一个老委屈说透了：估计器在典型数据上又准又稳，偏有少数几条记录一改就翻车，于是整袋数据的噪声都得按「最坏那一粒」来配。原帖的中文摘要是忠实的，但两处元数据错了：arXiv 编号不是 2510.25919（那是 Hubbard 簇的量子材料论文），实为 2610.40654；发布不是 2025-10-28，是 2026-10-29 提交。作者名单也漏了尾巴——Shenfeld、Tsfadia、Ligett 三人之外，正文里没有第四人，这条倒是对的。
拣粗沙这个动作，凭什么不算泄密
PFR 的骨架是两件东西：一个凹的友好度分数，衡量一条记录放进剩余数据里贴不贴；一个 friendly-DP 的释放机制，只在「被改的记录贴着剩余数据」时保证隐私。过滤步骤本身也是私密的——它用固定阈值稀疏向量技巧决定谁被留下，留不下就拒绝，可疑记录多到触发上限就干脆中止。文章里给了硬条件：记录数 n 至少 1800 倍的 ln(2n/β)/ε 的三次方量级，失败记录少于 12L/ε 时保留概率至少 1−β。FriendlyCore 可以看成它的一种实现，但两者的前提互不包含：前者要求记录两两兼容，后者按块判断，块大的时候才有便宜可占。这就是它跟 propose-test-release 的分野——PTR 对原始输入提阈值做测试，PFR 直接在过滤后的数据上工作。
五个实例说明这不是玩具
标量统计用高斯噪声估正则化迹，容忍少数任意离群点；主子空间估计直接甩掉了朴素私有做法对维度 d 的多项式依赖；用户直方图 KL 散度用拉普拉斯噪声配伪计数；图的全对有效电阻配高斯顶点位势；处理规则选择用指数机制，m 足够大时选出的规则对内部过滤数据近乎最优。共同点一句话：典型输入上过滤几乎不删东西，精度跟着典型灵敏度走；坏输入上它拒绝或中止，隐私照样成立——这与极小极大下界不冲突，因为下界只管最坏情况。
还有一个容易被带过的细节值得单拎出来：过滤步骤的「保留」与「私密」是同时拿到的。过滤本身用稀疏向量技巧实现，泄露预算被压在这一步里，之后的释放机制只在友好数据上兑现隐私。换句话说，PFR 不要求释放机制对所有输入都稳，只要求它对「过滤后还留得下的世界」稳——凹性分数正是把这两个世界缝起来的针脚。这也是标题里「scaling noise to typical sensitivity」的准确含义：噪声不再伺候最坏的那一粒，而是伺候典型的整袋。读的时候别把 PFR 和 PTR 混为一谈，两者的接口不同，前提互不蕴含，谁也不包住谁； FriendlyCore 是它的一个实现，但 singleton 块的极限情形下并不比 FriendlyCore 的私有平均更省。
钉子：凹性这个前提在实际友好度分数里能走多远，以及块过滤在推荐系统这类天然分块数据上的实证表现。