Je continuais de penser que la ligne dangereuse du protocole Newton était :
allow = true
Propre.
Finalement, ça ressemble à un résultat.
Facile à capturer d’écran.
Mais l’erreur précédente se produit avant que Rego ne renvoie une réponse.
Cela se produit lorsque le système décide ce que « le monde » signifie pour cette transaction.
Une intention de transaction arrive. L’état n’est pas encore réglé. C’est simplement une action qui essaie de devenir réelle.
Montant.
Destinataire.
Appel de fonction.
Chaîne.
ID de politique.
Peut-être un contrôle de sanctions.
Peut-être un score de risque.
Peut-être qu’un agent IA déplace des fonds sous un mandat.
Au début, cela semble simple.
Vérifiez la règle.
Approuver ou refuser.
Mais Newton ne fait pas seulement demander à une règle de lire une transaction.
Il demande à un réseau d’opérateurs distribués de s’accorder sur les entrées que la règle est autorisée à lire.
C’est la surface que la plupart des gens ignorent.
L’oracle PolicyData n’est pas une simple décoration. Le fournisseur de données WASM n’est pas une plomberie de fond. La phase Prepare n’est pas « juste récupérer des données ».
C’est là que la réalité hors chaîne est remodelée de façon à ce que la politique puisse l’évaluer.
Les opérateurs récupèrent des données externes via un WASM sandboxé.
Données de sanctions.
Les scores de risque.
Les valeurs d’oracle.
L’état du marché.
Et comme le monde est confus, différents opérateurs peuvent ne pas voir la même valeur à la même seconde.
Une API répond plus lentement.
Un flux est mis à jour.
Un opérateur récupère des données plus fraîches.
Un chemin voit un état plus ancien juste assez longtemps pour compter.
Rien n’a encore échoué.
C’est la partie inconfortable.
Dans le flux de consensus en streaming de Newton, les observations sont poussées vers les données canoniques de tâche. Les champs numériques peuvent être normalisés autour d’une médiane. Les valeurs aberrantes peuvent être rejetées selon une tolérance. Ensuite, les opérateurs évaluent Rego par rapport à ces données convenues et signent le résultat avec des clés BLS.
Élégant.
C’est aussi dangereux de trop lire.
Parce qu’une fois l’attestation BLS affichée, l’écran paraît plus lourd.
Le quorum est arrivé.
Signature agrégée.
Le smart contract peut vérifier.
Le reçu peut être vérifié.
La décision ressemble maintenant à quelque chose qui porte le poids du réseau.
Et c’est ce qu’il fait.
Mais seulement pour la chose sur laquelle le réseau s’est réellement mis d’accord.
Un quorum BLS ne signifie pas que chaque version possible du marché a été comprise. Cela ne signifie pas que le flux de données était enfin « vrai ». Cela ne signifie pas que le chemin était sûr en dehors de la vue de la politique.
Cela signifie que suffisamment d’opérateurs ont signé la même évaluation sur les mêmes données de tâche canoniques.
Puissant.
Pas de la magie.
L’erreur humaine consiste à traiter les données canoniques comme une réalité complète.
La forme plus robuste de Newton n’est pas « faites-nous confiance pour notre API ».
C’est :
Voici l’intention.
Voici la politique.
Voici le chemin des données.
Voici l’attestation.
Voici le point de vérification du contrat.
C’est une meilleure forme pour l’autorisation.
Mais cela crée une nouvelle responsabilité.
Vous ne pouvez pas lire le reçu comme une berceuse.
Vous devez le lire comme une carte des limites.
Quelles entrées PolicyData ont été utilisées ?
Quel fournisseur WASM a façonné les entrées ?
Les valeurs étaient-elles assez fraîches ?
Quels champs ont été normalisés par la médiane ?
Que demandait réellement la règle @NewtonProtocol Rego ?
Qu’est-ce qu’il n’a jamais demandé ?
Parce que la politique peut être lisible et pourtant évaluer le mauvais monde.
Pas parce que Newton a menti.
C’est faux parce que le monde a bougé en dehors du cadre.
Un contrôle de sanctions peut passer pendant qu’un autre signal de risque n’a jamais fait partie de la règle. Un plafond de dépense peut passer tandis qu’un autre agent a déjà consommé le budget ailleurs. Une limite de coffre peut passer alors que l’exposition a changé après la récupération.
La règle a été validée.
Le reçu a été validé.
Le contrat a vérifié ce qu’il était censé vérifier.
Et pourtant, l’opérateur doit demander :
Le monde que je voulais autoriser, c’était ça ?
C’est la surface de Newton sous forte pression.
Pas la politique comme code.
Pas des signatures BLS comme décoration.
Pas la conformité comme bannière.
Newton transforme l’autorisation en un événement vérifiable avant l’exécution.
Mais une fois que la vérification devient visible, les gens peuvent cesser de demander ce que la vérification n’incluait pas.
Le relecteur se détend.
Le front-end passe au vert.
L’agent continue.
Un résultat vert est utile.
Un résultat signé est plus solide.
Un résultat soutenu par un quorum est plus difficile à ignorer.
Mais aucun d’eux ne doit voler la prochaine question.
Qu’est-ce qui est devenu suffisamment vrai pour être signé ?
Newton n’efface pas cette question.
Cela rend la question impossible à cacher.