J’ai passé un certain temps à examiner pourquoi un accord entre plusieurs opérateurs @NewtonProtocol peut tout de même produire une mauvaise valeur externe.
Au début, le consensus médian semblait être une protection naturelle.
Si un opérateur signale un prix inhabituel tandis que les autres renvoient des valeurs similaires, la médiane réduit l’influence de cet élément aberrant.
Mais cette protection fonctionne au mieux lorsque les opérateurs échouent de manière indépendante.
Le cas le plus difficile se présente lorsque plusieurs opérateurs s’accordent parce qu’ils s’appuient sur la même source en amont.
Imaginez cinq opérateurs Newton exécutant une infrastructure distincte. Leurs requêtes d’oracle semblent indépendantes, mais chaque requête finit par être résolue par un fournisseur qui dépend de la même source de prix sous-jacente.
Ce flux prend du retard lors d’un mouvement rapide du marché. L’actif se négocie déjà près de 80 $, tandis que la source partagée continue de rapporter des valeurs proches de 100 $.
Comme les opérateurs interrogent à des moments légèrement différents, leurs réponses ne sont pas identiques. L’un renvoie 99,8, un autre indique 100,1, et les autres valeurs restent proches de la même plage.
L’écart semble sain. Chaque réponse peut rester à l’intérieur de la tolérance configurée. La médiane est stable et la politique reçoit un prix canonique qui semble être soutenu par plusieurs opérateurs.
C’est aussi faux.
C’est la distinction qui compte :
la diversité des opérateurs ne crée pas automatiquement une diversité des sources.
Une médiane indique au système où se regroupent les valeurs rapportées. Elle peut limiter les valeurs aberrantes isolées et lisser les différences ordinaires causées par la latence ou le moment de mise à jour.
Cela ne révèle pas si ces valeurs proviennent d’observations indépendantes ou d’une seule erreur partagée répétée sur plusieurs machines.
Cela rend les défaillances corrélées plus dangereuses que le désaccord visible.
Une erreur isolée crée des frictions.
Une erreur partagée en amont crée de la confiance.
Le reste du chemin d’exécution de Newton peut encore se comporter correctement. Les opérateurs peuvent évaluer la politique prévue par rapport à l’entrée canonique et signer le même résultat. L’attestation obtenue peut rester cohérente avec cette entrée, et le validateur de l’application peut l’accepter avant l’exécution.
Une demande de prêt peut alors approuver un retrait parce que la valeur du collatéral rapportée reste au-dessus du seuil requis, même si le vrai prix du marché aurait dû faire rejeter la politique.
Aucun opérateur n’a besoin d’agir malhonnêtement.
La défaillance commence sous l’ensemble des opérateurs.
C’est pourquoi compter les opérateurs ne suffit pas. Des points d’extrémité distincts peuvent partager un seul cache. Différents fournisseurs de données peuvent concéder sous licence le même flux d’échange. Des machines indépendantes peuvent exécuter le même code d’oracle contre un seul fournisseur.
Le réseau peut donc sembler décentralisé au niveau des opérateurs tout en restant concentré au niveau des données.
Réduire ce risque nécessite des contrôles avant le début de l’agrégation.
Les politiques peuvent nécessiter des limites strictes de fraîcheur et des horodatages liés à la requête. Les conceptions d’oracles peuvent devoir s’appuyer sur des familles de sources vraiment indépendantes, plutôt que sur plusieurs interfaces vers les mêmes données. La couche de coordination devra peut-être aussi échouer de manière fermée lorsqu’elle ne peut pas établir une séparation suffisante entre les valeurs rapportées et leurs origines.
Mais il est difficile de prouver l’indépendance.
Deux fournisseurs peuvent sembler sans lien tout en s’appuyant sur le même lieu de marché. Un point d’extrémité de secours peut partager l’infrastructure avec le principal. Une médiane propre peut masquer ces relations car l’agrégation voit les valeurs, pas la chaîne complète de dépendances qui les sous-tend.
Le consensus par médiane de Newton peut réduire le désaccord ordinaire entre opérateurs.
Son seuil se révèle lorsqu’un accord reflète une faille aveugle partagée plutôt qu’une preuve indépendante.
La question importante n’est pas seulement le nombre d’opérateurs ayant renvoyé la même réponse.
La question est de savoir si Newton peut déterminer combien de parcours réellement indépendants vers la réalité ont produit cette réponse.
@NewtonProtocol #Newt $BEAT $DEXE $NEWT
