Quay lại phần công bố kiểm toán Halborn trong báo cáo Q4 2025 để xem kỹ chính xác điều gì đã được kiểm toán và những gì đã được nói về kết quả, vì cụm từ “không có lỗ hổng nghiêm trọng” là một câu cần phải hiểu rõ phạm vi của nó trước khi nó có ý nghĩa nhiều.
Cuộc kiểm toán nhắm cụ thể vào hạ tầng của bộ chứng minh (prover); báo cáo nêu rõ điều này, qua đó phân biệt nó với một cuộc kiểm toán toàn bộ giao thức.
Tính đúng đắn của các giả định bảo mật và độ bền vững của việc triển khai bộ chứng minh (prover) được sử dụng trong các quy trình xác minh chính sách là trọng tâm đã nêu. Đây là một cuộc kiểm toán cấp thành phần được giới hạn phạm vi, không phải là rà soát an ninh giao thức toàn diện theo kiểu end-to-end.
Kết quả được nêu là không có lỗ hổng nghiêm trọng nào có thể ảnh hưởng một cách đáng kể đến sự an toàn hoặc tính toàn vẹn của giao thức. Cần lưu ý điều khẳng định này làm và KHÔNG nói gì. Nó KHÔNG tuyên bố không có lỗ hổng nào ở bất kỳ mức độ nào
chỉ là không phát hiện thấy lỗ hổng nào đủ nghiêm trọng để có thể ảnh hưởng một cách đáng kể đến an toàn hay tính toàn vẹn. Nó KHÔNG tuyên bố cuộc kiểm toán bao phủ mọi thành phần; mà chỉ là cơ sở hạ tầng của trình chứng minh (prover) một cách cụ thể. Và phần mô tả/định vị của Foundations trong báo cáo nêu rõ rằng các cuộc kiểm toán của bên thứ ba là một phần quan trọng nhưng không phải là toàn bộ của khuôn khổ an ninh rộng hơn của họ — một sự thừa nhận rõ ràng rằng cuộc kiểm toán này đơn lẻ không cấu thành một bảo đảm an ninh đầy đủ.
Điều này đáng được so sánh với cách kết quả kiểm toán đôi khi được trình bày trong marketing crypto nói chung, nơi “được kiểm toán” được dùng như một cam kết/dấu hiệu bảo đảm chung cho mọi thứ, bất kể phạm vi thực sự đến đâu. Ngôn ngữ công bố của chính Newton ở đây chính xác hơn mẫu đó: gọi tên đúng thành phần cụ thể đã được kiểm toán, mô tả rõ phát hiện cụ thể và nêu rõ hạn chế rằng điều này không bao phủ mọi thứ.
Tôi thực sự nghĩ rằng độ cụ thể của phần công bố này còn hữu ích hơn chính kết quả kiểm toán. Một tuyên bố mơ hồ kiểu “đã kiểm toán, không có vấn đề” cho bạn gần như chẳng biết gì, trong khi Halborn đã kiểm toán riêng cơ sở hạ tầng của trình chứng minh và phát hiện không có lỗ hổng nghiêm trọng — và đây chỉ là một phần của khuôn khổ an ninh rộng hơn. Sự chính xác đó cho bạn biết chính xác những gì đã được kiểm tra và những gì CHƯA. Đó là điều cho phép người đọc kỹ thuật đánh giá tính xác đáng của tuyên bố, thay vì chỉ tin tưởng.
Điều tôi vẫn chưa làm rõ là: mạng lưới vận hành (operator network), các hợp đồng thông minh NewtonProverTaskManager và PolicyClientRegistry cùng những thành phần khác, cũng như môi trường sandbox oracle WASM, đã nhận được các cuộc kiểm toán riêng với các công bố công khai chi tiết tương tự hay chưa; hay việc kiểm toán cơ sở hạ tầng của trình chứng minh hiện đang là thành phần duy nhất được Newton công bố ở mức độ chi tiết như vậy.