#dusk $DUSK 重新翻了一遍 Dusk 的 Citadel 隐私模型文档，发现最容易让人产生错觉的不是"零知识证明有多强"，而是"谁来决定哪些数据对谁可见"这四个字。
Citadel 允许开发者在 $DUSK 上部署带访问控制的智能合约，利用 ZK 把交易金额、参与方和合约逻辑封装在加密边界内。表面上看，这解决了机构上链最头疼的合规隐私问题——监管要审计、对手方不能看全账本、公众要验证但不需要知道每一笔细节。
但问题恰恰出在"可配置"三个字上。
Citadel 的访问策略由合约部署者设定，隐私边界不是协议层统一保障，而是逐合约、逐地址的权限拼图。一个合约可能对监管节点开放完整数据，对普通节点只暴露哈希承诺；另一个合约可能把解密密钥托管给第三方，密钥轮换策略由运营方自行决定。这跟 Tornado Cash 那种"所有人对所有人隐身"的模型完全不同。
@Dusk 走的是选择性披露路线，隐私是分层的、有条件的、可撤回的。好处是机构能合规入场，代价是用户必须信任访问策略不会被悄无声息地修改。文档里提到未来可能引入"策略变更需经治理投票"的机制，但目前还停留在路线图阶段。
所以我不会只看"零知识证明"四个字就认为隐私已经解决。更该追问的是：访问策略变更记录是否上链可查、解密权限是否分散、默认配置对普通用户是否足够保守，以及有没有独立审计验证过 Citadel 的权限模型不会被绕过。
隐私不是一道开关，而是一张权限表。表上谁的名字能写进哪一栏，比用了什么加密算法更值得盯。
#dusk @Dusk