Кратко

  • В редакции 01 агент Self-Heal мог перезапускать задачи для деградировавших уровней хранения без явного запрета на работу с нарушением целостности цепи.
  • Редакция 02 вводит классы BR0BR3: чтение, ограниченный ремонт распространения, контролируемое создание нового состояния и запрещённое автоматике изменение доказательств.
  • Повторяемый периферийный сбой получает одну попытку на эпизод; несовпадение Link или Braid не ремонтируется вообще — оно фиксируется, цепь закрывается для добавлений, событие эскалируется.
  • В рассмотренном тексте нет тестовых векторов, эталонной реализации, данных развёртывания или межоператорных испытаний.

Ранняя версия объединила слишком много полномочий

Объявление I-D датирует draft-reilly-government-integrity-02 4 сентября 2026 года. RGIP предлагает сохранять проверяемость публичных документов сочетанием нескольких хешей, внешних временных якорей, распределённых копий и архивных депозитов. Среди примеров — законы, закупки, бюджеты, судебные решения и избирательные материалы.

В редакции 01 Агент 11 периодически искал деградацию уровней постоянного хранения и повторно запускал нужный компонент. Агент 13 пересчитывал значения цепи и подавал сигнал. Агент 14 формировал выводы и указания по исправлению и отправлял их Self-Heal. Архитектура должна была обеспечивать непрерывную проверку без постоянного наблюдения человека.

Автоматизация тем самым получала последовательный доступ к наблюдению, трактовке и изменению носителя. Для нарушения в самой цепи не было отдельного запрета. При сохраняющемся дефекте отсутствовал и проверяемый предел повторных действий.

Редакция 02 называет это недостатком управления автоматическими действиями. Новый Sentinel пересчитывает шесть значений цепи, сверяет утверждения оболочки с реальными слоями и выдаёт находки, но не имеет права менять запись. Отдельный Remediator получает не готовый приказ, а событие, для которого ещё нужно установить допустимый радиус изменения.

Полномочие определяется последствиями операции

BR0 — проверка, опрос и отчёт без записи. BR1 — идемпотентное восстановление слоя распространения: заново закрепить копию или повторить запрос в архив, не меняя подписанное ядро, голову цепи и свидетельство якоря. Этот класс может выполняться автономно.

BR2 создаёт блок или меняет видимое вовне состояние, например формирует мост миграции либо запись о замещении. Здесь требуется зафиксированное одобрение человека. BR3 касается доказательственного материала: изменения, удаления или реконструкции блоков, перевода якоря без подтверждения, реестра отзывов, ключей и солей. Такие действия автоматизировать нельзя.

Классификация смотрит не на название программы, а на то, что после неё перестанет быть прежним. Повторная доставка копии и перепись истории могут обе называться ремонтом, хотя требуют несовместимых мандатов. Развёртывание также должно объявить режим надзора и сохранить режим, действовавший при каждой операции.

Правило once-per-episode ограничивает и разрешённый ремонт. Если после одной автоматической попытки находка появляется снова, она уходит человеку, а не в новый цикл. Машина сохраняет признак того, что первопричина не устранена.

Несовпадение нельзя исправлять до выяснения причины

Когда пересчитанный Link или Braid отличается от сохранённого, редакция 02 запрещает автоматическое исправление. Допускается только записать находку, остановить дальнейшие добавления к этой цепи и эскалировать ситуацию.

Это не означает, что каждое несовпадение доказывает атаку. Хранилище могло повредиться, а запись могла быть намеренно изменена; для агента оба случая выглядят одинаково. Запись «правильного» значения помогает в первом и может уничтожить след во втором. Система получит красивую согласованность, но потеряет возможность объяснить её происхождение.

После потери хранилища реконструированная цепь должна совпасть с головой, закреплённой аттестованной контрольной точкой, прежде чем продолжатся добавления. Иное значение становится находкой целостности, а не обычным восстанавливаемым состоянием. Без человеческого разрешения также нельзя повышать статус якоря без доказательства, выпускать отзыв, уничтожать соли или пересчитывать исторические блоки.

Независимые правила обращения с доказательствами дают полезный фон. RFC 3227 советует свести изменения собираемых данных к минимуму, сначала собирать, затем анализировать и документировать всю передачу хранения. NIST SP 800-86 встраивает криминалистические методы в реагирование на инциденты. RFC 4810 требует, чтобы долгосрочный архив позволял обнаруживать изменения объекта и свидетельств, включая действия администраторов.

Эти документы не одобряют RGIP. Они лишь помогают проверить разделение функций: рабочая копия восстанавливает услугу, а сохранённая копия отвечает на вопрос, что произошло.

Черновик не создаёт ни стандарт, ни юридическую силу

Согласно Datatracker, RGIP — активный индивидуальный Internet-Draft. IETF его не одобряла; у документа нет формального места в стандартизации, RFC-потока и ответственного Area Director. Сам текст оставляет допустимость, авторитетность и решающую силу записи применимому юридическому форуму.

Хеш показывает различие байтов, а временная отметка поддерживает утверждение о существовании данных. Ни то, ни другое не устанавливает полномочия должностного лица, законность уничтожения или приоритет редакции. Техническая возможность остановить цепь не превращает оператора в государственный орган или суд.

Не доказана и работа предложенного ограничения. В редакции 02 отсутствуют опубликованный раздел тестовых векторов, эталонный код, отчёт о внедрении или результат совместимости. NIST SP 800-61r3 описывает современное реагирование в контексте управления рисками, но не является испытанием RGIP.