Ich dachte weiter, dass der hässliche Teil an Newton nur eine einzige schlechte Oracle-Abfrage sein würde.
Nicht wirklich.
Nein. Das ist zu sauber.
Es war der Stapel.
Ich starrte auf einen Transferpfad, der auf dem Papier sauber aussah, und trotzdem konnte ich nicht erkennen, welche äußere Tatsache tatsächlich das „Ja“ getragen hat. Newton Gateway übernimmt die Aufgabe. Ein Fetch kommt zurück – sanktionsrein. Ein anderer sagt, die Reserven seien in Ordnung. Wieder ein anderer sagt, der Marktzustand sei immer noch okay. Rego liest über alles hinweg. Operatoren signieren. BLS-aggregiert landet. PolicyClient wird grün. Alles in Ordnung. Sehr verantwortungsvoll. Das ist der Teil, der in Screenshots gut aussieht.
Die Abhängigkeitskette darunter stimmt nicht.
Ich stelle mir immer wieder dieselbe Stablecoin-Übertragung vor, denn natürlich ist es immer so eine langweilige Stablecoin-Übertragung. Treasury will, dass die Obergrenze durchgesetzt wird. Compliance will Sanktion-Checks. Irgendwer wollte den Nachweis der Reserven in der Schleife, weil niemand mehr irgendwem vertraut. Verständlich. Newton sitzt vor dem Pfad wie der Erwachsene im Raum. Newtons Protokoll: PolicyData hier. Rego dort. Operator-Set dort. Verifizierer zufrieden. Gut. Die Übertragung läuft durch, und alle tun so, als sei der schwere Teil vorbei, weil die Attestation von Newton sauber zurückkam. Newtons zurückgegebenes Reason-Feld ist auch da. In der Hälfte der Fälle öffnet es niemand.
Schöner Beleg. Trotzdem nicht die Geschichte.
Schön.
Immer noch verrät es dir nicht, welche äußere Tatsache das Ganze tatsächlich akzeptabel gemacht hat.
Ab da wird es rutschig.
Nicht gefälscht. Rutschig.
Denn sobald Newton zulässt, dass eine einzige Policy-Entscheidung vor der Ausführung drei oder vier externe Fakten erbt, hört das „Ja“ auf, einen einzigen offensichtlichen Elternteil zu haben. Das Team für Sanktionen zeigt in die eine Richtung. Treasury zeigt in die andere. Jemand anderes zeigt auf den Reserve-Feed. Die Policy-Spur ist alles da. @NewtonProtocol CID löst auf. Signaturen verifizieren. In Ordnung. Der Operator-Pfad sieht korrekt aus. Viel Glück dabei, später aus diesem Raum eine einzige erwachsene Antwort herauszubekommen, wenn die Prüfung fragt, warum diese Übertragung am Dienstag durchging und die nahezu identische am Donnerstag abgelehnt wurde.
Gleiche Übertragungsklasse. Anderes „Ja“.
Das ist die Prellung.
Und niemand fragt, solange die Warteschlange gesund ist. Sie fragen später, wenn das Geld schon bewegt ist und jetzt jemand erklären muss, warum eine Ausnahme durchgegangen ist und eine andere nicht, oder warum diese eine Schwelle diese Woche etwas härter war als letzte Woche, oder ob der Fetch des Marktzustands oder das Sanktionsergebnis oder die Reservebedingung der eigentliche Auslöser war, der es wirklich gekippt hat. Sie eröffnen den Operator-Pfad von Newton nicht aus Spaß. Sie wollen einfach eine einzige menschliche Antwort und bekommen stattdessen immer nur einen Stapel. PolicyData hier. Schuld überall.
Schöne Spur. Unordentlicher Grund.
Newton kann absolut beweisen, dass die Aufgabe ausgewertet wurde. Intent traf auf Gateway. Newton PolicyData holte den externen Zustand. Rego liest darüber. Operatoren haben das Ergebnis signiert. BLS-Aggregat ist gelandet. Verifizierer hat es akzeptiert. Passt. Es kann diese Kette sehr gut erhalten. Das ist nicht nichts. Aber es ist nicht dasselbe wie sicherzustellen, woher das „Ja“ wirklich kam, sobald die Policy sich gleichzeitig auf mehrere externe Fakten stützte.
Das ist es, was bei mir hängen bleibt.
Ich habe schon in solchen Räumen gesessen. Jemand schwört, die Sanktionen seien sauber gewesen. Jemand anderes sagt, der Reserve-Feed sei der eigentliche Blocker gewesen. Irgendwer zeigt auf die Policy, als würde das irgendetwas klären. In der Zwischenzeit hat Newton die Übertragung bereits verschoben, und das zurückgegebene Reason-Feld tut so, als könne ein einziger Satz drei verschiedene Abhängigkeiten tragen. Niemand will den Fetch übernehmen, der Newton tatsächlich zum „Ja“ gekippt hat.
Newton macht es leichter, das falsch zu lesen, weil der Operator-Pfad von Newton zu sauber bleibt. Gateway-Route. PolicyData. Rego. Operator-Signaturen. BLS. PolicyClient grün. Schöne kleine Kette. Schlimmer Raum. Und trotzdem ist sich in diesem Raum niemand einig, welcher Fetch tatsächlich dafür gesorgt hat, dass es ein „Ja“ wurde.
Und sobald das losgeht, bleibt die Prüfung mit dem Teil stecken, den niemand übernehmen wollte. Welcher Fetch tatsächlich relevant war. Welche Klausel die Übertragung wirklich getragen hat. Welche Newton-CID-Revision die Form der Abhängigkeit verändert hat. Ob das Ergebnis der Sanktionen nur zufällig da ist, weil es nun mal immer dort ist, während die Reservebedingung die Sache war, die die eigentliche Arbeit geleistet hat. Man kann förmlich spüren, wie sich der Raum nach der saubersten verfügbaren Antwort streckt, weil die wahre Antwort hässlich ist: gemeinsam, geteilt und unter zu vielen seriös aussehenden Eingaben vergraben.
Das ist ehrlich gesagt schlimmer als ein einzelner schlechter Oracle.
Ein schlechter Oracle ist leichter. Zeig ihn an. Fix ihn. Dann kann sich jeder wichtig fühlen.
Diese Version ist nur noch nerviger. Die Policy wird immer noch ausgewertet. Die Attestation landet immer noch.
wunderschön.
Der Verifizierer ist immer noch zufrieden. Newton sieht noch immer so aus, als hätte er genau das getan, wofür er gebaut wurde. Was vielleicht auch stimmt.
Die hässlichere Frage ist, welcher Fetch es wirklich zu „Ja“ gemacht hat, denn zu diesem Zeitpunkt zeigt in dem Raum bereits jeder auf etwas anderes.