نظرية الأمان
تعامل DG مع المواصفات والأدلة والأوامر والبايتات المخزنة وإخراج المزود ومدخلات المشغل والقطع الناتجة وشهود السلطة الخارجية على أنها معادية عند حدود ملكيتها.
hostile source material
-> source-specific acquisition witness
-> admitted evidence
-> condition-use-policy witness
-> pure semantic candidate
-> exact-head accepted successor or rejection
-> dispatch eligibility only after acceptance
فشل اكتساب العمليات لا ينشئ أي مرشح دلالي. المرشح القديم لا يغير أي حالة مقبولة. النية المقبولة ليست تأثيرًا خارجيًا تم تنفيذه. يتم استيراد سلطة النشر من خلال الشهود الدقيقين ولا يتم استنتاجها أبدًا من مساحة الأسماء أو المسار أو التخزين المؤقت أو التكوين المحلي.
الأصول المحمية
- قوانين السيناريو القياسية، والرسوم البيانية، والشروط، والسياسات، والهويات.
- الشهادات على الاستحواذ، القبول، سياسة الاستخدام، التقدم، الجاهزية، والانتهاء.
- قيم الأدلة، المراجع، الأصل، النطاق، الوقت، الحساسية، وبيانات الاحتفاظ.
- رؤوس التشغيل المقبولة، التاريخ الثابت، إيصالات عدم التكرار، نوايا أدلة الحوكمة، وسجلات الإرسال.
- المصادقة، التفويض، النسبة، عقد المزود، وحقائق قبول النشر الخارجي.
- حزم التشغيل، تقارير التحقق، سجلات التدقيق، بيانات الاعتماد، ومفاتيح التوقيع.
- سجلات القدرة والسلطة والقرار والدليل والإصدار.
الخصوم
افترض وجود متصلين خبيثين أو مخترقين، ومؤلفي سيناريو، ومصادر الأدلة، ومزودين، وتخزين، ومصارف إرسال، وعاملين، وإضافات، ووكلاء، وCI، وSDKs، وسكان العقد المؤهلين. افترض إعادة التشغيل، وإعادة الترتيب، والتكرار، والإغفال، والتناقض، والقراءات القديمة، والتراجع، والأصل المزيف، والارتباك في المخطط، والنائب المرتبك، والفشل الجزئي، واجتياز المسار، وسباقات الروابط الرمزية، وSSRF، وحقن العمليات الفرعية، واستنفاد الموارد، وكشف بيانات الاعتماد.
يكون المضيف/النواة المخترقة خارج قدرة العملية على تحييدها، ولكن سلطتها والمواد المحتفظ بها ونطاق الانفجار تظل واضحة.
خريطة الحدود
| الحدود | مالك القبول الوحيد | النتيجة الدائمة |
|---|---|---|
| بناء الجملة للسيناريو | مُنشئ قانون السيناريو | ValidatedScenarioLaw |
| بناء الجملة RET والتنقيحات | RET | متطلبات موثقة/قابلة للإرضاء/أحادية النمط |
| طوبولوجيا الاعتماد | Xarxa | هوية الرسم البياني، التقدم، الجاهزية، فرق الاكتمال |
| دليل المتصل | مُنشئ مصدر المتصل | شاهد اكتساب المتصل |
| دليل الوقت/البيئة/المستند | مُنشئو المصدر المحلي | شاهد اكتساب محدد المصدر |
| استخدام الأدلة | مُقيّم سياسة الشرط | شاهد إرضاء السياسة ولقطة معيارية |
| قبول المرشح | سلطة التشغيل المقبولة | مراجعة مقبولة أو رفض مغلق |
| بايتات التخزين | إعادة ترطيب التخزين المحلي | قيم مقبولة معاد بناؤها أو رفض |
| تصدير تدقيق مقبول | خلفية التشغيل المقبولة المختارة | نقطة تفتيش رأس مقبولة دقيقة بالإضافة إلى صفحات نقطة تفتيش محدودة |
| بايتات runpack | مُنشئو runpack-v6 | هويات بيان/كائن/شجرة دقيقة أو رفض محدد |
| تقييم RET | متطلبات/خطة موثقة ومنفذ محدد | نتيجة دلالية أو فشل تشغيلي محدد |
مصدر الوسيط file:// | AdmittedFileRoot صريح | قدرة الدليل المحتفظ بها أو رفض محدد |
| نشر runpack المحلي | مستودع قائم على القدرة | نتيجة كائن/بيان دقيقة جديدة |
| مواد التحقق | مُنشئ المواد المقدمة | مجموعة مواد محلية/مجمعة محدودة بدون سلطة حل |
| مطالبات التحقق | سجل المطالبات المغلقة ومحقق مستقل | تقرير شامل تم التحقق منه بالكامل |
| تنفيذ النية | سلطة الإرسال | نتيجة دفتر اليومية/الإيصال الدقيقة |
| حقائق المصادقة والنشر | محولات السلطة الخارجية/المضمنة | شاهد قبول العملية الدقيقة |
التهديدات في السيناريو والرسم البياني
| التهديد | السيطرة المطلوبة |
|---|---|
| رسم بياني مزور أو شاهد | بناء مختوم؛ تعيد البايتات العدائية البناء من خلال المنشئين. |
| استبدال الرسم البياني/القانون | كل تقدم، حدود، دلتا، تشغيل، سجل، وrunpack يربط هوية الرسم البياني/القانون الدقيقة. |
| طوبولوجيا معلقة، ذاتية، دورية، مكررة، غير أحادية الاتجاه، أو مستنفدة | ترفض Xarxa/RET قبل سك القانون المعتمد. |
| تراجع التقدم أو الرسم البياني الخاطئ | يقارن تقدم الرسم البياني والدلتا المكتملة الهوية والشمول الأحادي الاتجاه. |
| فتح/إكمال مكرر | دورة حياة مختومة بالإضافة إلى عدم تكرار/نزاع التشغيل المقبول. |
| انتشار ضمني، اختيار فرع، أو إلغاء | الحدود وصفية فقط؛ يفتح المشغل مرحلة بشكل صريح. |
| تفسير فتح المرحلة كإسناد | يبقى الإسناد خارج ملكية الرسم البياني/المرحلة؛ التنسيق خارجي. |
| ورقة هيكلية تُفسر كنجاح | قانون إكمال السيناريو الصريح فقط. |
| تنفيذ تكراري مخفي | لا يبدأ التقييم/لا يقيم سيناريو آخر. |
| حقيقة تشغيل خارجية قديمة | يربط الدليل القانون/التشغيل/الرأس الخارجي الدقيق وسياسة الحالية. |
التهديدات المتعلقة بالتمثيل والهوية
| التهديد | التحكم المطلوب |
|---|---|
| هوية غير صالحة تم إنشاؤها بواسطة API أو إلغاء التسلسل | تخزين مجال خاص، ناقل عدائي خاص، منشئ قابل للخطأ، وSerde متوسط بواسطة المنشئ. |
| تطبيع المعرف أو التسمية المستعارة | قواعد نحوية ASCII حساسة للحالة؛ لا تقليم، أو طي Unicode، أو طي الحالة، أو إجبار للمعرفات DG المؤلفة. |
| استبدال الهوية الاسمية | أنواع مجالات Rust متميزة؛ لا يوجد معرف سلسلة عام أو تحويل غير مدقق. |
| انحراف رموز المفردات المغلقة | تمتلك جدول متغير/رمز إجمالي واحد تم إنشاؤه تحليلًا، وعرضًا، وSerde، وOpenAPI، ومخطط JSON. |
| تهريب حقول زائدة إلى حالة مغلقة بدون حقول | تستخدم الحالات المغلقة بدون حقول المعلّمة داخليًا متغيرات كائن فارغ دقيق بالإضافة إلى أدلة رفض الأسلاك العدائية؛ لا يتم قبول متغيرات وحدة Serde لمجموعات الكائنات المغلقة. |
| أصل طلب المتصل فقط | تعيد منشئ الأصل المشترك خطأً محددًا ما لم يكن هناك هوية طلب صادرة عن الخادم. |
| يتم التعامل مع هوية طلب المتصل كسلطة أو هوية متكررة | يبقى أصل النقل غير موثوق به ومنفصل اسميًا عن هوية العملية الدلالية. |
| غموض عرض/ترميز الملخص | بايتات SHA-256 ثابتة داخليًا وإسقاط سلكي دقيق مكون من 64 حرفًا بحروف صغيرة. |
| استبدال ملخص عبر الموضوعات | هوية الموضوع الاسمية بالإضافة إلى فاصل مجال ثابت ومراجعة التنسيق؛ لا يمكن أن تدخل ملخصات المحتوى العامة مستهلكي هوية قانون السيناريو. |
| قبول تنسيق قديم من خلال اسم مستعار أو ترحيل | يتم رفض dag-v2 والأقدم، وrunpack v5 والأقدم، وكل مخطط SQLite بخلاف 12 كمدخلات عدائية غير مدعومة. |
يغلق PF-04 تشغيل البروتوكول المملوك، المحاولة، الفتح، التقديم، النية، السجل/الرأس المقبول، وهويات عدم التكرار من خلال أنواع متوسطة بواسطة منشئ اسمي. تظل الإسقاطات المخزنة أو المعبأة عدائية وتعيد البناء من خلال تلك المنشئات.
تهديدات الشرط والدليل
ارتباك الفئة والسلطة
يجب أن تمنع التنفيذ:
- يتم تفسير قناة الاكتساب كسلطة مصدر أو مرتبة ثقة؛
- يتم تفسير المحدد/المرجع كقناة اكتساب؛
- يتم تفسير الشهادة كحقيقة عالمية أو نقل؛
- دمج هوية الشرط بواسطة نص استعلام مزود متساوي؛
- يتم التعامل مع مزود/استعلام كدلالة شرطية متأصلة؛
- الحالة المقدمة من المتصل، الثقة، الأصل، الغياب، أو نتيجة المقارن؛
- يتم تفسير الأدلة المفقودة على أنها غياب ملحوظ؛
- يتم تخزين خطأ المزود كدليل دلالي؛
- انتهاك العقد الذي يتم إعادة تصنيفه كـ
Unknownدلاليًا.
فقط الحقائق المفككة بالإضافة إلى شاهد سياسة استخدام شرط دقيق يصرح بالاستخدام.
تقديم المتصل
تشمل التهديدات تزوير هوية المتصل، مواد ضخمة، استبدال عبر التشغيل/الحالة، وقت النسبة أو الملاحظة المعين ذاتيًا، تضخم إعادة المحاولة لنسبة المصدر، التأكيدات القديمة، والاحتفاظ المفرط بالبيانات الحساسة. يربط القبول سياق السلطة المعتمد أو المدمج، ونسبة الطلب المراجعة، وسلطة المبدأ/الملف الشخصي المستقرة، والمحتوى الدقيق، والحدود، ونطاق الهدف، ووقت إيصال الملكية، وسياسة الكشف/الاحتفاظ. لا تعرف هويات الطلب الاستقلالية المصدرية. تظل مطالبات المتصل متميزة عن الحقائق الموثوقة.
الوقت
يمكن أن تجعل قراءات الساعة المحيطة إعادة التشغيل غير حتمية أو تسمح بتزوير الحداثة. تتلقى التقييمات سياقًا زمنيًا صريحًا. يأتي الوقت المستخدم كدليل من سلطة مسماة ويربط الفاصل الزمني والدقة وعدم اليقين ونطاق الساعة. الفشل لا يصنع أبدًا طابعًا زمنيًا.
البيئة
تشمل التهديدات تسرب الأسرار، والقراءات القابلة للتغيير، والوصول غير المكون للمفتاح، واستنفاد الترميز/الحجم، والغياب الزائف. يستخدم الملف الشخصي الأول مفاتيح مدرجة في القائمة البيضاء تم التحقق منها ولقطة بدء غير قابلة للتغيير بشكل افتراضي. كل ملاحظة تربط هوية اللقطة والمفتاح ونتيجة صريحة للحاضر أو الملاحظ أو الغائب والحساسية والإفصاح/الاحتفاظ. لا يمكن أن تصنع الترميزات الاختيارية/الفارغة غيابًا، ولا يمكن أن تدعم مطالبة اللقطة المعادية غير المكتملة أي شكل من أشكال المحتوى.
JSON/YAML المتجذر
تشمل التهديدات التنقل الأبوي، المسار المطلق، سباق الرابط الرمزي، الهروب من الجذر، الوصول إلى الجهاز/FIFO/المقبس، الاستبدال بعد الفحص، الملفات الكبيرة، الأشجار العميقة أو الواسعة، تضخيم مرجع YAML/علامة، المفاتيح المكررة، الوثائق المتبقية، تضمينات الشبكة، التحليل الجزئي، والغياب الزائف.
تتطلب عناصر التحكم جذورًا مسجلة، ومسارات نسبية موثقة، واحتواءً قياسيًا، وأشياء مفتوحة بانتظام، وملخص بايت مفتوح دقيق، وتحليل كامل محدود، وسياسة تكرار/تأخير، وعدم وجود هروب من الشبكة/التضمين، وتحليل كامل قبل الغياب. تشترك منشئات الشهود الزمنية المسماة، والبيئة، والمستندات في حدود خصوصية الصندوق الأساسي مع بناء الأدلة المختومة؛ لا يمكن لصندوق Rust منفصل استدعاء تلك المنشئات لصنع حقيقة مصدر محلي.
اللقطة والسياسة
هوية دليل مكررة، اعتماد ترتيب الوصول، تصنيع بدون نصاب، تقييم غير مكتمل للمرشح، إعادة استخدام عبر الأهداف بدون شاهد، إلغاء قديم، وتضخم سلالة Sybil تفشل مغلقة. تمتلك لقطة معيارية وتقييم سياسة الاستخدام الكلي النتيجة.
تهديدات القدرات المستبعدة
تفتقر السلسلة الزمنية السابقة للشبكة، remote-MCP، والعمليات الفرعية، ووقت تشغيل مزود التنفيذ إلى التنفيذ الأولي. إذا تم إعادة إدخال أي عائلة مستبعدة، فإنها تظل غير مدعومة وغير قابلة للوصول من جميع مسارات التكوين والأدوات المدعومة حتى يغلق مسار PF-08 المستقل.
اكتساب الشبكة
تشمل التهديدات SSRF، إعادة ربط DNS، إعادة التوجيه، الوصول الخاص/المحلي، تسريب بيانات الاعتماد، ارتباك الوكيل، تهريب الاستجابة، أجسام غير محدودة، عواصف إعادة المحاولة، DNS/سياسة قديمة، انحراف العقد، وتناقض المصدر البعيد. يجب أن يوافق DG-DECISION-NETWORK-ACQUISITION-001 على قانون شاهد المصدر، سلطة الخروج/الاعتماد، الحدود، والتأهيل قبل الدعم.
التنفيذ الفرعي والتنفيذ التعسفي
تشمل التهديدات حقن الأوامر/المعلمات، استبدال القابل للتنفيذ، البيئة/الأسرار الموروثة، ارتباك دليل العمل، العمليات اليتيمة، تزوير المخرجات، هروب الموارد، واختراق المضيف. لا يحمل DG الأولي أي كود مزود محلي عشوائي ويدعم عدم الحصول على stdio/subprocess MCP. تفضل التنفيذات المستقبلية عملية معزولة، WASM، أو بروتوكول بعيد مُعتمد بإصدار موقع، قدرات، ميزانيات موارد/شبكة، تحقق من المخرجات العدائية، وتأهيل.
التقييم عن بُعد
بايتات الاقتراح المغلقة المرقمة لا تثبت التقييم. يمكن للعامل عن بُعد المطالبة بأن كل مرحلة قد اجتازت. الملفات الشخصية الأولية تتواجد معًا في التقييم والالتزام. يتطلب التحقق من الأدلة عن بُعد أو التنفيذ المعتمد ملفًا شخصيًا مستقلًا؛ يثبت التحقق فقط ادعاء التنفيذ المقاس بدقة، وليس الحقيقة العالمية أو الصحة الرياضية.
تهديدات التشغيل المقبول
| التهديد | خاصية البروتوكول المطلوبة |
|---|---|
| يختار المتصل هوية التشغيل المعاد استخدامها | يقوم DG بصياغة RunId غير قابل لإعادة الاستخدام من طلب إنشاء غير قابل للتكرار. |
| نفس الطلب، محتوى مختلف | تعارض عدم التكرار المطبوع. |
| إعادة تشغيل نفس الطلب | نفس النتيجة الأصلية؛ لا محاولة أو نية مكررة. |
| يتسابق مرشحان من رأس واحد | في أقصى تقدير، يوجد خلف مباشر واحد؛ الخاسر قديم ولا يغير شيئًا. |
| فقدان الاستجابة بعد القبول | يتم الحل من خلال هوية العملية المستقرة. |
| تعطل قبل/بعد المعاملة | يقوم النظام الخلفي بتحسين النموذج المعتمد ويحافظ على سلوك الذرية/الإيصال. |
| رأس مزور | تحقق عدائي؛ لا تغيير في الحالة. |
| عدم توافق الرأس/التاريخ المخزن | فشل في النزاهة، الحجر الصحي/الاسترداد؛ لا إصلاح محلي بالتخمين. |
| ارتباك في التفويض/النسبة | يستمد المحول الشاهد الدقيق؛ لا يمكن للطلب الدلالي اختيار الوكيل/العميل بنفسه. |
| يحدث بحث الإيصال بعد مقارنة قديمة | يكون بحث الإيصال المقبول هو الأول؛ لا يمكن لرأس لاحق إخفاء نتيجة مقبولة. |
| حذف إيصال مقبول أو شاهد قبر RunId | سلطات مفهرسة دائمة؛ يتطلب الضغط إثبات التبعيات ولا يمكن أن يضعف إعادة التشغيل أو منع إعادة الاستخدام. |
| تقسيم التزام الحالة أو التاريخ أو الإيصال أو الرأس أو النية | مجموعة مقبولة ذرية واحدة أو تلعثم موثوق كامل. |
| طفرة مقبولة تفتقر إلى دليل الحوكمة | تحمل المجموعة المقبولة الذرية هوية GovernanceEvidenceIntent مختومة واحدة وتعيد CommittedWithGovernanceIntent. |
| تجاهل نتيجة التدقيق أو الاستخدام | يعيد كل مصرف سلطة إيصالًا مستقرًا أو فشلًا محدد النوع؛ ترفض المصارف غير الدائمة، ويظل الفشلان الأساسي والحوكمي نتيجة مركبة. |
| نتيجة زائفة معروفة بعدم القبول عقب التزام محتمل | يتطلب Unavailable دليلًا على عدم القبول؛ أما الغموض فهو Indeterminate. |
| المتصل أو الساعة المحيطة يقدمان وقت الالتزام | تصدر سلطة زمنية مسماة ومحقونة شاهدًا محدد النوع قبل الالتزام؛ والمراجعة وحدها ترتب التاريخ. |
| إعادة التشغيل تعيد أخذ عينة وقت القبول | يعيد الإيصال المقبول شاهد الوقت الأصلي. |
| تجاوز حجر السلامة | يمنع الحجر كل قبول لاحق للسلطة المتأثرة. |
| استكشاف إيصال غير مصرح به أو كشف النتيجة | يسبق التفويض البحث عن الإيصال ويحكم الكشف الدقيق عن النتيجة. |
| استكشاف إيصال الإنشاء عبر مساحات أسماء مختلفة | يربط حل الإنشاء مساحة الاسم المصرح بها قبل البحث عن الإيصال؛ ولا يمكن تمييز الإيصال الأجنبي عن الغياب ضمن النطاق. |
| استخدام هوية عملية دلالية ضمن عائلة عمليات مختلفة | تظل عائلات العمليات الاسمية متميزة؛ وتحقق النتائج المجردة والإيصالات المقبولة ثابت نطاق العائلة المفحوص. |
| الإنشاء المباشر لمادة قبول مزعومة | يملك شاهد قبول التشغيل المقبول حالة خاصة، ولا يملك أداة إلغاء تسلسل خام، وله منشئات حدود صريحة وإسقاط استمرارية للقراءة فقط. |
| تغييرات الترميز الخاصة بالنظام الخلفي تحد القبول | الحدود الدلالية القياسية المملوكة للنواة متطابقة للذاكرة وSQLite؛ ولعبء غلاف الاستمرارية سقف ثابت منفصل. |
| استنفاد تخزين الإيصالات أو شواهد القبور | تفشل الحدود الثابتة المسماة وإخفاقات السعة بحالة معروفة غير مقبولة قبل الالتزام؛ ولا تُطرد الحقائق الدلالية بصمت. |
| تراجع متماسك لقاعدة بيانات محلية كاملة | عدم ادعاء صريح لمرساة خارجية؛ ولا تصنع التجزئات الذاتية المحلية مقاومة للتراجع. |
VIEW رسمي أو قيد يخفي خلفًا مخالفًا | ترفض التكوينات الموثوقة VIEW وSYMMETRY وقيود الحالة؛ وتغطي بصمات TLC حالة النموذج كاملة. |
| إحداثيات سلسلة أدوات غير معتمدة تصل إلى التنزيل أو التنفيذ | يتحقق Bootstrap من الإغلاق المعتمد الكامل قبل استخدام الشبكة أو Java، ثم يسمح فقط بمساحات أسماء الإصدارات الأصلية الدقيقة والمواد المثبتة بالملخص. |
| إجراء ممثل لا يملك أثر تحسين PF-04 | يجب أن يتطابق مخطط الأثر وخريطة الإجراءات ومفردات مجموعة الملاحظات تطابقًا تامًا؛ ويجب أن يفشل انتقال خاطئ مستقل أمام أوراكل TLA. |
يغلق PF-03 قرار الخاصية/النموذج المجرد مع أدلة TLC المحدودة، وأمثلة مضادة متوقعة للتحول، وآثار PF-04 الحتمية. ينفذ PF-04 العلاقة ويعيد تشغيل ستة عشر أثرًا بروتوكوليًا عامًا ضد الذاكرة وSQLite بالإضافة إلى أثرين قابلين للتكرار ضد SQLite. تحتوي الذاكرة على أدلة سلبية صريحة لإعادة التشغيل. لا يؤسس هذا التحسين المحلي ملكية موزعة أو مقاومة للتراجع الخارجي أو استعادة الإرسال.
تهديدات الإرسال
يعامل نموذج المرشح PF-06A هذه كحالات عدائية واضحة:
| التهديد | حدود السيطرة/الادعاء الدائمة |
|---|---|
| إرسال نية غير مقبولة | يمكن أن تدخل فقط الطفرة المالكة المقبولة في الأهلية. |
| استبدال الهدف أو المنفذ أو التفويض أو ملف الاسترداد | يتم الاحتفاظ بربط هدف واحد غير قابل للتغيير في كل سجل من سجلات اليومية. |
| رأس يومية مزور، محاولة، أو إكمال ABA | تجعل الرؤوس الدقيقة وهويات المحاولات غير المعاد استخدامها الإجراءات القديمة تتعثر. |
| يكمل عامل حجز عامل آخر الحي | تربط اليومية بين هوية العامل وهويات المحاولات غير المعاد استخدامها معًا؛ يجب أن تقدم سجلات التقدم الزوج الدقيق. |
| إيصال مزور أو تأثير متقاطع أو متعارض | سلطة الإيصال المؤهلة ورابط التأثير/المفتاح الدقيق؛ الحجر الصحي للنزاع. |
| اليومية تصدر إيصالًا أو تأهيل شاهد | تستهلك إجراءات اليومية حقائق التأهيل الدقيقة المعترف بها مسبقًا؛ لا يمكن أن يؤدي تخزين معرف إلى إنشاء سلطة المصدر. |
| يتم إعادة استخدام هوية الإيصال | ملكية الإيصال وظيفية وإعادة استخدام الهوية عبر الحقائق اليومية المقبولة تفشل مغلقة. |
| يتم استبدال نتيجة الاستعلام السلطوي بإيصال تأثير | الاستعلام المنفذ، الاستعلام غير المنفذ، ومواد الإيصال المستقرة هي عائلات شهود متميزة مع مالكين دقيقين. |
| المفسر يبلغ بشكل خاطئ عن المنفذ أو غير المنفذ | يتحقق PF-06A فقط من العلاقة الدقيقة المستوردة للتأهيل ويحمل الشاهد؛ يبقى المراجع الخارجي فرضية مسماة تتطلب تأهيل PF-06C. |
| ادعاء زائف قبل التأثير أو عدم الحدوث | يتطلب الشاهد المسمى الدقيق؛ تبقى الغموض بعد الحدود غير محددة، ولا يمكن أن يمحو الفشل السابق قبل الحدود الدين المتعلق بالحدوث غير المحل. |
| شاهد عدم الحدوث المعاد استخدامه أو غير المسمى | يتم الاحتفاظ بهويات الشهود قبل التأثير، والاستعلام السلطوي، والانتهاء/الحالية، عائلية النوع، مالك واحد، وغير معاد استخدامها. |
يُخطأ في اعتبار NoResolver “لا يمكن أن ينجح” | إيصالات النجاح الحية المؤهلة مستقلة عن حل ما بعد الغموض؛ يمكن لجميع الملفات تسجيل النجاح المتزامن المشهود، ولكن فقط المفسرين المؤهلين يمكنهم إغلاق الغموض تلقائيًا. |
| إعادة محاولة غير آمنة أو تغيير ربط الاستدعاء | تتطلب إعادة المحاولة ملف تعريف المفتاح الدقيق المؤهل وتحافظ على الهوية المنطقية، الهدف، المحتوى، مراجعة المنفذ، ربط التفويض، ملف الاسترداد، ومفتاح عدم التكرار. |
| تأثير منطقي مكرر بعد فقدان الاستجابة | عدد استدعاءات DG، عدد التنفيذ الفيزيائي الخارجي، وحدث منطقي واحد هي منفصلة؛ تحدد حدود عدم التكرار المفتاح الدقيق التنفيذ الفيزيائي فقط لملف تعريف المنفذ المؤهل. |
| يتم التعامل مع استدعاء الحدود كدليل على الحدوث | عدد الاستدعاءات والحدوث الخارجي مستقل؛ المنفذ يعني الاستدعاء، ولكن قد يبقى الاستدعاء غير منفذ حتى يغلق مفسر مؤهل المعرفة. |
يتذكر الانهيار Started، الإيصال، أو الحالة النهائية | يحافظ الملف الشخصي الدائم على معرفة اليومية؛ الذاكرة لا تدعي صراحة أي استئناف. |
| انهيار بعد الالتزام بنية/حكومة المجال ولكن قبل أول إضافة للمصب | تكون مجموعة النية الملتزمة ونية الحكومة أحادية الاتجاه وتستأنف المصالحة من النية المحتفظ بها. |
| اعتراف الحكومة قبل الإضافة الدائمة | يتطلب الاعتراف إيصالًا دقيقًا مستقرًا بعد الالتزام بالمصب الدائم. |
| استبدال هوية/حمولة الحكومة | سجلات الحكومة ذات المفاتيح المستقلة وعلاقة إعادة التسليم الدقيقة. |
| مجموعة النية/الحكومة المستوردة غير المكتملة | يتطلب PF-06A مجموعة PF-04 الأحادية الكاملة ولا يدعي زيفًا إعادة إثبات الالتزام الذري PF-04. |
| يتم قبول التعويض من حقيقة الحدوث المخفية أو يمحو التاريخ الأصلي | يتطلب التعويض حالة الأداء المعروفة لـ DG ويكون تأثيرًا مرتبطًا بالكامل مرتبطًا بشكل منفصل مع يومية مستقلة. |
| ملف تعريف التعويض غير المؤهل | يتطلب إنشاء التعويض ملف تعريف عائلة التأثير المعترف بها بدقة بالإضافة إلى الأداء المعروف لـ DG. |
| تجاوز الحجر الصحي أو تغيير مالك/فهرس التأثير المتقاطع | الحجر الصحي أحادي الاتجاه؛ تتفق فهارس ملكية التأثير وتوقعات اليومية/الإصدار؛ لا تؤثر التأثيرات المسجلة بشكل مستقل على بعضها البعض. |
| يُفترض تقدم عادل أو متانة الذاكرة ضمنيًا | سجل الافتراضات المسماة بالإضافة إلى عدم العدالة القابلة للتنفيذ ونماذج مضادة للذاكرة الزائفة؛ لا يتبع أي من الادعاءات من الأمان. |
| استعلام غير مصرح به عن الإيصال/الحالة | يجب أن يُصرح PF-06B قبل الكشف؛ لا يقوم PF-06A بنمذجة تفاصيل المصادقة. |
| تراجع يومية الإرسال المتسقة | عدم المطالبة بالمرساة الخارجية؛ لا يمكن أن تثبت التجزئة الذاتية المحلية الجدة. |
DG-DECISION-DISPATCH-MODEL-001 لا يزال مفتوحًا. المرشح v5 هو InvalidatedForApproval؛ تقريره المحدود هو دليل تراجع تاريخي، وليس موضوع موافقة. لا يوجد وقت تشغيل دائم للسجل/الاسترداد حتى الآن. النوايا المقبولة، وقفل محلي، ورضا نموذج محدود، واستدعاء مرة واحدة على الأكثر ليست تأثيرات خارجية دقيقة.
تهديدات حدود الضمان الرسمي
| التهديد | حدود التحكم/المطالبة الدائمة |
|---|---|
| خاصية الحالة القابلة للوصول تم تصنيفها بشكل خاطئ على أنها استقرائية | يجب على TLAPS تفريغ الالتزامات الدقيقة للتهيئة، والحفاظ، والاستدلال؛ الوصولية فقط لـ TLC لا يمكن أن تصنع InductivelyProved. |
| تم تصنيف التكرير بشكل خاطئ على أنه استقراء | تقارير صفوف إثبات النموذج إلى النموذج RefinementSatisfied؛ تظل المطابقة الإنتاجية مطالبة مملوكة لبروتوكول منفصل. |
| نموذج فارغ/غير قابل للوصول ينتج خاصية خضراء | تتطلب الحالة الأولية، والإجراء، والفرع، وعدم الفراغ السابق تغطية بالإضافة إلى الوصولية المتوقعة لمثال مضاد أوكل. |
| يتم وصف مصفوفة الحدود ولكن لا يتم تنفيذها | كل صف ملف مجمع ينتج اتفاقًا إيجابيًا دقيقًا أو تنفيذًا موثقًا للاختلاف. |
| مقام الطفرة يتجاهل حارسًا أو كتابة موثوقة | كل حالة مسجلة من آلة الحالة لديها نقطة طفرة دقيقة واحدة وكل خاصية تمتلك على الأقل مشغل قتل واحد. |
| غموض المحلل يقبل افتراضات أو نسب مخفية | صفوف افتراضات مملوكة لوحدات دقيقة؛ بناء جملة مغلقة؛ رفض غير حساس للفراغ لـ VIEW و SYMMETRY، والقيود، والتجاوزات، ووضعين للتهيئة المزدوجة. |
| يتم استبدال اقتراح الإثبات بينما تبدو رموز التكتيك صالحة | ملكية الاقتراح القياسي الدقيقة ترفض التعليقات، و LET، وصفوف النظريات غير المعروفة، والأوراق غير المثبتة/المهملة. |
| تشترك كلا المسارين الدلاليين في نفس خطأ الانتقال | مقارنة شاملة لعلاقة TLA/Python النهائية، فصل صريح لرسم الاستيراد، واكتشاف الخلاف المتعمد؛ تظل استقلالية التأليف مطالبة غير خاضعة للمراجعة البشرية. |
| تتغير عمليات السحب القابلة للتعديل بعد القبول | كل أداة تنفذ لقطة مصدر موثقة خارجية غير قابلة للتغيير ويتم إعادة التحقق من مقام المصدر المباشر بعد التنفيذ. |
| يتم استبدال تثبيت الأداة أو الأدلة | الأرشيفات/المثبتات الرسمية، البيانات، إيصالات التثبيت، الأشجار الزمنية، والتقارير، وبيانات الكائنات مملوكة بشكل منفصل. |
| يتم استدعاء شجرة TLAPS غير الحتمية بشكل خاطئ على أنها قابلة للتكرار | يربط الموضوع المرشح سياسة المثبت الرسمي المثبت؛ كل تقرير تنفيذ يربط شجرته المثبتة الدقيقة؛ قابلية تكرار الشجرة المثبتة الخام هي مطالبة غير خاضعة للتأكيد. |
| يتم تفسير التأهيل الاصطناعي كإثبات بروتوكول DG | يتم التحقق من حدود المطالبات والهوية البروتوكول بواسطة الآلة؛ تظل إعادة إغلاق PF-03 و PF-06A موافقات منفصلة. |
المرشح الحالي للأساس المشترك يلبي مقسومه الاصطناعي المسجل ولكنه ينتظر الموافقة البشرية الصريحة. لا يغير أي قدرة وقت تشغيل إنتاجية ولا يصرح بأي مطالبة بروتوكول PF-03 أو PF-06A.
تهديدات التخزين وإعادة التشغيل
جميع البايتات المخزنة/المفككة عدائية. تشمل الضوابط رفض الإصدارات، فك محدد قبل التخصيص، حسابات مدققة، رفض التكرارات/التذييلات، إعادة بناء بواسطة المُنشئ، إعادة حساب الهوية القياسية، فحوصات دقيقة للرأس/التاريخ، واعتماديات احتفاظ صريحة.
تنسيقات ما قبل الإطلاق القديمة ترفض دون ترحيل. يثبت الملخص فقط علاقته بالنزاهة المسماة، وليس أصالة المصدر، أو سلطة الرأس الحالي، أو حماية التراجع، أو الربط الخارجي. إعادة الاستعلام الحية هي دليل جديد. تقارير إعادة التشغيل بالضبط أي اكتساب أصلي، أو مخطط، أو تفويض، أو حداثة، أو علاقات سياسة يمكن إعادة بنائها.
PF-05 يفترض أيضًا أشجار الكائنات/البيانات العدائية، والبايتات الإضافية العدائية المقدمة بشكل صريح، ومحتويات المستودع المحلي المخترقة، وترتيب/نطاق السجلات الخبيثة، وقنابل التفكيك، وسباقات النشر، واستبدال المسارات/الروابط الرمزية، وارتباك الاعتماد على المطالبات، واستنفاد موارد المدقق. تشمل الضوابط اثني عشر جذر عائلة إلزامية، هويات ثابتة مفصولة حسب المجال، أشياء محدودة معيارية، فحوصات النطاق/التوزيع/العمق، حسابات مدققة، صفحات مرتبطة بنقاط تفتيش، مخفض مستقل، DAG مغلقة للمطالبات، ميزانيات عمل حتمية، أهداف نظام ملفات نسبية للقدرات، نشر كائن جديد، مقارنة دقيقة للبايتات المحتفظ بها، ورؤية أخيرة للبيان.
المحقق يحل فقط المواد المحلية المجمعة أو الموردة بشكل صريح. ليس لديه شبكة أو مزود أو ساعة أو SQLite أو MCP أو مسار محيطي أو سلطة محلل عام. لا يلبي المحدد أبدًا توفر المواد. يمكن أن تلبي بايتات إضافية خارجية غير معالجة علاقات التجزئة/الهيكل فقط؛ لا يمكنها إثبات أصالة المصدر أو حداثته أو مقاومة التراجع أو الإرسال أو النشر أو ادعاءات أصل البناء.
تهديدات النشر
لا تثبت هوية مساحة الأسماء أو المسار أو التخزين المؤقت أو هوية العقد أو تسمية المنطقة أو التكوين تعيين الخدمة أو التفويض أو السعة أو الإقامة أو سلطة المفتاح أو تأهيل المقيم. تستهلك محولات الملف الشخصي الشهود الخارجيين الدقيقين مع الموضوع ومراجعة السلطة والنطاق والحداثة والعملية.
تقوم طرق النطاق الأولية بتوجيه عمليات متميزة إلى عقد المحلل/الالتزام المتجاورة المحلولة. يتم تأجيل نقل الملكية الديناميكي، والتبديل التلقائي، والنشاط النشط، والنهائية المتنقلة، والخلايا الفرعية، وبروتوكولات الموارد المادية/التعقيم إلى عائلات المنصات الخارجية/DG-E. ولا يتم عكس حالتها في النواة الدلالية.
الضوابط المفروضة الحالية
الكود الحالي يحتوي على تحليل/أخطاء مفيدة ذات نوع، والعديد من الحدود، وتجزئة معيارية، وتقييم ثلاثي الحالات، وفحوصات هوية الرسم البياني/القانون، وفتح المرحلة بشكل صريح، ومصادقة/تفويض الأدوات، والتحقق من المخطط، ومهلات المزود وحدود الاستجابة، وبعض ضوابط SSRF/المسار، والتعتيم، وفحوصات التوقيع/المرساة، ومعاملات SQLite، وأحداث التدقيق، وفحوصات سلامة التشغيل.
يفرض الكود الحالي معرفات محدودة متوسطة بواسطة منشئات، وإحداثيات مساحة اسم غير صفرية، ومفردات نهائية معيارية، وأصل نقل تمت مراجعته، وهوية قانون سيناريو اسمية، وDgValueFormatV1، ومجالات وشروط من نوع محدد، وروابط اكتساب مستقلة، وقبول أدلة مفككة، ولقطات معيارية، وتقييم خالص بدون إدخال/إخراج. يحتوي وقت التشغيل المدعوم فقط على تقديم المتصل، والوقت المسماة، ولقطات بيئية مسموح بها غير قابلة للتغيير، واكتساب صارم بتنسيق JSON/YAML؛ لا يمكن الوصول إلى مسارات الشبكة ومزودات التنفيذ.
PF-04 يفرض أيضًا هوية تشغيل مصدرة من السلطة، عائلات العمليات الاسمية، حل استلام مقبول فقط أولاً، قبول شرطي دقيق، وقت قبول نوع مسمى، مجموعات مقبولة ذرية، حالة حالية مقيدة، تاريخ غير قابل للتغيير مفهرس، إعادة ترطيب عدائية للنموذج-12، وحجر صحي للنزاهة عبر الذاكرة وSQLite. يتم تحديد حل إيصال الإنشاء بنطاق مساحة الأسماء، ولا يمكن إنشاء علاقة القبول المختومة من خلال بناء متغير enum عام.
يربط المخطط 12 أيضًا هوية الحوكمة-الأدلة المختومة في نفس المعاملة المقبولة-التشغيل. التدقيق وتسليم الاستخدام هو idempotent بواسطة هوية الحدث المستقرة ويعيد إيصالًا فقط بعد دخول دائم. يبقى التسليم التزامًا منفصلًا عن معاملة قاعدة البيانات المقبولة-التشغيل؛ تمنع النية المخزنة التحول من أن تصبح خالية من الأدلة.
PF-05 يفرض نقاط تدقيق متماسكة محايدة للخلفية، تصدير مفهرس محدود مع ملكية مراجعة/مؤشر تم التحقق منه، بناء عدائي لـ runpack-v6، نشر محلي غير قابل للتغيير قائم على القدرة، تقليل التاريخ المقبول للمواد المقدمة المستقلة، تقارير المطالبات الكلية، وميزانيات العمل الحتمية. تكتمل سلامة الهيكل بشكل مستقل قبل التفسير الدلالي، وMCP يصرح باسم المساحة المرتبطة بالبيان قبل التنقل الكامل في الكائن. لا يحتوي وقت التشغيل/التكوين OSS على مسار runpack S3/تخزين الكائن أو وضع التحقق القابل للاسترداد.
تشمل الفجوات الحالية الموافقة البشرية الصريحة على الأساس الرسمي المشترك الاصطناعي، وإعادة إغلاق ضمان PF-03 المنفصل وتمريرة المطابقة التنفيذية العدائية، وإغلاق نموذج الإرسال PF-06A، ووقت استرداد محلي PF-06B، وتحسين النموذج/الواجهة الخلفية والمطالبة غير المتصلة PF-06C، وعقد محول PF-06D، ودمج منتج مستقر التعيين PF-06E وامتثال PL-05؛ PF-07 الأصالة/الحداثة الخارجية، وتثبيت التراجع المتماسك، وتأهيل النشر؛ تأهيل النشر عن بُعد PF-08؛ تنفيذ DG للرافعات PF-05 المدققة من خلال سلطة Kani المعزولة المثبتة في المستودع؛ نتيجة ويندوز الذهبية الملحوظة؛ تدفق مليون سجل، وذاكرة ذروة، وأدلة منتج مُعايرة؛ أدلة Certesa المحمولة؛ وموافقة الإصدار. تعتبر دبابيس Rust الإنتاجية ودبابيس Rust المجمعة Kani سلطات منفصلة، لذا فإن اختلاف إصدارها ليس فجوة بحد ذاته.
الأدلة المطلوبة
- اختبارات إغلاق الفشل في التجميع وتجاوز المُنشئ.
- دليل الإحالة والخاصية RET/Xarxa.
- اختبارات شرط/دليل/نموذج/تخزين/حزمة تشغيل عدائية.
- اختبارات عدائية محددة المصدر/الوقت/البيئة/المستند.
- لقطة/تقييم حتمي ومساواة حية/إعادة تشغيل.
- الوصول السلبي للقدرات غير المدعومة للاكتساب/التنفيذ.
- نموذج/تحور/أدلة تتبع نموذج PF-03 المقبول، وتحسين مستقل لـ PF-04 إلى Rust/الواجهة الخلفية؛ إغلاق فرضية الأساس المشترك، عدم الفراغ، الاستقراء، التأكيد الرمزي، التحسين، التحور المنهجي، ومؤهلات oracle المستقلة؛ إعادة إغلاق ضمان PF-03 المنفصل؛ وإغلاق إرسال PF-06A تحت تلك السلطة.
- التفويض، النسبة، الاختبارات القديمة/السباق، فقدان الاستجابة، الانهيار، الفساد، واختبارات الاحتفاظ.
- كائن/شجرة/بيان runpack-v6 العدائي، توازن نقاط التفتيش، استبدال نظام الملفات المحلي/السباق، تحور المخفض المستقل، اعتماد المطالبات، المواد المقدمة، الميزانية الحتمية، التقارب المتزامن لإنشاء جديد، واختبارات الهوية الذهبية الكنسية عبر أنظمة التشغيل.
- سلطة خارجية مؤهلة ونشر محدد للملف الشخصي.
توضح كل تقرير ما تثبته أدلته وما يبقى غير مثبت. حجم الاختبار ليس جاهزًا للإطلاق أبدًا.
نموذج التهديد دلتا (2026-07-17، قطع صعوبة التصحيح): تم التحديث. يربط المخطط 12 هوية نية الحوكمة بشكل ذري، وتكون لحامات تدقيق MCP والاستخدام عرضة للخطأ وتحمل إيصالات، وتفشل المصارف غير الدائمة في الإغلاق. السجل المطابق هو Docs/security/deltas/2026-07-17-certesa-decision-gate-correctness-hard-cut.md.
نموذج التهديد دلتا (2026-07-18، قطع صارم لسلطة النافذة الثابتة): تم التحديث. تحتوي Decision Gate الآن على سلطة طلب واحدة مختومة، مدعومة بساعة أحادية الاتجاه، ونافذة ثابتة محدودة مشتركة بين دخول MCP وتركيب الأدوات المحددة بالحساب. تم رفض الأشكال المعطلة ذات القيمة الصفرية، وعينات الصحة البيئية، وخوارزميات دلو التكرار، ومسارات التحوير قبل الفشل. السجل المطابق هو Docs/security/deltas/2026-07-18-fixed-window-rate-limit-authority-hard-cut.md.
نموذج التهديدات دلتا (2026-07-18، تشغيل مقبول، دقة سلك مغلقة): تم التحديث. تقوم حالات Unset و RunWide و Empty المعلّمة الآن برفض الحقول العدائية الزائدة عند حدود السلك المملوك لها. السجل المطابق هو Docs/security/deltas/2026-07-18-accepted-run-closed-wire-exactness-hard-cut.md.