记忆链与加密存储
本文用简体中文说明「记忆链与加密存储」在 AeroNyx 开源隐私协议中的作用、当前实现边界、隐私不变量以及开发/节点运营注意事项。
「记忆链与加密存储」是 AeroNyx 文档体系中的正式本地化页面。AeroNyx 将协议层与产品体验分开：协议负责不可关闭的开放能力，产品负责 App、Nodeboard、加密聊天、加密存储和节点运营体验。
概览
本文用简体中文说明「记忆链与加密存储」在 AeroNyx 开源隐私协议中的作用、当前实现边界、隐私不变量以及开发/节点运营注意事项。
在 AeroNyx 架构中的位置
本主题属于 Nodeboard。理解它的关键不是把 AeroNyx 看成单一中心化服务，而是把它看成一组可由客户端、去中心化隐私节点、后端协调器和 Nodeboard 共同使用的开放隐私协议能力。
当前实现重点
- 所有涉及用户内容的能力都必须通过端到端加密或密文对象传递。
- 去中心化隐私节点可以报告健康、容量、连接、路径证明和聚合统计，但不能读取消息正文、访问凭据或用户秘密。
- Nodeboard 用于运营可观测性：展示节点健康、peer discovery、重启恢复、容量、封包/流量与协议状态。
- 后端在当前阶段负责协调、排序、聚合与公开文档接口；这些职责后续可以逐步下沉到 Rust 协议层。
隐私边界
AeroNyx 的核心不变量是 blind-node invariant：转发节点和 MemChain 协调器只能处理密文、时间戳、证明、聚合健康信号和有限路由元数据。它们不能读取明文、不能看到 DNS 内容、不能知道访问目的地，也不能重建谁和谁通信。
节点与运营者需要关注
节点运营者需要关注带宽、连接上限、IP 池、conntrack、文件描述符、packet drops、pps、bps、peer store、heartbeat 新鲜度和 restart recovery。运营界面应该帮助排障，但不能暴露用户内容或可关联身份的数据。
开发者与产品接入
客户端、App、AI agent 或第三方服务接入时，应优先复用 AeroNyx 的加密信封、签名、盲转发、匿名凭证和健康检查约定。任何新接口都必须明确哪些字段是公开元数据，哪些字段必须留在 E2E payload 内。
当前状态
本页描述的是 AeroNyx 当前可公开说明的协议与产品设计边界。后续如果实现多跳路由、盲签名凭证、加密媒体 blob、MemChain 同步或节点发现升级，应在同一 translation_key 下持续维护。
<!-- memchain-external-witness-v1:start -->承诺账本与回滚保护
MemChain 为加密记录维护仅追加的承诺账本。承诺区块保存完整性承诺与排序元数据，不保存记忆明文或解密密钥。它用于发现篡改和回滚；它不是公有区块链，也不宣称分布式共识、最终性或代币执行能力。
协调节点开放 UDP、TUN 或公共 API 监听前，会依次检查：持久化模式、完整承诺链、已签名的本地链尖锚点、已保存的检查点证据，以及运营者固定的外部节点所返回的签名检查点。全部策略判断通过后才启动网络监听。
| 已验证结果 | 启动决定 |
|---|---|
| 一致 | 继续启动 |
| 远端较旧 | 继续启动；它不能证明本地发生回滚 |
| 远端较新 | 拒绝启动；本地可能回滚到旧状态 |
| 历史分叉 | 拒绝启动；签名历史存在冲突 |
| 没有签名证据 | 非严格模式可降级继续；严格模式拒绝启动 |
见证节点必须是运营者明确固定的 Ed25519 身份。签名发现协议只负责解析其当前端点；未固定的无许可节点不能因为出现在 peer store 中就获得启动裁决权。
已验证的生产部署 — 2026 年 7 月 14 日
一个生产协调节点配置了三个由运营者固定的见证身份。两个独立运营并经过审核的跟随节点现已运行兼容的检查点服务，并各自验证和保存了同一份包含 33 个区块、8,339 个承诺的历史。协调节点接受了两台跟随节点分别签署的 converged 结果，随后开启 commitment_witness_startup_required = true。
经验证的重启中，启动保护报告 configured=3、eligible=3、attempted=3、verified=2、converged=2；UDP 和 TUN 监听只在检查通过后开放。这是运营者固定节点提供的回滚证据，不是共识、法定人数、公链最终性或代币执行。
心跳只上报见证范围、配置数量和是否要求严格证据；不会上报节点身份、端点、检查点哈希、签名、加密记录、所有者或社交关系。
<!-- witness-threshold-enforced-v1:start -->已强制执行 2-of-3 启动门槛 — 2026 年 7 月 14 日
生产协调节点现已同时设置 commitment_witness_min_verified = 2 与 commitment_witness_startup_required = true。少于两个不同的固定见证提供有效签名证据时，节点会拒绝启动：零个有效响应返回 signed_checkpoint_unavailable，仅一个有效响应返回 signed_checkpoint_threshold_unmet。最近一次生产重启在 UDP、TUN 和公开 API 监听器开放前成功验证了三个配置见证中的两个。
这是运营者定义的启动门槛，不是网络共识、法定人数、最终性、领导者选举或分叉选择。Rust 心跳状态只上报包括 startup_minimum_verified 在内的聚合策略与结果字段，不暴露见证身份、端点、检查点哈希或签名。
相关协议规范
<!-- signed-commitment-ledger-related-v1:end --> <!-- memchain-model-provider-boundary-v1:start -->自带大脑与模型服务商边界
MemChain 将节点盲存储与可选认知处理分开。某个运营者启用 SuperNode 认知 worker，不会让存储节点或 relay 节点自动获得读取记忆的权限。
各组件能看到什么
- 节点盲存储或 relay 节点只看到密文、盲索引、受限路由元数据和聚合健康信号；默认不会收到明文记忆。
- 启用后的 SuperNode 认知 worker 只接收其隐私级别允许的任务内容：
structured、summary或full。 - 外部模型服务商可以读取发送给它的完整 prompt。只有在用户明确同意并信任所选服务商时，才可使用
full。 - 本地 OpenAI 兼容模型可将推理留在运营者控制边界内，但运行模型的 worker 仍是受信任处理组件，不是盲存储节点。
运行时隔离
- 模型成功响应在 JSON 解析前限制为 8 MiB；非成功诊断响应限制为 64 KiB。
- 传输、API、解析及空响应失败会让该服务商进入 30 秒单调时钟冷却，而不是永久禁用。
- HTTP 429 的
Retry-After会在 1-300 秒范围内执行；缺失时使用 30 秒。 - 路由器可以切换到其他健康服务商，并在冷却结束后自动重新考虑失败服务商，不需要定时任务。
<!-- memchain-model-provider-boundary-v1:end -->这些限制保护节点可用性，但不会把外部推理调用变成端到端加密。外部服务商仍是独立且明确的信任选择。