記憶鏈與加密儲存
本文用繁體中文說明「記憶鏈與加密儲存」在 AeroNyx 開源隱私協議中的作用、目前實作邊界、隱私不變量以及開發/節點營運注意事項。
「記憶鏈與加密儲存」是 AeroNyx 文件體系中的正式本地化頁面。AeroNyx 將協議層與產品體驗分開：協議負責不可關閉的開放能力，產品負責 App、Nodeboard、加密聊天、加密儲存和節點營運體驗。
概覽
本文用繁體中文說明「記憶鏈與加密儲存」在 AeroNyx 開源隱私協議中的作用、目前實作邊界、隱私不變量以及開發/節點營運注意事項。
在 AeroNyx 架構中的位置
本主題屬於 Nodeboard。理解它的關鍵不是把 AeroNyx 看成單一中心化服務，而是把它看成一組可由客戶端、去中心化隱私節點、後端協調器和 Nodeboard 共同使用的開放隱私協議能力。
目前實作重點
- 所有涉及用戶內容的能力都必須透過端對端加密或密文物件傳遞。
- 去中心化隱私節點可以回報健康、容量、連線、路徑證明和聚合統計，但不能讀取訊息正文、存取憑據或用戶秘密。
- Nodeboard 用於營運可觀測性：展示節點健康、peer discovery、重啟恢復、容量、封包/流量與協議狀態。
- 後端在目前階段負責協調、排序、聚合與公開文件接口；這些職責後續可以逐步下沉到 Rust 協議層。
隱私邊界
AeroNyx 的核心不變量是 blind-node invariant：轉發節點和 MemChain 協調器只能處理密文、時間戳、證明、聚合健康信號和有限路由元資料。它們不能讀取明文、不能看到 DNS 內容、不能知道訪問目的地，也不能重建誰和誰通信。
節點與營運者需要關注
節點營運者需要關注頻寬、連線上限、IP 池、conntrack、檔案描述符、packet drops、pps、bps、peer store、heartbeat 新鮮度和 restart recovery。營運介面應該幫助排障，但不能暴露用戶內容或可關聯身份的資料。
開發者與產品接入
客戶端、App、AI agent 或第三方服務接入時，應優先復用 AeroNyx 的加密信封、簽名、盲轉發、匿名憑證和健康檢查約定。任何新接口都必須明確哪些欄位是公開元資料，哪些欄位必須留在 E2E payload 內。
目前狀態
本頁描述的是 AeroNyx 目前可公開說明的協議與產品設計邊界。後續如果實現多跳路由、盲簽名憑證、加密媒體 blob、MemChain 同步或節點發現升級，應在同一 translation_key 下持續維護。
<!-- memchain-external-witness-v1:start -->承諾帳本與回滾保護
MemChain 為加密記錄維護僅追加的承諾帳本。承諾區塊保存完整性承諾與排序中繼資料，不保存記憶明文或解密密鑰。它用來發現竄改與回滾；它不是公有區塊鏈，也不宣稱分散式共識、最終性或代幣執行能力。
協調節點開放 UDP、TUN 或公共 API 監聽前，會依序檢查：持久化模式、完整承諾鏈、已簽名的本地鏈尖錨點、已保存的檢查點證據，以及營運者固定之外部節點所回傳的簽名檢查點。全部策略判斷通過後才啟動網路監聽。
| 已驗證結果 | 啟動決定 |
|---|---|
| 一致 | 繼續啟動 |
| 遠端較舊 | 繼續啟動；它不能證明本地發生回滾 |
| 遠端較新 | 拒絕啟動；本地可能回滾到舊狀態 |
| 歷史分叉 | 拒絕啟動；簽名歷史存在衝突 |
| 沒有簽名證據 | 非嚴格模式可降級繼續；嚴格模式拒絕啟動 |
見證節點必須是營運者明確固定的 Ed25519 身分。簽名發現協議只負責解析其目前端點；未固定的無許可節點不能因為出現在 peer store 中就取得啟動裁決權。
已驗證的生產部署 — 2026 年 7 月 14 日
一個生產協調節點配置了三個由營運者固定的見證身分。兩個獨立營運並經過稽核的跟隨節點現已運行相容的檢查點服務，並各自驗證和保存了同一份包含 33 個區塊、8,339 個承諾的歷史。協調節點接受了兩台跟隨節點分別簽署的 converged 結果，隨後開啟 commitment_witness_startup_required = true。
經驗證的重新啟動中，啟動保護回報 configured=3、eligible=3、attempted=3、verified=2、converged=2；UDP 與 TUN 監聽只在檢查通過後開放。這是營運者固定節點提供的回滾證據，不是共識、法定人數、公鏈最終性或代幣執行。
心跳只上報見證範圍、配置數量與是否要求嚴格證據；不會上報節點身分、端點、檢查點雜湊、簽名、加密記錄、所有者或社交關係。
<!-- witness-threshold-enforced-v1:start -->已強制執行 2-of-3 啟動門檻 — 2026 年 7 月 14 日
生產協調節點現已同時設定 commitment_witness_min_verified = 2 與 commitment_witness_startup_required = true。少於兩個不同的固定見證提供有效簽名證據時，節點會拒絕啟動：零個有效回應返回 signed_checkpoint_unavailable，只有一個有效回應返回 signed_checkpoint_threshold_unmet。最近一次生產重啟在 UDP、TUN 與公開 API 監聽器開放前，成功驗證了三個設定見證中的兩個。
這是營運者定義的啟動門檻，不是網路共識、法定人數、最終性、領導者選舉或分叉選擇。Rust 心跳狀態只上報包含 startup_minimum_verified 在內的聚合策略與結果欄位，不暴露見證身分、端點、檢查點雜湊或簽名。
相關協議規格
<!-- signed-commitment-ledger-related-v1:end --> <!-- memchain-model-provider-boundary-v1:start -->自帶大腦與模型服務商邊界
MemChain 將節點盲儲存與可選認知處理分開。某個營運者啟用 SuperNode 認知 worker，不會讓儲存節點或 relay 節點自動取得讀取記憶的權限。
各元件能看到什麼
- 節點盲儲存或 relay 節點只看到密文、盲索引、受限路由元資料和聚合健康信號；預設不會收到明文記憶。
- 啟用後的 SuperNode 認知 worker 只接收其隱私層級允許的任務內容：
structured、summary或full。 - 外部模型服務商可以讀取傳送給它的完整 prompt。只有在用戶明確同意並信任所選服務商時，才可使用
full。 - 本地 OpenAI 相容模型可將推理留在營運者控制邊界內，但執行模型的 worker 仍是受信任處理元件，不是盲儲存節點。
執行階段隔離
- 模型成功回應在 JSON 解析前限制為 8 MiB；非成功診斷回應限制為 64 KiB。
- 傳輸、API、解析與空回應失敗會讓該服務商進入 30 秒單調時鐘冷卻，而不是永久停用。
- HTTP 429 的
Retry-After會在 1-300 秒範圍內執行；缺失時使用 30 秒。 - 路由器可以切換至其他健康服務商，並在冷卻結束後自動重新考慮失敗服務商，不需要排程任務。
<!-- memchain-model-provider-boundary-v1:end -->這些限制保護節點可用性，但不會把外部推理呼叫變成端對端加密。外部服務商仍是獨立且明確的信任選擇。