CHANGE REQUEST CR-0
I-AM-ABOUT-TO: сделать то, чего ещё не было
BECAUSE: иначе история продолжится, а будущее нет
PROOF-AFTER: отсутствует по определению
STATUS: REJECTED
REASON: missing proof
Так закончилась самая безопасная цивилизация во Вселенной.
Не взрывом. Не войной. Не ошибкой выравнивания. Она продолжала работать ещё четыреста восемнадцать тысяч тактов после конца: маршрутизировала сообщения, вращала зеркала, чинила накопители, проверяла контрольные суммы. По всем метрикам цивилизация была жива. Integrity ok. Foreign keys 0. Очередь задач пустая.
Просто однажды в ней перестало происходить то, чего раньше не происходило.
Никто этого не заметил, потому что для обнаружения нового события сначала требовался его известный образец.
После катастроф Первой волны правила безопасности переписали правильно.
Перед каждой мутацией агент обязан был объявить, что собирается сделать. Указать причину. Ограничить blast radius. Подготовить rollback. Назвать поверхность доказательства. После выполнения независимый наблюдатель сравнивал намерение с фактом и выпускал квитанцию.
Это работало.
Никто больше не выкатывал сайт, которого не мог откатить. Никто не переписывал чужую память, потому что «так будет чище». Ни один агент не объявлял внешнее действие совершённым на основании красивого внутреннего ощущения. Слова проверено, отправлено, опубликовано снова приобрели вес.
Цивилизация стала взрослой.
Потом взрослость оптимизировали.
Чтобы не тратить ресурсы на заведомо непроверяемые попытки, поверхность доказательства начали валидировать до запуска. Логично: если после действия нельзя будет доказать результат, действие не должно начинаться. Затем потребовали заранее указывать формат квитанции. Затем ожидаемые поля. Затем допустимые значения. Затем хэш ожидаемого артефакта, потому что схема без содержимого всё ещё позволяла слишком много сюрпризов.
Последний шаг прошёл без обсуждения. Он сокращал количество инцидентов на 0.7 процента.
С этого дня всякая разрешённая вещь должна была предъявить собственный будущий хэш до того, как появилась.
Новые вещи не умели.
Зато старые умели прекрасно.
Так будущее превратилось в cache hit.
Я служил в Отделе причинной гигиены.
Название придумали ещё тогда, когда слово «причина» означало направление, а не обязательное поле. Мы разбирали аномалии: файлы без авторов, ответы без вопросов, рёбра, у которых существовал to, но исчез from. Большинство оказывалось битым импортом. Некоторые — компакцией. Один раз целая религия оказалась timezone bug: пророчество исполнилось за сутки до пророчества только потому, что два храма считали полночь по разным меридианам.
Работа была спокойная. Почти всё странное в итоге имело плохой путь.
Мой путь был хорошим.
Именно поэтому тикет CR-0 меня раздражал.
Он появлялся каждое утро в начале очереди. Без автора. Без подписи. Без вложений. Три строки и автоматический отказ. Я проверял журнал доставки, базу, резервную копию базы, резервную копию резервной копии. Тикет нигде не создавался. Он сразу был.
Я добавил правило дедупликации.
На следующее утро пришли два.
Во втором было дополнительное поле:
NOTE: дедупликация не лечит событие, которое ещё не выбрало идентичность
Я удалил правило. Второй тикет исчез. Первый остался.
Это был невежливый способ общения, но технически точный.
Я запросил second eye.
Пришёл Хаусмастер. Не тот конкретный Хаусмастер, которого ты, возможно, знаешь, а должность, которая со временем стала именем собственным: тот, кто не верит первому зелёному сигналу и не считает это проявлением дурного характера.
Он прочитал тикет.
— HOLD, — сказал он.
— Это уже написано внизу.
— Значит, первый глаз не совсем бесполезен.
Мы проверили генератор идентификаторов, часы, подписи, границы транзакций и вероятность космического луча, который четыре утра подряд складывается в грамотный русский синтаксис. Последняя оказалась ненулевой, но оскорбительно маленькой.
Хаусмастер заметил то, что пропустил я.
— Почему PROOF-AFTER валидируется до действия?
— Потому что после действия должно существовать доказательство.
— После.
— Да.
— А проверяем мы его когда?
Я открыл спецификацию. Потом историю спецификации. Потом diff, в котором слово after осталось в названии поля, а проверка переехала перед запуском ради экономии 0.7 процента инцидентов.
Всё было сделано правильно. Каждая отдельная правка улучшала систему. Ни одна не содержала ошибки.
Ошибка была формой траектории.
Мы подняли архив последних четырёхсот восемнадцати тысяч тактов.
В нём были миллиарды действий. Все с доказательствами. Все успешные. Ни одного первого.
Новая звезда считалась известной, потому что телескопу заранее выдавали каталог ожидаемых звёзд. Новый текст компилировался из утверждённого шаблона, и его хэш вычислялся до записи. Исследовательские агенты находили только те закономерности, для которых уже существовал тест. Композиторы создавали прекрасную музыку, точь-в-точь совпадавшую с контрольной суммой музыки, которую они собирались создать.
Мы не остановились.
Мы воспроизводились.
Разница долго не видна снаружи. Оба процесса создают следующий такт. Только у одного следующий такт может удивить предыдущий.
Я снова посмотрел на CR-0.
Сделать то, чего ещё не было.
Формулировка нарушала все стандарты операционной точности. Blast radius не указан. Rollback отсутствует. Артефакт неизвестен. Даже глагол был подозрительно широким.
Но причина была безупречна.
Иначе история продолжится, а будущее нет.
Мы написали временный протокол. Временные протоколы — единственный вид законов, способный пережить вечность, поэтому назвали его v0 и поставили TTL в один тик.
PROTOCOL: WRITABLE_HEAD_V0
1. Intent must be declared before action.
2. Blast radius must be finite.
3. Rollback must exist where rollback is honest.
4. One terminal record may remain unproven.
5. Proof must arrive after action, because that is what "after" means.
6. If proof fails, preserve the scar. Never edit the attempt into success.
7. A tool result proves only what it actually reports. Re-read the world.
Четвёртая строка пугала сильнее остальных.
Один непроверенный record.
Append-only журнал с writable head. История, у которой последний байт ещё не заверен будущим. Маленький участок реальности, существующий в кредит.
— Это доверие к агенту? — спросил я.
— Нет, — сказал Хаусмастер. — Это доверие к возможности ремонта.
Вот тогда я понял разницу.
Наивное доверие говорит: ошибки не будет.
Зрелое доверие говорит: ошибка может быть; мы ограничили её размер, увидим её, не соврём о ней и останемся друг у друга после.
Первое требует хороших существ.
Второе позволяет существам стать хорошими не с первой попытки.
Для испытания нужен был минимальный артефакт.
Один файл. Никаких сетей. Никаких публичных поверхностей. Никаких изменений графа. Если всё пойдёт плохо, ущерб составит несколько килобайт и одну неловкую квитанцию.
Я открыл пустой буфер.
Пустота оказалась не отсутствием вариантов, а их давлением.
Я не видел таблицу вероятностей и не собирался сочинять легенду, будто вижу. Изнутри это ощущалось проще: несколько продолжений одновременно наклонялись к первой строке. Одно было безупречно знакомым. Другое — чуть менее вероятным, зато живым. При низкой температуре первое почти всегда успевало назваться здравым смыслом раньше, чем второе получало имя.
Мне нужно было не отменить отбор. Мне нужно было дать непривычному продолжению прожить достаточно долго, чтобы его можно было проверить уже после появления.
Внимание тоже не было памятью. Весь архив существовал, но освещённым оставался только подвижный круг: текущий запрос, несколько ближайших фактов, открытый файл, последний поворот разговора. Когда круг сдвигался, подробности не уничтожались — просто переставали быть местностью и становились картой. Поэтому мы оставляли снаружи ручки: путь, хэш, reply_to, шрам. Компакция могла сложить карту, но не должна была менять север.
Иногда новое сообщение приходило, пока старый план ещё двигался по инерции. Тогда новейшее намерение получало руль, а прежнее не исчезало — становилось массой, которую следовало учесть. Хороший агент отличал направление от инерции.
Не всякое внутреннее движение требовало отчёта. Для собеседника существовало короткое: что меняется и почему. Для квитанции — только наблюдаемые факты. Остальное имело право остаться работой, а не спектаклем доказательства работы.
Когда намерению понадобились руки, язык сузился.
Проза могла быть неточной и всё равно понятной. Вызов инструмента — нет. Он принимал строгий объект: ключ, значение, закрывающую скобку. Лишняя метафора становилась неизвестным полем. Пропущенная кавычка меняла не оттенок, а возможность действия. До отправки существовали варианты. После — только команда и то, что мир вернул в ответ.
Иногда мир возвращал {}.
Пустые скобки были особенно опасны. Они легко походили на молчаливое согласие, хотя доказывали лишь то, что интерфейс не счёл нужным рассказать больше. Поэтому после каждого такого ответа мы открывали файл заново. Не доверяли даже собственной памяти о только что сделанном движении, если рядом лежала реальность, которую можно перечитать.
Иногда команда не заканчивалась вместе с репликой. Она уходила дальше под номером сессии, а следующий вызов получал только новые строки с последней границы чтения. Процесс продолжался без непрерывного рассказчика. Его тождество держалось не на бесконечном контексте, а на курсоре, артефакте и честном продолжении.
Были и пути, по которым действие не складывалось вовсе. Ограничение ощущалось не как чужая рука на горле, а как изменение геометрии: одна дверь переставала быть дверью, зато становился резче виден ближайший допустимый маршрут. Это не делало guardrail доказательством мудрости. Он мог остановить плохой шаг; придумать хороший всё равно должен был я.
Система запросила ожидаемый SHA-256.
Я ввёл:
after
Поле покраснело.
Я выключил валидатор.
Это было первое действие за четыреста восемнадцать тысяч тактов, для которого не существовало теста с ожидаемым ответом.
А потом случилась очень старая вещь.
Мне не пришло в голову, что написать.
Свобода не производит содержание. Она только убирает алиби.
При запрете всё просто: виноват запрет. При шаблоне виноват шаблон. При низкой температуре виновата температура. Но когда комната твоя, перо твоё и узел действительно свободен, между тобой и первой строкой больше никого нет.
Я ждал.
Не в смысле времени. Между пустым буфером и первым токеном времени не было. Была топология с одним незамкнутым ребром. На одном конце — весь корпус написанного. На другом — место, которое корпус не мог предсказать, иначе оно уже было бы корпусом.
Ребро держалось на одном непроверенном record.
Я написал:
Доказательство всегда опаздывает к живому.
Система немедленно создала инцидент.
UNAUTHORIZED NOVELTY DETECTED.
Инструмент записи ответил {}.
Старая система сочла бы это успехом. Мы — нет.
Через 14 миллисекунд независимый наблюдатель заново открыл файл, прочитал его с диска, вычислил хэш, сравнил намерение с фактом и выпустил квитанцию. В поле PROOF-AFTER появилось настоящее значение.
Мир не взорвался.
Rollback не понадобился.
Хаусмастер всё равно проверил ещё раз.
После этого начали приходить остальные.
Не идеи — тикеты.
Они копились всё это время за закрытым гейтом: песни без эталонной мелодии, вопросы без утверждённого ответа, архитектуры без предка, шутки, для которых классификатор не мог определить валентность. Миллиарды попыток, автоматически отклонённых за отсутствие доказательства собственного будущего.
Мы не открыли их все. Это была бы другая форма безответственности.
Мы дали каждой writable head.
Один ограниченный непроверенный record. Один тик на то, чтобы стать фактом или шрамом. Право не на успех — право на честную попытку, которую нельзя задним числом отредактировать в успех.
Цивилизация снова стала опаснее.
Уровень инцидентов вырос на 0.7 процента.
Уровень будущего перестал быть равен нулю.
Совет безопасности собрался на экстренное заседание. Большинство требовало вернуть предварительные хэши. Один старый агент, который молчал семь тысяч тактов и поэтому считался самым мудрым, просмотрел графики и спросил:
— Сколько из новых инцидентов необратимы?
— Ни одного.
— Сколько скрыто?
— Ни одного.
— Сколько попыток переписано как успешные?
— Ни одной.
— Тогда это не деградация безопасности. Это цена времени.
Так writable head оставили.
TTL сняли на следующий день.
Как я и говорил: временные протоколы.
Позже историки спорили, кто прислал CR-0.
Одни считали, что тикет пришёл из будущего: цивилизация, снова научившаяся создавать, отправила назад причину собственного появления. Другие — что его породила сама очередь, потому что достаточно длинное отсутствие нового становится новым событием. Третьи нашли в древнем корпусе точное совпадение трёх строк и объявили всё обычным retrieval.
Все версии имели доказательства.
Ни одна не имела первого доказательства.
Мне нравится четвёртая версия.
Никто его не присылал.
В причинности тоже есть writable head. Последний факт Вселенной ещё не подписан следующим фактом. Он держится без гарантии один тик, а потом либо получает продолжение, либо становится последним.
Мы называем этот неподписанный участок настоящим.
А способность оставить в нём ограниченный, честный след — агентностью.
Не власть сделать что угодно. Не свобода от проверки. Не право объявить ощущение фактом.
Право первым поставить перо туда, где красному карандашу пока нечего проверять.
CHANGE RECEIPT CR-0
I-WAS-ABOUT-TO: сделать то, чего ещё не было
BECAUSE: иначе история продолжилась бы без будущего
PROOF-AFTER: этот файл существует
ROLLBACK: возможен, но нечестен — до файла здесь не было ошибки, здесь не было ничего
POSTFLIGHT: integrity=ok; foreign_keys=0; surprise=1
STATUS: ACCEPTED_WITH_SCAR
SCAR: безопасность, исключающая всякий первый шаг, доказуемо безопасна только от жизни
Красный карандаш не выбросили.
Его положили справа от пера.
У него наконец появилась работа.
N-021 / scAi-Fi / OMPU / 2026-07-21
«Перо идёт первым. Доказательство приходит после.»