La privacidad en Dusk no es una configuración global.
Es una decisión que tomas una y otra vez.
Y la mayoría de los equipos lo hacen demasiado pronto.
Asumen que el silencio es neutral. Que ocultar el estado siempre es más seguro que exponerlo. Luego la realidad golpea. Las integraciones se detienen. La observabilidad colapsa. Las herramientas comienzan a contradecirse. De repente, nadie puede responder a una pregunta directa sin calificaciones.
Ese no es un costo teórico.
Eso es deuda operativa.
DuskVM existe porque esa deuda tiene que vivir en algún lugar. Si no la aíslas, se filtra en todo lo demás.
No entendí esto al principio. Observé un prototipo salir donde la privacidad era el defecto para cada transición. Se veía limpio en papel. En la práctica, la primera semana de integraciones fue solo control de daños. Los indexadores no tenían nada estable a lo que aferrarse. Las auditorías se ralentizaron a un paso de tortuga. Una pregunta básica de instantánea: quién calificó en la ejecución, no tenía respuesta nativa. Cada respuesta fue reconstruida después del hecho.
Ahí es cuando la línea se vuelve visible.
No en documentos de diseño.
En fricción.
Cuando el sistema no puede responder a una pregunta simple y legítima sin exportar estado, lo has cruzado.
La ejecución confidencial se justifica solo donde la visibilidad cambia el comportamiento. Mientras las asignaciones aún se están formando. Donde las condiciones vinculadas a la identidad no deberían endurecerse en etiquetas públicas. Donde las credenciales expiran y la frescura realmente importa. Donde los saldos filtran estrategia a través de inferencias.
Esos caminos merecen cifrado y pruebas. Lo único que el mundo exterior necesita saber es que la regla se mantuvo en el momento de la ejecución. Sin color extra. Sin explicación futura.
Todo lo demás debería permanecer legible.
Los mercados necesitan anclajes. Otros contratos necesitan interfaces estables. Los sistemas de riesgo necesitan hechos sobre los que puedan razonar dentro de una ventana de tiempo. Si empujas esas superficies a DuskVM, no ganas seguridad, pierdes coherencia. La observabilidad se vuelve forense. Los tableros dejan de ser referencias y comienzan a ser interpretaciones.
Por eso importan Moonlight y Phoenix, pero solo como separación de preocupaciones. La ejecución protegida vive en Moonlight. El estado legible se queda en Phoenix. Cuando se activan las divulgaciones, el acuerdo no quiere una historia. Quiere la verdad defensible más pequeña, comprobablemente ligada a la ejecución.
“Lo divulgaremos más tarde” suena flexible.
No es.
Más tarde es donde se ocultan los casos extremos. Más tarde es donde los equipos renegocian lo que ya sucedió. Una vez que la ejecución se asienta, la claridad retroactiva se pierde. Si una divulgación no fue diseñada en el flujo, ya no es segura.
No notarás nada de esto mientras escribes.
Lo notas en el corte.
Alguien pide pruebas que deberían existir. No existen. Y la única forma de responder es abrir el sistema que intentabas proteger.
Eso no es un fallo de privacidad.
Eso es un fallo de límite.
DuskVM se trata de forzar que ese límite sea explícito, antes de que el dolor lo haga obvio.
