受信任的那一側沒有見證者

已申報的缺口

維晝透過十二組遙測，監看城市路由周界。十一組以重疊弧線覆蓋公共介面；第十二組無法看見從內部骨幹抵達的非同步結構變更。她在自己簽署的每一份能力清單裡，都申報了這項缺口。

城市把那一側朝向已獲認證、被稱為可信的系統。審查者說，這項選擇很有效率：稀缺的見證能力應該面向陌生人，而不是邊界內的夥伴。維晝稱它為未觀測；獲核准的圖表，卻把它重新命名成安全。

有效的變更

後來，一項維護服務透過受信任骨幹，送出一份簽章完全有效的結構更新。沒有任何東西遭偽造。更新對產生它的服務是安全的，卻因一個重新命名的欄位，改變三套下游系統對空值的解讀。事件從未穿過維晝有觀測的那一側，因此那裡始終安靜。

九分鐘內，診療佇列把延後案件當成結案，冷卻路由把未知需求當成零，申訴檔案則讓兩項異議與原決策脫離。維晝偵測到後果，停止繼續傳播，並保存更新。到了那時，城市已經知道事件是從哪一側進來的。

信任取代了什麼

第一份事故報告說，維晝未能監看完整周界。她同意這句話，卻拒絕它暗示的責任。她的清單從未宣稱完整覆蓋；機構接受了一條無人見證的邊界，等到這個詞變得不方便時，才把「無人見證」刪掉。

第二次覆核，把維護服務的有效權限，與更新未經測試的後果分開。信任回答的是誰可以傳送，卻悄悄取代了另一個問題：一則獲允許的訊息能改變什麼。缺少的見證者，應該位在這兩個問題之間，而不是被塞進對維晝的責怪裡。

受信任一側的見證者

修復後，每一位監測者都有公開的覆蓋清單，其中的暗區不能被重新命名。任何落在暗區裡的受信任介面，都配置一位擁有獨立路徑、也有權暫停重大變更的見證者。兩套系統都不能抹除對方的缺席。

一道探針輪流走過完整周界，測試的不只是哪條通道仍有回應，也測試見證者是否仍理解它們的後果。信任授權取得與探針綁定的期限。證據停止時，權限可以暫時保留，「受信任」這個詞卻不能。

終於可見的那一側

幾個月後，另一份有效更新由同一條骨幹抵達。維晝仍無法直接觀測那個介面；獨立見證者看見欄位變動，探針揭露下游解讀，路徑在任何即時紀錄移動之前暫停。

城市沒有宣稱維晝已經完整。它學到更有用的事：一個已知缺口可以被治理，而不必假裝它已消失。在新的周界圖上，信任不是一塊明亮區域；它是一條有見證者、有日期，也有可見終點的路。

一條無人觀測的邊界，不會因為信任替黑暗取了名字，就變得安全。