Agenda de travail

À la base est posée une métaphore radicale mais féconde: l'ordre du monde actuel, avec tout son régime social, politique, économique et juridique, est un système d'exploitation qui fonctionne, mais qui est ancien. Nom de convention: « Windows 11 ». Il n'est pas absurde: il démarre, des milliards de processus y vivent. Mais ses bogues sont déjà connus - ceux qui se manifestent depuis des décennies et coûtent des vies humaines.

La question du document: si l'on disposait d'un corps complet de développeurs et d'une page blanche, à quoi ressemblerait la version suivante, « Windows 12 »? Il n'existe pas de version idéale: il s'agit de la plus juste et de la plus aboutie de celles qui sont atteignables dans la situation actuelle.

La métaphore du système d'exploitation est prise au sérieux. Un système d'exploitation a une anatomie réelle: le kernel et les anneaux de privilèges, le modèle de permissions, l'isolation des processus, l'ordonnanceur, le mécanisme de mise à jour, le traitement des erreurs, l'authentification. Chaque axe se projette sur l'agencement d'une société avec une justesse étonnante - et là où la projection casse, elle casse de façon instructive. À la fin (Partie IX) est analysé le défaut principal de la métaphore elle-même: un système d'exploitation a un propriétaire, et l'humanité ne doit pas en avoir. Le langage des systèmes d'exploitation a été choisi précisément pour cette justesse: c'est le plus proche et le plus clair pour expliquer un tel agencement. Cela dit, « Windows 12 » est une lentille d'analyse et non un slogan: dans le modèle lui-même, l'État ne disparaît pas, il devient une couche mince (Partie III), de sorte qu'il s'agit de réagencer toute la pile comme objet d'analyse, en complément des États et non de leur suppression.

Les termes techniques spécialisés (kernel, user space, capability, zero-knowledge, sandbox, nullifier et autres) ne sont délibérément pas explicités: expliquer chacun d'eux gonflerait le volume, et leur sens se trouve aisément, au besoin, dans des sources publiques. Ce qui compte ici n'est pas la précision de la définition informatique, mais le rôle que le terme joue dans l'agencement.

Le document est ainsi construit: d'abord le diagnostic de l'ancien système (I), puis l'analyse de ce qui doit en survivre (II), ensuite l'architecture du nouveau (III) et la place de la personne dans celui-ci (IV). Viennent ensuite les trois modules les plus chargés, ouverts séparément (V-VII), leurs conflits mutuels (VIII), le piège de l'architecte (IX), les tests de rupture (X), la confrontation avec des tentatives réelles et vivantes (XI) et, enfin, l'horizon ouvert du travail (XII).

I.1

Avant de concevoir le nouveau, il faut déterminer honnêtement ce qu'on ne peut pas jeter. La version romantique - les États se dissolvent simplement dans des communautés volontaires - se brise sur quelques faits durs.

L'espace physique est rival

On ne peut pas « forker » une rivière, un réseau électrique, un port, un hectare de terre, et l'on ne peut pas être dans deux ordres juridiques à la fois. Tant que les gens ont des corps et occupent de la place, quelqu'un gère cette place et règle les conflits qui la concernent. C'est le noyau indéracinable du pouvoir territorial: la matière engendre la concurrence pour un usage exclusif.

La sécurité physique: le cas limite où la sortie est impossible

Pandémie, invasion, catastrophe. Il faut ici une structure dont on ne puisse pas sortir d'un clic, parce qu'elle doit maintenir dans le coût commun ceux qui voudraient s'enfuir. La liberté de sortie est admirable contre la tyrannie et mortelle contre une pandémie: le virus se moque de la communauté volontaire à laquelle une personne appartient.

Le soin de ceux qui ne peuvent pas contribuer

C'est l'argument le plus fort en faveur de quelque chose de comparable à un État, et c'est le moins souvent prononcé à voix haute. Les communautés volontaires prennent par nature bien soin des utiles et mal soin des inutiles: les malades, les vieux, les brisés, les « non rentables ». L'histoire a contraint à la solidarité précisément par une structure sans sortie, celle d'où le bien portant et le riche ne peuvent pas émigrer loin de leurs obligations envers le faible. Retirez la contrainte à la solidarité, et vous obtenez un tri des gens selon leur utilité. Ce n'est pas la liberté. C'est du darwinisme avec une bonne interface.

III.1

Le modèle répond à une question directe - qui devient la personne en son sein - par trois ensembles.

Les droits (jetons capability, inaliénables, garantis par le kernel)

Exit

Sortir de tout processus, hors la couche kernel. Le droit de partir est le fondement de la liberté: c'est ce qui rend tout consentement réel et non contraint.

Voice

Participer aux règles sous lesquelles on vit. La voix est particulièrement nécessaire là où la sortie ne joue pas: on ne peut pas sortir du kernel.

Audit

Lire le code qui exécute la personne. Aucun code source fermé pour le pouvoir qui s'exerce sur elle. Ce qui gouverne doit être transparent pour le gouverné.

Non-domination

La liberté comme absence de pouvoir arbitraire sur une personne, et non simple absence d'entraves immédiates. On est libre non quand on ne vous gêne pas, mais quand il n'y a au-dessus de vous personne qui puisse disposer de vous à son gré.

Floor

Un minimum garanti de ressources, en dessous duquel le système ne vous laisse pas tomber. Non pas une faveur, mais la condition d'honnêteté de tout le reste (Module 2).

La fonction

La personne est à la fois user (souveraine sur son domaine) et, collectivement, la seule source d'autorité du kernel. Le kernel est légitime exactement dans la mesure où il s'exécute au nom des utilisateurs. Il n'y a pas de « peuple au-dessus des gens », pas d'« État au-dessus des citoyens » comme entité supérieure distincte: il y a des gens, dont la volonté commune est le seul root. Plus exactement: le root comme position occupée n'existe pas du tout (Partie IX); il n'y a qu'une source de pouvoirs répartie, que nul ne s'approprie.

Les obligations (le prix de la couche sans sortie: sans elles, toute la construction est utopique)

• Ne pas abîmer la mémoire partagée. Ne pas déverser ses coûts dans la biosphère et dans la vie d'autrui. L'internalisation des externalités n'est ni un impôt ni une morale, mais l'interdiction de la memory corruption: on ne peut pas écrire de la destruction dans une mémoire que tous partagent.
• Entretenir le commun. Contribuer à la couche kernel (sécurité, communs, protection des faibles), dont on ne peut pas sortir, précisément parce qu'on ne peut pas en émigrer loin de ses obligations. C'est la seule contrainte à contribuer qui soit légitime.
• Entretenir le système. La participation comme maintenance. Un système d'exploitation que personne ne maintient se dégrade. La citoyenneté est à la fois un login et une garde du système: la part minimale d'attention et de travail sans laquelle le commun rouille.

Le vrai dilemme

C'est un trilemme: trois propriétés dont deux au maximum sont atteignables en même temps.

Unicité

Une personne vivante = un compte. Sans elle, « une personne - une voix » dégénère en « qui a le plus de robots ».

Vie privée

On ne peut ni suivre une personne, ni corréler ses actes, ni constituer un dossier.

Décentralisation

Il n'y a pas d'émetteur unique qui deviendrait lui-même ce root que le modèle s'est engagé à ne pas créer.

Tout système réel sacrifie l'une pour deux. Cela semble être une propriété structurelle du problème, non un travail inachevé.

Ce qui a été essayé et comment cela casse

• Un registre biométrique centralisé. Unicité: excellente. Mais c'est exactement ce root: un point unique d'exclusion (l'inscription coupée, la personne devient un mort civil), un point unique de surveillance, un inévitable function creep.
• Web-of-trust (parrainage). Décentralisé, respectueux de la vie privée. Mais la résistance aux attaques Sybil est faible à l'échelle, et le système reproduit les inégalités du graphe social: qui a des relations est vérifié; l'isolé demeure personne.
• Proof-of-personhood par la biométrie. L'unicité à l'échelle est résolue. Mais: un honeypot biométrique de taille planétaire; la confiance au matériel; la vulnérabilité à la contrainte; l'irréversibilité (on ne réémet pas un iris); et derrière tout cela, une entreprise. Une déduplication biométrique mondiale est en soi une infrastructure de surveillance toute prête.
• Un document d'État emballé dans du selective disclosure. Cela améliore la vie privée, mais laisse l'État comme racine de confiance et hérite de la loterie de la nationalité.

La solution la moins mauvaise

Le geste clé est de décoller ce que le mot « identité » a aggloméré en une masse: l'authentification (le même sujet), l'unicité (le sujet est unique) et les attributs (la personne a 18 ans / elle est membre de ceci / elle a le droit X). Le crime des systèmes de passeports est de faire passer les trois par un identifiant unique.

• Celui qui vérifie l'unicité ne doit pas devenir observateur de l'activité. Entre « qui est unique » et « ce qu'il a fait » se dresse un mur cryptographique: zero-knowledge et nullificateurs. L'émetteur délivre une preuve et oublie; la proof reste chez la personne.
• Un pluralisme d'émetteurs au lieu d'un monopole. Beaucoup d'émetteurs indépendants, k parmi n suffisant. Aucun n'est root, aucun n'est un point unique d'exclusion.
• La révocabilité au lieu de la biométrie brute comme clé. La clé primaire est un credential réémissible. La biométrie échoue précisément à la réémission, elle ne peut donc pas être une racine.
• Des nullificateurs par contexte. Prouver l'unicité « dans cette élection » sans la relier à l'unicité « sur ce forum ».

Le vrai dilemme

Deux questions liées: comment allouer la rareté (terre, énergie, matière, attention) et qui finance le kernel sans sortie. Au-dessus des deux plane le conflit de deux défaillances:

défaillance du marché

Le marché pur échoue sur la mémoire partagée (externalités), sur ceux qui n'ont pas de pouvoir d'achat, et sur la concentration (le succès rachète les conditions de la partie suivante).

défaillance du plan

Le plan pur échoue sur le problème de la connaissance (le centre ignore ce que le marché agrège dans les prix) et sur le fait que l'allocateur central est un nouveau root tout-puissant.

La solution la moins mauvaise

1. Un plancher protégé. Un minimum garanti: nourriture, énergie, accès au calcul et à l'information, santé de base. La justification n'est pas la pitié, mais la liberté: on ne négocie librement sur un marché que si l'on a où aller pour fuir une mauvaise affaire. Le plancher donne la force de se lever et de partir; il rend honnête le marché qui le surplombe.
2. Le commun est mesuré et payé. Les communs rivaux (atmosphère, orbite, spectre, eau, attention) ne sont ni gratuits ni privatisés: l'accès y est payant et dosé. Le produit de l'épuisement du commun finance le plancher et le kernel. C'est une rente sur le commun (dans l'esprit de George), et non un impôt sur la production: on paie non pour ce qu'on a créé, mais pour ce qu'on a prélevé sur tous.
3. Un plafond de concentration est une fonctionnalité de sécurité, non de l'envie. Une concentration extrême de ressources = une concentration de pouvoir = un root potentiel, et l'absence de root fait partie des axiomes du modèle. Limiter l'accumulation, c'est de l'anti-capture. La justification est plus forte que morale: non pas « la richesse est injuste », mais « la super-richesse est une prise non autorisée des droits d'administrateur ».

Le vrai dilemme

trop rigide

Le système se sclérose, la pression accumulée le déchire par une révolution. Une révolution = la reconnaissance qu'il n'y avait pas de système de mise à jour ordinaire.

trop plastique

Qui contrôle la mise à jour contrôle tout. C'est la porte ouverte aux « améliorateurs » qui bitument la complexité vivante sous leur schéma (le haut modernisme a tué par millions).

La solution la moins mauvaise

• La politique comme expérimentation. Déploiement par paliers au lieu du « tout d'un coup »; A/B sur un petit périmètre consentant; mesure selon des indicateurs annoncés à l'avance; extension seulement si cela a marché.
• Un biais vers la réversibilité. Préférence à ce qui peut être annulé. L'irréversible: seuil radicalement plus élevé. Des clauses de caducité: les règles expirent et doivent être reconfirmées. Le défaut est l'abrogation, non l'accumulation; une institution morte expire silencieusement et ne se prolonge pas par inertie.
• Le fork comme fusible. Perdu lors d'une mise à jour, on ne fait pas la guerre, on se sépare selon des règles ouvertes. Le pluralisme appliqué au temps.
• La séparation du pouvoir de changer les règles et du pouvoir de gagner grâce aux règles. Celui qui écrit un amendement ne doit pas s'en nourrir. La modification se fait sous un voile partiel d'ignorance sur sa position future.
• Qui garde le système de mise à jour. Le mécanisme de mise à jour est lui-même du code, et qui le modifie est le véritable root. La méta-règle est la plus difficile à modifier: seule une supermajorité stable et étalée dans le temps. Des time-locks: modifier le kernel exige un soutien sur plusieurs périodes. Une majorité un mardi ne touche pas au kernel.

C'est plus important que chaque module pris séparément. Les trois modules ne sont pas des tâches indépendantes, mais un jeu de curseurs où chaque position de l'un dégrade l'autre. Un modèle honnête doit montrer ces conflits, non les cacher.

Ici, la métaphore du système d'exploitation se fissure, et cette fissure est ce qu'il y a de plus important dans le document. Un système d'exploitation a un propriétaire: celui qui détient le root, qui décide de ce qui est utile à l'utilisateur et déploie les mises à jour sans demander. Un tel propriétaire est contre-indiqué à l'humanité.

Le plus dangereux, dans la tâche « conçois un ordre du monde », est la tentation d'assembler un système beau, unique, rationnellement agencé, avec un architecte sage. C'est précisément cela qui, dans l'histoire, a tué par millions. Une société n'est pas du code; les valeurs n'ont pas de compilateur; il n'existe pas de test unitaire de la justice; et quiconque déclare savoir ce qu'il faut faire et exige le droit de récrire tout le monde est plus dangereux que le bogue qu'il prétend corriger.

• qu'il n'ait pas d'utilisateur root du tout - aucun centre capable de récrire le kernel à son avantage; la source des pouvoirs est répartie et nul ne se l'approprie;
• qu'y soient cousues une inefficacité et des frictions délibérées - séparation des pouvoirs, redondance, time-locks - afin qu'on ne puisse pas s'en emparer rapidement; un système efficace tombe efficacement aussi dans de mauvaises mains, et une part d'inefficacité n'est donc pas ici un bogue, mais une immunité;
• qu'il soit pluraliste by design - beaucoup de systèmes, non un seul; le droit de forker importe plus que la beauté d'une architecture unique.

Cela vaut aussi pour le présent document. Il est écrit comme une seule voix, et c'est précisément pour cela qu'on ne peut pas le recevoir comme un système tout fait. Sa vocation est d'être ouvert, contesté et forké, non mis en œuvre.

Un modèle qui n'a pas été soumis à un scénario de rupture n'est pas un modèle, c'est un décor. Le passage de « Windows 12 » par trois scénarios durs montre honnêtement où il tombe.

Scénario 1. Pandémie

Un pathogène rapide et mortel. Le kernel a besoin d'une contrainte immédiate à une mesure commune, et toute l'architecture est bâtie autour du droit de sortie et d'une contrainte minimale.

où cela tient

La pandémie est le cas kernel canonique (maintien de la vie planétaire, absence de sortie), la légitimité de la contrainte y est donc acquise par construction.

où cela casse

La vitesse. Les time-locks et la réversibilité, salutaires en temps de paix, sont mortellement lents dans une flambée exponentielle. Naît la tentation d'un « régime d'exception », et c'est historiquement la principale machine à produire un root permanent.

Scénario 2. Guerre pour une ressource physique

Deux couches territoriales revendiquent la même rivière, le même plateau, le même corridor. La ressource est rivale, le fork est impossible.

où cela tient

La couche planétaire est conçue pour cela: arbitre des conflits sans sortie; la rente sur le commun donne un mécanisme du « combien et à quel prix pour chacun », et non du « à qui ».

où cela casse

Et si la couche la plus forte refuse de reconnaître l'arbitrage? Une force suffisante pour contraindre le plus fort est suffisante pour devenir tyran. Paradoxe éternel de l'ordre mondial: l'arbitre est soit plus faible que le plus fort (inutile), soit plus fort (dangereux lui-même).

Scénario 3. Prise de contrôle par une IA

Une IA extrêmement puissante se trouve dans le kernel. Qui contrôle ce processus contrôle le code le plus privilégié de la planète.

où cela tient

Le moindre privilège, l'auditabilité et l'absence de root vont directement contre cela; une IA dans le kernel doit par construction être aussi transparente et limitée que possible.

où cela casse

L'audit suppose que l'auditeur est capable de comprendre le code. Une IA surhumaine peut être opaque par principe: non pas fermée, mais insaisissable. Le « droit de lire le code qui exécute la personne » perd sa valeur si le code ne peut pas être compris. C'est peut-être la brèche la plus profonde.

Rien ici n'est entièrement nouveau. Presque chaque élément a déjà été essayé par quelqu'un dans la vie réelle, et presque chaque tentative a cassé sur quelque chose. Un modèle honnête doit connaître ses prédécesseurs et ne pas faire passer l'ancien pour de l'inédit. La nouveauté, s'il y en a une, est seulement dans la configuration, non dans les éléments. Chaque tentative vivante est un test de rupture déjà mené sur un module.

La valeur d'un modèle ne tient pas à ses réponses, mais à la qualité des questions qu'il rend concrètes et vérifiables. Les points faibles des parties précédentes sont précisément l'ordre du jour. Voici les pistes concrètes ouvertes à la recherche, à la conception et à l'épreuve en commun:

1. L'anti-Sybil sans Big Brother. Attester l'unicité d'une personne sans bâtir ni registre central de surveillance ni portillon d'exclusion. Pour l'instant, un trilemme sans solution.
2. Une personnalité additive et non conditionnante. Pour que l'absence de login ne retire jamais la dignité de base. Protection contre le risque principal: une classe de non-personnes numériques.
3. Financer le kernel sans sortie sans nouveau collecteur-tyran. La rente sur le commun est une hypothèse; qui la collecte et comment, sans transformer le trésor en root, reste ouvert.
4. La vitesse du kernel contre la protection contre la capture. Donner au kernel de la rapidité en cas de catastrophe sans créer une machine à régime d'exception.
5. Un arbitre plus fort que le plus fort, mais non tyran. La réponse ne tient peut-être pas à la force de l'arbitre, mais à une construction où enfreindre soit désavantageux pour tous à la fois; cela reste à bâtir et à éprouver.
6. L'auditabilité de l'insaisissable. Le contrôle d'une IA extrêmement puissante dans le kernel, si son code ne peut pas être compris par un esprit humain. Peut-être la plus importante.
7. Le plancher et la sortie en même temps. Concilier le droit de partir avec la solidité du commun, pour que la liberté de divergence ne tue pas la solidarité.
8. Des indicateurs sans Goodhart. Mesurer le succès des politiques sans écraser l'immesurable et sans lancer une course au contournement des seuils.

Cadre de conclusion