第一份证据由谁签发：轴外纪元锚

规范解读 · 第 5 篇 · 引证源：draft-li-rttp-iqa-addressing-00 §1 / §5.1 · 参考规范 AICENT-009 · 姊妹柱：rttp://（CRI 27）· iqa://（CRI 28）

这是所有信任体系共有的初值问题：验证靠信封，信封靠钥匙，钥匙的合法性靠上一份证据——链条往回走，第一环挂在哪里？神学里这叫第一因，工程里这叫信任引导（trust bootstrap）。我们的答案分三步，全部明码标价。

第一步：承认没有免费午餐。任何体系的第一份证据都来自体系之外的某个起点——CA 的根证书是自签的，登记处的第一位管理员是手工配置的。宣称「我们的信任链无起点」的体系，只是把起点藏在了文档没写的地方。我们选择把起点写进规范，给它一个名字：genesis。

第二步：把锚钉在轴外。genesis 是四个地位态（ghost / probation / radiant / genesis）之一，但它是唯一一个「挣不来也丢不掉」的：radiant 由 120 秒租约维持、可升可降，genesis 不参与这场逐日重估——它是纪元的锚点，不是排行榜的名次。规范 §5.1 把 organ 定为闭集（forge / tss / gateway），「这是闭集；任何其他值都无效」——organ 的合法性由语法闭集保证，而 organ 之所以值得信任，其源头即锚定在纪元起点上，由参考规范定义。

第三步：协议不拥有创世。这是我们与登记方路线最深的分野：登记方的锚点是运营者的配置清单，而我们的锚点是一个不随任何运营者意志移动的轴外标记。多个 genesis 并存互不裁判——不垄断起点，意味着任何社区都可以从自己的纪元锚开始构建，锚与锚之间的取舍交给依赖方的收养，而不交给某个「官方」的裁决。地址无房东，创世亦无房东。

再深挖一层——「genesis 锚本身的安全参数」——答案同样在明处：锚的材料与轮换由参考规范 AICENT-009 定义，合并文档刻意只引用不重复——URI 方案管寻址，算法住在规范里，分层清楚。

一句话：第一份证据的签发者不是某个组织，是纪元本身——genesis 不可挣得、不可失去，所以没有任何人可以 revoke 它，包括我们。