--dry-run generiert er das verifizierte Ziel nur in einem begrenzten Shadow-Workspace und meldet einen kanonischen Plan-/Artefakt-Diff. Ohne --dry-run prüft er zuerst dieses Ziel, erstellt einen nativen Kopia-Snapshot plus einen vom Owner signierten Wiederherstellungs-Checkpoint des Executor-Zustands, stellt die Rollback-Daten bereit und verifiziert sie, ohne sie zu aktivieren, und installiert und führt erst dann die exakte Ziel-Transaktion aus generate/apply/verify aus. Eine fehlgeschlagene Ziel-Transaktion kann den vorherigen Executor nur wiederherstellen und verifizieren, bevor Ziel-Apply zugelassen wird. Nach Apply ist ein Neustart der vorherigen Runtime blockiert, bis eine verifizierte Aktivierung der vorherigen Daten existiert; isoliertes Kopia-Staging allein berechtigt dazu nicht. Ein abgeschlossener Ziel-Commit behält seinen Erfolgsnachweis für die explizite Finalisierung. Frische Upgrades erfordern Unterstützung in der eingebetteten CUE-Kit-Policy; die Wiederherstellung einer bestehenden Operation folgt ihrem signierten Journal und Checkpoint.
Examples