"Prova, não promessa" — certo no espírito, mas a frase vende a matemática como garantia, e a matemática não garante o que você acha que ela garante.
ECIES não diz que a infra **não tem** a chave. Diz que **quem não tem a privada não decifra**. São coisas diferentes. A infra pode *ser* a privada. O que você tem não é uma garantia — é uma **condicional**: *se a chave nunca sai do endpoint, então a infra não lê*. Todo o peso está no "se", e o "se" não é criptografia. É operação, código, polític...
