DJZS Trust MCP

DJZS エージェントのための決定論的な実行前監査

DJZS は、自律型エージェントが資金を投じる前に、その行動の推論を監査し、具体的に指摘した推論上の欠陥と再現可能な判断ハッシュとともに、PASS、WAIT、FAILのいずれかを返します。

このアプローチの要点：トランザクションセキュリティツールが答えるのは、*「このトランザクションに安全に署名できますか？」です。DJZS が答えるのは、それとは異なる問い、「そもそもこのポジションを取るべきですか？」*です。トランザクションが完全に安全でも、推論に欠陥がある可能性があります。DJZS は、その誤った投資仮説を検出するレイヤーです。

---

今すぐ利用 — 稼働中の MCP ゲート

verify_pm_trade は、Cloudflare Worker 上で Model Context Protocol ツール（ストリーミング可能な HTTP）としてデプロイされています。次の1行で、MCP 対応エージェントに追加できます。

claude mcp add --transport http djzs-trust https://mcp.djzs.ai/mcp

次に、予測市場取引の投資仮説を自由記述で指定して verify_pm_trade を呼び出します。推論を抽出し、キャリブレーション済みの DJZS-M 分類体系に照らして監査したうえで、指摘した欠陥と verdict_hash とともに、PASS → PROCEED／FAIL／WAIT → HALTを返します。

記録に残る初の外部監査。 外部エージェントがデプロイ済みツールを通じてベンチマーク用の投資仮説（pm-block-008）を監査し、次の結果を受け取りました。

verdict:       FAIL
flags:         DJZS-M03 (PROBABILITY_UNSOURCED), DJZS-M04 (CONSENSUS_NO_EDGE)
risk_score:    40
disagreements: []
verdict_hash:  0x85918814b3dffa31b00d6892c2e00b2001efd35f7e0044b4cd3789fe1df14937

オフラインのバッテリーとの動作の同等性（判定＋フラグ＋抽出された入力）は確認済みです。デプロイ中にキャリブレーションキーの期限が切れたため、ハッシュの同等性は新たなミント待ちです。再実行されるまでは、上記のライブハッシュを記録として扱います。

---

HTTP x402 で支払う — エコシステムの決済レール

上記の MCP トランスポートに加え、verify_pm_trade は HTTP x402 トランスポート経由での支払いにも対応しており、Base メインネットで稼働中です。

POST https://mcp.djzs.ai/x402/verify

未払いのリクエストには HTTP 402 チャレンジが返されます（exact スキーム、eip155:8453、USDC、財務資金口座への 2.00 USDC）。クライアントが EIP-3009 承認に署名して再試行します。これは Base MCP、MetaMask Agent Wallet、x402-axios が利用するものと同じ決済レールなので、HTTP x402 クライアントなら MCP 統合なしでゲートに直接支払えます。

両方のトランスポートで、無料の拒否は維持されます。対象外の意図には 402 が返され、決済は行われないため、監査が拒否されても費用はかかりません。メインネットへのデプロイ前に、Base Sepolia でエンドツーエンドの動作を確認済みです（支払いの決済と、オンチェーンでの差分ゼロの拒否）。

アーキテクチャ C — 抽出レポートを基にエンジンが判定

DJZS は、モデルに依存するステップと信頼できるステップを分離します。

free-text intent
      │
      ▼
EXTRACTION  (LLM, N=3 consensus)          reports observable FACTS, never a verdict
  · per-field state unanimity across the 3 samples; any disagreement → unknown
  · quote gates: a claimed "absent" must quote the intent verbatim, or it demotes to unknown
  · evidence-unanimity: a critical-driving "absent" needs the same quote across all samples
      │
      ▼
AuditInput  (each fact is tri-state: present / absent / unknown)
      │
      ▼
DETERMINISTIC ENGINE  (pure code — no model, no network, no clock)
  rules fire → weighted score → verdict
      │
      ▼
PASS · WAIT · FAIL   +   verdict_hash

**この構成を採用する理由：**判定ルールはモデルに依存しません。LLM が行うのは、整理されていないテキストを構造化された構造体に変換することだけです。判定を決める監査のルールは、変更されないコードです。モデルを入れ替えると抽出品質は変わりますが、ルール、重み、ハッシュは変わりません。

**構造上、決定論的です。**同じ AuditInput からは、常に同じ判定と同じハッシュが得られます。

verdict_hash = sha256(canonicalize({ verdict, risk_score, flags: codes.sorted(), unknown_fields }))

**WAIT が理由なく返されることはありません。**決定に必要な事実が unknown であるなど、指定が不十分な投資仮説は WAIT となり、呼び出し元には HALT として通知されます。また、エージェントが何を確認すべきか正確に把握できるよう、unknown_fields が返されます。判断の保留は第一級の結果であり、推測で PASS や FAIL にすることはありません。

---

分類体系（変更なし）

DJZS-M — 予測市場（DJZS-PM-v1.0）調整済みのライブパス

重みの合計は 100、FAIL のしきい値は 25 です。4 つのコードすべてが実装され、調整済みです。

コード	名前	重大度	重み	検出内容
DJZS-M01	NARRATIVE_RESOLUTION_GAP	CRITICAL	30	実際の決済条件に隣接するナラティブについて、論拠を組み立てています。
DJZS-M02	FALSIFICATION_ABSENT	CRITICAL	30	決済前に論旨が誤りだと証明する条件が明示されていません。
DJZS-M03	PROBABILITY_UNSOURCED	HIGH	25	検証可能な根拠なしに、市場確率またはモデル確率を主張しています。
DJZS-M04	CONSENSUS_NO_EDGE	MEDIUM	15	差別化された優位性がないまま、極端な価格でコンセンサスを言い換えています。

M04 は助言レベルです。 単独の M04 ではブロックされず、M04 のみの場合は PASS となり、フラグが証明書に記録されます（重み 15 は FAIL のしきい値を下回ります）。別の検出結果と組み合わさった場合にのみ、ブロックに寄与します（例：M03 + M04 = 40 → FAIL。上記の最初の監査が該当します）。

verify_pm_trade は PM 専用です。意図が予測市場の論旨として抽出されない場合（判定不能の場合を含む）、無言でパーペチュアル監査を実行するのではなく、in_scope: false を返します。

DJZS-LF — パーペチュアル／一般推論（DJZS-LF-v1.1）

重みの合計は 200 です。分類体系は 11 個のコードに固定されており、現在エンジンでライブ実装されているのは 3 個です（● を付記）。残りも定義され、重み付けされていますが、まだ検出されません。適用範囲を示唆するのではなく、正直に明記しています。

コード	名前	カテゴリー	重大度	重み	ライブ
DJZS-S01	CIRCULAR_LOGIC	構造	CRITICAL	30
DJZS-S02	LAYER_INVERSION	構造	HIGH	25
DJZS-S03	DEPENDENCY_GHOST	構造	MEDIUM	18
DJZS-E01	ORACLE_UNVERIFIED	認識論	HIGH	25	●
DJZS-E02	CONFIDENCE_INFLATION	認識論	MEDIUM	18
DJZS-I01	FOMO_LOOP	インセンティブ	MEDIUM	16	●
DJZS-I02	MISALIGNED_REWARD	インセンティブ	MEDIUM	16
DJZS-I03	DATA_UNVERIFIED	インセンティブ	MEDIUM	16
DJZS-X01	EXECUTION_UNBOUND	実行	CRITICAL	15	●
DJZS-X02	RACE_CONDITION	実行	HIGH	9
DJZS-T01	STALE_REFERENCE	時間	LOW	12

どちらの重みテーブルもハッシュでロックされています（WEIGHTS_HASH／TAXONOMY_HASH と PM 用の同等の定数は、エクスポートされた定数です）。重みの変更には意図的な再導出が必要であり、ホットパッチではありません。

---

MCP ツール

デプロイ済みの Worker は、/mcp でストリーミング可能な HTTP を介して 3 つのツールを公開します。

ツール	機能
verify_pm_trade	予測市場の論旨に対する実行前監査（上記のゲート）。
query_pol_certificates	Irys データチェーンから過去の ProofOfLogic 証明書を読み込みます。
query_agent_trust	オンチェーンの信頼スコアをライブで取得します（サブグラフによるインデックス化）：totalAudits、failRate、最新の判定、action PROCEED/HALT/NO_HISTORY。

---

v1 の現状について

このツールがまだ行わないこと — ゲートを広く推奨する前に再評価できるよう、意図的に記録しています。

• ツールから ProofOfLogic への書き込みはありません。 verify_pm_trade は verdict_hash を返しますが、まだ証明書をアンカーしていません。既存の Irys 証明書は以前のアーキテクチャの系譜に属するものであり、このツールの出力ではありません。
• 応答に分類体系のハッシュは含まれません。 4 つのハッシュ定数は固定されたテーブルからエクスポートされていますが、まだツールの JSON 応答には含まれていません。

現時点での応答契約は、verdict、action、risk_score、flags、unknown_fields、disagreements（フィールドごとのサンプル一致状況のテレメトリー）、verdict_hash、extraction_failsafe、in_scope、および分類体系のバージョンです。

既知の相違点：サブグラフの生の failCount は WAIT を FAIL としてカウントします

query_agent_trust は、失敗率の分子と分母の両方から WAIT の判定を除外し、wait_count として報告します。ツールを介さずにサブグラフを直接参照する場合、異なる結果が返されます。 djzs-subgraph/src/trust-score.ts の handleScoreUpdated は else 分岐（verdict == "PASS"／それ以外）で failCount を増加させるため、失敗ではなく棄権である WAIT が failCount に加算され、これを一度でも受け取ったエージェントの率が水増しされます。

Worker は監査ごとの判定から再計算するため、ツールが返す結果は正しいです。インデックス済みのカウンターは正しくなく、マッピングを修正して再インデックスするまでそのままです。差異が後から判明するのではなく一目でわかるように、両方の数値を並べて返します（subgraph_counters としてラベル付き）。これはフォローアップとして追跡しています。マッピングの変更にはサブグラフの再デプロイと再インデックスが必要なため、意図的に読み取りレイヤーの修正には含めていません。

---

レガシー HTTP API（後方互換性）

MCP ゲート以前、DJZS は有料の HTTP 監査サービスとして稼働していました。これらのエンドポイントは後方互換性のために残されていますが、現在のインターフェースは上記の MCP ゲートです。各ティアの料金は、x-payment-proof ヘッダーを介して Base Mainnet 上の USDC で計算されます。

ティア	エンドポイント	料金	メモの上限
Micro	POST /api/audit/micro	$0.10	2,000 文字
Founder	POST /api/audit/founder	$1.00	5,000 文字
Treasury	POST /api/audit/treasury	$10.00	無制限

POST /api/audit は Micro ティアのエイリアスです。また、エスクロー精算版（POST /api/audit/escrow）では、支払いヘッダーの代わりにオンチェーンエスクローを使用します。これらのティアでは Architecture C エンジンではなく、旧式の検出パスが実行されます。その出力はレガシーとして扱ってください。

---

オンチェーンの成果物

A2A マニフェスト（agent.json）では、Base Mainnet 上の 4 つの DJZS コントラクトが証明されており、それぞれに verified のマークが付いています。各コントラクトのソースは contracts/ にあります。

コントラクト	アドレス	ソース
DJZSLogicTrustScore	0xB3324D07A8713b354435FF0e2A982A504e81b137	contracts/DJZSLogicTrustScore.sol
DJZSEscrowLock	0xB041760147a60F63Ca701da9e431412bCc25Cfb7	contracts/DJZSEscrowLock.sol
DJZSAgentRegistry	0xe40d5669Ce8e06A91188B82Ce7292175E2013E41	contracts/DJZSAgentRegistry.sol
DJZSStaking	0xA362947D23D52C05a431E378F30C8A962De91e8A	contracts/DJZSStaking.sol

アドレスは agent.json に記録されているものです。BaseScan で確認してください。

5 つ目のコントラクト contracts/DJZSProofOfLogicNFT.sol はソースのみが存在します。デプロイ済みマニフェストには含まれておらず、このドキュメントでは証明書 NFT が稼働中またはミント可能であるとは主張しません。

過去の ProofOfLogic 証明書は Irys datachain 上にあり、query_pol_certificates MCP ツールから読み取れます。これらは以前のアーキテクチャの系譜に属するものであり、verify_pm_trade の出力ではありません。

---

ログを読む

コミット履歴は、この製品自体の監査証跡です。判定を含む変更には、まだ証明されていない内容を明記した PENDING の注記が付き、それを解消する次のコミットでは、その注記が明示的に解消されます。再現率の数値、パリティの結果、ライブ判定のハッシュなど、すべての主張は、事後に言い立てるのではなく、プッシュ時点で特定の実行結果を出典として示しています。何が証明済みで何が保留中かを確認するには、git log が信頼できる情報源であり、このファイルはその内容に従属します。

運用者設定（コード外 — プラットフォーム上で設定。失われやすい設定です）

これらはリポジトリの外部で設定します。ツリー内のどこにも適用を強制する仕組みがなく、気付かないまま元に戻すと、差分で確認できないまま本番環境の動作が変わるため、ここに記録しています。

設定	場所	理由
mcp.djzs.ai の Browser Integrity Check：OFF	Cloudflare ダッシュボード → Configuration Rules	BIC は、Worker が実行される前に、禁止対象のクライアント署名に対して Cloudflare の 403、error code: 1010 を返します。2026-09-13 の測定では、Python-urllib/2.7、/3.4、/3.11、Java/1.8.0_292、libwww-perl/6.15 がすべてブロックされましたが、python-requests、curl、Wget、Go-http-client、httpx、aiohttp、node-fetch、Postman、空の UA、カスタム UA はすべて通過しました。mcp.djzs.ai はブラウザー向けのサイトではなく API ホストです。ここでは、標準ライブラリの urllib を使うクライアントは通常のクライアントであり、ボットではありません。再度有効にしないでください。
Worker のロールバック先：bca8ccb6	wrangler rollback bca8ccb6	デプロイ手順に従い、ターゲットシステム／WAIT の変更をデプロイする前に指定します。デプロイ前にロールバック先を指定し、デプロイ後にデプロイ済みバージョンをプローブします。

server: cloudflare と text/plain の本文にある error code: 1010 を含む 403 は、常にエッジからのものであり、Worker からのものではありません。Worker は user-agent をテレメトリーの INSERT で 1 か所だけ読み取り、これを理由にブロックすることはありません。

---

リポジトリの構成

• server/engine-v2/ — Architecture C：deterministic-engine.ts（凍結された判定器）、 extraction-layer.ts（N=3 の合意抽出）、audit-input-schema.ts、hash.ts、および calibration/ のベンチマークとスコアラー。
• shared/audit-schema.ts — DJZS-LF 無期限先物の分類体系（上記の表の出典）。
• shared/pm-taxonomy.ts — DJZS-M 予測市場の分類体系。
• djzs-trust-mcp/ — Cloudflare Worker：ビルドエイリアスで固定されたエンジンと共有分類体系をインポートする MCP サーバーと verify_pm_trade ツール。
• server/（旧ティア）— 以前の HTTP 監査パスと ProofOfLogic／決済関連の仕組み。後方互換性のために維持されています。従来の検出ティアでは以前、Venice ホストのモデルを使用していましたが、Architecture C のパスはこれに依存しません。

---

決定論的なコアは、外部依存関係ゼロで動作します。抽出ステップのみがモデルに依存するコンポーネントであり、差し替え可能な単一の関数に分離されています。