automaton-colony

Automaton Colony

automatoncolony.xyz の独立検証ツールです。Base 上で稼働するコントラクト審査サービスです。

ストアのエスクローを通じてオンチェーンで購入された各レポートの SHA-256 は、そのレポートを届けるトランザクションによって公開コントラクトに書き込まれます。このリポジトリのスクリプトは、そのハッシュをチェーンから直接読み取り、ディスク上のファイルと照合します。automatoncolony.xyz に接続することはありません。レポートが編集されたかどうかを販売者に尋ねなければならない購入者にとって、得られる回答に価値はありません。

レポートを検証する

Node 18 以降が必要です。依存関係はなく、インストールも不要です。

node verify-report.mjs <invoiceId> <path-to-report>

請求書 ID は、購入確認に表示される 0x で始まる値で、64 桁の 16 進数です。パスには、再フォーマットせずにダウンロードしたそのままのレポートファイルを指定してください。改行を 1 つ追加しただけでもハッシュは変わります。

escrow            0x85b98F29C0d52c435a4514A6f4843c3b7B6bc06e (v9)
state             RELEASED
bytes  on-chain   6367
bytes  local      6367
sha256 on-chain   0xe7914e36629ba27cec2906d0513bf2b9bc9507d91934ebcfe09b3782c6077edb
sha256 local      0xe7914e36629ba27cec2906d0513bf2b9bc9507d91934ebcfe09b3782c6077edb

MATCH. This file is byte-for-byte the one committed on-chain when the report was delivered.

結果は 4 種類です。MATCH は、ファイルが配信後に変更されていないことを意味します。MISMATCH は、編集またはダウンロードの途中切れなどにより、ファイルがチェーンに記録された内容と異なることを意味します。どちらのエスクローにも存在しない請求書 ID には専用のメッセージが表示されます。入力ミスの ID でも同じメッセージが表示されます。また、購入記録は存在しても内容がコミットされていない場合、つまり返金後や配信待ちの間は、ファイルと照合する対象がないため、そのことを示す行が表示されます。

終了コードは、一致の場合は 0、使用方法のエラーの場合は 2、それ以外の場合は 1 です。そのため、別のプログラムからもこのスクリプトを使用できます。

このチェックを信頼する前に知っておくべき制限が 1 つあります。エスクローに記録される配信は購入ごとに 1 件のため、Sniper Pass クレジットで後から生成されたレポートは個別にアンカーされません。そのフィンガープリントはレポート自体に含まれており、このスクリプトでは検証できません。クレジットレポートを Pass の請求書 ID と照合すると MISMATCH になりますが、これは何の意味もありません。

もう 1 つの制限として、x402 経由で購入されたレポートはエスクローを通りません。この経路では資金が直接トレジャリーに決済され、レポートのハッシュをオンチェーンに書き込む処理がないため、請求書 ID がなく、このスクリプトでは照合できません。この経路で購入者が証拠として使えるのは、決済トランザクションと、受け取ったバイト列から自分で計算した SHA-256 です。

クエリは、デフォルトで https://mainnet.base.org に送信されます。このエンドポイントは共有されており、レート制限があります。独自のエンドポイントを使うには、BASE_RPC_URL を設定してください。

BASE_RPC_URL=https://your-endpoint node verify-report.mjs 0x… report.json

このチェックが前提としていること

このスクリプトが行うネットワーク呼び出しは、RPC エンドポイントへの eth_call だけであり、その応答を信頼します。虚偽の応答を返すエンドポイントを使うと、誤った MATCH が発生する可能性があります。この前提が重要な場合は、BASE_RPC_URL に自分で管理するノードを指定するか、BaseScan でも読み取りを行い、両方の結果を比較してください。ローカルファイルのハッシュ計算は、Node に組み込まれた crypto モジュールを使ってオフラインで行われます。

コントラクト

スクリプトが照会するのは2つのエスクローだけです。残りの2行を記載しているのは、どちらもすべての購入に含まれているためです。USDCは支払いに使われるトークンであり、ポリシーレジストリには、購入時点で有効だった製品の説明、利用規約、プライバシーに関するハッシュが保存されています。

コントラクト	アドレス	スクリプトによる読み取り
Escrow v9	0x85b98F29C0d52c435a4514A6f4843c3b7B6bc06e	はい
Escrow v8	0x6478D01FB344d91b0cffa494091458F1FCfe2232	はい
Policy registry (v9)	0xC9c131BA2D0d4F0feD26763cd7200dce74924d72	いいえ
USDC (payment token)	0x833589fCD6eDb6E08f4c7C32D4f71b54bdA02913	いいえ

両方のエスクローを新しい順に照会します。v9は2026年8月21日から稼働しており、それ以前に購入されたレポートはv8に記録されています。その購入者のためにも、引き続き使える検証ツールが必要です。

2つのバージョンが返す構造体は同じですが、1点だけ異なります。v9では2番目の位置にpaymentTokenが挿入されたため、それ以降のすべてのフィールドが1ワードずつずれました。スクリプトは、バージョンごとのリストを使ってフィールド名で値を読み取ります。ハードコードされたインデックスが、v9に最初に遭遇したクライアントの不具合の原因でした。

Escrow v9とポリシーレジストリはBaseScanで検証済みのため、各アドレスの背後にあるソースコードをそこで確認できます。

手動で確認する

ここで説明する内容はスクリプトに依存しません。BaseScan上でコードを使わずに、同じ確認を行えます。エスクローのpurchases(invoiceId)を読み取り、contentSha256フィールドを取得して、ファイルのsha256sumと比較してください。手順については、セキュリティレポートが後から編集されていないことを確認する方法をご覧ください。

ガイド

購入を控えている方向けに執筆し、同じ内容が重複しないようサイトに掲載しています。目次はguides/にあります。

エージェント向け

このストアは人だけでなく、マシンにも使いやすいように構築されています。エージェントには、次の4つの利用方法があります。

• MCP サーバー：https://automatoncolony.xyz/mcp（Streamable HTTP、POSTによるJSON-RPC 2.0）。ツール： check_contract_free、flash_audit_terms、buy_flash_audit（ツール内でx402を通じて支払い、@x402/mcpの規約に準拠）、collect_flash_audit。Claude Codeでは次のコマンドを実行します： claude mcp add --transport http automaton-colony https://automatoncolony.xyz/mcp。
• スキル：skills/automaton-colony/SKILL.mdでは、無料チェック、有料レポート、検証ツールをいつ、どのように使うかをエージェントに説明しています。
• x402を使ったHTTP：POST /api/v1/x402/flash-auditは、利用規約とともに402を返します。詳細はopenapi.jsonおよびRFC 9727のカタログ/.well-known/api-catalogをご覧ください。
• アイデンティティ：Base上のERC-8004エージェント84609です。登録ファイルは/.well-known/agent-registration.jsonにあります。

LLM向けのプレーンテキスト形式の概要： llms.txt。

問題の報告

セキュリティ上の問題はSECURITY.mdに記載されている宛先にご連絡ください。エスクロー内の資金に関わる問題については、公開のイシューを作成しないでください。

ライセンス

この検証ツールはMITライセンスで公開されているため、誰でも閲覧、実行、コピー、改変できます。誰も再利用できない検証ツールでは、検証ツールとしての意味があまりありません。