Elsas Security Intelligence

elsas-verify

elsas.it が公開する日次のセキュリティインテリジェンスレポートを、当社のサーバーを信頼せず、当社の鍵にアクセスすることなく、オフラインで独立して検証できます。

elsas.it は、AI エージェント向けの署名付きセキュリティインテリジェンスを MCP 経由で提供し、x402（Base 上の USDC。アカウント不要で、ウォレットが本人確認に使われます）で呼び出しごとに課金します。提供形態は 2 種類です。

• アトミックなプリミティブ（高頻度、1 セント未満）：is_exploited（この CVE は CISA-KEV に含まれていますか？ $0.001）、check_cve（CVSS + KEV + EPSS、$0.01）、check_package（単一の package@version に対する OSV 判定、$0.002）、search_cves（$0.01）、scan_dependencies（ロックファイル全体の OSV スキャン。脆弱性ごとに課金され、問題がなければ無料）。
• プレミアムダイジェスト：get_today — 毎日提供する、キュレーションと相互検証を経たレポート（$0.10）。

すべての応答には Ed25519 署名が付いています（SSHSIG、名前空間 elsas-report）。そのため、当社のサーバーを信頼せず、当社の鍵にアクセスすることなく、応答が本物で改ざんされていないことを証明できます。これが他との違いです。署名のない CVE API では信頼を求められますが、こちらでは検証できます。このリポジトリには、それをオフラインで行うために必要なものがすべて含まれています。

信頼するのではなく、検証してください。

---

30 秒で検証する

必要なもの：openssh-client（ssh-keygen）と python3 — Linux/macOS ならどの環境にもあります。インストールは不要で、検証自体にネットワーク接続も必要ありません。

git clone https://github.com/romans-repos/elsas-verify.git
cd elsas-verify
./verify-report.sh examples/sample-report.json allowed_signers

想定される出力：

VALID: authentic & untampered
  Signer:  [email protected]
  Hash:    sha256:…
Good "elsas-report" signature for [email protected] with ED25519 key SHA256:gLVNll72kb8Iyni2vNMR6oHGqVh0Ynz+lBMhbS+cSa4

ライブレポートを検証する

# Fetch the current public sample + its detached signature
curl -s https://elsas.it/sample                          > report.json
curl -s https://elsas.it/.well-known/report.json.sig     > report.json.sig
# Verify against the pinned key in this repo
./verify-report.sh report.json allowed_signers

標準の OpenSSH を使って手動で検証することもできます。

ssh-keygen -Y verify \
  -f allowed_signers \
  -I [email protected] \
  -n elsas-report \
  -s report.json.sig < report.json

アトミックツールの判定を検証する

アトミックツールは、埋め込みの _signature ブロックを含む JSON 判定を返します（signed_payload = 実際に署名されたバイト列、signature = アーマー形式の SSHSIG）。シェル、またはお使いの言語向けのドロップインライブラリを使って、オフラインで検証できます。

# shell (ssh-keygen + python3 stdlib)
./verify-verdict.sh examples/sample-verdict.json allowed_signers

// Node — zero dependencies (built-in crypto). npm i @elsas/verify
import { verifyVerdict } from '@elsas/verify';
const { ok, reason } = verifyVerdict(verdict);   // pinned elsas key, offline
if (!ok) throw new Error(`unverified elsas verdict: ${reason}`);

# Python — pip install elsas-verify  (only dep: cryptography)
from elsas_verify import verify_verdict
ok, info = verify_verdict(verdict)
assert ok, info["reason"]

各検証ツールは、独立した 2 つのチェックを行います。（1）判定本文が署名済みバイト列と一致すること（改ざんの検出）、（2）ピン留めされた elsas の鍵で SSHSIG が検証できること（別の鍵による署名は拒否されます）。検証にネットワーク接続は必要ありません。

信頼モデル

• 署名には ssh-keygen -Y sign を介した SSHSIG（Ed25519） を使用します。検証はオフラインで行われ、信頼は不要です。ペイロードを手元に置き、ローカルで検証します。
• 信頼の起点は allowed_signers です。これは、[email protected] に本人確認済みの公開鍵です。別の鍵に差し替えられた署名者ファイルは -I フラグによって拒否されます。
• ライブコピーと照合し、ピン留めされた鍵を独自に確認してください。

  curl -s https://elsas.it/.well-known/allowed_signers
  

  鍵のフィンガープリント：SHA256:gLVNll72kb8Iyni2vNMR6oHGqVh0Ynz+lBMhbS+cSa4
• 各レポートには、改ざん検出用の _integrity.content_hash（正規化された JSON に対する sha256）も含まれています。詳しくは SIGNATURE-VERIFY.md をご覧ください。

このリポジトリの内容

ファイル	用途
verify-report.sh	依存関係なしのレポート検証ツール（ssh-keygen + python3 標準ライブラリ）
verify-verdict.sh	依存関係なしの アトミック判定 検証ツール
packages/node/	@elsas/verify — 依存関係ゼロの Node ライブラリ + CLI
packages/python/	elsas-verify — Python ライブラリ + CLI（pip install）
allowed_signers	公開署名鍵 — 信頼の起点
schemas/report-v4.json	レポートペイロードの JSON スキーマ
examples/sample-report.json（+ .sig）	検証に使える実際の署名済みレポート
examples/sample-verdict.json	検証に使える実際の署名済みアトミックツール判定
SIGNATURE-VERIFY.md	検証手順と信頼に関する詳細

このリポジトリに含まれないもの

このリポジトリは検証に関わる部分のみを公開しています。キュレーションパイプライン、スコアリング用プロンプト、関連性分類体系、インフラストラクチャ、運用設定は意図的に公開していません。これらはレポートの検証に必要ではなく、第三者にとっても有用ではないためです。検証可能にするために、どのように作られたかを明かす必要はありません。必要なのは、結果を確認できることです。このリポジトリが実現するのはそれです。

ライセンス

このリポジトリのツールは、MIT ライセンスの下で公開されています。 レポートのペイロードには、それぞれのライセンス条件がレポート内に記載されています （_integrity._license_coverage）。

---

サービス：https://elsas.it · ドキュメント：https://elsas.it/docs · サンプル：https://elsas.it/sample