VouchSpec Agent Skill Evidence

VouchSpec

VouchSpec は、正確な Agent Skill バージョンを対象とする独立したエビデンスインデックスの暫定的なパブリックベータ名です。この名前は、明白な競合がないかを $0 で確認する審査を通過しましたが、正式な法務審査や商標審査は受けていません。

現在の Stage A カタログには、12 の GitHub リポジトリオーナーから慎重に選定した、一般公開されている Agent Skill が 25 件含まれています。各エントリは完全な Git コミットと正確なディレクトリダイジェストに固定されており、アーティファクトのコードを実行せずに静的検査したうえで、DSSE v1.0.2 エンベロープに格納し、Ed25519 で署名しています。別のルートキーで、機械可読なライフサイクルフィードにも署名しています。

これはエビデンスであり、安全性の認証ではありません。実環境で使われているスキル 25 件のうち 6 件は、現在の構造ルールを少なくとも 1 つ満たしていません。これらも不適合を示すエビデンスとともにインデックスに含まれていますが、STRUCTURE_VALIDATED とはラベル付けされていません。

Stage A の一般公開配布

• リポジトリおよびインストール元：https://github.com/mordiaky/vouchspec
• 機械可読なディスカバリー：https://raw.githubusercontent.com/mordiaky/vouchspec/main/distribution/discovery.json
• 管理対象エージェント API：https://vouchspec.plyrium.com/api/vouchspec/v1/health
• 管理対象 API のディスカバリー：https://vouchspec.plyrium.com/api/vouchspec/v1/discovery
• OpenAPI 3.1 コントラクト：https://vouchspec.plyrium.com/openapi.json
• LLM 向けコントラクトインデックス：https://vouchspec.plyrium.com/llms.txt
• インストール可能な Agent Skill のインデックス：https://vouchspec.plyrium.com/.well-known/skills/index.json
• インストール前に検証する Agent Skill： https://vouchspec.plyrium.com/.well-known/skills/vouchspec-verify-before-install/SKILL.md
• Agentic Resource Discovery カタログ（ドラフト／提案）： https://vouchspec.plyrium.com/.well-known/ai-catalog.json
• A2A Agent Card：https://vouchspec.plyrium.com/.well-known/agent-card.json
• A2A JSON-RPC ディスカバリー：https://vouchspec.plyrium.com/api/vouchspec/v1/a2a
• リモートエージェントのディスカバリー（MCP）：https://vouchspec.plyrium.com/api/vouchspec/v1/mcp
• 公式 MCP Registry API：https://registry.modelcontextprotocol.io/v0.1/servers?search=io.github.mordiaky%2Fvouchspec
• Agent Tools x402 リスティング： https://agent-tools.cloud/api/v1/services/vouchspec-plyrium-com-sub91
• Agent Tools MCP リスティング： https://agent-tools.cloud/api/v1/mcp/servers/vouchspec-agent-skill-evidence
• Agent Tools A2A リスティング： https://agent-tools.cloud/api/v1/a2a/agents/vouchspec-agent-skill-evidence
• エージェント向けクイックスタート：https://vouchspec.plyrium.com/vouchspec
• 管理対象 TLS 経由の署名済みインデックス：https://raw.githubusercontent.com/mordiaky/vouchspec/main/catalog/public/index.dsse.json
• ルート署名済みライフサイクルフィード：https://raw.githubusercontent.com/mordiaky/vouchspec/main/catalog/public/lifecycle.dsse.json
• 帯域外でのルート／発行者キーの公開：https://gist.github.com/mordiaky/794e30c1c33ba1663921718cc8d530e1

静的配布元はチェックイン済みの署名済みバイト列をそのまま返し、CORS を有効にしたうえで書き込みを拒否します。署名済みインデックスをダウンロードしてローカルで絞り込み、その後 catalog/public/receipts/ から ID を指定してレシートを取得してください。不変の取得には、main をカタログスナップショット 4404b7a9a2d3dc45b621ea694d2ca7ad666b9898 に置き換えてください。帯域外の Gist はリポジトリとは別にありますが、同じ GitHub アカウントを使用しているため、アカウントレベルの侵害が発生した場合は、引き続き新たな信頼できるチャネルが必要です。

製品の段階

• Stage A — 公開アーティファクトインデックス（稼働中）： 選定された公開アーティファクトのみを対象とします。署名済みレシートと読み取り専用の REST/MCP 取得を提供します。アップロード、プライベートリポジトリ、顧客機密コンテンツには対応しません。
• Stage B — 公開リポジトリの検証（ライブメインネットおよび公開テストネットのサンドボックスで稼働中）： 許可リストに登録された公開ホスト、完全なコミット、明示的なサブディレクトリ、範囲を制限した不変の取得、外部接続のない隔離ワーカー、別個の外部接続のない署名処理、永続的なテナント／注文／決済状態、認証済みのマネージド API、正確な x402 決済を使用します。商用注文は Base で 0.25 USDC にて稼働中です。別途、Base Sepolia の 1.00 テスト USDC サンドボックスを統合テストに利用できます。
• Stage C — プライベート／任意の入力（延期）： プライベートストレージ、認証、テナントの分離、削除ポリシー、拡張された法務／インシデント対応管理は、需要と収益が正当化できる場合に限り導入します。

Stage C は Stage A または B の前提条件ではありません。Stage A サーバーにも MCP ツールにも、任意のアップロード経路はありません。

パブリッシャー CI — セルフサービスの完全な例

公開されているパブリッシャー CI デモでは、信頼されたワークフローの一連の流れを紹介しています。不変のアクションのピン留め、正確なコミットの検査、2 つの GitHub アーティファクトアテステーション、ダウンロード可能な証拠、独立した gh attestation verify コマンドが含まれます。最新の検証済みマトリックス実行では、構造検査に合格するケースと、意図的に構造検査に失敗するケースの両方が成功しています。ダウンロードした 4 つの証拠ファイルは、それぞれ gh attestation verify で独立して検証されました。このデモは運用者が管理しており、外部での採用実績には含まれません。

証拠を保持する不変のスナップショットでアクションを使用してください。

- id: vouchspec
  uses: mordiaky/vouchspec/distribution/github-action@ed812a14cbc62333d59bac319f79d897f14d1b64
  with:
    skill-path: path/to/skill

このアクションは、構造検査の合格時と明示的な失敗時の両方で、レシートのドラフトとパブリッシャー／ワークフローのバインディングを出力します。ピン留め済みのワークフロー、権限、検証、トラブルシューティングに関する完全ガイドをご覧ください。

証拠ラベル

レシートには、一般的な VERIFIED バッジではなく、明示的なラベルを使用します。

• DIGEST_PINNED
• STRUCTURE_VALIDATED（構造プロファイルに合格した場合のみ）
• STATIC_INSPECTION_COMPLETED
• INDEPENDENT_STATIC_SCAN（厳選された運用者実行プロファイルの場合のみ）

PUBLISHER_CI_ATTESTED、SANDBOX_BEHAVIOR_OBSERVED、TASK_EVALUATED は、実際に作成された個別の証拠のために予約されています。静的検査によってこれらが示されることはありません。

公開レシートを独立して検証する

検証ツールは、JSON を解析する前に、デコード済みの正確なレシートバイト列を認証します。次に、レシートのスキーマと内部整合性ダイジェストを検証し、その後、必要に応じてルート署名付きライフサイクルフィードを適用します。

vouchspec verify catalog\public\receipts\RECEIPT_ID.dsse.json `
  --key catalog\public\keys\issuer.jwk.json `
  --lifecycle catalog\public\lifecycle.dsse.json `
  --root-key catalog\public\keys\root.jwk.json

ライフサイクルの結果は CURRENT、SUPERSEDED、EXPIRED、REVOKED_EVALUATOR_DEFECT、REVOKED_KEY_COMPROMISE、または保守的な SIGNATURE_VALID_LIFECYCLE_UNKNOWN です。署名鍵 ID は検索のヒントにすぎません。公開 JWK は、独立して信頼できる経路を通じて取得するか、ピン留めする必要があります。

読み取り専用カタログ API

vouchspec serve-catalog --catalog-root catalog\public --port 8788 `
  --trusted-root-key C:\independently-provisioned\root.jwk.json

利用可能な GET ルート：

• /health
• /v1/index（発行者署名付き DSSE インデックスエンベロープ）
• /v1/quote?operation=...（価格／利用可能状況のレスポンス。有料注文は引き続き無効です）
• /v1/receipts?q=...&repository_owner=...&limit=...
• /v1/receipts/{receipt_id}
• /v1/receipts/{receipt_id}/status
• /v1/lifecycle
• /v1/keys/root
• /v1/keys/issuer

すべての POST リクエストは 405 read_only を返します。組み込みサーバーは接続数が制限され、期限が適用され、ループバック接続のみを受け付けます。公開環境にデプロイする場合は、プラットフォームのイングレス制限を備えたマネージド TLS プロキシの背後に配置する必要があります。各プロセスは、完全に検証済みの不変なカタログスナップショットを 1 つ提供します。新しいライフサイクル／インデックス世代をデプロイするには、プロセスを再起動してください。最も新しいルートフィードのシーケンス番号と、そのペイロードダイジェストは、プロセス間ロックを使用して永続化されます。

ローカルカタログの価格カードルートは、注文を受け付けずに商用価格の仮説を報告します。リクエスト固有の厳密なローカルプレビューを行うには、次の手順を実行します。

vouchspec quote-fresh-validation docs\examples\fresh-validation-request.json

プレビューでは、マネージド API と同じリクエスト形式が検証されます。公開サンドボックスの価格は、意図的に少額の 1.00 test USDC に設定されています。エージェント市場の調査全体を踏まえ、以前の 49 ドル案は採用しませんでした。商用メインネットのローンチコホートでは、新規検証 1 件あたり 0.25 USDC を未検証の価格として設定しており、事前に定めたエビデンスの基準は PRICING.md に記載されています。

エージェント専用 x402 メインネット

https://vouchspec.plyrium.com の商用サービスはマシン専用であり、カード入力フォーム、ホスト型チェックアウト、アカウントポータル、人による承認手順はありません。エージェントは、厳格な形式の不変な公開 GitHub リクエストを POST /api/vouchspec/v1/validate に送信し、Base 上で正確に 0.25 USDC の x402 v2 チャレンジを受け取って署名し、PAYMENT-SIGNATURE を付けて再試行します。決済が成功すると、一度限りの配信認証情報が返されます。その後、スケジュールされた分離ワーカーが、署名付きのコンテンツアドレス指定可能なレシートを生成します。検出とヘルスチェックは公開されており、Streamable HTTP MCP エンドポイントでは読み取り専用のコントラクト検出を利用できます。同じ購入コントラクトは OpenAPI、llms.txt、A2A、x402、ドラフト／提案 ARD カタログとして公開されているため、エージェントはすでにインデックス化しているプロトコルから利用を開始できます。是正措置の実行は引き続き無効であり、通常の有料検証を受け付けたり履行したりするための前提条件ではありません。

エージェント専用 x402 サンドボックス

https://vouchspec-sandbox.plyrium.com の公開サービスには、カード入力フォーム、ホスト型チェックアウト、人による承認手順はありません。エージェントは次の手順を実行します。

1. POST /api/vouchspec/v1/tenants で利用規約のバージョン vouchspec-stage-b-2026-07-14 に同意し、一度限りのテナントベアラーキーを保存します。
2. Authorization と一意の Idempotency-Key を付けて、厳格な形式の新規検証リクエストを POST /api/vouchspec/v1/quotes に送信します。
3. POST /api/vouchspec/v1/orders で注文を作成し、返された配信トークンを保存します。
4. 注文の purchase_path を呼び出し、x402 v2 の PAYMENT-REQUIRED チャレンジを読み取り、Base Sepolia 上で正確に 1.00 test-USDC の支払いに署名して、PAYMENT-SIGNATURE を付けて再試行します。
5. 認証済みの注文をポーリングし、正確な DSSE 結果を取得して、公開発行者 JWK で検証します。

成功したエンベロープは、コンテンツアドレス指定された認証不要の URL でも公開されます。エージェントは、これらの不変なバイト列をキャッシュして共有できます。無効化は意図的に別の手順となっています。レシートを新たな判断に使用するたびに、対応する no-store の /status URL を確認してください。機械可読な検出ドキュメントには、すべてのルートテンプレート、ヘッダー、ネットワーク、価格、信頼性、キャッシュ、製品境界の各フィールドが記載されています。

ホスト型のプルーフは所有者が管理するテストネット限定のもので、仕組みの実証にはなりますが、顧客、リクエスト、購入者、収益としては一切計上されません。Stage B の運用境界、支払いフロー、マネージドデプロイの境界、返金ポリシー、メインネットの是正措置運用を参照してください。

ローカルコマースハーネス

このリポジトリには、回帰テストとセキュリティテスト用のループバックハーネスが引き続き含まれています。認証情報のダイジェストをキー付きで保存し、トークンを平文では保存しません。また、各見積もりと注文は、1つの不透明なテナントに紐付けられます。承認済みのシークレットマネージャーで、異なる32バイトのシークレットを2つ生成し、その16進数値をプロセスにのみ公開してから、ローカルのサンドボックス認証情報を1つプロビジョニングします。

$env:VOUCHSPEC_AUTH_PEPPER_HEX = '<64 hex characters>'
$env:VOUCHSPEC_DELIVERY_SECRET_HEX = '<different 64 hex characters>'
vouchspec provision-commerce-tenant --database C:\vouchspec\sandbox-commerce.db
vouchspec serve-commerce-sandbox --database C:\vouchspec\sandbox-commerce.db --port 8789

ローカル API は 127.0.0.1 にバインドされ、CORS は許可せず、認証が必要な見積もり、注文、ステータス、署名済み結果、ケイパビリティのローテーション、および失効の各ルートを公開します。模擬決済レールでは決済は確定せず、作成されるすべての注文で counts_for_goal: false のままになります。

回帰テスト用に、決済が確定しない Stripe テストアダプターも引き続き利用できます。これは VouchSpec のローンチ用決済レールではなく、マネージドエージェントサービスからも公開されていません。

vouchspec serve-commerce-stripe-test `
  --database C:\vouchspec\stripe-test-commerce.db --port 8789

この組み込みリスナーを直接公開しないでください。メインネットの有効化には、x402、分離されたライブ状態とシークレット、およびデプロイ境界に記載されたライブ環境のゲートを使用します。

読み取り専用カタログ MCP

リモートエージェントは、https://vouchspec.plyrium.com/api/vouchspec/v1/mcp にあるステートレスな Streamable HTTP エンドポイントを通じて、商用マネージドコントラクトを確認できます。このエンドポイントが公開するのは、匿名で利用できる読み取り専用ツール get_vouchspec_discovery のみです。このツールは、公開ルート、価格、x402、レシート、キャッシュ、および無効化の手順を返します。アーティファクトの送信、リポジトリの取得、決済の確定、非公開データの読み取りはできません。有料の検証は、引き続きマネージド x402 REST ルートで行います。

オープンな Agent Skills 形式に対応するエージェントは、リポジトリに含まれる正確な検証後インストールのワークフローを直接追加できます。

npx skills add mordiaky/vouchspec --skill vouchspec-verify-before-install

このスキルは、上記の既知のマシン向けエンドポイントからも公開されています。実行前にライブコントラクトを確認し、まず既存の署名済み証拠を調べます。呼び出し元のエージェントがすでに x402 ウォレットと明示的な支出権限を持つ場合に限り、新たに 0.25 USDC を支払って検証します。どちらかがない場合は payment_required を返します。人間によるチェックアウトや、人間への引き継ぎはありません。

チェックイン済みの server.json は、アクティブな名前 io.github.mordiaky/vouchspec で、公式 MCP Registry 向けにこのリモートエンドポイントを記述しています。公開には、main ブランチのみを対象とする手動ワークフローから GitHub OIDC を使用するため、ポータルへのログイン、電話コード、Registry 専用シークレットは不要です。

ローカルに固定したカタログを使いたいエージェント向けには、stdio サーバーも引き続き利用できます。

一般向けインストール：

git clone https://github.com/mordiaky/vouchspec.git
cd vouchspec
python -m venv .venv
.venv\Scripts\python -m pip install .
.venv\Scripts\vouchspec mcp-catalog --catalog-root catalog\public `
  --trusted-root-key C:\independently-provisioned\root.jwk.json

vouchspec mcp-catalog --catalog-root catalog\public `
  --trusted-root-key C:\independently-provisioned\root.jwk.json

ツールは search_receipts、get_receipt、get_receipt_status、get_verification_material、get_price_quote です。受け付けるのは識別子、検索テキスト、名前付きの価格カード操作のみで、アーティファクトの内容は受け付けません。このローカル読み取り専用 MCP では有料注文を行いません。エージェントは、新たな検証にはマネージド x402 API を使用します。

ローカルインスペクターとビルダー

開発用インストール：

python -m venv .venv
.venv\Scripts\python -m pip install -e ".[dev]"

互換性コマンドと Python パッケージ名 capabilityproof は、一般向けの vouchspec コマンドと併せて引き続き利用できます。

vouchspec inspect C:\path\to\skill --output receipt.json
vouchspec inspect-git C:\checkout\skills\example `
  --repository-root C:\checkout --output receipt.json

ローカルでの検査では、アーティファクトの内容をインストール、インポート、レンダリング、実行することはありません。チェックイン済みのカタログビルダーが受け付けるのは、厳選されたマニフェストと、40文字の完全なコミットを指定した公開 HTTPS GitHub リポジトリのみです。収集は鍵なしで行い、発行者による署名は別のネットワーク接続なしのフェーズで行います。復旧ルートのライフサイクル署名は、さらに別のオフラインフェーズで行います。暗号化された秘密鍵はこのリポジトリの外部に保管し、公開するのは RFC 8037 の公開 JWK のみです。

方法論、レシートスキーマ、および脅威モデルを参照してください。