OSA Procurement Guard

OSA

OSA は、購入または支出の振り分けを行う前に、エージェント/API エンドポイントを評価するための、マシンコマース向け信頼性・調達システムです。

主な製品機能

OSA は、エンドポイントのリアルタイム検証と過去の証拠を組み合わせ、信頼スコアとともに信頼度および理由コードを提示します。

• GET /best — 信頼度、インテント、任意の上限価格に基づいて、一致するエンドポイントをランク付けします。
• GET /score — 登録済みエンドポイントをリアルタイムで検証します。
• GET /history — 過去のスナップショットを返します。
• POST /ingest — 認証済みのレジストリ取り込みを行います。
• POST /sources/mcp and POST /sources/bazaar — MCP/Bazaar 形式のレコードを取り込みます。
• /.well-known/osa.json — 機械可読な製品メタデータを提供します。

信頼スコアでは現在、稼働時間、レイテンシ、価格の安定性、スキーマの安定性、決済の安定性、取引の証拠が考慮されます。信頼度は別途報告されます。

アーキテクチャ

OSA は、次の分離プレーン設計を採用しています。

• 製品／データ／商用プレーン — 調達／MCP 配信、価格設定とベンチマーク履歴、エンドポイントの観測結果、製品の利用状況、見込み客／商談、決済照合。
• 制御／実行／セキュリティプレーン — VPS エージェント、承認、タスクポリシー、監査／制御アラート、SSH ブリッジ、証明書のみを使用した RAW SSH 実行。
• GitHub — 正規のソース、CI／セキュリティスキャン、管理されたデプロイワークフロー。

この分離により、製品データのワークロードと、特権を伴うインフラストラクチャの実行を切り離しています。

セキュリティ

• エンドポイント検証は読み取り専用です（GET/HEAD）。
• SSRF 対策により、ローカル／プライベート／リンクローカル／ドキュメント用の宛先と、安全でない URL スキームを拒否します。
• DNS の結果とリダイレクト先は再検証されます。
• レスポンスサイズ、リダイレクト回数、タイムアウト、同時実行数には上限があります。
• 本番環境での取り込みには認証が必要です。
• 特権を伴う VPS 実行では、短期間有効な SSH 証明書とホスト鍵検証を使用します。
• シークレットと秘密鍵は、このリポジトリにコミットされません。

商用顧客獲得ツール

npm run lead:audit -- https://example.com

Lead-Leakage Audit は、公開ページを対象に、読み取り専用でコンバージョン経路を監査します。フォームの送信、認証、制御の回避、プライベートシステムへのアクセスは行いません。別個の製品戦略になることなく、OSA サービスのための証拠を優先する顧客獲得の足がかりとして利用できます。

クイックスタート

npm install
npm test
npm start

決済

公開チェックアウトで提供される人間向け製品は、OSA 30-Day MCP Reliability Pilot（79 ドル）の 1 つです。購入者は、非公開の請求書／銀行振込の方法をリクエストするか、検証機能を備えたネットワーク上で USDC によりすぐに支払えます。カードおよびモバイルウォレットのボタンは、稼働中の加盟店決済手段が独立して検証されるまで非表示のままです。Tap はオーナーによって無効化されています。オプションの x402 v2 ミドルウェアは、OSA_PAY_TO が設定されている場合に、/best と /score のマシン決済経路として引き続き利用できます。リクエスト、テストイベント、ページビュー、ウォレット接続は、収益としてカウントされません。

運用ルール

OSA は 1 つの製品です。Agent Trust Oracle、Procurement Guard、価格／ベンチマークインテリジェンス、MCP の信頼性、決済手段のチェックは、いずれも同じ取引前意思決定システムのモジュールです。

進捗とは、検証済みの外部利用、検証済みの決済、繰り返しの利用を意味します。内部テストの行、クローラーによる調査、生成されたダッシュボード、推測上の収益は進捗ではありません。

収益優先ゲート

最初の外部決済が検証されるまでは、OSA は主要な収益経路を 1 つ、バックアップを 1 つに限定し、一般化された製品／インフラストラクチャ／決済／ブラウザー／自律性の拡張を凍結します。ただし、名称が明示された外部の阻害要因や実際の安全上のインシデントを解決するために最低限必要な変更は除きます。

重要な変更にはすべて、knowledge/05-revenue-gate.md で定義されている意思決定記録を含める必要があります。プルリクエストは Revenue Gate ワークフローによってチェックされます。基準となる区別は厳格です。構築済み != 検証済み != 販売中 != 支払い済み。

エコシステム