Vouchwell

vouchwell

AI エージェントのアクションを改ざん検知可能なレシートとして記録します。

エージェントはお金を使い、メールを送信し、顧客データを扱います。 何か問題が起きたとき、「ログにはそうなっていないと書いてあります」では答えになりません。ログは編集可能なテキストファイルだからです。

Vouchwell は、すべてのエージェントアクションを実行前にポリシーで制御し、実行後に暗号学的に証明可能にします。

npm install -g vouchwell
vw init

続いて、任意の MCP サーバーをラップします。統合に必要なのはこれだけです。

// .mcp.json — before
{ "command": "npx", "args": ["-y", "@acme/mcp-crm"] }

// after
{ "command": "vw", "args": ["proxy", "--namespace", "crm", "--", "npx", "-y", "@acme/mcp-crm"] }

これで、すべてのツール呼び出しはまずポリシーによるチェックを受け、許可、ブロック、人間へのエスカレーションを含むすべての判断が、外部の第三者があなたを信頼することなく検証できる追記専用ログに記録されます。

BLOCKED  ops.query    destructive SQL from an agent is never permitted
BLOCKED  ops.refund   budget refunds.daily would be exceeded: 45 already
                      committed plus 90 proposed, against a cap of 100 per 24h
BLOCKED  ops.query    arguments contain anthropic_key; policy forbids sending
                      these to a tool

単なるログ記録ではない理由

誰もがエージェントのオブザーバビリティ、つまり信頼するしかないダッシュボードを構築しています。Vouchwell が構築するのは、エージェントの証拠です。渡されたファイルだけを使って、第三者が完全性を独自に確認できる記録です。

• 署名付き — RFC 8785 の正規形式に対する Ed25519 署名です。
• 連鎖 — 各レシートは、直前のレシートのハッシュを参照します。
• ツリーにアンカー — Certificate Transparency が採用する方式である RFC 6962 の Merkle ログです。公開されている CT のリファレンスベクターを使って検証されています。
• 封印済み — 引数はペイロードではなく、ソルト付きのコミットメントです。ソルトを破棄すれば、ペイロードは永久に開示できなくなりますが、すべての証明は引き続き検証できます。そのため、GDPR に基づく消去を行っても監査証跡が損なわれません。

コマンド

vw init                    create a log, a starter policy, and a config
vw proxy -- <cmd...>       wrap an MCP server; enforce policy, write receipts
vw log / vw stats / vw dash        inspect
vw verify                  audit the local log end to end
vw prove <seq>             inclusion proof for one receipt
vw export / vw check       evidence bundle for a third party, and verify one
vw remote add / vw push    connect to a hub and ship receipts
vw cosign                  have an independent witness counter-sign your root
vw shred --before <date>   destroy payload commitments, keep the audit trail

vw verify はログが改ざんされている場合、ゼロ以外の終了コードを返します。CI に組み込んでください。

対応していないこと

• 一度も確認していないアクションは証明できません。 同じ API への別のラップされていない経路を持つエージェントは、レシートを残しません。
• 暗号技術は、独立した第三者によるレビューを受けていません。 自身だけに依存するのではなく、公開されている RFC 6962 と RFC 8032 のベクターに準拠していますが、それと第三者レビューを受けることは同じではありません。

完全な脅威モデル：https://github.com/vouchwell/vouchwell/blob/main/docs/THREAT-MODEL.md

Vouchwell を構成するパッケージ

パッケージ	内容
vouchwell	vw CLI — まずはこちらから
@vouchwell/core	レシート、Merkle ログ、ポリシーエンジン。依存関係はゼロです。
@vouchwell/proxy	MCP プロキシとハブクライアント
@vouchwell/server	マルチテナントハブ
@vouchwell/dashboard	ローカルの読み取り専用ダッシュボード

ドキュメント全文：https://github.com/vouchwell/vouchwell

Apache-2.0。フォーマット、検証ツール、CLI はオープンであり続けます。ベンダーの許可なしに検証できない証拠は、証拠とは言えません。