DJZS Trust MCP

DJZS：面向 Agent 的确定性执行前审计

DJZS 会在投入资金之前，审计自主 Agent 的推理，并返回三种判定之一：PASS、WAIT 或 FAIL，同时标记具体的推理缺陷，并提供可复现的决策哈希。

切入点：交易安全工具回答的是“这笔交易签署起来安全吗？”。DJZS 回答的是另一个问题：“到底该不该建立这个仓位？”。交易即使完全安全，背后的推理仍可能存在问题；DJZS 负责捕捉错误的投资论点。

---

立即使用 — 在线 MCP 闸门

verify_pm_trade 已部署为 Cloudflare Worker 上的 Model Context Protocol 工具（可流式传输的 HTTP）。只需一行即可将其添加到支持 MCP 的 Agent：

claude mcp add --transport http djzs-trust https://mcp.djzs.ai/mcp

然后，使用自由文本预测市场交易论点调用 verify_pm_trade。它会提取推理内容，依据经过校准的 DJZS-M 分类体系进行审计，并返回 PASS → PROCEED / FAIL / WAIT → HALT，以及标记出的缺陷和 verdict_hash。

已记录的首次外部审计。 一名外部 Agent 通过已部署的工具审计了一条基准论点（pm-block-008），并收到：

verdict:       FAIL
flags:         DJZS-M03 (PROBABILITY_UNSOURCED), DJZS-M04 (CONSENSUS_NO_EDGE)
risk_score:    40
disagreements: []
verdict_hash:  0x85918814b3dffa31b00d6892c2e00b2001efd35f7e0044b4cd3789fe1df14937

与离线测试组的行为一致性（判定 + 标记 + 提取的输入）已通过。哈希一致性仍待重新生成；校准密钥在部署期间已过期，因此在重新运行前，上方的线上哈希仍作为记录。

---

通过 HTTP x402 付费 — 生态系统支付通道

除上述 MCP 传输方式外，verify_pm_trade 现在也可通过 HTTP x402 传输方式付费使用，已在 Base 主网上线：

POST https://mcp.djzs.ai/x402/verify

未付费的请求会返回 HTTP 402 挑战（exact 方案、eip155:8453、USDC，向资金库支付 2.00 USDC）；客户端签署 EIP-3009 授权后重试。Base MCP、MetaMask Agent Wallet 和 x402-axios 使用的是同一支付通道，因此任何 HTTP x402 客户端都可以直接支付并使用该闸门，无需集成 MCP。

两种传输方式均保留免费拒绝机制：超出范围的意图会收到 402 响应，且绝不会结算，因此被拒绝的审计无需付费。在部署到主网之前，已在 Base Sepolia 完成端到端验证（包括付费结算和链上零金额变动拒绝）。

架构 C — 提取报告，引擎负责判定

DJZS 将依赖模型的步骤与可信步骤分开：

free-text intent
      │
      ▼
EXTRACTION  (LLM, N=3 consensus)          reports observable FACTS, never a verdict
  · per-field state unanimity across the 3 samples; any disagreement → unknown
  · quote gates: a claimed "absent" must quote the intent verbatim, or it demotes to unknown
  · evidence-unanimity: a critical-driving "absent" needs the same quote across all samples
      │
      ▼
AuditInput  (each fact is tri-state: present / absent / unknown)
      │
      ▼
DETERMINISTIC ENGINE  (pure code — no model, no network, no clock)
  rules fire → weighted score → verdict
      │
      ▼
PASS · WAIT · FAIL   +   verdict_hash

**为何采用这种设计：**判定规则与模型无关。大模型只负责将杂乱文本转换为结构化数据；决定判定结果的审计规则则是冻结的代码。更换模型只会改变提取质量，不会改变规则、权重和哈希。

**从设计上保证确定性。**相同的 AuditInput 始终会产生相同的判定和相同的哈希：

verdict_hash = sha256(canonicalize({ verdict, risk_score, flags: codes.sorted(), unknown_fields }))

**WAIT 绝不会悄无声息。**如果论点信息不足——即某个对决策至关重要的事实为 unknown——结果就会是 WAIT；对调用方而言，这对应 HALT，并会返回 unknown_fields，让 Agent 明确知道需要澄清哪些内容。弃权是一种一等结果，绝不会被猜测成 PASS 或 FAIL。

---

分类体系（已冻结）

DJZS-M — 预测市场（DJZS-PM-v1.0）：经过校准的正式路径

权重总和为 100；FAIL 阈值为 25。四项代码均已实现并完成校准。

代码	名称	严重性	权重	检测内容
DJZS-M01	NARRATIVE_RESOLUTION_GAP	CRITICAL	30	论点围绕与实际结算问题相关但不相同的叙事展开推理。
DJZS-M02	FALSIFICATION_ABSENT	CRITICAL	30	未说明在结算前能够证明论点错误的条件。
DJZS-M03	PROBABILITY_UNSOURCED	HIGH	25	在没有可验证依据的情况下断言市场概率或模型概率。
DJZS-M04	CONSENSUS_NO_EDGE	MEDIUM	15	论点在价格极端时复述共识，却没有差异化优势。

M04 属于建议级别。 单独出现时不会阻止通过：仅有 M04 的交易仍会获得 PASS，证书上会附带标记（权重 15 低于 FAIL 阈值）。只有与其他发现叠加时才会导致阻止（例如 M03 + M04 = 40 → FAIL，如上文首次审计所示）。

verify_pm_trade 仅适用于预测市场：如果意图未能提取为预测市场论点（包括无法确定的情况），则会返回 in_scope: false，而不会悄悄运行永续合约审计。

DJZS-LF — 永续合约／通用推理（DJZS-LF-v1.1）

权重总和为 200。分类体系固定为 11 项代码；目前引擎中有 3 项已接入正式运行（以 ● 标记）。其余代码已定义并设定权重，但尚未触发——如实说明覆盖范围，不作暗示。

代码	名称	类别	严重性	权重	正式运行
DJZS-S01	CIRCULAR_LOGIC	结构性	CRITICAL	30
DJZS-S02	LAYER_INVERSION	结构性	HIGH	25
DJZS-S03	DEPENDENCY_GHOST	结构性	MEDIUM	18
DJZS-E01	ORACLE_UNVERIFIED	认知	HIGH	25	●
DJZS-E02	CONFIDENCE_INFLATION	认知	MEDIUM	18
DJZS-I01	FOMO_LOOP	激励	MEDIUM	16	●
DJZS-I02	MISALIGNED_REWARD	激励	MEDIUM	16
DJZS-I03	DATA_UNVERIFIED	激励	MEDIUM	16
DJZS-X01	EXECUTION_UNBOUND	执行	CRITICAL	15	●
DJZS-X02	RACE_CONDITION	执行	HIGH	9
DJZS-T01	STALE_REFERENCE	时间性	LOW	12

两张权重表均由哈希锁定（WEIGHTS_HASH / TAXONOMY_HASH 及预测市场对应项均为导出常量）；更改权重需要有意重新推导，而不是热修补。

---

MCP 工具

已部署的 Worker 通过 /mcp 上的流式 HTTP 暴露三个工具：

工具	功能
verify_pm_trade	对预测市场论点进行执行前审计（即上文所述的门控）。
query_pol_certificates	从 Irys datachain 读取之前的 ProofOfLogic 证书。
query_agent_trust	实时链上信任评分（由子图索引）：totalAudits、failRate、最新裁定，以及操作 PROCEED/HALT/NO_HISTORY。

---

诚实说明 v1 的现状

工具目前尚不能完成的事项——特意记录在此，以便在广泛推广门控前重新审议：

• 工具不会写入 ProofOfLogic。 verify_pm_trade 会返回 verdict_hash，但目前不会锚定证书。现有 Irys 证书属于先前架构的沿用成果，并非此工具的输出。
• 响应中不包含分类哈希。 四个哈希常量已从固定表中导出，但尚未包含在工具的 JSON 响应中。

当前的响应契约包括：verdict、action、risk_score、flags、unknown_fields、disagreements（逐字段样本一致性遥测）、verdict_hash、extraction_failsafe、in_scope 和分类体系版本。

已知差异：子图的原始 failCount 会将 WAIT 计为 FAIL

query_agent_trust 会将 WAIT 判定从失败率的分子和分母中排除，并以 wait_count 报告。任何人若直接读取子图，而非通过工具读取，得到的答案都会不同。 djzs-subgraph/src/trust-score.ts 中的 handleScoreUpdated 会在 else 分支（verdict == "PASS" / else）中递增 failCount，因此 WAIT——这是一种弃权，而非失败——会计入 failCount，使任何曾收到 WAIT 的 Agent 的失败率虚高。

Worker 会根据每次审计的判定重新计算，因此工具给出的结果是正确的。索引中的计数器并不正确；在映射得到修正并重新索引之前，它们都会保持如此。两个数字会并列返回（标注为 subgraph_counters），让差异一目了然，而非等到日后才被发现。此问题已列为后续事项；不会刻意将其并入读取层修复，因为映射变更需要重新部署子图并重新索引。

---

旧版 HTTP API（向后兼容）

在 MCP 门控推出之前，DJZS 是一项付费 HTTP 审计服务。为保持向后兼容，这些端点仍然保留；上文的 MCP 门控是当前接口。各档位通过 x-payment-proof 标头使用 Base Mainnet 上的 USDC 计费：

档位	端点	价格	备忘录长度上限
Micro	POST /api/audit/micro	$0.10	2,000 字符
Founder	POST /api/audit/founder	$1.00	5,000 字符
Treasury	POST /api/audit/treasury	$10.00	不限

POST /api/audit 是 Micro 档位的别名；另有一个通过托管结算的变体（POST /api/audit/escrow），使用链上托管代替付款标头。这些档位运行的是较早的检测路径，而非 Architecture C 引擎——请将其输出视为旧版结果。

---

链上产物

A2A 清单（agent.json）声明了 Base Mainnet 上的四个 DJZS 合约，均标记为 verified。每个合约的源代码都位于 contracts/：

合约	地址	源代码
DJZSLogicTrustScore	0xB3324D07A8713b354435FF0e2A982A504e81b137	contracts/DJZSLogicTrustScore.sol
DJZSEscrowLock	0xB041760147a60F63Ca701da9e431412bCc25Cfb7	contracts/DJZSEscrowLock.sol
DJZSAgentRegistry	0xe40d5669Ce8e06A91188B82Ce7292175E2013E41	contracts/DJZSAgentRegistry.sol
DJZSStaking	0xA362947D23D52C05a431E378F30C8A962De91e8A	contracts/DJZSStaking.sol

地址与 agent.json 中记录的一致；请在 BaseScan 上核验。

第五个合约 contracts/DJZSProofOfLogicNFT.sol 仅有源代码——它不在已部署清单中，本文也不声称证书 NFT 已上线或可以铸造。

早期的 ProofOfLogic 证书存储在 Irys datachain 上，可通过 query_pol_certificates MCP 工具读取。它们属于早期架构的沿革，并非 verify_pm_trade 的输出。

---

阅读日志

提交历史就是产品自身的审计轨迹：每项包含判定的变更都会附带一条 PENDING 注释，指出仍未得到证明的内容；而后续关闭该事项的提交会明确消除这条注释。每项声明——无论是召回率、对等结果还是实时判定哈希——在推送时都会引用某次具体运行，而非事后断言。如果你想了解哪些内容已获证明、哪些仍待处理，git log 才是事实依据；本文档是基于它整理的。

运维设置（不在代码中 — 在平台上配置，容易丢失）

这些设置在代码库之外配置。这里记录它们，是因为代码树中的任何内容都不会强制执行这些设置；如果设置被悄然恢复，就会在没有任何差异可供追踪的情况下改变线上行为。

设置	位置	原因
mcp.djzs.ai 的 Browser Integrity Check：关闭	Cloudflare 仪表板 → Configuration Rules	对于被禁止的客户端签名，BIC 会在 Worker 运行前返回 Cloudflare 403，error code: 1010。2026-09-13 的测量结果：Python-urllib/2.7、/3.4、/3.11、Java/1.8.0_292 和 libwww-perl/6.15 均被拦截，而 python-requests、curl、Wget、Go-http-client、httpx、aiohttp、node-fetch、Postman、空 UA 和自定义 UA 均通过。mcp.djzs.ai 是 API 主机，而非浏览器界面 — 在这里，使用标准库 urllib 的调用方是普通客户端，而不是机器人。不要重新启用。
Worker 回滚目标：bca8ccb6	wrangler rollback bca8ccb6	按照部署规范，在部署目标系统 / WAIT 更改前指定：部署前指定回滚目标，部署后探测已部署的版本。

如果 403 响应带有 server: cloudflare，且 text/plain 正文内容为 error code: 1010，则始终是边缘节点返回的，而不是 Worker。Worker 只在一个地方读取 user-agent — 遥测 INSERT，并且从不据此进行拦截。

---

代码库结构

• server/engine-v2/ — 架构 C：deterministic-engine.ts（冻结的判定器）、 extraction-layer.ts（N=3 共识提取）、audit-input-schema.ts、hash.ts，以及 calibration/ 基准测试 + 评分器。
• shared/audit-schema.ts — DJZS-LF 永续合约分类体系（上述表格的数据来源）。
• shared/pm-taxonomy.ts — DJZS-M 预测市场分类体系。
• djzs-trust-mcp/ — Cloudflare Worker：MCP 服务和 verify_pm_trade 工具， 通过构建别名导入已冻结的引擎和共享分类体系。
• server/（较早的层）— 先前的 HTTP 审计路径及其 ProofOfLogic / 结算流程， 为保持向后兼容而保留。其旧版检测层过去使用由 Venice 托管的模型；架构 C 路径不依赖它。

---

确定性核心运行时零外部依赖。提取步骤是唯一依赖模型的组件，并隔离在一个可替换的函数中。