automaton-colony

Automaton Colony

适用于 automatoncolony.xyz 的独立验证器。这是一项运行在 Base 上的合约筛查服务。

通过商店托管合约在链上购买的每份报告，其 SHA-256 都会由交付报告的交易写入该公开合约。此仓库中的脚本会直接从链上读取该哈希，并将其与磁盘上的文件进行比较。它绝不会联系 automatoncolony.xyz。如果买家必须询问卖家报告是否经过编辑，那就得不到任何有价值的答案。

验证报告

需要 Node 18 或更高版本。没有依赖项，也无需安装任何内容。

node verify-report.mjs <invoiceId> <path-to-report>

发票 ID 是购买确认中显示的 0x 值，共 64 个十六进制字符。路径应指向下载的原始报告文件，不要进行任何重新排版：哪怕只添加一个换行符，哈希也会改变。

escrow            0x85b98F29C0d52c435a4514A6f4843c3b7B6bc06e (v9)
state             RELEASED
bytes  on-chain   6367
bytes  local      6367
sha256 on-chain   0xe7914e36629ba27cec2906d0513bf2b9bc9507d91934ebcfe09b3782c6077edb
sha256 local      0xe7914e36629ba27cec2906d0513bf2b9bc9507d91934ebcfe09b3782c6077edb

MATCH. This file is byte-for-byte the one committed on-chain when the report was delivered.

结果有四种。MATCH 表示文件自交付后未被改动。MISMATCH 表示文件与链上记录的内容不同，无论是经过编辑还是下载不完整。若发票 ID 在两个托管合约中都不存在，会显示专门的提示；输错 ID 也会出现此提示。如果购买记录存在，但没有已提交的内容（退款后以及交付仍在等待时都属于这种情况），脚本会以一行提示说明，因为此时没有可供比较的内容。

退出代码为：匹配时返回 0，用法错误时返回 2，其他情况返回 1，因此可以在其他程序中调用此脚本。

在依赖此检查之前，有一点限制值得了解。托管合约为每笔购买记录一次交付，因此之后使用 Sniper Pass 积分生成的报告不会单独上链锚定：其指纹包含在报告本身中，此脚本无法检查。使用通行证的发票 ID 验证积分报告会得到没有实际意义的 MISMATCH。

还有第二个限制：通过 x402 购买的报告不会经过托管合约。这条路径会直接结算至金库，不会有任何操作将报告哈希写入链上，因此没有发票 ID，此脚本也就没有可供比较的内容。使用这条路径时，买家的凭证是结算交易以及自己对收到的字节计算的 SHA-256。

默认情况下，查询会发送到 https://mainnet.base.org。该端点由多人共用，并有速率限制；可设置 BASE_RPC_URL 使用自己的端点。

BASE_RPC_URL=https://your-endpoint node verify-report.mjs 0x… report.json

此检查仍依赖的假设

此脚本只进行一种网络调用：向 RPC 端点发起 eth_call，并信任其答复。会说谎的端点可能导致虚假的 MATCH。当这一假设至关重要时，请将 BASE_RPC_URL 指向由你控制的节点，或在 BaseScan 上重复读取并比较两次结果。本地文件的哈希计算在线下完成，使用的是 Node 自带的 crypto 模块。

合约

该脚本只查询两个托管合约，不查询其他内容。另外两行列在这里，是因为每笔购买中都会涉及它们：USDC 是付款所用的代币，而策略注册表保存了购买付款时生效的产品描述、条款和隐私哈希。

合约	地址	脚本是否读取
Escrow v9	0x85b98F29C0d52c435a4514A6f4843c3b7B6bc06e	是
Escrow v8	0x6478D01FB344d91b0cffa494091458F1FCfe2232	是
策略注册表（v9）	0xC9c131BA2D0d4F0feD26763cd7200dce74924d72	否
USDC（付款代币）	0x833589fCD6eDb6E08f4c7C32D4f71b54bdA02913	否

脚本会按从新到旧的顺序查询两个托管合约。v9 自 2026 年 8 月 21 日起上线，而在此日期之前购买的报告记录在 v8 中；这些购买者也应该能使用仍然有效的验证器。

两个版本返回相同的结构体，只有一处不同：v9 在第二个位置插入了 paymentToken，因此它之后的每个字段都向后移了一个字。脚本会根据各版本的字段列表按名称读取字段。第一个遇到 v9 的客户端就是因为使用了硬编码索引而出错。

Escrow v9 和策略注册表已在 BaseScan 上验证，因此可以在那里查看这些地址对应的源代码。

手动验证

这里的所有操作都不依赖脚本。无需编写任何代码，也能在 BaseScan 上执行相同的检查：在托管合约上读取 purchases(invoiceId)，取出 contentSha256 字段，并将其与文件的 sha256sum 结果进行比较。操作指南见如何验证安全报告事后未被篡改。

指南

这些指南写给即将花钱的人，并保存在网站上，以确保每份指南只有一个版本。索引位于 guides/。

面向 Agent

这个商店既面向机器，也面向人。Agent 有四种接入方式：

• MCP 服务：https://automatoncolony.xyz/mcp（Streamable HTTP，通过 POST 使用 JSON-RPC 2.0）。工具： check_contract_free、flash_audit_terms、buy_flash_audit（在工具内部通过 x402 付款， 遵循 @x402/mcp 约定）和 collect_flash_audit。在 Claude Code 中： claude mcp add --transport http automaton-colony https://automatoncolony.xyz/mcp。
• Skill：skills/automaton-colony/SKILL.md 教 Agent 何时以及如何使用免费检查、付费报告和验证器。
• 使用 x402 的 HTTP：POST /api/v1/x402/flash-audit 会返回包含条款的 402 响应；相关说明见 openapi.json 和 RFC 9727 目录中的 /.well-known/api-catalog。
• 身份：Base 上的 ERC-8004 Agent 84609，注册文件位于 /.well-known/agent-registration.json。

供大模型使用的纯文本摘要：llms.txt。

报告问题

安全问题请发送至 SECURITY.md 中的地址。请勿针对任何涉及托管资金的问题公开提交 issue。

许可

验证器以 MIT 许可发布，任何人都可以阅读、运行、复制和改编。若不允许任何人重复使用，验证器也就没什么意义了。