Vestiarion

Vestiarion 通过一个 Agent 管理小型企业的资金循环：筛查交易对象、向供应商付款、发放承包商报酬、收取应收款，并让闲置资金持续发挥作用。大模型提出每项操作；常规代码决定操作是否可以执行；人员决定代码发送给自己的内容；在 Arc 主网上，如果金库使用的是所有者自己的钱包，资金也只能通过该钱包部署的支出限额合约转出。包括拒绝在内的每种结果，都会签名写入哈希链式账本，供工作区中的任何人核验。 观看实际运行： 演示（2:59）或完整产品介绍 （7:22），均于 2026 年 10 月 15 日在正式产品上录制，展示了 10 月 12 日通过 Arc 主网完成的付款：一名自由职业者 的 Agent 在第二位成员确认地址后自行付款；模型想要支付的一家新供应商的首张账单，被代码拒绝，直到第二位成员批准；Agent 选择的付款日期、影子模式和客户数据、 Arc 主网以及相关证明。产品介绍逐行展示了 Agent 如何做出其中三项决策。

Tameion 在古希腊语中意为国库，即存放钱财的房间。在拜占庭时期，这个房间逐渐发展为 vestiarion，也就是负责铸币、保管物资和支付军饷的部门。

目录

• 如何在 5 分钟内评估 Vestiarion
• 观看各项流程
• Vestiarion 的功能
• 它的不同之处
• 付款如何运作
• 安全架构
• Arc 主网和 Arc 测试网
• 产品功能
• 集成
• 面向 Arc 构建者的基础组件
• 快速开始
• 可验证的活动记录
• 文档
• 开发
• 许可证

如何在 5 分钟内评估 Vestiarion

以下所有内容都可以在正式应用 www.vestiarion.xyz 中运行，只需一个电子邮箱地址， 除此之外一无所需：无需钱包、USDC、API 密钥，也无需安装任何东西。

1. 在 Arc 测试网上创建工作区。 在 www.vestiarion.xyz/login 上通过 使用 Google 继续或通过电子邮件接收登录链接登录，为工作区命名，然后选择创建工作区 （如果系统询问，请选择 Arc 测试网上的测试工作区）。工作区最初处于沙盒模式：付款只是模拟操作，不会提交到链上。
2. 加载示例数据并运行 Agent。 在 Treasury 控制台中，选择加载示例数据：其中有六个交易对手、八张发票（七张待付款、一张待收款）和两个承包商里程碑，经过专门选择，可在一个周期中展示所有结果。然后选择立即运行周期。如果想尝试处理自己的账单，请参阅查看你的第一个决策。
3. 查看决策和拒绝结果。 在 Bills & receivables 中，每张账单都会显示 Agent 的决策：付款、在折扣期限的最后一天付款、索要缺失的采购订单、因金额超过供应商限额而暂缓付款，或标记为重复项。账单卡片会显示 Agent 的推理过程和Agent 如何作出决策。如果模型想要付款，但代码中的规则阻止了付款，卡片会显示“已被代码阻止，而非模型”，并指出对应规则。 付款控制方式列出了所有规则；模型与策略意见不一致时展示了生产环境中被付款代码拒绝的付款。
4. 验证已签名账本。 打开 Audit log 并选择验证哈希链：系统会检查每个 Ed25519 签名和哈希链接，并显示“链完整”。在下载下，选择已签名 JSON可导出链；verify-ledger-export.mjs可仅使用 Node.js 在你自己的机器上验证导出内容（验证审计导出）。
5. 查看生产环境。 查看数据每次加载时都会读取生产环境数据：按网络统计工作区、付款、决策以及代码拒绝的付款，并在“自行验证”下链接到我们自己的付款对应的区块浏览器记录。主网证明介绍了在 Arc 主网上的首笔付款：代码会暂缓向新地址的首笔付款；经第二个人批准后，付款通过所有者的支出限额合约完成。

也可以观看：演示（2:59）、 完整产品介绍（7:22），以及每个主要流程的短视频，每段不超过两分钟。

安全审查：www.vestiarion.xyz/security介绍了架构、 租户隔离、加密、访问控制、连接器令牌、Webhook、子处理方以及我们未作出的声明。 SECURITY.md说明了如何报告漏洞。

本仓库中的内容位置：

路径	内容
src/app	Next.js 路由：公开页面、工作区（o/[slug]）、共享链接（receipt、pay、report、statement）和 API（api/v1、api/mcp）
src/lib	逻辑：Agent 和代码中的规则（agent/、agent/guardrails.ts）、签名账本（ledger.ts）、Circle 和 Arc（circle/）、连接器、租户数据访问层（dal/）和密钥（secrets.ts）
src/components	界面
supabase/migrations	Postgres 架构、行级安全和数据库函数，按编号排列的迁移文件
contracts	Solidity 编写的 VestiarionSpendingLimit 和 VestiarionEscrow
sdk 和 cli	@vestiarion/sdk 和 @vestiarion/cli：TypeScript 客户端和 vestiarion 命令
integrations	Slack 应用清单和 HubSpot 应用项目
extensions	Vestiarion Invoice Capture：Chrome 扩展，可将浏览器中的发票作为草稿发送，并附带其商店页面
content/docs	文档站点的页面，采用 MDX 编写
scripts	操作员命令：迁移、周期、支付开关、合约构建、研究回放
tests	npm run verify 运行的 Vitest 测试套件，包含所有迁移，在进程内 Postgres 上运行
docs	如何自行运行、发布，以及各项功能的设计和发布记录

观看每个工作流

每个主要工作流都有一段短视频，使用演示数据在团队自己的工作区中，通过 Arc 测试网在实际产品中录制。每段视频都显示在对应指南的顶部，并附有文字稿，也发布在 YouTube 上。

工作流	时长	展示内容	YouTube
查看您的第一个决策	1:46	以影子模式添加供应商及其一张账单，查看 Agent 的决策及原因，并查看判定结果。	观看
由 Agent 支付您的第一笔款项	1:32	Agent 自行支付的一张账单、一张等待第二人确认的账单，以及两笔账单的记录。	观看
在自己的账单上使用影子模式	1:33	开启影子模式，用真实金额测试 USDC，设置镜像地址，并查看每项决策的判定结果。	观看
付款如何受到管控	1:25	一笔被拒绝的付款、各项限额、审批人以及暂停操作。	观看
在 Arc 上启用工作区	1:26	创建钱包、注入测试网 USDC 并启用，然后在 Arc 主网上使用工作区。	观看
在 Arc 上收取客户付款	1:05	向客户开具发票，查看付款链接和付款页面，以及 Agent 在收款流程中的下一步操作。	观看
由 Agent 发起的提前付款报价	1:13	查看值得提前支付的账单、Agent 发出的报价及供应商的接受结果，还有一笔还价。	观看
为已验证的工作向承包商付款	1:01	通过一次性链接向自由职业者付款，由 Agent 放款，并使用里程碑托管。	观看
来自 QuickBooks 和 Zoho Books 的账单	1:00	打开来自 QuickBooks 和 Zoho Books 的账单，审核并添加，然后由 Agent 作出决策。	观看
自动收到的账单	1:17	将发票 PDF 读取到表单中，粘贴账单列表，并通过电子邮件和 Chrome 接收账单。	观看
向供应商的银行账户支付比索	1:01	使用 BlindPay 设置银行付款，添加供应商的银行账户，并跟踪付款直至完成。	观看
凭证与审计导出	0:56	了解付款原因、每项事实的确认依据，以及审计日志的链校验。	观看
由 Agent 决策的 Xero 账单	1:52	Xero Demo Company 的账单导入系统，一张已在 Xero 中支付的账单在重复付款前被拦截，另一张则在 Arc 测试网上支付。	观看
从 HubSpot 获取交易并在 Arc 上收款	1:55	规划在 HubSpot 中赢得的交易，支付并核对其定金，然后将收据写回 HubSpot。	观看

Vestiarion 的功能

小企业需要手动拼接多个工具来向供应商、承包商付款并支付定期账单，而且不会持续检查这些事项。Vestiarion 将其整合为一个决策循环，即 Agent 周期，每次运行时都会读取整本账簿：

领域	Agent 的操作
应付账款	三方匹配（采购订单、收货记录、发票），检查重复项和风险，然后付款、安排付款、暂缓、请求信息或标记为欺诈，并附上推理过程；检查计划付款的账单与未来现金情况，无法支付所有账单时决定优先支付哪些账单；启用后，会为无法支付的账单向供应商申请延期，或通过一次性链接向供应商索取账单缺少的采购订单或收货记录
承包商	验证里程碑证据后予以付款，例如已合并的 GitHub 拉取请求；在 Arc 测试网上，里程碑对应的 USDC 可存放在托管合约中，直到证据通过验证
合规	每个周期重新筛查所有交易对手（在已配置时使用 OpenSanctions），命中时可逆地下调其付款限额。根据 OFAC 的 SDN 名单检查每个付款地址：Agent 和人员都会拒绝向名单上的地址付款
应收账款	将已签署的交易转为应收款计划，并在相应日期释放；客户通过链接付款；Agent 将转账与应收金额匹配，建议如何处理覆盖多张发票的付款、部分付款或少付手续费的付款；启用后，会在代码设定的范围内提醒客户支付未结款项，并综合考虑客户所说、所付和所承诺的内容、自身规则以及促成交易的 HubSpot 交易；如果某项操作应由人员执行，则会先征求其同意；启用后，当账单因现金不足而暂缓付款时，会向客户提供小额折扣，鼓励其在 5 天内支付未结发票
资金管理	在 Arc 测试网上，仅当收益高于往返手续费时，才将超过 7 天现金缓冲额的闲置现金转入 Circle 的 USYC，并在到期款项需要支付前赎回
审计	将每项决策、人工操作和系统事件追加到由 Ed25519 签名并通过哈希链接的账本中，可一键导出和验证

Agent 周期：对账 -> 收据 -> 合规 -> 跟进 -> 定期账单 -> 服务 -> 流动性 -> 应付账款 -> 承包商 -> 资金管理 -> 预测 -> 建议 -> 催收 -> 提前付款优惠 -> 客户优惠 -> 延期申请 -> 单据申请 -> 现金提醒 -> 通知 -> telegram -> slack -> discord，每个阶段的结果都会追加到账本中。

与众不同之处

• 模型负责论证，但不能付款。 Anthropic、OpenAI 或 DeepSeek 会返回结构化的 {action, reasoning, confidence}。模型作出决定后、资金转移前，代码会重新检查每一条硬性规则；即使完全没有模型密钥，透明的基于规则的策略也会取代模型。每条账本记录都会注明由谁作出决定，并将书面策略的答案与模型的答案一同记录（研究：模型与策略意见不一致时）。
• 限额约束的是资金流转路径，而不只是在代码中。 在 Arc 主网上，工作区可以从其所有者持有的钱包付款。Agent 的钱包只能对由该钱包部署的合约调用 pay；无论 Vestiarion 的代码作出什么决定，该合约都会拒绝超过每日或 7 天限额的付款。
• Vestiarion 不持有该资金库中的 USDC。 在这种方式下，USDC 留在所有者的钱包或通行密钥智能账户中；Vestiarion 不持有这些资金的密钥，Agent 的钱包中也只有 Gas。（其他设置有所不同；请参见按设置划分的托管方式。）
• 由人来决定哪些事最重要。 向新地址进行的首笔付款、超过双人审批限额的付款，以及 Agent 暂缓处理的所有事项，都必须等待人工审批；其中有些还需要两人审批。
• 数据取自实际记录，而非自行宣称。 公开数据会在每次加载时查询生产数据库，并将 Arc 主网与 Arc 测试网的数据分开统计，也将我们自己的工作区与客户的工作区分开统计。

付款流程

在 Arc 主网上，资金库为所有者钱包的工作区会按以下方式付款：

flowchart TD
    T["Owner's treasury<br/>passkey smart account or browser wallet<br/>(Circle Modular Wallets)"]
    C["VestiarionSpendingLimit<br/>deployed and approved by the treasury"]
    A["Vestiarion agent<br/>proposes pay / hold / flag"]
    P["Code: deterministic policy and guardrails"]
    H["Approvals inbox<br/>one or two people"]
    W["Agent wallet<br/>holds gas only"]
    V["Vendor address"]

    T -- "approve(contract)" --> C
    A --> P
    P -- "held, flagged, new payee,<br/>above two-approval figure" --> H
    P -- "allowed" --> W
    H -- "approve and pay" --> W
    W -- "pay(to, amount, ref)" --> C
    C -- "transferFrom(treasury, vendor)<br/>within daily and 7-day figures" --> V
    V -. "settles on Arc in seconds;<br/>Paid event + signed ledger entry" .-> L[("Ledger")]

具体来说：

1. 所有者的钱包就是资金库。 在 Go live 中，所有者可以连接浏览器钱包（MetaMask、Rabby……），也可以创建通行密钥钱包：一个由其通行密钥所有、部署在 Arc 主网上的 Circle 智能账户，并可选择添加恢复地址。所有者的钱包会部署工作区的 VestiarionSpendingLimit 合约、在 USDC 上授权该合约，并向 Agent 的钱包转入 Gas；如果使用通行密钥，只需确认一次，浏览器会先根据自身构建的内容检查每次调用。
2. Agent 提出建议。 每个周期中，模型都会读取发票、交易对手的筛查结果、匹配结果和现金状况，并提出行动建议及其推理过程。
3. 由代码作出决定。 重复付款、风险、付款限额、三方匹配、新收款方、支出限额和流动性规则都会作为常规代码运行。它们可以推翻模型的决定；模型写下的任何内容都不能推翻这些规则。
4. **由人决定代码提交给他们的事项，**可在审批收件箱中处理（或在 Arc 测试网上通过 Slack 处理）。人工审批会经过与 Agent 相同的付款步骤。
5. 最后由合约作出决定。 Agent 的钱包会调用 pay(to, amount, ref)。合约只会在每日和 7 天限额内将 USDC 从资金库转给供应商，并且不会对同一个 ref 付款两次。只有所有者的钱包可以修改限额（setLimits），也可以将 Agent 的授权额度设为 0 来停止它。
6. Arc 完成结算；账本记录结果。 系统会从 Circle 和区块链读取付款状态，从收据中读取手续费（Arc 的 Gas 代币是 USDC，因此收据金额就是美元成本），并将结果签名写入账本。

在 Arc 测试网上，同一决策流程会改为从 Circle 钱包付款；所有者或管理员启用 Enforce on Arc 后，也会通过同一合约付款。

按设置划分的托管方式

设置	USDC 所在位置	谁可以转移资金
Arc 主网：自有钱包或通行密钥	所有者的钱包	所有者；Agent 只能在限额内通过合约转移资金
自有 Circle 账户（测试网或主网）	客户 Circle 账户中的 Developer-Controlled Wallets	Vestiarion，使用所有者粘贴并经加密存储的 API 密钥和实体密钥
托管测试网钱包	Vestiarion 自有 Circle 测试网账户中的钱包	Vestiarion（仅限 Arc 测试网）

安全架构

flowchart LR
    M["Model<br/>proposes"] --> R["Rules in code<br/>refuse or hold"] --> P["People<br/>approve"] --> K["Contract<br/>caps the spend"] --> S["Signed ledger<br/>records all of it"]

层	保障内容
代码中的护栏	绝不向被筛查为高风险、金额超出其限额、与已结清发票重复或匹配不完整的交易对手付款。拒绝时会记录模型给出的理由以及推翻该理由的规则
新收款方检查	向某地址的收款方进行首次付款，需要两个人共同负责：Agent 绝不会仅由提供该地址的人担保就付款，而且此人也不能批准该付款。创建收款方链接的人，视为提供了收款方通过该链接发送的地址；该地址读取自链接的签名账本条目，如果该条目缺失，则读取自链接自身记录。对于在 GitHub 上发送的地址，或无法确定由哪位成员提供的地址，任何确认都不能算作第二人：一位成员确认后，必须由另一位成员批准首次付款；在另一位成员确认之前，任何人都不能单独批准。如果某笔付款此前发送后未被记录，Agent 再次发送该付款前也会进行同样的检查，避免付款等待期间地址被更改后蒙混过关
收款方锁定	可选启用。只有在某人记录了核查方式后，才会向更改后的收款地址付款；此人必须是录入该地址者以外的人，并且需使用工作区在地址更改前已有的联系方式核查；如果所有者设置了等待时间，还需等待 4 到 72 小时。批准付款绝不等于确认地址。与其他收款方的地址或同一收款方之前使用过的地址相同或相似的地址会被标记
双人审批	超过所有者设定的金额后，付款需由两位不同的人审批。Arc 主网工作区的初始金额为 100 USDC，所有者可以调高，但不能关闭此要求
制单与复核	角色包括所有者、管理员、审批人、查看者和会计；会计负责记账和查看，但不决定任何付款。任何人都不能批准自己创建的发票；只有合规人员可以清除高风险交易对手
Agent 支出限额	设置每日和 7 天的金额，并通过代码检查；在有强制执行的情况下，也由合约检查。Arc 主网工作区的初始限额为每日 50 USDC、7 天内 150 USDC
项目预算	Agent 付款或安排付款前，项目中的账单或里程碑金额会在数据库锁定状态下预留到项目预算中；预算无法覆盖的项目会等待人工处理。Vestiarion 中的预留只是账面记录，并非链上锁定资金。同一采购订单或已交付工作对应的账单和里程碑属于同一项付款义务：第二项会等待人工处理
先试行限额	可以将新的付款限额、双人审批金额或支出限额应用于 Agent 过去 30 或 90 天的决策进行试行：代码会按顺序重放每项记录中的决策检查，不调用模型。应用限额时会直接更改相应设置；如果设置在此期间发生变化，则拒绝应用，且其签名条目会记录重放过程
严格一次	数据库声明确保每项决策仅由一方处理；基于发票生成的幂等键可防止同一笔付款重复发出；合约会拒绝重复的 ref
停止开关	任何有权审批的人都可以暂停该工作区的 Agent；所有者的钱包可以停止合约；操作员可以在 10 秒内停止所有部署中的每一笔付款
审计跟踪	每个条目都经过 Ed25519 签名，并包含前一个条目的哈希。验证器会指出首个异常条目；每个条目写入时都会通过签名 Webhook 推送
影子模式	在 Arc 测试网上，企业继续自行支付账单，由人员对 Agent 的每项决策表示同意或不同意，且只执行已同意的付款。企业实际支付的金额会记录在每项决策旁边，绝不推测

合约源码位于 contracts/。该合约为 Vestiarion 编写，尚未经过审计。

Arc 主网和 Arc 测试网

每个工作区都属于一个网络，该网络在创建时选定，此后不会更改。

	Arc 测试网	Arc 主网
谁可以使用	任何登录用户	任何在 vestiarion.xyz 登录的用户；自托管部署通过 MAINNET_ALLOWLIST 选择允许的用户
资金	来自 Circle 水龙头的测试网 USDC 和 EURC	真实 USDC，可在 Arc 上发送，也可通过 CCTP 从其他链转入
资金库	托管钱包，或你自己的 Circle 账户	你自己的钱包或通行密钥钱包，或你自己的 Circle 账户
支出限额合约	可选，通过 Circle 的 Smart Contract Platform 部署	在自有钱包路径下由所有者的钱包部署
另有提供	USYC 储备、里程碑托管、EURC 兑换、通过 CCTP 和 Gateway 向其他链付款、x402、影子模式	Arc 上的 USDC，以及向 Base 和 Arbitrum 付款的 CCTP；Arc 主网不支持的功能不会显示

主网验证

2026 年 10 月 7 日，我们运营的一个工作区通过通行密钥钱包和支出限额合约，在 Arc 主网上完成了首次付款：

1. 所有者的通行密钥钱包在一笔交易中部署并批准了合约，限额为每天 50 USDC、7 天内 150 USDC：0xe6261540…a9bb。
2. Agent 决定支付一张 0.10 USDC 的发票。代码拦截了这笔付款：这是向新地址的首次付款（counterparty.new_payee）。
3. 第二位成员（管理员）批准并支付了这笔款项。Agent 的钱包调用合约，将 0.10 USDC 从通行密钥金库转给供应商，并发出 Paid 事件；手续费为 0.0035 USDC，不到一秒即确认，交易位于区块 24,710,870，时间为 UTC 09:43:13： 0xcecef38e…dee6。

合约：0xd90cA89Fc318d0330Bb14eaeF78B72C3CA7E7fB6。

2026 年 10 月 19 日，我们自己的两个测试工作区（并非客户）首次从 Arc 主网向 Base 付款。它们各自通过 CCTP V2 向 Base 上的钱包支付了 1 USDC，由 Circle 的 Forwarding Service 在 Base 上铸造到账，另加 CCTP 手续费。两笔付款中，Agent 都读取了实时 CCTP 手续费，并选择在到期日付款：账单没有提前付款折扣，因此等到到期日付款无需承担任何成本。随后，代码将这笔款项拦截为向新地址的首次付款，而工作区唯一的审批人批准了付款。

• 来自某个工作区自己的 Circle 账户 （#453）：Arc 上的销毁交易 0x89f66f7b…17e9， 以及 Base 上的铸造交易 0x33b0f0e5…f0ac。
• 来自所有者的通行密钥钱包，通过支出限额合约的第 2 版：Agent 仅用于支付 Gas 的钱包调用了 payAcrossChains （#454），从通行密钥钱包中扣除付款金额及手续费，并在 Arc 上销毁， 0x7c3b4b6b…2a17， 以及 Base 上的铸造交易 0x9ea0fe5a…150c。

2026 年 10 月 22 日，同一个测试工作区通过自己的 Circle 账户，首次从 Arc 主网向 Arbitrum 付款（#498）。Agent 读取了 Circle 向 Arbitrum 转账的实时手续费（0.077 USDC），并将其与 1 USDC 账单的 10% 上限进行比较，再次选择在到期日付款；代码将这笔款项拦截为向新地址的首次付款，而工作区唯一的审批人批准了付款。Arc 上的销毁交易 0xce0a7911…d7b8， 以及 Arbitrum 上的铸造交易 0x385363d4…f987： 收款人收到 1 USDC，另加 0.077084 USDC 的手续费。共享收据会检查 Arbitrum 上的铸造情况，并注明发票编号、手续费及付款人。

Arc 主网上目前还没有客户工作区；公开数据会显示当前数量。

Arc 测试网上的验证

由 Agent 在生产环境中完成：

• 添加 USDC 应付账单后 53 秒即完成付款，期间无人点击 Run： 0x81381c50…4e68;
• 通过支出限额合约完成付款，未超过每日限额： 0xa79cb982…e71e;
• EURC 发票按 Circle 的 Stablecoin Service 报价折算，并与 USDC 限额核对： 0x2e66257f…8f58;
• 通过 CCTP 向 Base Sepolia 付款：Arc 上的销毁交易， 0xbc1961bb…d49c， 以及 Circle 转发的铸造交易， 0x6c749323…ef9a;
• 模型从 PDF 读取发票，经人工核对后，在添加 16 秒后完成付款： 0x197e979f…64b3;
• 闲置现金通过 Circle 的 Teller 存入 USYC， 0x1cf65900…f42e， 随后赎回短缺的 0.88 USDC，以支付今天到期的账单， 0x4b5186db…c7f2， 并在添加 34 秒后支付账单， 0x365da374…9d8b;
• 现金不足以支付同一天到期的两张账单时，Agent 选择优先支付 50 USDC 的数据库备份费用， 而不是书面政策中排在前面的 30 USDC 一次性迁移费用， 0x1adfad84…3a7b;
• 启用收款方锁定后，供应商的收款地址被更改为一个持有 0 USDC 的新钱包。地址未经确认期间，Agent 暂缓支付其 3 USDC 账单。输入地址的成员无法确认该地址，即使提供了完整记录也不行。另一名成员确认后，Agent 又在 4 小时等待期内暂缓支付账单。等待期结束后才付款，钱包余额从 0 增至 3 USDC： 0x49787501…0551;
• 同样的情况也发生在只有一名成员的工作区。未说明该联系人在更改前已登记的记录遭到拒绝，等待期间点击 Agree and pay 也遭到拒绝。等待期结束后，向新地址进行的首次付款仍需要审批人批准： 0x7948ea38…72c5。

每项功能的设计文档都以其上线记录收尾，详见 docs/superpowers/specs/：记录了生产环境中运行的内容，以及对应的账本条目和交易。

产品功能

• 应付账款自动化 — 手动录入发票；从按独立列排列的账单列表导入；读取日期和币种；从 PDF 读取；通过电子邮件转发；通过 Chrome 扩展程序从浏览器采集；或通过 API 发送；定期应付款；付款时享受提前付款折扣；衡量账单等待期间的滞纳金，以及现金不足时的滞纳金，但绝不将滞纳金加到付款金额中。
• 审批收件箱 — 批准并付款、拒绝，或退回给 Agent；认领机制可防止两个人决定同一行。
• 先试用限额 — 查看新的付款限额、双人审批金额或支出限额会放行或拦截哪些历史账单，然后根据结果应用限额。
• 承包商里程碑 — 通过已合并的拉取请求验证；由接受交付工作所在 Asana 任务的人员验证；或由人员验证；支持带有 /bounty 和 /payto 的 GitHub 悬赏；付款后在拉取请求中发表评论。
• 收款人链接 — 收款人自行填写并确认其地址，或创建用于收款的通行密钥钱包。
• 应收账款 — 在 Arc 上提供付款链接；匹配收据；根据 Agent 的建议，将付款应用于多张发票或一张发票的部分金额；将贷项和费用分开记录；追加冲销记录；根据客户的具体情况（争议、索赔、承诺、自有规则、HubSpot 交易负责人）发送未结款项提醒；并支持按发票编号、ID、采购订单、金额或交易搜索。
• 客户对账单 — 为每位客户提供一个链接，打开显示其欠款的页面；客户可在页面上说明已付款、承诺付款日期或对发票提出争议；只要承诺或争议仍有效，Agent 就会暂停提醒。
• 佣金 — 销售合作伙伴或推荐人只会根据客户实际在 Arc 上支付的款项赚取佣金，且金额与已应用的款项完全一致；由人员将应付佣金转为应付款，再由 Agent 像处理其他账单一样付款；合作伙伴绝不能审批自己的款项。
• 交易 — 将已签署的交易（定金和尾款、里程碑、预付服务费或自定义项目）作为一份计划，确保各项金额之和与总额完全一致；在约定日期由人员或 Agent 将每项款项发出为应收账款；价格变更或取消均通过签署新版本处理，绝不改写已开票或已付款的记录。
• 项目 — 为每项工作、客户或发布计划设置 USDC 预算和缓冲金；查看其账单、里程碑和交易，预留、已付及剩余可用金额，各交易已收款项，以及付款计划中的天数。Agent 绝不会重复预留同一笔资金；若预算不足，则暂缓处理并交由人员决定。
• 资金管理 — 今日可安全支出金额、现金流展望，以及使用 Bring cash back 的 USYC 储备（Arc 测试网）。
• 跨币种和跨链 — EURC 发票和兑换、CCTP 和 Gateway 付款（Arc 测试网），以及从 Arc 主网向 Base 和 Arbitrum 付款的 CCTP。
• 供应商付款状态 — 为每家供应商提供一个链接，打开显示其账单的页面：查看每张账单从收到到付清的状态，以及每笔付款在 Arc 上的交易记录；绝不透露账单为何被暂缓。
• 提前付款优惠 — 查看 Agent 的后续账单，以及为今日付款值得争取的折扣；所有者或管理员可向供应商发送一次性链接，或启用 Agent 自行提供优惠：Agent 会挑选账单，在上限范围内确定折扣，仅使用今日可支付的现金，并通过电子邮件向供应商发送链接。供应商接受优惠后，当天即按折后金额付款。
• 现金不足时 — Agent 会根据未来现金情况逐笔核对计划付款的账单，并提前数日暂缓其无法支付的账单。当 14 天内到期的账单金额超过现金时，模型会按逾期付款对企业造成的成本从高到低排序，并说明每笔账单的原因；代码会按此顺序付款，直到现金用尽。启用后，Agent 会就无法支付的账单向供应商请求延期，回应供应商提出的缩短付款期限方案，并在现金到位后撤回请求；还会向客户提供小额折扣，鼓励其提前付款。Agent 会通过控制台、Telegram 和 Slack 告知所有者所需金额及截止时间。
• 每周简报 — 每周一，所有者、管理员和审批人会通过电子邮件收到本周情况：已付款和已收款项、待决事项、需要他们处理的事项、即将支出的款项、现金是否足以覆盖未来 30 天，以及本周收款人地址变更情况（冻结的收款人优先列出）。在影子模式下，简报会报告审核结论，并说明企业与 Agent 意见一致的频率。
• 银行付款 — 使用工作区的 USDC，通过 BlindPay 将供应商账单付至其在墨西哥的银行账户，以比索通过 SPEI 转账；人员可查看供应商收到的金额，并审批每笔付款（BlindPay 的开发实例）。
• 影子模式 — 先让 Agent 处理真实账单，并按企业自己的方式付款，再让它自行付款。
• 报告 — 查看 Agent 如何处理工作区的真实账单：附有交易记录的付款、被拦截的事项及原因、人员介入的频率、根据转账金额衡量的折扣，以及启用实时处理前剩余的事项；随后，所有者可选择供应商，在 Arc 主网上启用实时处理，并直接沿用原有供应商信息，无需再次录入。Agent 与实际情况对比会逐笔列出每张账单的决定，以及企业在 Vestiarion 外部记录的付款情况；数据可来自 CSV，也可来自银行对账单，对账单中的每一行都会与可能对应的账单匹配，且每个数字都链接到其签名记录。价值数据会将已衡量、估算和未计入的数字分开；所有者或管理员可通过可撤销链接分享实时副本，并可选择隐藏供应商标签和金额。
• 工作区和成员 — 按网络划分工作区、发送邀请、设置五种角色、配置每位成员的通知；提供会计师控制台，集中管理外部会计师负责的各家企业；会计师还可向新客户发送一次性链接，让客户自行创建工作区并以影子模式加入，且会计师已在其中。
• 付款未结算时 — 每种异常状态都会说明由谁处理、Vestiarion 已采取的措施以及后续操作；再次付款前始终会先查找此前的转账。
• 付款原因 — 每笔付款均有独立页面，沿着从采购订单到收据的链接逐项查看；每条事实都会标记为已由代码检查、已在外部验证或由人员陈述；记录会在浏览器中再次检查，并可下载为 JSON。
• 审计 — 签名分类账、一键验证、导出和签名 Webhook。

集成

Circle 集成

Circle 产品	用途
Developer-Controlled Wallets	财务库和 Agent 钱包、转账、余额及确认
Modular Wallets	通行密钥智能账户：Arc 主网上所有者的财务库，以及收款人的钱包
Smart Contract Platform	在 Arc 测试网上部署托管合约和支出限额合约
Gas Station	支付 Agent 钱包在 Arc 测试网上的 Gas 费用
USYC	通过其 Teller 提供有收益的储备金（Arc 测试网）
CCTP V2 和 Gateway	在其他链上向收款人付款：通过 Arc 测试网上的 CCTP 和 Gateway，其中 Gateway 也会结算 x402 购买；以及通过 CCTP 从 Arc 主网转至 Base 和 Arbitrum
CCTP V2 Forwarding Service	从 Base、Ethereum 和其他链向工作区在 Arc 上的钱包添加 USDC，由 Circle 铸造，因此钱包无需 Gas（两个网络均适用）
Stablecoin Service	EURC 报价和 USDC→EURC 兑换（Arc 测试网）
Notifications	结算和入账转账 Webhook，在数秒内记录

团队和开发者工具

接入方式	功能
Slack	在频道中查看决策；使用 /vestiarion today、waiting、ledger；在限额内通过 Arc 测试网上的「批准并付款」和「拒绝并退回」按钮操作；从消息添加发票
Telegram	每位成员都有自己的聊天：查看带理由的决策、等待批准且附有审核链接的账单、使用 /today、/waiting、/ledger，以及从 PDF 中读取的发票。机器人绝不会批准或付款
Discord	在每个周期结束后，通过 Agent 的 webhook 将 Agent 持有或标记给某人的账单发布到频道；每条账单都附有链接，可在「审批」中审核。链接绝不会批准账单
REST API	/api/v1 使用每位成员各自的密钥：可以读取所有内容；拥有写入权限时，还可以添加交易对手、发票、里程碑和收款人链接。密钥绝不会批准或付款
TypeScript SDK	@vestiarion/sdk：适用于每项 /api/v1 操作的类型化客户端，并支持 webhook 和账本验证
CLI	@vestiarion/cli：用于执行每项 /api/v1 操作的 vestiarion 命令，每次写入前都会询问；还可离线检查审计导出和 webhook 签名
Postman	包含「入门」集合，从获取密钥到首次调用和首次写入；以及包含每项 /api/v1 操作的 API 参考集合。这两个集合均根据 OpenAPI 文档生成，并托管在 /postman/
MCP server	/api/mcp，其工具对应 AI Agent 使用的 /api/v1 操作；server.json 用于在 MCP Registry 中描述此服务
Webhooks	每个工作区最多可配置 5 个 HTTPS 端点，用于接收所有经过签名的账本条目，并支持重试
GitHub	根据已合并的拉取请求验证里程碑、悬赏任务和付款评论
Email	工作区地址可读取转发的发票，并将其转换为由人员添加的草稿
Chrome extension	Vestiarion Invoice Capture 会将你在页面上选中的发票文本或所选文件发送到工作区，作为草稿；你检查读取的字段并提交后，所有者或管理员会通过与其他账单相同的检查将其添加为账单。它通过登录并授权来连接，不使用 API 密钥，且只能创建和读取自己的草稿：绝不会添加账单、批准或付款。可从 Chrome 网上应用店添加到 Chrome，或按指南所述下载并以解压缩形式加载。其源代码位于 extensions/chrome-invoice-capture
Asana	关联到 Asana 任务的里程碑，在交付成果的任务完成后即可等待验收；人员会根据标准检查交付成果并予以验收，随后 Agent 会像处理任何已验证的里程碑一样决定是否付款。仅凭 Asana 中的任务完成状态绝不会成为付款理由；验收后重新打开或更改任务时会被标记
HubSpot	每 15 分钟同步一次赢单及其客户；「规划回款」会填写「新建交易」表单，此后在 HubSpot 中更改的交易会在该交易上标记出来，供人员更改或保留；获准后，每笔计划交易的收款记录都会写回该交易（已收金额、未付金额、最近收款、对账信息），并读回核对，绝不会覆盖人员的更改；每个工作区仅限一个账户。观看演示（1:55）
Pipedrive	Pipedrive 报告交易变更时立即同步赢单及其组织和联系人，并且每 15 分钟同步一次；「规划回款」会填写「新建交易」表单，此后在 Pipedrive 中更改的交易会在该交易上标记出来，供人员更改或保留；获准后，每笔计划交易的收款记录都会写入 Vestiarion 自有的交易字段，并读回核对，绝不会覆盖人员的更改。Pipedrive 未提供开发者沙盒，因此仅在非影子模式下将 Arc 主网付款写入；每个工作区限连接一家公司
BlindPay	银行付款：为供应商提供 CLABE 后，可将账单款项以墨西哥比索通过 SPEI 转至其墨西哥银行账户，资金来自工作区在 Arc 上的 USDC。仅保留银行名称和账号末四位；每笔付款都由人员审核，人员可查看 BlindPay 对供应商收款金额的报价，并选择支付账单全额或不支付。此版本使用 BlindPay 开发实例
Zoho CRM	每 15 分钟同步一次赢单及其账户和联系人，使用账户所在的 Zoho 数据中心（中国除外）；「规划回款」会填写「新建交易」表单，此后在 Zoho CRM 中更改的交易会在该交易上标记出来，供人员更改或保留；仅支持只读，多个工作区可以连接同一个组织
Xero	每 15 分钟同步一次在 Xero 中已批准、等待审核的账单，并通过与账单列表相同的检查流程处理；人员添加后，这些账单会成为应付款项；在 Arc 上付款后，每笔付款都会作为针对相应账单的预制记账记录，供所有者或管理员逐字段审核并批准，之后才会写入 Xero。在 Arc 测试网或影子模式下的付款只会记入 Xero 演示公司。观看演示（1:52）
QuickBooks Online	每 15 分钟同步一次 QuickBooks 中的未结账单；QuickBooks 报告账单变更时也会更早同步，并通过相同的检查流程处理；在 QuickBooks 中部分付款的账单会按剩余金额同步；仅支持只读，且需预先选择记账付款所用的银行账户
Zoho Books	每 15 分钟同步一次 Zoho Books 中的未结账单，并通过相同的检查流程处理；使用账户所在的 Zoho 数据中心（中国除外）；在 Zoho Books 中部分付款的账单会按剩余金额同步，添加后已付款或已作废的账单会被标记；拥有多个组织的人员需选择一个组织；仅支持只读，且无法看到已在 Zoho Books 中删除的账单
Postman 集合也位于公开工作区 Vestiarion API，MCP 服务则收录在 MCP Registry 中，名称为 io.github.duongnq2798/vestiarion。

npm install @vestiarion/sdk            # the typed client
npm install --global @vestiarion/cli   # the vestiarion command

vestiarion 命令可在终端中操作工作区，密钥可在 Settings → API keys 中获取：

vestiarion login                                            # asks for the key, checks it, saves it for your user
vestiarion bills list --status held                         # what the agent held; bills show <id> says why
vestiarion ledger verify vestiarion-acme-ledger-1042.json   # an audit export, checked offline

自行部署的运营者也会运行仓库中的脚本（npm run cycle、npm run status 等），脚本列表见 docs/self-hosting.md。

面向 Arc 构建者的基础组件

Vestiarion 中可供其他 Arc 应用直接使用的部分，遵循本仓库的许可证。每个部分都经过独立测试。

若只想分叉两个合约和账本验证器，而不包含应用，请使用 duongnq2798/vestiarion-primitives：这是一个 Foundry 项目，包含逐字节一致的两个合约、可复现 Arc 主网字节码并编写脚本与链上字节码进行校验的构建流程、单元测试、模糊测试和不变量测试、部署脚本、部署地址，以及每个调用的 viem 示例。

原语	为 Arc 应用提供的功能	位置
VestiarionSpendingLimit	让 Agent 从其并不持有的金库付款。只有 Agent 的钱包会调用 pay(to, amount, ref)；它不会传入每日或 7 天限额，也不会对同一个 ref 付款两次。金库保留自己的 USDC，并授权该合约，因此合约不持有任何资金；所有者可通过 setLimits 修改限额，或通过授权 0 来停止 Agent。在 Arc 主网上运行：0xd90cA89Fc318d0330Bb14eaeF78B72C3CA7E7fB6，源代码已在 Sourcify 上验证。	contracts/VestiarionSpendingLimit.sol，部署和调用代码位于 src/lib/spending-limit/，在进程内 EVM 中的测试位于 tests/spending-limit-contract.test.ts
VestiarionSpendingLimitV2	版本 2，自 2026 年 10 月 19 日起由路径 C 部署：包含以上全部功能，并提供 payAcrossChains(amount, maxFee, domain, recipient, ref)，可通过 CCTP V2 从同一个金库向 Base 上的供应商付款，并将金额和手续费计入相同限额。代币消息传递器和允许的域在部署时固定，手续费上限为 10% 且不超过 2 USDC，调用后合约不持有任何资金。未经审计。在 Arc 主网上运行：0x00b83bA62F17cd49c9ccB8e782e166c481e5d94F，源代码已在 Sourcify 上验证。所有已部署合约及其已验证的源代码均列于 Arc 上的合约。	contracts/VestiarionSpendingLimitV2.sol，升级代码位于 src/lib/treasury/contract-upgrade.ts，测试位于 tests/spending-limit-v2-contract.test.ts
VestiarionEscrow	约 80 行代码实现的里程碑托管：付款方为收款方锁定 USDC，可释放资金，也可在指定日期后取回。无所有者，不可升级。	contracts/VestiarionEscrow.sol、src/lib/circle/escrow-holds.ts、tests/escrow-contract.test.ts
签名决策账本	记录 Agent 做出的每项决策及其看到的事实，并以 Ed25519 签名和哈希链条目形式保存。任何人都可以在浏览器中或从导出文件离线验证单个条目或整个链条。	src/lib/ledger.ts、SDK 中的 verifyLedgerEntry、验证审计导出文件
影子模式	在不动用企业资金的情况下，使用企业的真实账单试用 Agent：每项决策都等待人工裁定，每笔获准付款都按实际金额在 Arc 测试网上结算，同时统计同意率，并记录企业实际支付的金额，逐笔账单进行对比。	src/lib/shadow-mode.ts、src/lib/verdicts.ts、src/lib/actual-payments-compare.ts、影子模式
@vestiarion/sdk	无依赖的类型化客户端，并提供 Webhook 和账本签名校验功能。	sdk/、npm
**这些内容为 circlefin/arc-* 示例补充了什么。**这些示例展示了如何在 Arc 上转移 USDC：结账、点对点支付、跨链资金库、由 AI 审核后释放的托管款项，以及 Agent 为 x402 服务付款。在那里，Agent 的预算和 arc-nanopayments 的 --limit 一样，由 Agent 自身的进程强制执行。而这里的限额由 Arc 上的合约设定，Agent 的钱包无法突破，同时资金库保留托管权。每笔付款都会附带一条经签名的记录，说明付款原因；影子模式则会衡量人们在 Agent 自行付款前与其意见一致的频率。

快速开始

使用托管应用——无需钱包或密钥即可开始：

1. 使用邮箱在 www.vestiarion.xyz 登录，并在 Arc 测试网上以影子模式创建一个工作区。
2. 添加供应商和一张账单，或加载示例数据，然后观察 Agent 在一分钟内做出决定。
3. 对其决定表示同意或不同意，阅读 Agent 操作情况的 报告，然后验证已签名的账本。

完整流程请参阅查看您的第一个决定。如需转移测试网 USDC， 请按照正式上线中的说明操作，并通过 Circle 的水龙头为钱包充值。

调用 API——在 设置 下创建密钥，然后：

curl -H "Authorization: Bearer $VESTIARION_API_KEY" https://www.vestiarion.xyz/api/v1/status

请参阅快速入门和 身份验证。

可验证的活动

• 公开数据——工作区、付款、Agent 的决定、代码拒绝的事项 以及人们做出的决定，按网络分类；客户数据与我们的数据分开；每次加载时均从生产环境读取。数据每天都会变化， 因此本 README 链接到该页面，而不直接复制数据。
• 账本——每个工作区的 /audit 都可一键验证其完整链；导出内容和 Webhook 均包含相同的签名条目。
• 研究——连续三周记录模型的决定 并与书面政策的决定并列展示，包括代码不得不拒绝模型决定的情况。
• 地址相似项检查器——免费页面，可将地址与您熟悉的地址进行比较； 其规则比「交易对手方」中的相似地址警告更全面，并会在浏览器中检查地址字符、校验和及 OFAC 名单。

Arc 测试网合约

Vestiarion 自有合约，即我们测试工作区中的副本：

合约	地址
VestiarionEscrow	0x74af203fec3f121ff1cd3a763092d1211487702b
VestiarionSpendingLimit	0x9da3c47f73ea9399ac566806a189b0bf47b7d4ba

它调用的 Circle 合约：

合约	地址
USDC	0x3600000000000000000000000000000000000000
EURC	0x89B50855Aa3bE2F677cD6303Cec089B5F319D72a
USYC	0xe9185F0c5F296Ed1797AaE4238D26CCaBEadb86C
USYC Teller	0x9fdF14c5B14173D74C08Af27AebFf39240dC105A
USYC Entitlements	0xCC205224862C7641930c87679E98999d23C26113
Gateway Wallet	0x0077777d7EBA4688BDeF3E311b846F25870A19B9
Gateway Minter	0x0022222ABE238Cc2C7Bb1f21003F0a260052475B
CCTP TokenMessengerV2	0x8FE6B999Dc680CcFDD5Bf7EB0974218be2542DAA

各合约的用途、相关钱包，以及收款人收款所在链上的 USDC： 合约。

文档

入门	查看你的第一个决策 · 了解付款如何受到控制 · 正式上线 · 你的第一笔付款 · 影子模式
指南	付款计划 · 查看付款状态 · 工作区报告 · 先试用限额 · 向承包商付款 · Asana 验收 · 发票采集 · 收款 · 客户对账单 · 供应商付款状态 · 佣金 · 付款未结算时的处理 · 会计师 · 付款获批的原因 · 证据包和收据 · 现金流情景 · 交易 · 项目 · 审计导出
开发者	快速入门 · API 参考 · SDK · CLI · Postman · Webhooks · MCP · 变更日志
此代码库	ARCHITECTURE.md · 自行运行 · 功能设计 · 契约 · SDK 源码 · CLI 源码 · 变更日志 · 发行版本 · 发布 · 分发

开发

Next.js、TypeScript、启用行级安全的 Supabase Postgres、Vitest、Solidity 0.8.37。

npm install
cp .env.example .env.local   # Supabase URL and keys, VESTIARION_MASTER_KEYS, SUPABASE_JWT_SECRET
npm run db:migrate
npm run dev

你需要一个 Supabase 项目（URL 和密钥位于 Project Settings → API，JWT 密钥位于 JWT Keys 下）。如果没有 Circle 或模型密钥，付款会根据 Arc 实测的费用和延迟进行模拟，决策则由基于规则的策略生成，因此无需凭据即可端到端运行应用。

npm run verify   # typecheck, lint and the full test suite: what CI runs

测试套件无需 Supabase、Circle 或模型密钥：它会覆盖账本的篡改场景、风险分级、资金管理经济性、防护措施和提供方回退，并在进程内 Postgres（PGlite）中运行每次迁移，以便验证器检查数据库端哈希链。

docs/self-hosting.md 介绍其余内容：环境变量、创始工作区、所有脚本、各路径的正式上线流程、计划任务（Supabase Cron）、Circle 通知、GitHub，以及哪些功能已上线、哪些仍为模拟状态。

许可证

MIT。Zoho、Zoho Books 和 Zoho CRM 是 Zoho Corporation Pvt. Ltd. 的商标。Arc、Circle、Slack、Telegram、 Discord、Xero、QuickBooks、HubSpot、Pipedrive、Asana 和 npm 是各自所有者的商标；此处提及这些名称是为了说明 Vestiarion 基于哪些产品构建并与哪些产品连接，并不代表这些所有者对其进行背书。