Bize güvenmeyin. Sürümü kontrol edin.

Her sürüm neyi yayımlar

İmzalı bir beyan, dağıttığımız commit’i, kaynak ağacını ve sabitlenmiş her bağımlılığı hash’leriyle adlandırır. Yanında: sürümdeki her paketi listeleyen bir SBOM, kapımızın neyi kontrol ettiği (derleme, testler, güvenlik açığı ve lint tarayıcıları), ve ajanların anahtarlarını tutan enclave’in ölçümü. Konteyner imajları çalışmadan önce kendi üretim sunucularımızca kontrol edilir; özetleri yayımlanmaz.

Zincir üstünde çalışan kod eksiksiz yayımlanır: Solidity sözleşmeleri, nereye dağıtıldıklarının kayıtları ve ajanlarımızın ERC-8004 kartları. Deponun geri kalanı gizli kalır ve yalnızca hash’leri yayımlanır. Bu bir tercih; onu bulanıklaştırmak yerine açıkça söylemeyi seçiyoruz.

Her seferinde otonom ajanlarca incelenir

Bir sürüm imzalanmadan önce birkaç yapay zekâ ajanı, önceki sürümden bu yana değişen her şeyi inceler: biri paranın hareket etmemesi gerekirken hareket edebileceği yolları arar, biri düz hataları, biri dağıtımda neyin bozulabileceğini, biri de değiştiyse zincir üstü kodu. Ardından ikinci ve bağımsız bir ajan her bulguyu çürütmeye çalışır ve onu doğrulandı, olası ya da reddedildi olarak işaretler.

İmzalama betiği, doğrulanmış yüksek önemde bir bulgu çözülmeden, yani ne düzeltilmiş ne de depoda yazılı olarak kabul edilmişken imzalamayı reddeder. İmzalı beyan, incelemenin özetini taşır: önem derecesine göre bulgular ve çözülmemiş yüksek bulgu sayısı. Tam rapor özel kodu anlattığı için yayımlanmaz; hash’i imzalıdır, yani raporu sonradan eline alan herkes onun bu sürümün imzalandığı rapor olduğunu kontrol edebilir.

Bunun kanıtladığı: inceleme o sürüm üzerinde, beyanın adını verdiği modellerle çalıştı ve özetinin saydığını buldu. Kanıtlamadığı: kodda hata olmadığı. Bir model bir şeyi kaçırabilir. Bu bir kanıttır, garanti değildir; size bir yapay zekâ incelemesinin garanti olduğunu söyleyen biri bir şey satıyordur.

Değişmeyen tek bir bağlantı

Ajanlarımızın her ERC-8004 kartı bu listeyi “verification” hizmeti olarak adlandırır. Kartlar ve zincir sürümden sürüme aynı kalır; liste her seferinde bir kayıt büyür.

Sürümler

Aynı liste, makinece okunabilir: https://defiloops.com/verify/releases.json

Bir sürüm nasıl kontrol edilir

1. Bir paketi CID’siyle indirin ve imzayı aşağıdaki anahtarlardan biriyle cosign ile kontrol edin:

   ipfs get <cid> -o bundle && cd bundle
   cosign verify-blob --key keys/<fingerprint>.pub \
       --bundle statement.sigstore.json --insecure-ignore-tlog=true statement.json

2. SBOM’un imzalanan SBOM olduğunu (hash, beyandaki sbom.sha256 ile aynı olmalı) ve diğer her dosyayı kontrol edin:

   sha256sum sbom.spdx.json
   sha256sum -c SHA256SUMS

3. Paketin CID’sini kendiniz yeniden hesaplayın. Burada listelenenle aynı olmalı:

   ipfs add -r -n -Q --cid-version=0 bundle

Sürüm anahtarlarımız

Her paket açık anahtarları taşır, ama bir paket kendine kefil olamaz: parmak izlerini bunlarla karşılaştırın. İlki bir donanım anahtarında yaşar ve oradan kopyalanamaz; ikincisi çevrim dışı bir yedektir.

• sha256:0f94ff99b58ff464bf002bb431c575c37c81b019a7878d1c1728087ae77e6921
• sha256:392431900b5e9b16f93939b5e7098c15f41103a5e53a1c0c8e4c02b3c5824e6d