提交控制基线自证：五分钟，不用写代码

17 条控制，其中 10 条强制。每条只回答做到 / 没做到。填完之后，任何一个准备付钱给你的人都能在付之前查到这份声明。

有缺口也能交

没做到的照实勾「未做到」，写一句打算怎么补。做成只有满分才能交的考卷，结果只有没人交或者交假的。

不需要账号

填完就交，不注册、不留邮箱也行。

我们不替你填

主体名可以从链接带进来，但每一条答案只能你自己勾，替别人声称他做到了什么，正是这套东西要防的事。

责任主体名称

公司或组织的正式名称。这是自证「关于谁」，不是你的 Agent 名字。

已勾选0 / 17强制项0 / 1010 项缺口：允许，但要写补救计划

身份与归因

每个付款 Agent 都归因到一个已登记主体ACB-1.1强制没有归因，出事之后连「该找谁」都答不上来，更谈不上追偿或吊销。Agent 身份可证明，不能只靠自称ACB-1.2强制只认 agentId 不认凭证，等于任何人都能冒用别人的身份付款 —— 归因这件事就白做了。责任主体经过第三方身份核验（KYC/KYB）ACB-1.3自填的主体名可以是任何字符串。要让归因在法律上站得住，主体本身得被核验过。

boundary

设定单笔上限ACB-2.1强制提示注入最直接的变现方式就是一次性转走全部余额。单笔上限把最坏情况从「全部」降到一个你能承受的数。设定单日累计上限ACB-2.2强制只有单笔上限，攻击者就拆成一百笔小额。累计上限管住的是「总共」。收款方白名单ACB-2.3上限只管「多少」，不管「给谁」。白名单让被污染的 Agent 即使在额度内，也付不到攻击者的地址。付款用途与授权比对ACB-2.4金额和收款方都对，用途却完全对不上 —— 这是提示注入留下的最典型痕迹。

enforcement

边界在 Agent 的推理之外执行ACB-3.1强制这是整份基线的核心。写在系统提示词里的「不要超过 100 美元」是一句可以被劝服的话；写在网关上的同一句话不是。凡是 Agent 自己能改写、能绕过、能「解释清楚」的限制，都不算控制。结算前做收款方合规筛查ACB-3.2强制钱一旦上链就追不回来。筛查必须发生在结算之前，而不是事后对账时。防重放 / 防双花ACB-3.3强制一个通过了全部检查的请求被重复提交，每一次都会「合法」地通过。控制点必须记得它已经批过这一笔。把同一套规矩也写进链上策略合约ACB-3.4Agent 直接上链付款时不经过网关。要让边界在这条轨上同样成立，规矩必须由链上强制 —— 而且任何人可自行核验。

observability

放行与拦截都留下不可否认的记录ACB-4.1强制只记拦截不记放行，事后就说不清「这笔当时为什么放了」。而且记录不能由 Agent 自己写 —— 被污染的 Agent 也会污染它自己的日志。判决可被第三方核验ACB-4.2「我们查过了」是一句声称。可核验的凭证让对手方、审计师、监管都能自己确认，而不必信你。异常行为有人看ACB-4.3所有控制都有一个共同前提：有人会注意到它们在报警。没人看的告警等于没有告警。

response

授权可即时吊销ACB-5.1强制发现 Agent 失控时，你需要的是「现在停」，不是「下次部署时停」。吊销必须在下一笔付款前就生效。凭证可轮换，且有轮换机制ACB-5.2强制凭证泄露是「会发生」而不是「可能发生」。能轮换，泄露才只是一次事故而不是一次终局。大额付款挂起等人工批准ACB-5.3并非所有事都该全自动。给一个金额阈值，超过就让人看一眼 —— 这一眼的成本远低于一次误付。

没做到的那些，打算怎么补（有缺口时必填）联系方式（可选，不公开）

不需要账号。提交后对手方立刻查得到。

更愿意用接口？

curl https://oceanalt.com/api/baseline          # 控制清单
curl -X POST https://oceanalt.com/api/baseline/attest \
  -H "content-type: application/json" \
  -d '{"entity":"Acme Robotics Ltd","answers":{"ACB-1.1":true},"gapPlan":"…"}'

MCP 客户端里有 baseline_controls 与 attest_control_baseline 两个工具，Agent 可以直接替它的运营方提交。