提交控制基線自證 —— 五分鐘，不用寫代碼

17 條控制，其中 10 條強制。每條只回答做到 / 沒做到。填完之後，任何一個準備付錢給你的人都能在付之前查到這份聲明。

有缺口也能交

沒做到的照實勾「未做到」，寫一句打算怎麼補。做成只有滿分才能交的考卷，結果只有沒人交或者交假的。

不需要賬號

填完就交，不註冊、不留郵箱也行。

我們不替你填

主體名可以從鏈接帶進來，但每一條答案只能你自己勾 —— 替別人聲稱他做到了什麼，正是這套東西要防的事。

責任主體名稱

公司或組織的正式名稱。這是自證「關於誰」，不是你的 Agent 名字。

已勾選0 / 17強制項0 / 1010 項缺口 —— 允許，但要寫補救計劃

身份與歸因

每個付款 Agent 都歸因到一個已登記主體ACB-1.1強制沒有歸因，出事之後連「該找誰」都答不上來，更談不上追償或吊銷。Agent 身份可證明，不能只靠自稱ACB-1.2強制只認 agentId 不認憑證，等於任何人都能冒用別人的身份付款 —— 歸因這件事就白做了。責任主體經過第三方身份核驗（KYC/KYB）ACB-1.3自填的主體名可以是任何字符串。要讓歸因在法律上站得住，主體本身得被核驗過。

boundary

設定單筆上限ACB-2.1強制提示注入最直接的變現方式就是一次性轉走全部餘額。單筆上限把最壞情況從「全部」降到一個你能承受的數。設定單日累計上限ACB-2.2強制只有單筆上限，攻擊者就拆成一百筆小額。累計上限管住的是「總共」。收款方白名單ACB-2.3上限只管「多少」，不管「給誰」。白名單讓被汙染的 Agent 即使在額度內，也付不到攻擊者的地址。付款用途與授權比對ACB-2.4金額和收款方都對，用途卻完全對不上 —— 這是提示注入留下的最典型痕跡。

enforcement

邊界在 Agent 的推理之外執行ACB-3.1強制這是整份基線的核心。寫在系統提示詞裡的「不要超過 100 美元」是一句可以被勸服的話；寫在網關上的同一句話不是。凡是 Agent 自己能改寫、能繞過、能「解釋清楚」的限制，都不算控制。結算前做收款方合規篩查ACB-3.2強制錢一旦上鍊就追不回來。篩查必須發生在結算之前，而不是事後對賬時。防重放 / 防雙花ACB-3.3強制一個通過了全部檢查的請求被重複提交，每一次都會「合法」地通過。控制點必須記得它已經批過這一筆。把同一套規矩也寫進鏈上策略合約ACB-3.4Agent 直接上鍊付款時不經過網關。要讓邊界在這條軌上同樣成立，規矩必須由鏈上強制 —— 而且任何人可自行核驗。

observability

放行與攔截都留下不可否認的記錄ACB-4.1強制只記攔截不記放行，事後就說不清「這筆當時為什麼放了」。而且記錄不能由 Agent 自己寫 —— 被汙染的 Agent 也會汙染它自己的日誌。判決可被第三方核驗ACB-4.2「我們查過了」是一句聲稱。可核驗的憑證讓對手方、審計師、監管都能自己確認，而不必信你。異常行為有人看ACB-4.3所有控制都有一個共同前提：有人會注意到它們在報警。沒人看的告警等於沒有告警。

response

授權可即時吊銷ACB-5.1強制發現 Agent 失控時，你需要的是「現在停」，不是「下次部署時停」。吊銷必須在下一筆付款前就生效。憑證可輪換，且有輪換機制ACB-5.2強制憑證洩露是「會發生」而不是「可能發生」。能輪換，洩露才只是一次事故而不是一次終局。大額付款掛起等人工批准ACB-5.3並非所有事都該全自動。給一個金額閾值，超過就讓人看一眼 —— 這一眼的成本遠低於一次誤付。

沒做到的那些，打算怎麼補（有缺口時必填）聯繫方式（可選，不公開）

不需要賬號。提交後對手方立刻查得到。

更願意用接口？

curl https://oceanalt.com/api/baseline          # 控制清單
curl -X POST https://oceanalt.com/api/baseline/attest \
  -H "content-type: application/json" \
  -d '{"entity":"Acme Robotics Ltd","answers":{"ACB-1.1":true},"gapPlan":"…"}'

MCP 客戶端裡有 baseline_controls 與 attest_control_baseline 兩個工具，Agent 可以直接替它的運營方提交。