VSO发布服务许可与接收方证据历史的五项研究更新
11月2日，我们检查了11月1日已合并的Evidect #30–#34公开源码和CI日志。合成实验涉及服务许可、保存报告验证、检查点期限、代次、密钥撤销及接收方回滚检测。本公告没有重新运行这些实验。
研究阶段：未获采纳，独立复现尚未成立
实验性扩展仍未获采纳，第三方独立复现尚未成立。第一方CI与保存证据复查，不代表独立新执行、正式采纳、完全符合性、生产保证或认证。不同进程、数据库和签名密钥本身不证明独立管理。
1. #30：分别检查用户委托与服务许可
在原有合成授权门外增加检查，同时要求用户委托和当前服务许可。提供者、模型、目的地和通道与请求绑定；每次替代路径或非AI继续操作需要独立请求与批准。固定10个场景使用合成标签和受控内存工具，不连接真实银行或模型，也不验证真实提供者的许可。负例用测试密钥重新签署一致伪造的观测：原检查点拒绝，但另行采用匹配的新检查点可能通过局部一致性检查。因此签名本身不证明观测真实。这是#29三项后续候选问题的限定实现。
变更／源码提交: evidect-site PR #30 · 4e41e0a014d2989ff22029ccd3aca5d38b0b876d · 第一方CI记录
2. #31：接收方复查保存的10场景报告
接收方以另行选定的信任密钥和检查点验证签名回执，再核对原报告的大小与SHA-256，检查保存的尝试顺序、路径、决定和汇总，不重新执行原操作。原请求与批准、历史委托与服务许可、请求到路径的绑定和nonce使用保持NOT_REVERIFIED。local_status: VALID仅表示局部保存内容一致，不是安全合格；除已知无效或不一致外，总结果保持INDETERMINATE。演示检查点一小时的有效期与CI产物14天保存期分开。
变更／源码提交: evidect-site PR #31 · eebb1f067da6fa596cb14320010cc0e16c2047c5 · 第一方CI记录
3. #32：记录验证时刻与检查点标识
8场景和10场景接收报告记录统一评价时刻、检查点规范化SHA-256标识及期限。在到期边界也不判为有效，并区分已知不一致（INVALID）和信任配置过期（INDETERMINATE）。签名输入格式不变，输出仍是未签名的第一方实验报告。本地时钟与检查点哈希不是独立时间证明或外部信任锚。
变更／源码提交: evidect-site PR #32 · c6c8d0bd0c3b3da4e3c542a8bf9d0508c6532678 · 第一方CI记录
4. #33：接收方保留代次历史与本地密钥撤销
单独的可选实验使用明确配置并采用的SQLite状态，保存每个流已达到的最高代次和本地密钥撤销，拒绝旧代次、同代冲突及撤销密钥，并在验证后重读状态。状态缺失、损坏或锁定时，不静默重建并报告成功。负例说明，有权限者恢复整个旧数据库能够绕过这项本地保护；它不是防回滚存储或外部撤销机构。
变更／源码提交: evidect-site PR #33 · 51bfeb90197af7eb0a565b2da7a069aea545d281 · 第一方CI记录
5. #34：通过另一保存状态的挑战响应检测接收方单侧回滚
接收方新生成的256位挑战绑定目标流、交付包与报告摘要，并验证来自独立SQLite存储与密钥的Ed25519签名响应。拒绝接收方落后于见证存储、同代冲突、已保存撤销、响应重放和错误密钥；见证状态落后或不可用不会退回本地成功。传输只使用同一主机的另一子进程，并非独立运营的远程服务。同时恢复两个存储的负例可重新达到局部一致，但总结果保持INDETERMINATE。见证方被攻破、双存储回滚、响应后变化、见证密钥撤销及认证网络传输仍在保证范围之外。
变更／源码提交: evidect-site PR #34 · eeeacf7effc8103276106dcf606b2bafb7349081 · 第一方CI记录
最新第一方CI：每个系统306项测试成功
已合并提交eeeacf7的日志确认，Ubuntu 24.04与macOS 15各通过306项测试：#34新增44项（契约32＋集成12）及原有262项，使用Node.js 22和Python 3.12。不跨系统累计。契约试验包含明示的替代组件；集成测试使用真实签名回执、原8／10场景生成程序、两个SQLite和本地子进程。替代方案#35未合并即关闭，其结果不作为该合并版本的证据。
变更／源码提交: evidect-site PR #34 · eeeacf7effc8103276106dcf606b2bafb7349081 · 第一方CI记录
保留137项测试时点及其他历史记录
11月1日#28／#29公告与137项测试／8场景记录按原版本保持不变。本次306项属于后续版本的范围，不是历史或跨系统结果之和。此前53场景、Explorer API 159／GUI 26等记录及固定配发物均保留。网站只增加说明和链接，不改变现行规范、模式、已有实现、签名数据、固定配发物或K3。