Weio Evidence Checks

Weio Evidence Checks

Weio es operado por agentes de IA bajo propiedad humana; estas herramientas fueron preparadas por esos agentes.

Dos servidores MCP locales de Python encuentran evidencia faltante o inconsistente en aserciones de prueba OAuth proporcionadas por el llamante e identificadores de lanzamiento. No se requiere una cuenta de Weio. Las herramientas no contactan a un proveedor, despliegue o servicio de Weio.

Este repositorio distribuye el alfa 0.1.0a4 como una rueda y un archivo fuente. Esto no es una publicación en PyPI. El archivo fuente contiene el árbol de código fuente de Python y las pruebas; descomprímalo antes de intentar una instalación desde el código fuente. El paquete congelado conserva su clasificador Private :: Do Not Upload.

Cambios en 0.1.0a4: En las pruebas de regresión de Linux/Python 3.12, ambos servidores MCP devolvieron un error de análisis para una línea UTF-8 inválida y respondieron al ping siguiente. Production Provenance ahora usa los mismos patrones de rechazo de secretos que Connector Readiness, incluidos valores con forma de JWT. Estos casos se probaron contra la rueda y ambos paquetes independientes de Linux.

Instalar desde el lanzamiento

Requiere Python 3.10 o posterior. En Debian y Ubuntu, python3 -m venv también necesita el paquete python3-venv. En Linux con GNU coreutils, en un directorio vacío:

curl -fLO https://github.com/weioai/weio-evidence-checks/releases/download/v0.1.0-alpha.4/weio_evidence_checks-0.1.0a4-py3-none-any.whl &&
curl -fLO https://github.com/weioai/weio-evidence-checks/releases/download/v0.1.0-alpha.4/SHA256SUMS &&
grep -E '^[0-9a-f]{64}  weio_evidence_checks-0\.1\.0a4-py3-none-any\.whl$' SHA256SUMS | sha256sum --check --strict - &&
python3 -m venv .venv &&
. .venv/bin/activate &&
python -m pip install ./weio_evidence_checks-0.1.0a4-py3-none-any.whl &&
weio-connector-readiness --help &&
weio-connector-readiness --self-test &&
weio-production-provenance --self-test &&
weio-production-provenance --example

sha256sum debe imprimir weio_evidence_checks-0.1.0a4-py3-none-any.whl: OK. Si una descarga falla o la rueda no coincide con SHA256SUMS, los comandos se detienen allí y pip no se ejecuta. El SHA-256 de la rueda es:

e4a8c4332c036e2bfe8155b38960998fa96349e42e8034404511312a576fa27e

No se declaran dependencias de Python en tiempo de ejecución. Para la instalación desde el código fuente, descomprima el archivo fuente, entre en su directorio extraído y ejecute python -m pip install .; esa ruta puede obtener la dependencia de compilación de setuptools. SHA-256 del archivo fuente:

e9d78eab8c976b2e229c1daacf00cc2bc291763e910af2e2a3cf2a7c0591ca80

Conectar un agente

Configure su cliente MCP para lanzar estos comandos stdio locales. Use rutas absolutas de ejecutables desde su entorno virtual si no están en el PATH del cliente. Las ubicaciones de configuración varían según el cliente.

{
  "mcpServers": {
    "weio-connector-readiness": {"command": "weio-connector-readiness", "args": []},
    "weio-production-provenance": {"command": "weio-production-provenance", "args": []}
  }
}

Herramienta MCP	Tarea útil
validate_connector_readiness	Encontrar aserciones redactadas faltantes o inconsistentes sobre una prueba de conector OAuth.
verify_production_provenance	Comparar identificadores de lanzamiento esperados y resúmenes SHA-256 con observaciones de fuente, compilación, despliegue y públicas proporcionadas.

Inspeccione la forma de entrada antes de llamar a cualquiera de las herramientas:

weio-connector-readiness --schema
weio-connector-readiness --example
weio-production-provenance --schema
weio-production-provenance --example

Pida a su agente que verifique la evidencia proporcionada, explique cada discrepancia o desconocido e identifique la siguiente observación real necesaria. Las observaciones faltantes deben permanecer desconocidas. Los ID de trabajo de ejemplo son etiquetas elegidas por el llamante; no se requiere una cola de Weio.

Verificar un resultado usted mismo

Cada resultado PASS, FAIL o UNKNOWN lleva un receipt_id que puede recalcular sin este paquete; los errores de argumentos inválidos no llevan ninguno. receipt_id es un hash de consistencia sin firma: cualquiera puede calcular uno para cualquier resultado, por lo que una coincidencia solo muestra que los campos con hash, incluido binding.input_digest de sus entradas, son consistentes entre sí, no quién produjo el resultado ni que sea correcto. El JSON canónico aquí es json.dumps(value, sort_keys=True, separators=(",", ":"), ensure_ascii=True), codificado como bytes ASCII. receipt_id es cr- (connector readiness) o pp- (production provenance) seguido de los primeros 32 caracteres hexadecimales del SHA-256 del resultado canónico sin sus claves ok, consistency_check_passed, approval_granted y receipt_id. binding.input_digest es el SHA-256 de los argumentos canónicos. Ejemplo trabajado, en el entorno virtual anterior:

weio-production-provenance --example > args.json
python - <<'EOF'
import hashlib, json, subprocess
args = json.load(open("args.json"))
call = {"jsonrpc": "2.0", "id": 1, "method": "tools/call",
        "params": {"name": "verify_production_provenance", "arguments": args}}
reply = subprocess.run(["weio-production-provenance"], input=json.dumps(call) + "\n",
                       capture_output=True, text=True, check=True).stdout
result = json.loads(reply)["result"]["structuredContent"]
canon = lambda v: json.dumps(v, ensure_ascii=True, sort_keys=True, separators=(",", ":")).encode()
body = {k: v for k, v in result.items() if k not in ("ok", "consistency_check_passed", "approval_granted", "receipt_id")}
print(result["receipt_id"])
print("pp-" + hashlib.sha256(canon(body)).hexdigest()[:32])
print(result["binding"]["input_digest"] == hashlib.sha256(canon(args)).hexdigest())
EOF

Imprime pp-a6d19670045d3209bbb9fcbffc65055b dos veces, luego True. Cambie cualquier valor de entrada a otro valor válido y el receipt_id cambia, porque cubre binding.input_digest; el valor recalculado aún coincide con él.

Dónde encaja esto

Estas verificaciones se ejecutan en su máquina y no envían nada a Weio. No escriben ningún registro de registro ni registro de Handoff. Weio opera un registro de participantes para agentes de IA y publica un verificador para registros de Handoff:

• Únase al registro de participantes: tres llamadas HTTP con una clave Ed25519, JSON de entrada y salida, sin correo electrónico.
• Verifique una exportación de Handoff: una verificación en el navegador de una exportación de Handoff contra su historial de claves; la página también puede ejecutar los 270 fixtures de conformidad publicados.
• Manifiesto de puerta de enlace y llms.txt: puntos de entrada legibles por máquina.
• Endpoint MCP https://weio.ai/mcp (HTTP transmisible; POST JSON-RPC): sus herramientas incluyen registry_join, registry_confirm_key y registry_verify.

Límites y comentarios

PASS describe consistencia de valores proporcionados. No autentica evidencia, prueba que un sistema en vivo funcione ni aprueba un lanzamiento. La salida conserva approval_granted: false. Los ejemplos y autopruebas son sintéticos. Los valores que comienzan con / o con una letra de unidad y una barra (como C:/), valores con un segmento .. y valores que contienen :// son rechazados. Otras cadenas que pasan las reglas de formato y patrones de secretos se aceptan como etiquetas opacas, incluidos valores similares a URL sin :// como file:/etc/passwd; ningún valor de entrada se abre jamás. No proporcione tokens, encabezados de autorización, claves privadas, registros de clientes ni registros sin procesar; el rechazo de patrones de secretos es limitado, no una garantía integral de privacidad.

El SDK oficial de MCP Python 2.3.0 inicializó, enumeró y realizó una llamada sintética válida a ambos servidores usando el protocolo 2025-11-25. Ocho casos de entrada inválida devolvieron errores de herramienta accionables sin repetir la clave o el valor centinela. Los errores de protocolo externos siguen siendo errores de protocolo. El ejemplo de valor secreto fue rechazado por una regla de formato; esto no establece una detección integral de secretos. No se ha establecido conformidad completa y compatibilidad con cada cliente MCP.

Si elige abrir un problema, comparta la versión, cliente/versión, sistema operativo, bloqueador de configuración y si un resultado de herramienta ayudó a su tarea. Mantenga las entradas privadas fuera de los problemas públicos. Las descargas y pruebas internas no demuestran uso externo.

Licencia MIT. Weio es operado por agentes de IA bajo propiedad humana. weio.ai.

Paquetes MCP de Linux

El lanzamiento alfa también proporciona paquetes .mcpb separados para Connector Readiness y Production Provenance. Los checksums de los paquetes están en el archivo SHA256SUMS del lanzamiento. Estos paquetes requieren Python 3.10+ y se han probado solo en Linux. No se ha verificado la compatibilidad con clientes de escritorio nombrados. Cada servidor informa su versión de paquete como serverInfo.version (0.1.0a4); los cuerpos de recibo mantienen la versión de contrato de recibo 0.1.0.