安全性の確保

まず限界から

あなたのリクエストは他のユーザーのクライアントが再構成して上流へ送ります。その瞬間、本文はその端末から見えます。

以下に書いてあることはすべて事実です。そして上の一文も同じく事実であり、以下に何を書いてもそれは変わりません。

保存しないもの

プラットフォームはマッチング・中継・課金を行います。中継したものを保持はしません。

• データベースにメッセージ本文のカラムがありません。
• トラフィックはメモリ上で中継され、そのまま破棄されます。
• リクエスト本文を保持するキャッシュ層はありません。
• ログにリクエスト／レスポンス本文は出ません。

プラットフォームはリクエストを解析します——Anthropic・OpenAI・Gemini の方言間で変換する必要があるためです——が、意味を読むのではなくトークンを数えるだけで、何も残しません。

売り手が騙されて枠を消費させられることはない

すべての配信は、ゲートウェイが Ed25519 鍵で task_id | モデル | 予算 | 有効期限 に署名しています。売り手のクライアントは自分のサブスクに触れる前にその署名を検証します。偽造や再送の配信では 1 トークンも消費されません。

署名は 1 時間で失効し、その中の予算が売り手側でローカルに強制される上限です。超えたストリームはその場で打ち切られます。

売り手は買い手を欺けない

• 署名された予算を超える出力は課金対象になりません。
• ゲートウェイ推定を超えるプロンプト数は頭打ちにされ、比例縮小されます。
• タスクの通信路は配信先の端末に紐づいており、他の売り手が内容を差し込むことも使用量を報告することもできません。
• 両側のカウントが相互検証され、乖離は信用スコアに記録されます。

買い手も売り手を欺けない

• 費用は配信前に凍結されます。残高のない買い手は売り手まで到達しません。
• 請求はウォレットの実残高で頭打ちになり、残高はマイナスになりません。
• レート制限は売買双方にアカウント単位で適用されます。

認証情報の所在

端末セッションは、署名付き・時間制限付き・1 回限りのハンドシェイクで認証されます。再送は拒否され、新しい端末トークンを発行すると古いものは即座に無効になります。

資金

すべての資金移動は複式簿記です。1 時間ごとに帳簿全体を再検証します——借方合計と貸方合計、そして各アカウントの元帳と申告残高。合わなければ、差分を吸収するのではなくウォレットを凍結してアラートを上げます。

クライアントはオープンソース

クライアントは、あなたの認証情報を持ち、あなたのリクエストを送るコンポーネントです。ここに書いたことを信じるのではなく検証できるよう、そのソースは公開されています。