十条发现、十个答复：公开对自己黑盒的审计

📋 概述

NoireBox 是一个给 AI 代理用的飞行记录仪：代理的每个决策都被封进带哈希链、外部锚定、可证明未篡改的日志。作者认为，一个卖点是「你可以相信它记录了什么」的产品，有一条它自己也容易忘记的义务——它必须能扛住对自己的审计；一个审计所有代理、却藏起自己漏洞的记录仪，就是把「证人是嫌疑人」这个问题用在自己身上。他们请外部对 v0.20.0 做逐行审计，拿回十条发现：三条高危、五条中危、两条低危，每条都带文件、行号与攻击路径，全部公开。其中最该让每个验证工具作者害怕的是 NB-02：第三方验证器在机器上缺少 openssl 或 ots 时会直接 return True，于是任何在缺工具的容器里跑 CI 的管道，都会把一个时间戳令牌被完全伪造的日志验证为通过。0.21.0 的答复是：不可验证的见证令牌退出码为 2，永远不返回干净的 0。