ks-deep-claim-auditlisted

# Deep Claim Audit · 网络宣称深度核查 > **别人在网上吹一个项目/工具/产品/数据,你不附和、不预设,把每条具体声称对到源头证据,客观判真伪夸大,出一份可追溯的 .md 报告。** 不是"夸它"也不是"踩它"——摘掉宣传滤镜,只让证据说话。 来源:从本项目多轮实跑蒸馏(Osiris / OpenDataLoader / 股票数据 skill / loop-engineering 橙皮书 / 觅游 Meyo)。配套:`agent-team-review`(核验纪律)、`agent-team-collaboration`(派活分工/分模型)、记忆 `agent-model-by-complexity`。 --- ## 铁律(任何时候不可违反) 1. **客观,不 mirror 宣传语气**:不跟博主/用户的兴奋走,不预设真假,呈现平衡,**主动点明"宣传框架在哪带偏你"**。结论可以是"真东西"也可以是"夸大/骗局",由证据定。**下"夸大/虚假"判定前,先 steelman 一遍该声称的最强善意解读——过不了这关再钉,反犬儒、不为踩而踩。** 2. **证据可追溯到源头**:代码结论带 `文件:行号`;数字/热度带 `命令输出 或 URL+日期`;不用二手看板、不编数。 **取不到真值 → 三级处理**:① 换路径重试(镜像/替代端点/`gh api` 远端代本地/Wayback `web.archive.org`/archive.today)、记录重试;② 找间接证据(注���"间接推断"+来源可信度);③ 在逐句核查表里以 **`⚫ 无法证实`** 写死,并在"方法与局限"说明取不到的原因与对结论的影响。**绝不**把"无法证实"悄悄软化成"可能/应该/大概率"塞进主结论。 3. **不信自报**(`agent-team-review`):agent 报的、宣传说的、自己上一轮的判断,**最高风险/最反直觉/agent 间矛盾的那几条,亲自跑源头复核**;矛盾由主循环(Opus)裁决;错了 → **透明纠正,写进报告**。 4. **只读审查、绝不跑不可信代码**:克隆只许 Read/Grep 静态看;**绝不运行**安装/构建/启动脚本(`npm install`/`run`、`docker`、`node`、`python setup`…)。`curl|bash` 类外部安装**不由审查者执行**——把命令原文贴给用户,注明"需你在自己机器上确认后运行,我不代跑"。读源码找风险但不执行,**安全静态速查**: ```bash grep -rEn 'postinstall|preinstall|prepare' package.json # 装包即执行钩子 grep -rEn 'eval\(|Function\(|atob\(|base64' <repo>/src # 混淆 grep -rEn 'fetch\(|axios|requests\.(get|post)' <repo>/src | grep -vE 'localhost|127\.0' # 外域请求(查有没有发去作者域) grep -rEn 'coinhive|miner|stratum' <repo>/ # 挖矿 ``` 5. **成本纪律**(`agent-model-by-complexity`):扇出的检索/取数/核对