Xerify
Başka bir sağlayıcıya sor, net bir ikinci görüş al. Shell odaklı, açık kaynaklı, sağlayıcılar arası doğrulama aracı.
Problem
Bir yapay zeka modelinin ürettiği kodu, yine aynı modele doğrulatmak kapalı bir devre. Model kendi kör noktasını göremez; aynı eğitim verisinden gelen aynı hatalı varsayımı hem üretir hem onaylar. "Bu değişiklik güvenli mi?" sorusunun cevabı, soruyu soran tarafla aynı kanaldan geliyorsa bir doğrulama değil, yankıdır.
Pratikte ekipler bunu elle çözüyor: çıktıyı kopyalayıp başka bir sohbet penceresine yapıştırmak. Bu ne tekrarlanabilir, ne betiklenebilir, ne de CI'da bir çıkış koduna bağlanabilir. Karar kayda geçmez, kanıt sınırı belirsizdir, sonuç "bana iyi göründü"den öteye gitmez.
Yaklaşım
Xerify, ikinci görüşü terminale taşıyor. Kanıt pipe ile veriliyor, iddia `--claim` ile açıkça yazılıyor, doğrulamayı yapacak taraf `--to` ile seçiliyor. Çıktı ya insan okuru için, ya da tek ve kararlı bir JSON zarfı olarak dönüyor — böylece aynı çağrı hem elde hem CI adımında çalışıyor.
Aracın merkezinde tek bir kural var: doğrulayan taraf, üreten taraftan farklı bir çağrı sağlayıcısı olmak zorunda. Aynı sağlayıcıyla yapılan `verify` çağrısı model çağrısına gitmeden reddediliyor. Bu ayrım kanal çeşitliliğini ölçer; iki modelin ağırlıklarının veya kör noktalarının bağımsız olduğunu iddia etmez — belge bunu açıkça söyler.
Aynı çekirdek dört yüzeyi birden besliyor: CLI, JavaScript/TypeScript kütüphanesi, yerel STDIO MCP sunucusu ve Streamable HTTP MCP sunucusu. Bir kodlama ajanı, insanın terminalde çalıştırdığı doğrulamanın aynısını araç olarak çağırabiliyor.
Teknik Kararlar
Sağlayıcı kimliği modele değil kanala bağlı
`--from` ve `--to`, çağrıyı yapan kontrol ve faturalama hizmetini belirtir. Cursor üzerinden seçilen model adında GPT veya Claude geçse bile sağlayıcı `cursor` sayılır; doğrudan Codex `openai`, doğrudan Claude `anthropic` olur. Kimliği model adından türetmek, farklı sanılan iki kanalın aslında aynı olduğu durumları gizlerdi.
Belirsizlik başarıya çevrilmiyor
Üç sonuç var: `confirmed` (0), `refuted` (10), `unclear` (11). Timeout, sağlayıcı hatası, geçersiz şema ve kırpılma ayrı sıfır dışı kodlarla fail-closed kalıyor. `unclear` asla 0'a yuvarlanmıyor — çağıran taraf "emin olamadım" ile "doğruladım" arasındaki farkı çıkış kodundan görebiliyor.
Sağlayıcı çıktısı güvenilmeyen veri
Dönen metin hiçbir zaman komut, kaynak dosya, MCP talimatı veya yapılandırma olarak değerlendirilmiyor. Prompt ve bağlam shell argümanına girmiyor, adaptörler `shell: false` ile tek bir çalıştırılabilir çağırıyor, çıktı bayt sınırlı okunuyor. Resmi CLI adaptörleri kullanıcının deposunda değil, kısıtlı geçici çalışma alanlarında çalışıyor.
Denetim kaydı metadata ile sınırlı
`.xerify/` altındaki JSONL günlüğü ve çalıştırma geçmişi yalnızca metadata tutuyor; prompt, bağlam, cevap, bulgular, ham yanıt ve gizli değerler dışarıda bırakılıyor. Geçmiş kayıtları tek atomik `HEAD.json` üzerinden monoton kimlik alıyor, arşiv indeksi binlerce kaydın tüm dosyalar açılmadan aranmasına izin veriyor.
Kurulum kontrolleri ücretsiz
`health`, `doctor`, `providers list`, `providers probe` ve `config validate` komutlarının hiçbiri model çağrısı yapmıyor. Ücret doğurabilecek tek şey canlı `ask` ve `verify`; bu ayrım belgede ve komut yüzeyinde net tutuldu.
Sonuç
0.1.0 yayın adayı olarak MIT lisansıyla açık kaynak. Genel CI Ubuntu, macOS ve Windows üzerinde Node 20 ve 24 ile yeşil; harici kurulum ve MCP Inspector duman testleri dahil. Aynı kontroller WSL2/Node 24 hattında da geçiyor.
Altı dilde belgelendirildi (İngilizce kanonik; Türkçe, Almanca, Çince, İspanyolca, Fransızca çeviriler). Çalışılmış doğrulama örnekleri araştırma, oyun üretimi, web sitesi, analitik ve dışa veri aktarımı vakalarını kapsıyor; her biri sınırlandırılmış kanıtı, tam komutu ve gözlenen sonucu gösteriyor.
Verhex kendi işinde kullanıyor: bu sitenin deposunda `xverify-cli` geliştirme bağımlılığı olarak kurulu ve MCP sunucusu olarak tanımlı.