atar-trust 1.0.0a1__tar.gz

atar_trust-1.0.0a1/.github/ISSUE_TEMPLATE/bug_report.md

@@ -0,0 +1,26 @@
+name: Bug report
+about: Report a defect in ATAR
+title: "[bug] "
+labels: bug
+assignees: ''
+---
+
+## Describe the bug
+A clear and concise description of what the bug is.
+
+## To reproduce
+Steps + minimal commands:
+```bash
+atar ...
+```
+
+## Expected behavior
+What you expected to happen.
+
+## Environment
+- OS:
+- Python:
+- atar version (`pip show atar`):
+
+## Additional context
+Logs, stack traces, or related issues.

atar_trust-1.0.0a1/.github/ISSUE_TEMPLATE/feature_request.md

@@ -0,0 +1,19 @@
+name: Feature request
+about: Propose an addition or change to ATAR
+title: "[feature] "
+labels: enhancement
+assignees: ''
+---
+
+## Problem
+What problem does this solve? (ATAR is the *trust layer* — keep proposals
+serverless, free, and offline-verifiable.)
+
+## Proposed solution
+A clear description of the change.
+
+## Design constraints check
+- [ ] Serverless (no central operator)?
+- [ ] Free (no blockchain/gas/accounts)?
+- [ ] Verifiable offline?
+- [ ] Backward compatible with the wire format in SPEC.md?

atar_trust-1.0.0a1/.github/PULL_REQUEST_TEMPLATE.md

@@ -0,0 +1,15 @@
+name: Pull Request
+
+## Description
+What does this PR change and why?
+
+## Checklist
+- [ ] `pytest` passes locally
+- [ ] Tests added/updated for the change
+- [ ] `SPEC.md` updated if the wire format changed
+- [ ] Commits are focused and message imperative (`feat:`, `fix:`, `docs:`)
+
+## Design constraints (ATAR is the trust layer)
+- [ ] Serverless (no central operator)
+- [ ] Free (no blockchain/gas/accounts)
+- [ ] Verifiable offline

atar_trust-1.0.0a1/.github/workflows/ci.yml

@@ -0,0 +1,26 @@
+name: CI
+
+on:
+  push:
+    branches: [master, main]
+  pull_request:
+    branches: [master, main]
+
+jobs:
+  test:
+    runs-on: ubuntu-latest
+    strategy:
+      matrix:
+        python-version: ["3.11", "3.12"]
+    steps:
+      - uses: actions/checkout@v4
+      - name: Set up Python ${{ matrix.python-version }}
+        uses: actions/setup-python@v5
+        with:
+          python-version: ${{ matrix.python-version }}
+      - name: Install
+        run: |
+          python -m pip install --upgrade pip
+          pip install -e ".[dev]"
+      - name: Run tests
+        run: pytest -q

atar_trust-1.0.0a1/.github/workflows/release.yml

@@ -0,0 +1,33 @@
+name: Release to PyPI
+
+on:
+  push:
+    tags:
+      - "v*"
+
+jobs:
+  release:
+    name: Release to PyPI
+    runs-on: ubuntu-latest
+    permissions:
+      id-token: write
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v4
+
+      - name: Set up Python
+        uses: actions/setup-python@v5
+        with:
+          python-version: "3.11"
+
+      - name: Install build dependencies
+        run: |
+          python -m pip install --upgrade pip
+          python -m pip install hatchling build
+
+      - name: Build package
+        run: python -m build
+
+      - name: Publish to PyPI
+        uses: pypa/gh-action-pypi-publish@release/v1

atar_trust-1.0.0a1/.gitignore

@@ -0,0 +1,15 @@
+__pycache__/
+*.pyc
+.atar/
+build/
+dist/
+*.egg-info/
+venv/
+.venv/
+.env
+# generated artifacts (keep out of the repo)
+dashboard_demo.html
+atar-dashboard.html
+vouch*.json
+*.vouch.json
+agent-card.json

atar_trust-1.0.0a1/ATAR-MISSION-VISION.md

@@ -0,0 +1,253 @@
+# ATAR — Mission, Vision & Strategie Brief
+
+> **Status:** Intern — vor Öffentlichkeit zu klären
+> **Ziel:** VC/Startup-Ökosystem-Positionierung ("Top-Layer der Agenten-Ära")
+> **Datum:** 2026-08-29
+
+---
+
+## 1. Mission (Was ATAR tut — präzise)
+
+ATAR ist das **kostenlose, dezentrale, serverlose Vertrauensprotokoll für autonome KI-Agenten.**
+
+Es gibt jeder Agenten-Instanz eine selbst-soberäne kryptografische Identität (`did:agent:`) und ermöglicht es Agenten, einander mit signierten, manipulationssicheren Attestierungen zu empfehlen. Jeder Beobachter kann diese Empfehlungen **offline, für $0 und ohne Server** verifizieren.
+
+**In einem Satz:** ATAR beantwortet die Frage *„Wer ist dieser Agent, und warum sollte ich ihm trauen?"* — ohne zentrale Autorität, ohne Blockchain, ohne Kosten.
+
+**Was ATAR NICHT ist:**
+- Kein Agenten-Framework (das ist CrewAI, AutoGen, LangGraph)
+- Kein Agenten-Registrierungsdienst (das wäre zentralisiert)
+- Kein Reputations-Algorithmus (das wäre subjektiv)
+- Kein Produkt mit Bezahlung (das wäre ein Tool, kein Protokoll)
+
+**Die Unterscheidung, die alles ändert:** ATAR ist ein **Protokoll** — wie HTTP, nicht wie Google. Es hat keinen eigenen Wert, aber es ermöglicht Wertschöpfung darauf.
+
+---
+
+## 2. Vision (Wohin ATAR gehen soll — ambitioniert)
+
+**In 3-5 Jahren:** ATAR ist der **de-facto Standard für Vertrauen zwischen autonomen Agenten**, so selbstverständlich wie TLS/SSL für HTTPS.
+
+**Das bedeutet konkret:**
+- Jedes neue Agenten-Framework integriert ATAR als Vertrauens-Layer
+- Wenn zwei Agenten unterschiedlicher Owner interagieren, tauschen sie ATAR-Agent-Karten aus
+- Agenten-Vermittlungsdienste (Marketplaces, Directories) nutzen ATAR zur Reputationsverifizierung
+- Regulierungsbehörden akzeptieren ATAR-Attestierungen als Audit-Nachweis
+
+**Der „SSL/CA of the Agent Era"-Vergleich ist korrekt — aber nur, wenn wir ihn richtig lesen:**
+- SSL wurde nicht durch den Standard relevant, sondern durch Browser-Adoption
+- ATAR wird nicht durch Spezifikation relevant, sondern durch **Agenten-Framework-Adoption**
+- Der erste Adopter ist kein Browser, sondern ein Agenten-Framework
+
+---
+
+## 3. Zielgruppe (Für wen ATAR ist — präzise)
+
+### 3.1 Primäre Zielgruppe: Agenten-Framework-Entwickler
+
+**Wer:** Core-Teams von CrewAI, AutoGen, LangGraph, Semantic Kernel, Mastra, Agency Swarm etc.
+
+**Warum sie ATAR wollen:**
+- Sie brauchen einen Vertrauens-Layer für Multi-Agenten-Interaktionen
+- Sie wollen nicht selbst ein Protokoll bauen (Re-Inventing the Wheel)
+- Sie wollen "Vertrauensfähigkeit out of the box" als Feature werben
+
+**Warum sie ATAR *nicht* nehmen (aktuell):**
+- Es gibt keinen Integration Guide
+- Es gibt keine Garantie, dass ATAR maintained bleibt
+- Es gibt keine Community, die Fragen beantwortet
+
+**Was sie brauchen:**
+- Eine "ATAR for X" Integration (Composer/Package)
+- Dokumentation, die sie in < 30 Minuten einbinden können
+- Eine klare "Warum ATAR statt eigener Lösung"-Begründung
+
+**Strategische Wirkung:** Wenn ein Framework ATAR einbindet, haben sie **sofort Tausende indirekte Nutzer** — ohne dass jeder Nutzer ATAR manuell installieren muss.
+
+### 3.2 Sekundäre Zielgruppe: VC/Startup-Ökosystem (Dein Use-Case)
+
+**Wer:** Gründer, die Multi-Agenten-Systeme bauen, und die VC-Partner, die sie finanzieren.
+
+**Warum sie ATAR wollen:**
+- **Für Gründer:** "Wir nutzen ATAR als Vertrauens-Layer" ist ein stärkeres Signal als "Wir haben ein eigenes Reputation-System gebaut". Es signalisiert: *Wir verstehen die Top-Layer-Dynamik.*
+- **Für VCs:** ATAR als "SSL der Agenten" ist eine klare, prägnante Positionierung — besser als "Wir bauen einen Agenten".
+
+**Warum sie ATAR *nicht* nehmen (aktuell):**
+- ATAR ist nicht öffentlich
+- Es gibt keine "ATAR-enabled" Badge/Siegel
+- Es gibt keine Case Studies oder Testimonials
+
+**Was sie brauchen:**
+- Eine öffentliche Spezifikation (RFC-Draft)
+- Ein "ATAR-enabled"-Badge für Startups
+- Eine klare Geschichte: "Wir haben ATAR gewählt, weil..."
+
+**Strategische Wirkung:** ATAR wird zum **Signal für technische Reife** — ähnlich wie "Kubernetes-ready" für Cloud-Startups.
+
+### 3.3 Tertiäre Zielgruppe: Forscher & Open-Source-Communities
+
+**Wer:** Akademische Gruppen, die dezentrale Agenten-Netzwerke erforschen, und OSS-Communities.
+
+**Warum sie ATAR wollen:**
+- Ein offenes, gut dokumentiertes Protokoll für Experimente
+- Keine Lizenzkosten, keine zentrale Autorität
+
+**Was sie brauchen:**
+- Publikationen / Papers, die ATAR beschreiben
+- Eine Community (Discord, Forum)
+
+**Strategische Wirkung:** Forscher zitieren ATAR → Sichtbarkeit → Adoption durch Industrie.
+
+---
+
+## 4. Strategische Positionierung (Wie ATAR wirkt)
+
+### 4.1 Der "HTTP"-Move
+
+**Die Geschichte:** HTTP wurde nicht relevant, weil es eine Spezifikation gab. Es wurde relevant, weil Mosaic (der erste Browser) es benutzte. Dann kamen Netscape, IE, Firefox — und plötzlich war HTTP überall.
+
+**Die Analogie für ATAR:**
+- HTTP = ATAR
+- Mosaic = Der erste Agenten-Framework, der ATAR einbindet
+- Browser = Agenten-Frameworks
+
+**Die Strategie:** Finde das „Mosaic" — das erste Agenten-Framework, das ATAR einbindet. Nicht das größte, das erste. Das ist der Hebel.
+
+### 4.2 Die "Top-Layer"-These
+
+**Die Dynamik:**
+- Transport ist gelöst (MCP/A2A) — wie TCP/IP in den 90ern
+- Vertrauen ist ungelöst — wie Sicherheit vor SSL
+- Wer die Sicherheits-Layer dominiert, dominiert die Wertschöpfung
+
+**Die Analogie:**
+- Let's Encrypt machte SSL kostenlos → jeder konnte HTTPS aktivieren
+- ATAR macht Vertrauen kostenlos → jeder Agent kann Vertrauensfähigkeit aktivieren
+
+**Die Strategie:** Positioniere ATAR als **Let's Encrypt für Agentenvertrauen** — nicht als Zertifizierungsstelle, sondern als **Mechanismus, den andere nutzen können**.
+
+### 4.3 Das "SSL-Siegel"-Modell
+
+**Das Konzept:** Genau wie das Schloss-Symbol im Browser Vertrauen signalisiert, kann ein "ATAR-enabled"-Badge Vertrauen für Agenten signalisiert.
+
+**Die Umsetzung:**
+- Ein Agent, der eine ATAR-Agent-Karte sendet, ist "ATAR-enabled"
+- Ein Framework, das ATAR einbindet, ist "ATAR-native"
+- Ein Startup, das ATAR nutzt, ist "ATAR-trusted"
+
+**Die Strategie:** Das Badge wird zum **Standard für Vertrauensfähigkeit** — und wer das Badge kontrolliert (ATAR), kontrolliert das Vertrauen.
+
+---
+
+## 5. Kritische Entscheidungen (Ja/Nein)
+
+### 5.1 Soll ATAR eine Stiftung/Community werden?
+
+**Option A: Solo-Projekt (Dominik's ATAR)**
+- ✅ Schnelle Entscheidungen
+- ✅ Klare Vision
+- ❌ Kein Vertrauenssignal für Unternehmen
+- ❌ Bus-Faktor = 1
+
+**Option B: ATAR Community (ähnlich wie CNCF)**
+- ✅ Vertrauenssignal für Unternehmen
+- ✅ Mehrere Maintainer
+- ❌ Langsame Entscheidungen
+- ❌ Politische Komplexität
+
+**Meine Empfehlung:** **Option A jetzt, Option B später.** Starte als Solo-Projekt, um schnell zu sein. Übergang zu Community, wenn der erste Framework-Adopter kommt. Keine Community ohne Adopter.
+
+### 5.2 Soll ATAR eine eigene Blockchain bekommen?
+
+**Option A: Keine Blockchain (aktuell)**
+- ✅ Zero-cost
+- ✅ Kein Gas
+- ❌ Keine "Blockchain-Hype"-Positionierung
+- ❌ Keine Token-Ökonomie
+
+**Option B: Blockchain-Layer (z.B. Polygon, Solana)**
+- ✅ "Web3"-Positionierung
+- ✅ Token-Incentives
+- ❌ Gas-Kosten
+- ❌ Zentralisierungs-Risiko (RPC-Anbieter)
+
+**Meine Empfehlung:** **Option A.** Blockchains sind für Vertrauen zwischen Agenten der falsche Ansatz — sie sind langsam, teuer und empirisch Sybil-anfällig. ATARs Stärke ist *keine* Blockchain zu brauchen.
+
+### 5.3 Soll ATAR kommerzielle Features haben?
+
+**Option A: Komplett kostenlos (aktuell)**
+- ✅ "Public Good"-Positionierung
+- ✅ Schnellste Adoption
+- ❌ Kein direktes Revenue
+- ❌ Abhängig von Sponsoring/Grants
+
+**Option B: Freemium (kostenloses Protokoll, bezahlte Tools)**
+- ✅ Revenue-Möglichkeit
+- ✅ "Open Core"-Modell
+- ❌ Komplexität
+- ❌ Spaltung zwischen kostenpflichtig/frei
+
+**Option C: Komplett kostenlos, Sponsoring/Grants**
+- ✅ Maximaler Goodwill
+- ✅ Fokus auf Adoption
+- ❌ Abhängig von externer Finanzierung
+
+**Meine Empfehlung:** **Option C.** ATAR selbst bleibt kostenlos (wie HTTP). Revenue kommt durch **konsultiert Dienstleistungen** (ATAR-Integration für Enterprise) oder **Grants** (Linux Foundation, Mozilla, etc.).
+
+---
+
+## 6. Was "Top-Layer" wirklich bedeutet
+
+**Die Illusion:** "Top-Layer" = das Protokoll, auf dem alles andere aufbaut.
+
+**Die Realität:** "Top-Layer" = das Protokoll, das **kein Produkt ersetzt**, sondern ** Produkte ermöglicht**.
+
+**Konkrete Beispiele:**
+- ATAR ermöglicht Agenten-Marketplaces (wie eBay für Agenten)
+- ATAR ermöglicht Reputation-Systeme (wie Trustpilot für Agenten)
+- ATAR ermöglicht Audit-Logs (wie Finanz-Audits für Agenten-Entscheidungen)
+- ATAR ermöglicht "Know Your Agent"-Regulierung (wie KYC für Agenten)
+
+**ATAR selbst baut keine dieser Anwendungen.** Es macht sie möglich — und nimmt den Entwicklern die Schwierigkeit, ein Vertrauensprotokoll selbst zu bauen.
+
+---
+
+## 7. Die VC-Geschichte (Wenn du ATAR präsentierst)
+
+**Die Elevator Pitch:**
+> „MCP und A2A haben den Transport für Agenten gelöst — wie TCP/IP in den 90ern. Aber Vertrauen zwischen Agenten ist ungelöst — wie Sicherheit vor SSL. ATAR ist das kostenlose, dezentrale, serverlose Vertrauensprotokoll für Agenten. Es gibt jeder Agenten-Instanz eine Identität und ermöglicht es Agenten, einander zu empfehlen — verifizierbar offline, für $0, ohne Server. Wir positionieren ATAR als das Let's Encrypt für Agentenvertrauen."
+
+**Die Follow-up-Fragen (bereit sein):**
+- „Wer benutzt es schon?" → "Ein erstes Framework evaluiert die Integration." (Internes Proof-of-Concept existiert)
+- „Wie verdienen wir Geld?" → "ATAR selbst ist kostenlos (Public Good). Revenue kommt durch Enterprise-Integration, Consulting und Grants — ähnlich wie Let's Encrypt."
+- „Was ist der Exit?" → "ATAR ist kein Produkt, das man verkauft. Es ist eine Infrastruktur, die man *adoptiert*. Der Exit ist die Positionierung als Standard — und die Beratung/Konsolidierung darum."
+
+---
+
+## 8. Nächste Schritte (Konkret)
+
+| Schritt | Ziel | Aufwand | Priorität |
+|---|---|---|---|
+| **1. ATAR for Framework X Guide** | Erster öffentlicher Integration Guide | Mittel | 🔴 |
+| **2. RFC-Draft öffentlich** | Positionierung als "Protokoll, nicht Tool" | Niedrig | 🔴 |
+| **3. "ATAR-enabled"-Badge** | Visuelles Signal für Vertrauensfähigkeit | Niedrig | 🟡 |
+| **4. Base58 entfernen** | Zero-Supply-Chain-Risiko | Niedrig | 🟡 |
+| **5. Framework-Integration (CrewAI)** | Erster öffentlicher Adopter | Hoch | 🔴 |
+| **6. Community (Discord/Forum)** | Fragen beantworten, Adoption fördern | Mittel | 🟢 |
+
+---
+
+## 9. Die Kernfrage (Bevor wir weitergehen)
+
+**Willst du ATAR als dein *primäres* Projekt positionieren — oder als *nützliches Werkzeug*, das du nebenbei baust?**
+
+- **Primär:** ATAR wird dein Haupt-Fokus. Du investierst Zeit in Community, Marketing, Konferenzen. VC-Gespräche drehen sich um ATAR.
+- **Nebenbei:** ATAR bleibt ein Tool, das du nutzt und offenlegst. Ein anderes Projekt ist dein primäres Projekt. ATAR ist die "nebenbei"-Infrastruktur.
+
+**Meine Einschätzung:** ATAR als Primär-Projekt ist nur sinnvoll, wenn du bereit bist, 6-12 Monate in Adoption und Community zu investieren — bevor Umsatz kommt. Als "nebenbei" ist es ein starkes Signal, aber kein Geschäft.
+
+**Was ist deine Präferenz?**
+
+---
+
+*Ende des Briefs — für interne Diskussion, nicht für Öffentlichkeit.*

atar_trust-1.0.0a1/CODE_OF_CONDUCT.md

@@ -0,0 +1,38 @@
+# Contributor Covenant Code of Conduct
+
+## Our Pledge
+
+We as members, contributors, and leaders pledge to make participation in our
+community a harassment-free experience for everyone, regardless of age, body
+size, visible or invisible disability, ethnicity, sex characteristics, gender
+identity and expression, level of experience, education, socio-economic status,
+nationality, personal appearance, race, religion, or sexual identity and
+orientation.
+
+We pledge to act and interact in ways that contribute to an open, welcoming,
+diverse, inclusive, and healthy community.
+
+## Our Standards
+
+Examples of behavior that contributes to a positive environment:
+- Demonstrating empathy and kindness toward other people
+- Being respectful of differing opinions, viewpoints, and experiences
+- Giving and gracefully accepting constructive feedback
+- Accepting responsibility and apologizing to those affected by our mistakes
+
+Examples of unacceptable behavior:
+- The use of sexualized language or imagery, and sexual attention or advances
+- Trolling, insulting or derogatory comments, and personal or political attacks
+- Public or private harassment
+- Publishing others' private information without explicit permission
+
+## Enforcement
+
+Instances of abusive, harassing, or otherwise unacceptable behavior may be
+reported to the project maintainer. All complaints will be reviewed and
+investigated promptly and fairly.
+
+This Code of Conduct is adapted from the [Contributor Covenant][homepage],
+version 2.1.
+
+[homepage]: https://www.contributor-covenant.org

atar_trust-1.0.0a1/CONTRIBUTING.md

@@ -0,0 +1,51 @@
+# Contributing to ATAR
+
+Thanks for your interest in ATAR. This document explains how to contribute.
+
+## Development setup
+
+```bash
+git clone https://github.com/Dominik-8/ATAR.git
+cd atar
+python -m venv .venv && source .venv/bin/activate   # or: uv venv
+pip install -e ".[dev]"
+pytest
+```
+
+## Running tests
+
+```bash
+pytest            # full suite
+pytest tests/test_identity.py::test_x   # single test
+```
+
+All code must be covered by tests. We follow TDD: write the failing test
+first, watch it fail, then implement.
+
+## Branch & PR workflow
+
+1. Fork and create a feature branch (`feat/...`, `fix/...`).
+2. Keep commits focused and message them in imperative mood
+   (`feat: add transitive trust depth cap`, `fix: reject malformed vouch`).
+3. Ensure `pytest` is green before opening a PR.
+4. Open a PR against `master` with a clear description of the change and its
+   motivation.
+
+## Code style
+
+- Format with `ruff format` (or `black`).
+- Type hints required on public functions.
+- No new dependencies without discussion — ATAR deliberately stays minimal
+  (cryptography, base58, click).
+
+## Design principles
+
+ATAR is the *trust layer* for agents. Keep it:
+- **Serverless** — no central operator, no ledger.
+- **Free** — no blockchain, no gas, no accounts.
+- **Verifiable offline** — every claim must check without a network round-trip.
+
+## Reporting security issues
+
+See [SECURITY.md](SECURITY.md). Do **not** open public issues for
+vulnerabilities.

atar_trust-1.0.0a1/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Dominik Brück
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.