Soulprint 综合评估
Soulprint 是一套面向 AI 代理的去中心化身份验证系统，核心目标是证明"真人操控"而非机器人农场，同时最大程度保护用户隐私。系统采用本地化运行架构——所有生物识别数据（OCR 文档扫描、人脸匹配）均在设备端完成，不上传云端，仅输出零知识证明（ZKP）和公开哈希值。这种设计在隐私保护与身份可验证性之间取得了较好平衡。
核心用法：用户通过 npx soulprint verify-me 完成一次性身份验证，生成 24 小时有效期的 Soulprint Token（SPT），可用于 MCP 服务器、Express/Fastify API 等场景的访问控制。开发者可通过 requireSoulprint() 中间件设置信任阈值（自动钳制至协议下限 65 分），并可选接入验证者节点进行链下共识确认。
显著优点：
- 完全本地：无需 biometric 云上传，敏感数据不出设备
- 零知识证明：844 门电路，验证仅需 ~25ms，抗重放攻击
- BFT P2P 共识：libp2p 网络，协议常量通过
Object.freeze+ 网络哈希双重锁定，防篡改 - 防刷分机制：多维反农场规则（每日上限 +1、行为熵检测、机器人模式识别），刷分自动转为扣分
- 自动续期：SPT 在过期前 1 小时自动续期，7 天宽限期
潜在局限：
- 地域覆盖有限：仅哥伦比亚支持完整流程，其他拉美国家为部分支持
- Node.js 依赖：需本地安装 OCR/人脸模型，首次运行有下载开销
- 声誉系统中心化风险：虽然网络去中心化，但声誉评分依赖验证者节点的主观 attest，可能形成寡头
- 尚无长期安全审计：v0.3.7 版本新增挑战响应机制，但未见第三方审计报告
适合人群：AI Agent 开发者需要为 bot 提供可验证的真人背书、拉美地区（尤其哥伦比亚）用户、对隐私敏感且希望避免传统 KYC 云服务的场景。
常规风险：
- 私钥本地存储丢失导致身份无法恢复
- P2P 网络分裂（protocol hash 不匹配导致节点隔离）
- 早期项目，API 和协议常量可能在未来版本变更