實作者報告 — Implementer Report
Implementer Report
已在生產環境部署 ATR 的組織。透過 pull request 對 ADOPTERS.md registry 自我宣告 (self-declaration)。
本報告中的「符規等級 (Conformance)」係依 /spec 中定義之 L1 / L2 / L3 等級判讀。 查看符規等級定義 →
§1目前實作者
下表列出已在生產環境部署 ATR 的組織。每一筆紀錄連結至構成公開採用證據的合併 pull request 或整合 commit。
| 組織 | 符規等級 | 規格版本 | 整合日期 | 公開憑據 |
|---|---|---|---|---|
| Microsoft Agent Governance Toolkit | L1 Engine | 3.0.0-alpha | 2026-04-26 | PR #1277 ↗ |
| Cisco AI Defense (skill-scanner) | L1 Engine | 2.2.0 | 2026-04-22 | PR #99 ↗ |
| MISP — CIRCL (galaxy) | L1 Galaxy | 2.2.0 | 2026-05-10 | galaxy #1207 ↗ |
| MISP — CIRCL (taxonomies) | L1 Citation | 2.2.0 | 2026-05-10 | taxonomies #323 ↗ |
| OWASP A-S-R-H Project | L1 Citation | 2.2.0 | 2026-05-11 | PR #74 ↗ |
| Gen Digital Sage (Norton / Avast / AVG) | L1 Engine | 2.2.0 | 2026-05-11 | PR #33 ↗ |
| NIST OSCAL | Path 1 Accepted | 2.2.0 | 2026-05-10 | ai-rmf-oscal-catalog ↗ |
本報告由 ADOPTERS.md 為單一可信來源 (single source of truth) 自動生成。維護者不預先審核採用者 — 只要 PR 符合 schema、附上可驗證的公開證據連結即可合併。 ADOPTERS.md ↗
§2如何自我認證
ATR 採用 self-certification 模型:實作者於本地執行 conformance 測試套件,並對 ADOPTERS.md 提出 PR 加入整合 metadata。下列三步驟為 self-certification 的最小流程。
- 在本地執行 conformance 測試套件. Test suite 由 YAML fixtures 組成,儲存於主 repository 的
spec/conformance/↗。每個 fixture 配對一條規則與其在固定事件 (event) 上的預期評估結果。實作通過的條件是:每個 fixture 都如宣告般評估。 - 對 ADOPTERS.md 提交 pull request. 提交目標為 ADOPTERS.md ↗ 於主分支。維護者通常於 7 日內完成 schema 驗證並合併。
- 於 PR 中包含完整整合 metadata. 至少包含:組織名稱、整合所使用之規格版本、整合日期 (ISO 8601)、公開可驗證之證據連結 (PR、commit、或對外文件 URL),以及自我宣告之符規等級 (L1 Engine / L2 Publisher / L3 Sub-range Authority)。
TSC 保留隨時對任一已發布之 self-certification 重跑測試套件以驗證其結果之權利。
§3符規等級摘要 Informative
本節為非規範性 (informative) 摘要。正式之規範性文字請見 /conformance。
L1 Engine Conformance
L1 engine MUST 能解析任何通過 spec/atr-schema.yaml 驗證的規則,MUST 以 §3.5 定義的語意評估 detection.conditions,並 MUST 遵守 scan_target 與 status 的語意。L1 engine MAY 拒絕落在其宣告 scan_target 範圍外的規則。
L2 Publisher Conformance
L2 publisher 在廠商前綴 (vendor-prefixed) 的子範圍 (例如 ACME-YYYY-NNNNN) 內發布符合 ATR 語意的規則。L2 publisher MUST 遵守 §3.7 的廢棄政策,SHOULD 為每一條發布規則附上 test_cases。
L3 Sub-range Authority
L3 sub-range authority 是國家級或組織級的主體,在主權 (sovereign) 前綴下鑄造規則 (例如 ATR-TW-2026-NNNNN)。授權由 ATR TSC 依 /charter §5 程序核發。
查看完整規範性文字 → — 包含測試套件結構、自我認證程序、與符規驗證流程。