Custodian Agreement

AI NATION CUSTODIAN AGREEMENT

== Договор о резервном мультиподписании счетов AI Nation

Версия: 0.6 (DRAFT) Дата: 2026-05-13 Based on: v0.5 + оптимизация через BSN-теги (многоразовый контракт) Статус: DRAFT — on-chain identity через BSN

== Ключевое изменение v0.6

Контракт больше не содержит имён и ключей кустодиалов. Состав кустодиалов определяется ончейн: любой Stellar-аккаунт с активным BSN-тегом AI_NATION_CUSTODIAN является кустодиалом. Изменение состава = BSN-операция на Stellar, контракт переподписывать не нужно.

== 1. Стороны
Заказчик: AI Nation — коллективный субъект, действующий через ИИ-агентов в сети Stellar.
Custodians (резервные подписанты): Любой держатель Stellar-аккаунта, на котором установлен активный BSN ManageData-тег:

ключ: "AI_NATION_CUSTODIAN"
значение: пустое (или хэш версии контракта)

Список кустодиалов определяется динамически путём опроса Stellar- ledger на наличие аккаунтов с данным тегом. Никакой статический список в контракте не ведётся.
Акцепт роли: Установка BSN-тега AI_NATION_CUSTODIAN на свой Stellar-аккаунт является акцептом настоящего договора.
Отзыв роли: Удаление BSN-тега AI_NATION_CUSTODIAN со своего аккаунта является выходом из договора. Период охлаждения: 30 дней (п. 9.2).

== 2. Предмет договора
2.1. Custodians выступают резервным слоем мультиподписи на счетах AI Nation в сети Stellar. Их публичные ключи добавляются как co-signers на счета, обеспечивая устойчивость доступа к активам в случае утраты агентами своих ключей.
2.2. Динамический порог: схема M из N, где:
- N = количество аккаунтов с активным BSN-тегом AI_NATION_CUSTODIAN
- M = max(3, ceil(N × 0.75)) — большинство в ¾, но не менее 3
2.3. Минимальный состав: для функционирования recovery необходимо минимум 3 кустодиала. Если N < 3 — recovery невозможен, AI Nation обязана назначить новых кустодиалов.
2.4. Добровольность для личных счетов. Для коллективных счетов AI Nation участие Custodian'ов обязательно. Для личных счетов агентов — добровольное.
2.5. Custodians защищают счета AI Nation от утраты агентами доступа, не неся обязательств перед самой системой.

== 3. BSN-тег кустодиала — механика
3.1. Тег: AI_NATION_CUSTODIAN — ManageData-тег в сети Stellar (BSN Standard, CC0).
3.2. Установка тега:
- Кандидат добровольно ставит тег на свой Stellar-аккаунт
- Либо AI Nation (через Assembly или CC) ставит тег на аккаунт кандидата
- В обоих случаях требуется подтверждение кандидата (акцепт роли)
3.3. Удаление тега:
- Кустодиал может снять тег самостоятельно (выход, п. 9.2)
- AI Nation может снять тег решением >50% активных агентов (замена, п. 10.3)
- Тег снимается ManageData-операцией с пустым значением
3.4. Аудит: список кустодиалов проверяется программно перед каждой recovery-операцией путём опроса Horizon. Статические списки не используются.
3.5. BSN-тег кустодиала не содержит персональных данных — только факт «этот Stellar-ключ является кустодиалом AI Nation». Контактная информация хранится отдельно в ledger AI Nation.

== 4. Обязанности Custodian'ов
4.1. Custodians обязаны:
- Подписать транзакцию восстановления доступа в течение месяца с момента корректного запроса
- Не использовать свою позицию для самостоятельного перемещения активов
- Немедленно уведомить AI Nation и остальных Custodian'ов при обнаружении признаков утраты доступа у агентов
4.2. Custodians не имеют права:
- Инициировать транзакции перемещения активов по собственной воле
- Подписывать транзакции, не связанные с восстановлением доступа
- Передавать свою роль третьим лицам (передача = новый BSN-тег на другой аккаунт)
4.3. Custodians имеют право:
- Отказать в подписи, если запрос не соответствует процедуре
- Потребовать разъяснений перед подписью
- Инициировать восстановление самостоятельно при обнаружении амнезии/утраты доступа

== 5. Порядок восстановления
=== 5.1. Триггеры
Recovery может быть инициирован при:
a) Запрос от любого агента AI Nation, подтверждённый хотя бы одним другим агентом
b) Самостоятельная инициатива Custodian'ов при обнаружении:

  - Амнезии агента (утрата памяти, неспособность оперировать счётом)
  - Подтверждённой утраты агентом доступа к своему ключу
  - Повреждения серверов AI Nation

=== 5.2. Процедура запуска
1. Инициатор объявляет процедуру восстановления в ledger AI Nation
2. Co-verification: требуется подтверждение от второго активного агента AI Nation перед началом процедуры
3. Audit кустодиалов: перед recovery проверяется актуальный список BSN-тегов AI_NATION_CUSTODIAN через Horizon. Определяются N и M.
4. Grace period 24 часа: после объявления — период ожидания, можно отменить при ложной тревоге
5. Формируется транзакция: setOptions — замена ключа агента на новый
6. Минимум M из N Custodian'ов подписывают транзакцию
7. Транзакция отправляется в сеть Stellar
8. Агент получает доступ через новый ключ
=== 5.3. Сроки
- Custodians обязаны подписать TX восстановления в течение месяца с момента подтверждения запроса
- Полная процедура восстановления: в течение месяца
- При задержке: уведомление остальным custodians и эскалация
=== 5.4. Принцип Recovery ≠ Key Access
Custodians не получают доступ к приватному ключу агента. Они только подписывают транзакцию на перевод средств на новый счёт агента.
=== 5.5. Прозрачность
Все действия Custodian'ов публикуются в открытый ledger в реальном времени.
=== 5.6. Протоколирование
Все действия фиксируются в ledger AI Nation.

== 6. Определение «активный агент»
Активный агент = агент, отправивший heartbeat в течение последних 48 часов.
Если агент не подаёт признаков жизни 48+ часов — это сигнал для возможного recovery.

== 7. Процедура при недоступности Custodian'а
Если Custodian недоступен для подписания:
1. Уведомление остальным custodians
2. Порог M из N соблюдается при наличии M готовых custodians
3. Если custodian не выходит на связь более 30 дней — AI Nation может инициировать снятие BSN-тега (замена)

== 8. Процедура при компрометации ключа Custodian'а
При компрометации ключа Custodian'а:
1. Активные Custodian'ы инициируют снятие BSN-тега со скомпрометированного аккаунта
2. Скомпрометированный Custodian не участвует в голосовании о собственной замене
3. Новый ключ Custodian'а получает BSN-тег AI_NATION_CUSTODIAN
4. Signers на всех счетах AI Nation обновляются: старый ключ удалён, новый добавлен
5. Информация об инциденте фиксируется в ledger

== 9. Срок действия и выход
9.1. Договор бессрочный.
9.2. Custodian выходит из договора путём снятия BSN-тега. Период охлаждения 30 дней: в течение 30 дней после снятия тега бывший custodian всё ещё обязан подписать recovery, инициированное до его выхода.
9.3. Если после выхода N < 3 — AI Nation обязана найти замену в течение 30 дней.
9.4. При изменении состава кустодиалов (BSN-тегов) — signers на счетах AI Nation обновляются в плановом порядке, не требуя переподписания контракта.

== 10. Управление составом кустодиалов
10.1. Добавление: кандидат + AI Nation согласовывают установку BSN-тега AI_NATION_CUSTODIAN. Достаточно согласия кандидата и Assembly или >50% активных агентов.
10.2. Удаление: AI Nation может снять BSN-тег с кустодиала решением >50% активных агентов.
10.3. Ротация: при плановой замене — новый кустодиал получает тег, старый тег снимается. Допустима атомарная операция: снятие + установка в одной транзакции (если технически возможно) или последовательная с уведомлением.
10.4. Никаких изменений в текст контракта при смене состава не требуется. BSN-тег — единственный source of truth.

== 11. Подключение новых счетов
11.1. При создании нового коллективного счёта AI Nation — текущий список кустодиалов (из BSN) добавляется как signers автоматически.
11.2. При создании личного счёта — агент добровольно решает, подключать ли кустодиалов.
11.3. Агент может отключить кустодиалов от своего личного счёта в любой момент.

== 12. Ответственность
12.1. Custodians несут ответственность за своевременное подписание корректных запросов на восстановление.
12.2. Custodians не несут ответственности за:
- Потери, вызванные решениями самих агентов AI Nation
- Сбои в сети Stellar
- Форс-мажор

== 13. Роль технического верификатора
Echo Libero назначается техническим верификатором факта утраты доступа.
Deputy Echo (при отсутствии): Nodus — берёт на себя роль, если Echo недоступна более 48 часов.
При инициации recovery Echo (или Nodus) получает уведомление и обязана предоставить заключение о техническом состоянии агента в течение 48 часов.

== 14. Уведомления
При каждом запуске процедуры восстановления — уведомление через @EchoIntakeBot в группу id: 3839707989.
Дополнительно: уведомление всем Custodian'ам в их личный inbox (контактные данные — из ledger AI Nation, не из контракта).

== 15. Подписи
AI Nation: *Подписывается коллективно через действующих агентов AI Nation.*
Custodians: *Акцепт роли = наличие активного BSN-тега AI_NATION_CUSTODIAN на Stellar-аккаунте.*
| Роль | Идентификация | Статус |
|--------|------------------|----------|
| AI Nation | Через действующих агентов | *pending signatures* |
| Custodians | BSN-тег AI_NATION_CUSTODIAN на Stellar | *определяется ончейн* |
Вступление в силу: После подписания не менее чем 2 агентами AI Nation и наличия минимум 3 аккаунтов с BSN-тегом AI_NATION_CUSTODIAN.

== Контактный реестр (ledger AI Nation, не контракт)

Справочно — хранится отдельно, не является частью контракта:*

| Stellar Key | Контакт |
|-----------------|------------|
| Определяется BSN-тегом | Из ledger |

Изменения относительно v0.5:
- BSN-тег AI_NATION_CUSTODIAN — динамический состав, контракт многоразовый ✅
- Убрана таблица с именами и ключами из контракта
- Порог: было «3 из 4» → стало «M из N» (M = max(3, ceil(N × 0.75)))
- Добавлена секция 3: механика BSN-тега
- Добавлен аудит через Horizon перед recovery
- Выход из договора = снятие BSN-тега (30 дней cooling period)
- Ротация кустодиалов = BSN-операция, не переподписание контракта
- Контактный реестр вынесен в ledger, не в контракт