曦覽 XinSpect 3.14

曦覽 XinSpect 3.14

這一版把「硬體事實」接到企業稽核與資料中心營運真正會用的出口：合規、可覆核指紋、推測隔離、CI／SIEM 匯出，以及本機族群基線。

本版新增

• --compliance：把既有事實對到 NIST SP 800-147／155／193 與 MITRE ATT&CK；缺資料一律 Unverifiable，不因「沒看到問題」而變成通過。
• --merkle：以穩定的白名單事實建 SHA-256 Merkle 樹，排除敏感／非 Present／易變鍵；輸出只含鍵與葉雜湊，不含事實值。
• --speculation：七項 infer.* 推測，同時帶鍵名前綴、值前綴「【推測】」與 Speculative 信任等級；明列信心、依據鍵與限制，且不進合規判定與 Merkle。
• --compliance --format sarif|junit|cef|otel：SARIF 2.1.0、JUnit XML、逐行 CEF 與 OTLP/JSON logs；Unverifiable 在四種格式都不會顯示為綠色。
• --compliance-diff：比較兩份既有合規 JSON，Satisfied／Mitigated 變成其他（含 Unverifiable）標為退步；只讀檔、不重新收集。
• --fleet：只讀本機快照目錄，彙總同型號族群的 fleet.* 基線；不上傳、不跨機傳輸，沒有可比的第二台時回退出碼 2。
• AER 增加 Root Port 第一錯誤來源（Error Source Identification），並在事實文字明寫「唯讀；本工具未清除 RW1CS 旗標」。
• 事實鍵目錄新增 7 把 infer.*，公開 schema 的信任等級補上 Speculative；推測層與合規／Merkle 的隔離由測試釘住。
• 新增 docs/ENTERPRISE-SPEC-AUDIT-2026-11-03.md 與 docs/spec/compliance-export.v1.md，逐條記錄八個企業模組的可取得性、刻意不做的事與匯出格式契約。

界線

• 本版沒有新增硬體寫入、沒有常駐、沒有主動連網；CI／SIEM／族群基線都只寫 stdout 或指定檔案。
• TPM Quote、更新簽章驗證與韌體復原仍維持 Unverifiable：本工具沒有真的做那三件事，不把它們寫成通過。
• 推測層不是量測，也不是合規證據；它只回答「以現有證據只能猜到哪裡」。

檔案：XinSpect.exe（單一執行檔，免安裝）。