按兴趣浏览，循来源深入。
作者发布 AstrBot 插件 astrbot_plugin_reply_visible v0.1.0，捕获群聊插件指令回复并在下一轮 AI 回复时临时注入，解决 AI 看不到 /签到、/购买 等插件回复的问题。已实现文本与图片卡片捕获、OCR 或视觉模型描述、按群隔离、去重、防提示词注入包装和 no_learn 防学习标注，兼容 AstrBot 4.29.x，采用 MIT 协议开源。
推荐理由：作者讲清了插件捕获和注入上下文的具体机制，还给出防学习标注与内存队列等限制，方法可迁移到类似群聊 Agent 项目。
mrwogu 在 GitHub 发布开源编译器 PromptScript（MIT 协议），用 .prs 源文件统一定义指令、技能、agents、MCP 服务器、hooks 和策略，编译为 Claude Code 的 CLAUDE.md、GitHub Copilot、Cursor 等 50 个编码 agent 目标的原生文件。支持 @inherit/@use/@override 分层继承与确定性合并，内置 prs validate 安全扫描可解码 hex、Base64 等编码并检测提示词注入（PS005、PS012 等规则），远程依赖通过 promptscript.lock 固定以保证可复现构建，并提供 prs migrate 从现有 CLAUDE.md 等文件迁移。
推荐理由：原文给出了编译流程、50 个目标平台和安全扫描的具体规则清单，读者可以评估能否用一份源文件替代多份易漂移的指令文件。
NYU 的 Sai Akhilesh Vangala 开源了 RegLens，一个基于联邦消费银行法规的信用社客服 Copilot，语料为 2026-10-02 固定版 eCFR，含 2371 段、2495 个引用分块和 2276 条引用边。模型只提议，确定性代码把关：引用必须是工具返回段落的逐字子串、日期必须来自计算器、争议一律转工单，未支持内容被扣留转人工。评测显示 Copilot 配置在 43 题黄金集上答对率 0.94、97% 回答附有已验证引文、未支持声明为 0，单题成本 $0.0013；检索实测发现混合检索（BM25+dense RRF）反而低于纯稠密检索，引用图更适合作为 Agent 工具而非排序信号。全部评测含重试共花费 $0.47，项目以 MIT 许可发布。
推荐理由：作者用同一套 43 题黄金集实测了闭卷、无验证器 RAG 与带验证器 Agent 四种配置，检索与幻觉数据齐全，可作 RAG 验证设计的参照。
Mikko Parkkola 发布 MCP Gateway，一个单二进制 Rust 网关，把 MCP 服务器和 REST API 聚合在 9-17 个元工具的紧凑表面之后，通过 gateway_search_tools 和 gateway_invoke 按需发现并调用后端工具。每个 MCP 工具定义约耗 150 token，20 个服务器 100 个工具约 15,000 token；实测中元路径完成任务反而多用 1.2-16.1% 输入 token 并多一轮，价值在于目录容量、策略与路由。支持约 8ms 热重载、工具投毒校验、SHA-256 能力固定、多租户身份传播和 A2A 适配，内置 110+ 能力，采用 PolyForm Noncommercial 1.0.0 许可，商用需授权。
推荐理由：README 附带实测基准，说明网关省下的是目录容量而非完成任务时的 token，读者可据此判断是否值得引入。
saasclawai-org 在 GitHub 发布 ClaimCheck，一个本地优先的 LLM 假名化网关，单个自包含二进制提供两种模式：MCP server 供 Cline、Cursor 等客户端调用 read_sanitized 等工具，LLM proxy 对 OpenAI 兼容请求在线路层脱敏、响应时还原。占位符如 [FEIN_1]、[SSN_2] 稳定可逆，映射 vault 只存本机；内置 regex 识别器覆盖 SSN、信用卡、API 密钥、PEM 私钥等，可选本地 BERT ONNX NER 层捕捉自由文本人名组织名。作者明确说明局限：不覆盖 PDF/DOCX 等二进制格式和非英文文本，vault 未加密，MIT 许可下无任何担保。
推荐理由：原文给出了假名化工具的两种工作模式、可识别的 PII 类型清单和明确不覆盖的范围，便于评估是否适合本地脱敏工作流。
dgesteves 发布开源工具 onmcp，按模型阅读方式检查 MCP server 的 tools、prompts 和 resources 列表，捕获无法解析的名称、模型填不出的 schema、需猜测的参数及隐藏指令文本，并给出修复建议。支持通过 stdio 或 HTTP 检查服务器，也可检查保存的 tools/list 文件；内置约 20 条规则（如 hidden-characters、injection-phrases、description-budget），输出 pretty/json/sarif/github 四种格式供 CI 使用，示例检查出 poisoned-server.json 中藏在 Unicode tag 字符里的指令。
推荐理由：作者开源了自己写的 MCP server 检查工具，规则表覆盖隐藏字符、注入语句和 schema 缺陷等模型视角问题，并给出修复建议。
dmytrome 发布开源项目 Groundhog（MIT 协议），一个 MCP 服务器，让 AI Agent 通过带隐身补丁的真实 Chrome 进行网页搜索、读取和研究，返回干净的 Markdown。核心特性包括默认剥离并报告人类不可见的隐藏文本、每个来源附带 SHA-256 溯源回执、内置 SSRF 防护和域名限速、免模型和 API key。在 28 页隐藏文本基准上，Groundhog 25/28 完全拦截并报告，优于 requests（25/28 但不报告）、Scrapling（16/28）、Jina Reader（15/28）、Firecrawl（7/28）；stealth 容器在 sannysoft.com 31/31 项通过。
推荐理由：项目给出了对 requests、Scrapling、Jina Reader、Firecrawl 的隐藏文本检测对比数据与反爬检测实测结果，读者可据此评估这套带溯源的 MCP 阅读方案。
tonythetiger168 发布 aios-core，一个本地优先、模型无关的 AI Agent 运行时原型，提供调度器、按 Agent 的权限、SQLite 持久记忆、沙箱代码执行和 MCP 客户端/服务端支持。项目处于早期 alpha，目前仅接入 Claude，也可通过 OpenAI 兼容接口使用 Ollama、vLLM 等本地模型；内置不可信内容标记与污点策略、技能摘要锁定、审计日志和注入攻击测试套件，README 附有各防御组合下攻击通过情况的测试结果表。
推荐理由：README 附带注入攻击测试结果表，逐项展示污点策略与权限范围各自挡住了哪些攻击，安全边界与未竟事项也写得诚实。
adecubed 发布 GigaMail，一个让 Claude、Codex、OpenClaw、Hermes 等 MCP 客户端安全访问真实邮箱的 MCP 服务器，支持多账户（Microsoft Graph + IMAP）、日历、本地 SQLite 搜索索引、发件人记忆与知识文件，不内置 LLM，AGPL-3.0-or-later 许可。安全模型上邮件内容视为不可信数据，发送/删除等危险操作只返回惰性 request_id，需经 Windows Hello / Touch ID 带外人工批准，凭据只存于 CLI 不进模型上下文，写操作记入只追加审计日志；v0.1.0 曾把确认 token 放进模型上下文被 r/mcp 用户发现，现已修复并配 CI 注入测试。
推荐理由：作者给出了带外审批与提示注入红队的具体设计，v0.1.0 的审批缺陷和修复方式也写得清楚，可作 Agent 邮箱权限设计参考。
开源库 needtoknow 为 RAG 提供权限感知检索，通过 PermissionedRetriever 让每位用户只取回有权阅读的文档块，核心零依赖。它支持 prefilter、postfilter 和 auto 三种策略，权限服务出错时关闭失败而不放行未过滤结果，并提供 pgvector、Qdrant、Milvus、Chroma、Redis、Elasticsearch/OpenSearch 等向量库适配与 OPA、OpenFGA、SpiceDB、Cerbos、LangChain、LlamaIndex、Haystack、MCP 集成。
推荐理由：原文给出权限过滤在 RAG 检索层的完整实现思路，并用基准数据说明过滤位置对召回率的影响，方法可直接迁移。
GitHub 仓库 docsor1212/aesthete-agent 发布，定位为面向 AI Agent 的前端配色技能兼 MCP 服务器，可规划、校验并导出通过 WCAG 2.2 和色盲模拟检查的配色系统。核心方法包括 117 套经客观门槛筛选的策展色板库、5 维评分卡、AI-slop 特征检测与渐变禁令，支持经 npx skills add、SkillHub、ClawHub 安装，MCP 版以 13 个工具形式提供 uvx aesthete-agent-mcp，核心引擎纯 Python 标准库实现，MIT 许可。
推荐理由：用客观质量门代替主观审美来约束 AI 配色，六步流程和评分卡可直接套进 Claude Code 等 Agent 使用。
FlologixAI 发布了用 Rust 编写的终端编码 Agent Marv，以单个静态二进制分发，支持 OpenRouter 或本地 Ollama 模型。它能读写文件、在 bubblewrap 沙箱中运行命令，默认 yolo 模式下沙箱内操作免审批，网络访问、git 写入和受保护文件仍需确认，并对外部文本做提示词注入防护。0.5.0 仅提供 Linux x86_64 和 aarch64 二进制，Windows 需走 WSL，暂无 macOS 构建。
推荐理由：原文详细说明了沙箱、审批和提示词注入防护的具体规则，读者可以据此评估这个终端编码 Agent 的安全设计是否值得采用。
作者开源 tailhook，一个部署在 webhook 发送方与应用之间的支付事件调试器，负责验签、幂等去重、重试转发和死信队列，并用 Bedrock 上的 Claude 通过四个只读工具解释扣费失败原因。项目用 Terraform 一键部署，60 秒压测发送 60,000 条事件、零丢失，Agent 评测含 18 个用例且用字符串断言而非 LLM judge 打分。
推荐理由：作者开源了一个支付 webhook 调试工具，附架构说明、压测数据和 18 个 Agent 评测用例，部署脚本可直接复用。
directive-run 在 GitHub 发布 Directive，一个约束驱动的 TypeScript 运行时：开发者声明必须为真的事实，运行时通过 resolver 自动完成获取、重试、批处理和错误恢复。其 AI 包提供 4 个 LLM 适配器（OpenAI、Anthropic、Ollama、Gemini，纯 fetch 零 SDK 依赖）、PII 脱敏、prompt injection 检测、内容审核、成本与预算控制及并行、序列、supervisor、debate、DAG 等多智能体模式。
推荐理由：原文给出了约束驱动状态运行时的具体用法代码和与传统状态库的对比表，读者可以直接评估是否引入到自己的 TypeScript 项目。
GitHub 上的 asserthired-evals 仓库发布了一个面向面试评分 LLM 应用的生产级评测套件公开参考实现，包含 60 条合成黄金用例、5 个安全探针、12 个红队攻击用例和七项带 CI 阈值的指标。基线运行在 claude-sonnet-4-5 上，65 例中评分在区间内 98.5%、反馈忠实度 89.2% 低于 90% 目标、安全 64/65 未达标并保留一例边界失败作分析；套件现默认用 Claude Sonnet 5.5 评分、Haiku 4.5 做 LLM-as-judge，另提供漂移检测、数据集复核队列与判官校准脚本，完整付费运行约 195 次 Anthropic API 调用、成本约 $2 到 $3。
推荐理由：这是一个可完整复用的 LLM 评测套件参考实现，七项指标、红队用例和漂移检测的做法可迁移到其他高信任提示词场景。
GitHub 开源库 figured 发布，提供两类无参考、确定性的在线评测，对每个回答的数字和每次工具调用参数溯源，单次检查约 150 µs、每次工具调用约 25 µs（p99 0.19 ms），零依赖、无模型调用，Python 3.10+，pip install figured 可装。库支持 before_call 的 allow/warn/block/confirm 四种裁决、来源规则限制值只能来自指定通道（可拦下间接提示注入类载荷）、重复调用与预算检查，并能重放 OpenAI、Anthropic、Gemini、Bedrock、LangChain 及 tau-bench、AgentDojo 等格式的记录用于离线评测和 CI。
推荐理由：原文给出基准实测数字、延迟数据和局限清单，读者可据此判断这套无参考确定性检查是否适合接入生产流量。
vinayvobbili 在 GitHub 开源 shortlist-ai，用 LLM 对简历做证据可查的盲评排序，每个判断引用简历原文并由代码核验，评分权重公开可审计。工具支持 Anthropic API 和 Apple Silicon 本地 MLX 两种后端，含隐藏 PDF 注入文本检测、代码累加工作年限、反事实姓名公平性测试，并用多组 held-out 合成评测集（NDCG 等指标）迭代修正打分规则。
推荐理由：作者用盲化简历、代码核验引文和反事实公平性测试来回应AI筛选的可审计问题，方法可迁移到其他LLM评分场景。
ahmedEid1在GitHub发布Ordnung，一个本地运行的德国信件私人秘书工具，由Claude读取信件内容，确定性规则引擎计算法定期限并给出带引用的推算依据，绝不自动付款或取消。基准测试显示纯模型算期限仅82.1%准确且7.1%危险偏晚，Ordnung管线在三个后续held-out测试集合计97.0%、偏晚率接近零；Ask问答44题全部正确、注入文本零泄露。需要Python 3.11+和付费计划的Claude Code 2.1.0+，支持手机配对、加密备份和作为MCP工具供Claude Desktop调用。
推荐理由：README给出了流水线与纯LLM、规则文本等多条件基准对比，展示了模型读取加确定性规则引擎的架构取舍，方法可迁移。
GabrieleBosi 发布了面向虚构钢梁厂商 Ferralba Steel 的 linea 原型，把客户邮件到可执行订单拆成十三个步骤，其中四个 LLM 步骤带 schema、代码检查和人工审批，每条请求行分商业与技术两条状态轨。作者用 gemini-3.8-flash 跑了三轮评测，质量用例通过率最高 100%，攻击全部拦截，并复盘了两起判分与提示词导致的失败及修复。公共 demo 在浏览器内回放录制输出，无需注册和 API key。
推荐理由：作者把报价流程拆成四步 LLM 步骤并配对抗评测，还复盘了两处判分与提示词的失败细节，方法可迁移。
作者 @timoncool 发布 Claude Code 插件 Angry Switcher，在提示词送达 Claude 前用本地检查加 Sonnet 5.5 低强度模型清洗错字、translit、错误键盘布局、脏话和大写，保留问题、路径、数字与代码。清洗层也可切换到自有 DeepSeek V4.1 Flash 密钥，让原始文本不经过 Anthropic。实测 51 条真实消息语义保留 97-100%，每条清洗中位耗时 1.4 秒、API 价格约 $0.0015，并提供 /angry 命令组、A/B 对比与 replay 测试室。项目地址 https://github.com/timoncool/angry-switcher。
推荐理由：作者给出清洗层在真实提示上的语义保留率、耗时和成本实测数据，读者可以据此评估是否值得接入自己的 Claude Code 工作流。