按兴趣浏览，循来源深入。
开源项目 Skybreaker 在用户自有 Linux 服务器上以 gVisor 沙箱按项目运行 Claude Code、Codex 和 pi，内置 broker 托管凭据、按策略逐请求放行、挂起或拒绝。支持经 Tailscale 从网页、手机、终端或 VS Code 驱动，提供审计与 kill switch、分支级 diff 审查与 PR 流程，AGPL-3.0 协议，当前为 pre-1.0。
推荐理由：这是一个开源的编码智能体沙箱方案，凭据由独立 broker 托管并逐请求审批，适合关注本地部署安全的开发者参考其架构设计。
saasclawai-org 在 GitHub 发布 ClaimCheck，一个本地优先的 LLM 假名化网关，单个自包含二进制提供两种模式：MCP server 供 Cline、Cursor 等客户端调用 read_sanitized 等工具，LLM proxy 对 OpenAI 兼容请求在线路层脱敏、响应时还原。占位符如 [FEIN_1]、[SSN_2] 稳定可逆，映射 vault 只存本机；内置 regex 识别器覆盖 SSN、信用卡、API 密钥、PEM 私钥等，可选本地 BERT ONNX NER 层捕捉自由文本人名组织名。作者明确说明局限：不覆盖 PDF/DOCX 等二进制格式和非英文文本，vault 未加密，MIT 许可下无任何担保。
推荐理由：原文给出了假名化工具的两种工作模式、可识别的 PII 类型清单和明确不覆盖的范围，便于评估是否适合本地脱敏工作流。
dgesteves 发布开源工具 onmcp，按模型阅读方式检查 MCP server 的 tools、prompts 和 resources 列表，捕获无法解析的名称、模型填不出的 schema、需猜测的参数及隐藏指令文本，并给出修复建议。支持通过 stdio 或 HTTP 检查服务器，也可检查保存的 tools/list 文件；内置约 20 条规则（如 hidden-characters、injection-phrases、description-budget），输出 pretty/json/sarif/github 四种格式供 CI 使用，示例检查出 poisoned-server.json 中藏在 Unicode tag 字符里的指令。
推荐理由：作者开源了自己写的 MCP server 检查工具，规则表覆盖隐藏字符、注入语句和 schema 缺陷等模型视角问题，并给出修复建议。
dmytrome 发布开源项目 Groundhog（MIT 协议），一个 MCP 服务器，让 AI Agent 通过带隐身补丁的真实 Chrome 进行网页搜索、读取和研究，返回干净的 Markdown。核心特性包括默认剥离并报告人类不可见的隐藏文本、每个来源附带 SHA-256 溯源回执、内置 SSRF 防护和域名限速、免模型和 API key。在 28 页隐藏文本基准上，Groundhog 25/28 完全拦截并报告，优于 requests（25/28 但不报告）、Scrapling（16/28）、Jina Reader（15/28）、Firecrawl（7/28）；stealth 容器在 sannysoft.com 31/31 项通过。
推荐理由：项目给出了对 requests、Scrapling、Jina Reader、Firecrawl 的隐藏文本检测对比数据与反爬检测实测结果，读者可据此评估这套带溯源的 MCP 阅读方案。
duu261 在 GitHub 发布面向编程智能体的 Agent Skill「production-ops-discipline」，源自作者在生产服务器上约 12,000 次 tool calls 中观察到的 claude-opus-5-5 失败习惯。技能教授变更前写明目标与回滚、每次调用只做一个改动、禁止读取 .env 等密钥文件、在固定触发条件下委托独立审查等纪律；附录的脚本统计显示显式工作目录比例从 60.8 升至 99.4，cd 串联从 35.5 降至 0.6，但作者说明改动当晚同时落地了配套规则，且与 GPT 模型的对比列来自不同时段，只能作方向性参考，计划中的对照 A/B 测试尚未进行。
推荐理由：作者基于约 12000 次生产环境 tool calls 的日志给出行为前后对比数据，并坦承存在混淆因素，可复用的生产操作纪律模式值得一读。
MUSE-CODE-SPACE 发布 toolcall-rescue，一个零依赖的纯标准库 Python 包，用于在结构化 tool_calls 字段为空时，从 qwen2.5、Gemma、Kimi、MiniMax 等本地或小型模型以纯文本输出的消息内容中恢复工具调用，支持 Ollama、llama.cpp、vLLM、LM Studio 等 OpenAI 兼容端点。
推荐理由：这是一个可直接落地的本地小模型工具调用抢救库，安全模型讲得清楚，还交代了为何框架核心拒绝收编这一层的取舍。
f0rknturkoglu 发布 AgentChecksum v0.1.0，一个语言无关的 agent 依赖指纹与行为回归门禁工具，单个 Rust 二进制，无服务、无数据库、无遥测。它对模型身份、推理参数、prompt、MCP 服务器与工具契约做规范化后 SHA-256 指纹并给出语义 diff，再用行为探针对照已接受的基线打分门禁；支持 Ollama 或 OpenAI 兼容端点，提供 cargo、Homebrew 与预编译二进制安装，并附 GitHub Action 用于 CI 门禁。
推荐理由：原文给出了指纹维度、探针指标和退出码的完整设计，读者可以据此判断这个行为回归门禁是否适配自己的 agent 工作流。
adecubed 发布 GigaMail，一个让 Claude、Codex、OpenClaw、Hermes 等 MCP 客户端安全访问真实邮箱的 MCP 服务器，支持多账户（Microsoft Graph + IMAP）、日历、本地 SQLite 搜索索引、发件人记忆与知识文件，不内置 LLM，AGPL-3.0-or-later 许可。安全模型上邮件内容视为不可信数据，发送/删除等危险操作只返回惰性 request_id，需经 Windows Hello / Touch ID 带外人工批准，凭据只存于 CLI 不进模型上下文，写操作记入只追加审计日志；v0.1.0 曾把确认 token 放进模型上下文被 r/mcp 用户发现，现已修复并配 CI 注入测试。
推荐理由：作者给出了带外审批与提示注入红队的具体设计，v0.1.0 的审批缺陷和修复方式也写得清楚，可作 Agent 邮箱权限设计参考。
autonomic-ai-dev 发布开源项目 agent-mouth，作为 Autonomic 集群的 Ingress API 网关，对 Agent 生成的 bash 命令用 tree-sitter AST 解析并按安全策略校验，rm -rf / 等危险命令在进 shell 前即被拒绝并返回结构化 JSON 错误。项目还提供 NATS JetStream 到 WebSocket/SSE 的实时流转发、Slack webhook 人工审批（cryptographic approve/deny 回调）和 stdin 日志摘要功能，支持独立 CLI 模式与 ：3104 端口守护进程模式，可通过 Homebrew 或 curl 安装，MIT 协议。
推荐理由：介绍了一个开源 Agent 命令安全网关的实现思路，tree-sitter AST 在执行前拦截危险命令的做法可直接迁移到自己的 Agent 工作流。
开源库 needtoknow 为 RAG 提供权限感知检索，通过 PermissionedRetriever 让每位用户只取回有权阅读的文档块，核心零依赖。它支持 prefilter、postfilter 和 auto 三种策略，权限服务出错时关闭失败而不放行未过滤结果，并提供 pgvector、Qdrant、Milvus、Chroma、Redis、Elasticsearch/OpenSearch 等向量库适配与 OPA、OpenFGA、SpiceDB、Cerbos、LangChain、LlamaIndex、Haystack、MCP 集成。
推荐理由：原文给出权限过滤在 RAG 检索层的完整实现思路，并用基准数据说明过滤位置对召回率的影响，方法可直接迁移。
nikzlabs 发布开源项目 ShipIt，一个浏览器内、聊天驱动的 IDE，用隔离容器并行运行多个编码智能体，每个会话有独立分支、工作区和完整应用栈预览。支持 Claude Code、Codex 等多种 harness，自带默认拒绝出站的每智能体防火墙、托管凭证与提交时密钥扫描，Apache 2.0 协议，可部署在 Linux、macOS、Windows（WSL2）本地或 Ubuntu VPS。
推荐理由：README 详细写明了容器隔离、默认拒绝出站防火墙和凭证托管等安全设计，对自托管编码智能体环境有直接参考价值。
GitHub 开源库 figured 发布，提供两类无参考、确定性的在线评测，对每个回答的数字和每次工具调用参数溯源，单次检查约 150 µs、每次工具调用约 25 µs（p99 0.19 ms），零依赖、无模型调用，Python 3.10+，pip install figured 可装。库支持 before_call 的 allow/warn/block/confirm 四种裁决、来源规则限制值只能来自指定通道（可拦下间接提示注入类载荷）、重复调用与预算检查，并能重放 OpenAI、Anthropic、Gemini、Bedrock、LangChain 及 tau-bench、AgentDojo 等格式的记录用于离线评测和 CI。
推荐理由：原文给出基准实测数字、延迟数据和局限清单，读者可据此判断这套无参考确定性检查是否适合接入生产流量。
AndrewDryga 开源了 co:op，一个 Go 编写的沙箱工具，在容器内以关闭权限提示的方式运行 Claude Code、Codex、Gemini CLI 和 Grok。容器只挂载项目目录，SSH 密钥、云登录和 .env 均不进入盒内，过滤网络只放行 AI 提供商和已批准域名；提供任务队列 coop loop、fork 评审、多账号轮换、评估和 cosign 签名校验，支持 macOS 和 Linux（Docker），MIT 许可。
推荐理由：README 讲清了沙箱隔离、密钥防护、过滤网络和任务队列的具体机制，读者可以据此评估无人值守跑编码智能体的可行方案。
Vantio 发布开源仓库 vantio-open-core，提供本地优先的 AI Agent 出站观测工具 Optics，通过 npm install -g @vantio/cli 与 vantio run node agent.js 即可接入，Python 需 vantio-agent-sdk 的 @shield 包装。工具拦截 Node 的 fetch 等出站调用，只记录目的地、进程、字节数和时序，不记录提示词、补全或个人信息；支持 macOS、Linux 和 Windows（WSL）。文档同时说明可被原生 socket、未包装子进程或其他语言运行时绕过，浏览器路径不在覆盖内，策略执行与主机级保护需付费的 Phantom Engine。
推荐理由：README 明确列出了可拦截的运行时与可绕过的边界，读者可以据此评估这个本地 Agent 出站观测工具的真实覆盖范围。
TAIPANBOX 在 GitHub 发布开源代理网关 TokenFuse，置于 Agent 与 LLM 提供商之间，实时核算每次调用的真实成本，超预算或检测到循环时在请求路径上返回 HTTP 402，在提供商计费前切断调用，改一行 base URL 即可接入。它还内置 MCP 工具投毒与 rug-pull 扫描器（可作 GitHub Action 门禁 CI）和凭据 broker，把密钥以 {{secret:name}} 句柄形式隔离在模型上下文之外。
推荐理由：原文给出三大云上的实测数据和逐次预算熔断结果，读者可以据此评估这个代理网关在真实基础设施上的表现。
kisubkim 发布 AIBridge，让封闭内网的本地 AI（Open WebUI）不直接联网，通过开发 PC 上的 FastAPI 网关经 SSH -R 隧道获取网页搜索（SearXNG）和网页正文。网关仅绑定 127.0.0.1 并以 API Key 认证，内置 SSRF 与 DNS rebinding 防护、域名黑白名单和限流，仓库含安装脚本、操作手册 doc/HANDS-ON.md 与 MIT 许可。
推荐理由：面向封闭内网环境的 Open WebUI 联网检索方案，给出 SSH 隧道网关的完整搭建步骤与 SSRF 防护细节。
richardsondx 发布 callgate，一个 AI Agent 工具调用的预执行策略门控，每次调用按版本化策略返回 allow、deny、require_approval、redact、defer、escalate、simulate 七种类型化决策，无运行时依赖，npm 包名 callgate。
推荐理由：原文讲清了在工具函数层拦截 Agent 调用的做法和审计日志结构，读者可以直接按 quickstart 迁移到自己框架里复用。
richardsondx 发布 ground-rules，一个把自然语言 Agent 规则编译成机器可执行 policy JSON 的工具，配合 callgate 在每次工具调用前强制执行。compileRules 离线确定性编译，validatePolicy 检测规则冲突、不可达规则和过宽 allow，未覆盖的表达可用 compileWithModel 调用自定义 LLM 生成并经验证器把关。零运行时依赖，MIT 协议。
推荐理由：原文给出了从自然语言规则到可验证 policy JSON 的完整编译流程与规则冲突检测方法，做法可以直接迁移到自己的 Agent 约束场景。
Eric-huang799 在 GitHub 开源了 Duplex，一个基于 Electron 的桌面浏览器，让人类与 AI 共用同一标签页和实时会话：人看渲染页面，AI 通过 24 个 MCP 工具读 DOM 和页面源码。内置 agent 支持 DeepSeek、Kimi、Qwen、GLM、Ollama 等 OpenAI 兼容 API，可镜像 opencode、Codex、Claude Code 会话到侧面板，提供 F2 / Ctrl+Shift+K 紧急停止键和页面标注功能。v0.2.6 新增全快捷键自定义、书签管理器和流程内查找栏；作者提醒 AI 驱动真实浏览器会话涉及登录态和 cookie，误操作可能触及真实账户数据。项目采用 MIT 许可证。
推荐理由：原文给出了 Duplex 与 browser-use、Playwright MCP 等方案的对比表和安全边界说明，读者可以评估这种人机共用浏览器会话的取舍。
astrid-runtime 在 GitHub 发布 Astrid 2026.9.0，一个基于 WebAssembly capsule 的用户态运行时，目标是让软件组合时不互相继承权限，未来方向是独立操作系统。核心安全思路是把权限放进运行时而非提示词：ed25519 签名的能力令牌、无环境权限的 Wasmtime 沙箱、五层独立 fail-closed 机制和签名审计链；每个 principal 拥有隔离的存储、配额和审计。新版本加入卷式持久状态、macOS FSKit 与 Linux FUSE 挂载、Linux MUSL 归档和可断点续装的 capsule 安装，支持 MIT/Apache 2.0 双许可。
推荐理由：原文详细拆解了用 WASM 沙箱和签名能力令牌替代提示词信任的分层安全机制，读者可以对照自家 Agent 部署评估可借鉴之处。