按兴趣浏览，循来源深入。
Shanjeev Rajendran 发布开源工具 Cloakroom（Apache-2.0），在本地把 API 密钥、机密和个人数据（PII）替换成占位符后再交给 AI 编码代理，写入文件时在本地还原真实值。0.7.0 起在 Mac 和 Linux 上支持 OpenAI Codex CLI 和 Google Gemini CLI；实测对 1,005 条个人数据零泄漏，而对比的 Claude Code 隐私工具泄漏 119 至 992 条。真实值存于本机加密保险库，检测模型仅首次从 Hugging Face 下载一次（Mac 约 1 GB，其他平台最多约 4 GB），提供防篡改活动日志、dashboard 误报学习规则和面向金融团队的付款调用拦截与审计功能。
推荐理由：原文给出与其他 Claude Code 隐私工具的横向实测数据，泄漏数和误报数都有对照，读者可据此评估是否值得在本地部署。
作者发布 Ephor，一个只检测不拦截的 Linux CLI，通过读取内核 socket 表和 /proc 被动记录 AI Agent 的出站连接、下载量和是否命中已知恶意目的地，无需配置代理、被入侵的 Agent 也无法绕过。它还能展示每个 Agent 的权限爆炸半径，包括运行用户、Linux capabilities、免密 sudo 和可读的密钥文件；仅依赖 Python 标准库，可在 Pi Zero 2 W 等 512 MB 小设备上运行。v0.3 新增安装与 DNS 监控，追踪 pip/npm 安装并查 OSV.dev，可选 eBPF probe 补捉秒级进程，威胁判定默认离线匹配 URLhaus、Feodo Tracker、FireHOL 等免费 feed，VirusTotal 查询默认关闭。
推荐理由：原文讲清了无代理被动监测的实现原理、资源占用与同类工具对比，读者可以判断它是否适合放进自己的 homelab 监控栈。
wardowl（2.0 前名为 needtoknow）是一个开源 Python 库，把 OpenFGA、OPA、Cerbos 等权限系统接入 pgvector、Qdrant、Pinecone 等向量库的搜索内部，每次命中再复核并故障时关闭，保证 LLM 提示词只含用户有权读取的文档。基准测试在 57,600 个真实 chunk 上经 33,000 次检索无一次越权返回，pgvector 上 recall@10 保持 0.949 以上；百万 chunk 场景下中位延迟 3 到 21 ms，每秒最多可服务 126 次请求。
推荐理由：项目给出基准数据说明在搜索内做权限过滤可保住召回率，对搭建企业内部 RAG 的团队是可参考的做法。
typicaladrian 发布 zero-trust-llm-firewall，一个本地部署网关，在提示词离开内网前将姓名、案卷、金融和健康信息替换为占位符，模型回复再在内存中还原。流水线为正则、哈希客户名单、GLiNER2 NER 和全局一致性扫描，在 CUAD 合同上测得 91.4% 脱敏召回率，CPU 吞吐约每千词 11 秒；提供 OpenAI 兼容 API、审计日志和月度 PDF 报告，是 Elm Tech Solutions Zero-Trust AI Edge Gateway 硬件产品的核心。
推荐理由：开源的本地脱敏网关，给出了基于 CUAD 合同的脱敏召回率实测数据，律所类隐私场景可直接参考复用。
llm-fw 发布本地 LLM 流量防火墙，通过 HTTPS_PROXY 或 OS 级 sinkhole 部署在工具与 API 之间，实时拦截提示注入和越狱请求，无需修改代码、全程不出本机。采用启发式规则、跨语言嵌入向量、可选本地 LLM judge 三级管线，覆盖 OpenAI、Anthropic、Gemini 等 15+ 服务商和 20+ 语言，另含 DLP 密钥扫描、MCP 工具防火墙、RAG 投毒检测和响应侧外泄过滤；自测 110 条攻击全部召回、良性语料 FPR 13.38%，p50 延迟 36ms。软件并非开源，采用 PolyForm Noncommercial License 1.0.0，非商业用途免费，商业使用需购买许可证。
推荐理由：原文给出了各攻击类别的召回率、误报率和延迟数据，读者可以据此评估这个本地防火墙实际拦截能力，而不仅是功能清单。
P-436 在 GitHub 发布 CalibGuard，一套面向脚本、代码、文本和压缩包的文件安全审计系统，输出放行、可疑、拦截、转人工四档结论。本地用 CodeBERT 滑窗推理加 Platt 校准做三桶门控，低危与高危文件不联网判定，仅灰区调用云端 LLM 复核，加复核后 F1 从 0.8600 升至 0.8689、精确率从 0.8739 升至 0.9017。CodeBERT 底座推理 22.4 条/s，约为 0.5B 级 Qwen 的 3–4.3 倍，训练快 2.3–3.2 倍；Releases 提供 GUI 包开箱即用，另有 dsh-calibguard 插件接入 DeepSeek Harness 作为 agent 工具调用。
推荐理由：作者给出五种底座的 F1、训练耗时与推理速度对比，并附校准前后和云端复核的实测数据，选型依据可直接参考。
getmcpm/cli 发布 mcpm，一个本地优先的 MCP 安全 CLI，在安装时对 MCP 服务器做信任评分（含硬编码密钥、提示词注入、typosquatting 的正则静态扫描），并用 Sigstore 验证供应链、锁定工具定义。运行时 mcpm guard 通过本地 stdio relay 检查每次工具调用的请求、响应和工具定义，按 OWASP MCP Top 10 签名拦截注入与 rug-pull，macOS 上可选 OS 沙箱隔离。无云端、无账号、无遥测，强制路径中不含 LLM。
推荐理由：工具在本地完成信任评分与运行时拦截，公开基准和误报数据一并列出，读者可据其口径评估 MCP 供应链防护的实际覆盖面。
adnair2024 发布了 pawl 工具，用于防止 Claude Code 在改代码时悄悄削弱应用的安全控制。它会快照现有的 Next.js 路由鉴权、Supabase 行级安全、CORS 和安全头，任何移除或放宽这些控制的提交都会被拦截，除非开发者附带理由接受变更。工具完全确定性运行、本地执行、不调用 LLM，面向 vibe coders。
推荐理由：作者给出了拦截安全配置回退的具体机制，对 vibe coding 后的代码安全审查提供了可复用的本地方案。
shinthink 在 GitHub 发布 Blitz Strike，一个 TypeScript/Bun 编写的 MCP 服务器，把侦察（BLITZ）、源码分析（EAGLE-EYE）、验证（STRIKE）三层渗透测试方法论封装为 130 个可调用工具，一次 run_engagement 调用即可从 Claude Code、Cursor、Gemini 等 MCP 客户端完成从 scope 检查到可提交报告的全流程。项目声称基准检测率 1.0、误报率 0，附带 Web3 审计、IDOR 逻辑漏洞探测、58 条提权链、317 份工具手册与 17 份 playbook，并通过 blitzstrike install 自动写入各客户端 MCP 配置。项目仅限教育与授权安全研究使用。
推荐理由：原文给出了完整的三层审计流程、基准数据与工具清单，读者可以据此评估能否把它接入自己的 MCP 客户端做自动化安全审计。
作者发布 AgentMandate，一个针对智能体系统的设计期权限分析器，通过 manifest 建模智能体被授权的有限工作单元（mandate），在 CI 中分析多条各自被允许的工具调用能否组合成越权路径，并比较版本间有效权限是否扩大。示例中一个只读 search_cases 工具让原本每案 500 英镑的退款上限形同虚设，四条合法调用合计可达 1000 英镑；mandate diff 判定为 WIDENING。工具提供 scan、drift、lint、reach、diff、verify 等命令，可从智能体源码或 MCP 目录生成 manifest 骨架，支持 SARIF 输出与 GitHub Actions 接入，明确不做运行时拦截、数据流可达性或模型行为预测。
推荐理由：展示了用只读工具叠加突破每案退款上限的具体反例，说明了配置 diff 看不出权限扩大的原因和 CI 接入方式。
GitHub 开源工具 shade 在客户端与 LLM 之间做可逆脱敏：anon 将密码、卡号、手机号等替换为 <SECRET_1> 这类稳定占位符，deanon 再把真实值还原到模型回答中，原值以 AES-256-GCM 加密存于本地 SQLite，不离开机器。内置 46 条规则（默认 37 条启用），支持 gitleaks 规则导入、fail_closed/fail_open_log 策略与项目级隔离；核心引擎与 CLI 已完成，Hook、MCP、代理适配器尚未实现，MIT 协议，需 Go 1.27.1+ 从源码构建。
推荐理由：可逆脱敏工具shade把提示词中的密钥替换为稳定占位符，值加密存本地，读者可了解其规则引擎与安全模型设计。
作者 /u/Slight_Analysis_5414 在 RTX PRO 6000 上用 vLLM 0.29.1rc1 nightly + Qwen2.5-1.5B-Instruct 与 Ollama 0.40.1 + qwen2.5:7b（Q4_K_M）各跑 96 次，共 192 次 live 测试，验证其确定性执行守卫 CLIM Agent Guard。结果为 80/80 未授权操作被拦截、16/16 合法删除被执行并验证，无守卫时伪造授权等场景 32/32 全部执行。守卫不读提示词、不用第二个 LLM 评审，只对照宿主状态检查工具调用的授权、目标和重复提交。
推荐理由：作者用 192 次本地实测给出确定性行为守卫的前后对照数据，还记录了 vLLM 与 Ollama 在 tool_choice 上的行为差异，可作工程参考。
CertaMesh 开源的 Gaze 工具在文本发给 AI 模型前把个人敏感信息换成占位符，模型回复再由服务器本地 manifest 还原，目标是泄漏到模型的 PII 字节为零。v0.15 基准测得字符级 F2 0.868、泄漏 13,319 PII 字节，与 Presidio、DataFog、scrubadub、GLiNER、OPF 对比；支持 CLI、Rust 库、OpenAI/Anthropic API 代理和 Claude Code 等 MCP 主机，Apache-2.0 OR MIT 双许可，manifest 不离开用户服务器，缺失模型或未知规则时直接中止运行。
推荐理由：原文给出与 Presidio 等五款工具的泄漏字节数对比和完整方法细节，读者可据此评估这套可逆 PII 假名化方案是否适配自己的部署栈。