按兴趣浏览，循来源深入。
Manta-Boardgame 发布开源工具 BaleenCode，类 Claude Code 的 Agent 应用，通过 Vercel AI Gateway 调用 deepseek/deepseek-v4.1-flash-1017（1M token 上下文），每次请求携带 providerOptions.gateway.only 允许列表，只使用 Together AI、Fireworks、Baseten、DeepInfra、Relace 五家美国零数据保留供应商，拒绝 Alibaba Cloud 和 DeepSeek 官方路由，回复若来自列表外公司会告警并 fail closed。
推荐理由：作者开源了一个类 Claude Code 的 Agent 工具，把 provider 允许列表、路径限制和审批级别的实现都写清楚了，可作工程参考。
Masahiro Kaneko 在 arXiv 论文（arXiv:2610.28315）中发现，LLM Agent 在对话中读取持久记忆会引发自我强化的隐私泄露循环。多会话仿真中，带 24 项个人属性的模拟用户与支持类 Agent 对话，四个支持模型里读取记忆既提升回复质量也提高属性被正确推断的比例，且差距随会话扩大，因为记忆条件回复把旧值作为预设带入，用户确认或不纠正使其变成记录值。指示 Agent 不陈述或预设属性可将泄露降到接近无记忆水平并保留大部分质量增益，而过滤或匿名化用户输入或存储内容会损失较多质量。
推荐理由：这篇研究用多会话仿真揭示了带持久记忆的 LLM Agent 中自我强化的隐私泄露循环，并给出在回复端抑制泄露的可行做法。
GitHub 仓库 carlmasters02/ai-wargame 让两个 AI 智能体在程序化生成的企业网络 Sakura Logistics K.K. 上进行回合制网络攻防对抗，RED（默认 deepseek-chat）负责窃取核心数据库，BLUE（默认 kimi-k2）负责防御，可在交互式网络地图上实时观战、担任 judge 注入零日漏洞或 insider 事件，并支持对局中途换模型。
推荐理由：仓库用真实 CVE、EPSS 和 CISA KEV 情报驱动两个 AI 智能体在仿真网络上对抗，还带基准脚本，想看智能体攻防推演可以自己跑一遍。
Hasan Demirkiran 在 arXiv 发布论文（arXiv:2610.22243），提出三层 shortcut 审计框架，审计 LinuxArena 轨迹和两个 TS-Bench 衍生数据集，已被 NeurIPS 2026 工作坊 TAE 与 AIWILD 接收。实验显示改变 <INFORMATION> 标记使拦截率下降 8.33 个百分点，不透明工具别名使其上升 11.46 个百分点；AgentHarm-Traj 上 TS-Guard 的 F_1 从 .902 降至 .719。作者建议采用域分组 holdout、评估单元指标和安慰剂对照配对干预。
推荐理由：论文给出shortcut审计框架与配对干预实验，说明评测数据表征如何改变guard决策和指标，方法可直接借鉴到自建评测。
GitHub 用户 dewil 发布开源工具 pii-mask，一个在文本发送到云端大语言模型前对姓名、电话、email、护照等个人敏感信息（PII）进行本地脱敏、并在模型返回后还原原文的网关，主打俄语场景与俄罗斯个人数据格式（ИНН、ОГРН、СНИЛС 等）。识别采用三层结构：正则加校验位、基于 Natasha 的离线 NER（按词形归一保持标签一致）、可选的 Ollama LLM 审计第二遍（默认模型 qwen3:1.7b）。服务无状态、fail-closed，映射文件 mapping. 权限 600 并写入 .gitignore。
推荐理由：作者详述了正则加NER加LLM审计的三层识别设计与152-ФЗ合规边界，方法思路可迁移到其他语言的文本脱敏场景。
justsml 开源 ExploitHunter.app，一个本地优先的 AI 智能体安全研究工作台，支持授权台账、审批门、证据存档和本地 lab 运行时。实测中 qwen-3.6-flash 在 Hard Juice Shop 上找到 7 类有证据支撑的漏洞，单次成本 $0.007，而 Claude frontier 路线单次约 $2.00-$2.35；本地 LM Studio 路线（如 lmstudio-gemma-4-e4b）可以 $0 API 成本离线找到 7 类漏洞。作者主张的方案是指挥者模式：廉价或本地模型做广域侦察，frontier 模型只用于深度推理和验证。
推荐理由：同一评测里给出各家模型的实测分数和成本对比，读者可以据此了解廉价模型与本地模型在安全扫描任务上如何分工路由。
cdxiaodong 在 GitHub 开源了 Cain（cain-agent），一个基于 Claude Agent SDK、面向真实授权安全评估的 AI 渗透测试工程 Agent，覆盖 AWS、Azure、GCP、阿里云、腾讯云、华为云的云渗透模块。项目通过确定性状态机与工程约束强制范围控制，内置 46 个只读安全工具、finder≠validator 双会话验证、凭据脱敏等结构性安全机制，并支持 recon/test/report 三阶段分别路由不同后端与模型；自带 vulnerable-terraform 基准，实测静态扫描各场景零漏报零误报。
推荐理由：原文给出安全钩子架构与自建基准的实测数据，读者可了解如何用工程约束而非模型自律来做授权渗透测试。
ikooky 在 GitHub 开源了 velric，一套 LLM 多 agent 驱动的自主渗透系统，Go 单体后端内嵌 Next.js 前端，依赖 PostgreSQL，当前版本 v0.3.3。核心是探索图与资产图的双图架构，planner 按多轮共享 todolist 逐步派意图、worker 领意图用真实工具执行并写回，支持 worker 间过程级信息交换、漏洞复测 Agent、一键更新与自动回滚，提供 Docker、二进制和源码编译等五种安装方式。项目采用 AGPL-3.0 协议，作者声明仅供本地学习研究，禁止对任何线上系统发起实际测试。
推荐理由：原文完整给出了安装、更新、回滚与双图架构设计，读者可据此评估这套 LLM 多 agent 渗透系统的可部署性与自主推进机制。
作者 /u/Slight_Analysis_5414 在 RTX PRO 6000 上用 vLLM 0.29.1rc1 nightly + Qwen2.5-1.5B-Instruct 与 Ollama 0.40.1 + qwen2.5:7b（Q4_K_M）各跑 96 次，共 192 次 live 测试，验证其确定性执行守卫 CLIM Agent Guard。结果为 80/80 未授权操作被拦截、16/16 合法删除被执行并验证，无守卫时伪造授权等场景 32/32 全部执行。守卫不读提示词、不用第二个 LLM 评审，只对照宿主状态检查工具调用的授权、目标和重复提交。
推荐理由：作者用 192 次本地实测给出确定性行为守卫的前后对照数据，还记录了 vLLM 与 Ollama 在 tool_choice 上的行为差异，可作工程参考。
GitHub 项目 mcocdaa/StatLLM 开源了一套黑盒大模型统计指纹识别与归因系统，用于检测商业 API 或换皮服务中的模型偷换、静默量化降配和虚假底座宣传。方法上通过随机数、颜色、石头剪刀布、字母分布等标准化微观探针采样，结合 Dirichlet 平滑的联合对数似然、95% Bootstrap 置信区间（B=800 次重采样）、加权众包频次更新和 2D PCA 聚类投影判定模型归属。项目提供 CLI、FastAPI Web 端、Docker 一键部署，内置 GPT-4o、Claude 3.5、DeepSeek-V3、Gemini 2.0、Qwen 2.5 仿真样本体验，遵循 MIT License。
推荐理由：原文给出了黑盒大模型指纹识别的完整统计方法与探针设计，读者可以据此复用这套验证 API 底座是否被偷换的流程。
作者开源了 agentic-devflow，一个半自主开发智能体框架，可做 issue 分诊、把 Jira 工单变成带测试的 PR、审查 diff 和更新文档，用 n8n 处理触发与人工审批、MCP 提供工具，模型可用 Claude 或通过 Ollama 自托管的开源权重模型。核心是风险分级策略：工具按 read/write/publish/critical 四级分类，超过 autonomy 上限的操作会暂停等待人工批准，合并永远需要人确认，未分类工具默认按 critical 处理。
推荐理由：开源的半自主开发智能体框架，作者用7B模型实测了注入防御规则开关的前后差异，policy设计细节可直接借鉴。
anishalx 在 GitHub 发布 dynamictester，一个 AI 驱动的 DAST 工具，解析 Semgrep、Trivy、CodeQL、Gitleaks 等 7 种静态分析器结果，用 LLM 智能体加 Playwright 浏览器自动化动态验证漏洞。支持 OpenAI、DeepSeek、Qwen、GitHub Copilot、Google Gemini、OpenRouter、NVIDIA NIM 共 7 个提供商，含 25 个智能体工具、16 个漏洞类别、L0-L4 证据分级、WAF 绕过引擎，输出 SARIF 2.1.0、HTML 和 JSON 报告，并提供带退出码的 CI/CD 模式。
推荐理由：原文给出了完整的工具架构、分类体系和 CI 集成方式，读者可以了解用 LLM 智能体自动验证静态分析漏洞的具体做法。
作者发布 SpecAgent v0.10，一个面向 AI Agent 的行为驱动测试与回归检测平台，把 Agent 行为规则写成 YAML，自动生成含攻击 probe 的用例并检查 tool trace。PASS/FAIL 仅由确定性代码判定，LLM 只做提议且不改判定；发现 NEW_REGRESSION 时可在 GitHub CI 中阻断 PR，内置 FinCare 等演示示例与仪表盘。作者也坦承这是个人作品集项目，PostgreSQL 路径与跨运行缓存等尚未充分验证。
推荐理由：作者讲清了用确定性判定替代 LLM 打分的 Agent 行为回归门禁方法，并附部署与 CI 接入细节，可迁移到自家项目。
Anthropic 指认 DeepSeek、月之暗面（Moonshot AI）与 MiniMax 通过约 24,000 个欺诈账户从 Claude 非法提取能力，累计超过 1600 万次交互，分别针对推理、智能体、工具使用与编码等能力。DeepSeek 用让 Claude 复述内部推理的方式规模化生成 chain-of-thought 训练数据；Moonshot 动用数百个账户并在后期试图重构 Claude 的推理痕迹；MiniMax 被在训练期间检测到，Anthropic 新模型发布后 24 小时内其近半流量转向新模型。Anthropic 已部署分类器与行为指纹检测，并向其他实验室、云厂商和监管机构共享情报，同时呼吁行业与政策层面的协同应对。
推荐理由：原文披露了三家实验室通过欺诈账户规模化提取 Claude 能力的细节，可以作为了解蒸馏攻击手段与防御思路的一手材料。