新闻、仓库与研究，按时间排列。
lacs-project 开源了 SysKnife，一个 Linux 系统管理 MCP 服务器，核心设计是模型只输出带风险等级的类型化动作，特权守护进程自行构建命令行，AI 从不经手 shell 字符串。执行需用户在终端输入 sysknife approve <transaction-id> 换取一次性回执，所有动作记录在 Ed25519 签名的可验证审计链上，原子主机 rpm-ostree 变更失败自动回滚；守护进程含 192 个类型化动作，Ubuntu 22.04/24.04/26.04 实测均为 79/79 用例通过，支持 Claude Code、Cursor、Codex CLI，也提供独立 CLI。
Hostwarden 是一套规则，把 Claude Code、OpenCode 等终端 AI 助手变成谨慎的 sysadmin，支持 Linux、FreeBSD 和 macOS 目标，Windows Server 仅可经 SSH 报告。它逐条解释并等待用户批准每条 SSH 命令，备份配置、支持 dry-run，并对分区表、磁盘擦除、sshd 配置和关机等操作硬性封禁。每个服务器的信息存于独立的 git 记忆仓库 memory/，团队可通过私有 remote 共享；项目接续 Stefan Wintermeyer 的 Heinzel，在 GitHub 组织 hostwarden 下维护。
开源项目 Skybreaker 在用户自有 Linux 服务器上以 gVisor 沙箱按项目运行 Claude Code、Codex 和 pi，内置 broker 托管凭据、按策略逐请求放行、挂起或拒绝。支持经 Tailscale 从网页、手机、终端或 VS Code 驱动，提供审计与 kill switch、分支级 diff 审查与 PR 流程，AGPL-3.0 协议，当前为 pre-1.0。
推荐理由：这是一个开源的编码智能体沙箱方案，凭据由独立 broker 托管并逐请求审批，适合关注本地部署安全的开发者参考其架构设计。
该 GitHub 仓库包含四个围绕账单与支付运营问题构建的作品集演示项目，全部使用合成数据，无生产部署。Reconciliation Engine 用 Python 和 SQL 对账，100 万行合成数据单次运行 12.7s（pandas）/11.1s（SQL）；LLM Support Desk 基于 Ollama llama3.2:1b 本地分诊支付申诉，由确定性规则决定最终动作，23 条标注工单中类别一致率 13/23。另有 .NET 8 固定宽度文档布局工具和 Collections Aging SQL 项目。
saasclawai-org 在 GitHub 发布 ClaimCheck，一个本地优先的 LLM 假名化网关，单个自包含二进制提供两种模式：MCP server 供 Cline、Cursor 等客户端调用 read_sanitized 等工具，LLM proxy 对 OpenAI 兼容请求在线路层脱敏、响应时还原。占位符如 [FEIN_1]、[SSN_2] 稳定可逆，映射 vault 只存本机；内置 regex 识别器覆盖 SSN、信用卡、API 密钥、PEM 私钥等，可选本地 BERT ONNX NER 层捕捉自由文本人名组织名。作者明确说明局限：不覆盖 PDF/DOCX 等二进制格式和非英文文本，vault 未加密，MIT 许可下无任何担保。
推荐理由：原文给出了假名化工具的两种工作模式、可识别的 PII 类型清单和明确不覆盖的范围，便于评估是否适合本地脱敏工作流。
dgesteves 发布开源工具 onmcp，按模型阅读方式检查 MCP server 的 tools、prompts 和 resources 列表，捕获无法解析的名称、模型填不出的 schema、需猜测的参数及隐藏指令文本，并给出修复建议。支持通过 stdio 或 HTTP 检查服务器，也可检查保存的 tools/list 文件；内置约 20 条规则（如 hidden-characters、injection-phrases、description-budget），输出 pretty/json/sarif/github 四种格式供 CI 使用，示例检查出 poisoned-server.json 中藏在 Unicode tag 字符里的指令。
推荐理由：作者开源了自己写的 MCP server 检查工具，规则表覆盖隐藏字符、注入语句和 schema 缺陷等模型视角问题，并给出修复建议。
dmytrome 发布开源项目 Groundhog（MIT 协议），一个 MCP 服务器，让 AI Agent 通过带隐身补丁的真实 Chrome 进行网页搜索、读取和研究，返回干净的 Markdown。核心特性包括默认剥离并报告人类不可见的隐藏文本、每个来源附带 SHA-256 溯源回执、内置 SSRF 防护和域名限速、免模型和 API key。在 28 页隐藏文本基准上，Groundhog 25/28 完全拦截并报告，优于 requests（25/28 但不报告）、Scrapling（16/28）、Jina Reader（15/28）、Firecrawl（7/28）；stealth 容器在 sannysoft.com 31/31 项通过。
推荐理由：项目给出了对 requests、Scrapling、Jina Reader、Firecrawl 的隐藏文本检测对比数据与反爬检测实测结果，读者可据此评估这套带溯源的 MCP 阅读方案。
NVIDIA 发布开源工具 SkillEvaluator，用于检查 AI Agent 技能并衡量技能对任务结果的影响。它提供三层评估：Tier 1 静态校验（可用 Semgrep、SkillSpector、Gitleaks 做安全扫描）、Tier 2 基于 embeddings 的重复检测、Tier 3 通过 Harbor 沙箱对比有无技能的实际运行效果。示例技能可获得 84.5/100（B）评分，默认通过阈值为 70；工具支持 uv 运行 Python 3.13，可通过 NVIDIA Build API key 调用模型。
duu261 在 GitHub 发布面向编程智能体的 Agent Skill「production-ops-discipline」，源自作者在生产服务器上约 12,000 次 tool calls 中观察到的 claude-opus-5-5 失败习惯。技能教授变更前写明目标与回滚、每次调用只做一个改动、禁止读取 .env 等密钥文件、在固定触发条件下委托独立审查等纪律；附录的脚本统计显示显式工作目录比例从 60.8 升至 99.4，cd 串联从 35.5 降至 0.6，但作者说明改动当晚同时落地了配套规则，且与 GPT 模型的对比列来自不同时段，只能作方向性参考，计划中的对照 A/B 测试尚未进行。
推荐理由：作者基于约 12000 次生产环境 tool calls 的日志给出行为前后对比数据，并坦承存在混淆因素，可复用的生产操作纪律模式值得一读。
MUSE-CODE-SPACE 发布 toolcall-rescue，一个零依赖的纯标准库 Python 包，用于在结构化 tool_calls 字段为空时，从 qwen2.5、Gemma、Kimi、MiniMax 等本地或小型模型以纯文本输出的消息内容中恢复工具调用，支持 Ollama、llama.cpp、vLLM、LM Studio 等 OpenAI 兼容端点。
推荐理由：这是一个可直接落地的本地小模型工具调用抢救库，安全模型讲得清楚，还交代了为何框架核心拒绝收编这一层的取舍。
QWED 以 Apache-2.0 协议开源，是一个校验 LLM 与 AI Agent 输出中声明的验证层，使用 SymPy、Z3、SQLGlot、Python AST 等确定性引擎，无法验证的声明不会标记为已验证。它可作为 Python 库、CLI、自托管 API 或 Docker 镜像在本地运行，提供 TypeScript、Go、Rust SDK，包含 13 个引擎和 9 个策略守卫，返回 status 与 admission 两个独立判定，并定义了 Verification Context v1.0 结果记录格式。自然语言检查需调用所配置的 LLM 做形式化转换，该转换本身不被验证。
GitHub 上独立开源项目 rule-test-bench 让管理员无需对语料库做 dry run、不读取任何真实文档，即可用标注示例即时评测内容规则，得出 precision、recall 及每条置信度落在 auto / review / ignore 区间的结果。示例中薪酬过滤器从 v1 的 67% precision（2 个误报）提升到 v2 的 100% precision、0 误报，客服通话共享规则达到 9 条中 7 条自动共享、0 误共享并标记 ready。默认使用确定性的 LocalJudge，可配置 Claude（claude-opus-5-5）作为 LlmJudge，技术栈为 Next.js 15 + React 19 + TypeScript，含 90 个 Vitest 测试。
gumieri 在 GitHub 发布 Nenya，一个零依赖的 API 网关，在源码、提示词和凭证离开本机前自动脱敏，兼容 OpenAI 和 Anthropic Chat Completions API，内置 23 个 provider 适配器。支持 fallback 路由、响应缓存、SSE 流式转发和可选的防 prompt injection 与出站控制栈，采用 mlock、seccomp、非 root 容器等安全加固，提供 Podman、systemd、Kubernetes Helm 等部署方式，Apache 2.0 许可。
GitHub 开源项目 autonomous-ecommerce-agent 是一个企业级自主电商运营智能体平台，基于 FastMCP 与 LangGraph ReAct 编排，主模型为 Groq Qwen 2.5 27B，回退为 GPT-OSS 120B。平台集成 HITL 审批、越狱与 SQL 注入防护、Langfuse 分布式追踪，评测集路由准确率达 97.1%，附带 23 个通过的 pytest 测试与 Docker 部署方案。
f0rknturkoglu 发布 AgentChecksum v0.1.0，一个语言无关的 agent 依赖指纹与行为回归门禁工具，单个 Rust 二进制，无服务、无数据库、无遥测。它对模型身份、推理参数、prompt、MCP 服务器与工具契约做规范化后 SHA-256 指纹并给出语义 diff，再用行为探针对照已接受的基线打分门禁；支持 Ollama 或 OpenAI 兼容端点，提供 cargo、Homebrew 与预编译二进制安装，并附 GitHub Action 用于 CI 门禁。
推荐理由：原文给出了指纹维度、探针指标和退出码的完整设计，读者可以据此判断这个行为回归门禁是否适配自己的 agent 工作流。
adecubed 发布 GigaMail，一个让 Claude、Codex、OpenClaw、Hermes 等 MCP 客户端安全访问真实邮箱的 MCP 服务器，支持多账户（Microsoft Graph + IMAP）、日历、本地 SQLite 搜索索引、发件人记忆与知识文件，不内置 LLM，AGPL-3.0-or-later 许可。安全模型上邮件内容视为不可信数据，发送/删除等危险操作只返回惰性 request_id，需经 Windows Hello / Touch ID 带外人工批准，凭据只存于 CLI 不进模型上下文，写操作记入只追加审计日志；v0.1.0 曾把确认 token 放进模型上下文被 r/mcp 用户发现，现已修复并配 CI 注入测试。
推荐理由：作者给出了带外审批与提示注入红队的具体设计，v0.1.0 的审批缺陷和修复方式也写得清楚，可作 Agent 邮箱权限设计参考。
GitHub 仓库 MobitSolidity/marfin-llm 提供面向 CPU 本地运行、波斯语–英语双语金融 LLM 的主系统提示词（SYSTEM_PROMPT.md v2.0）及配套治理文档，涵盖 RAG、MCP/tool calling、TradingView 集成、券商连接与模拟/实盘交易门控。仓库按阶段推进，当前处于 Phase 8，包含决策日志 D-0001–D-0123、Phase 4 失败归因脚本、Phase 6 红队评测（51/51 mutants killed）以及选定 Q4_K_M 量化的 Ollama Modelfile 等部署与安全组件。
autonomic-ai-dev 发布开源项目 agent-mouth，作为 Autonomic 集群的 Ingress API 网关，对 Agent 生成的 bash 命令用 tree-sitter AST 解析并按安全策略校验，rm -rf / 等危险命令在进 shell 前即被拒绝并返回结构化 JSON 错误。项目还提供 NATS JetStream 到 WebSocket/SSE 的实时流转发、Slack webhook 人工审批（cryptographic approve/deny 回调）和 stdin 日志摘要功能，支持独立 CLI 模式与 ：3104 端口守护进程模式，可通过 Homebrew 或 curl 安装，MIT 协议。
推荐理由：介绍了一个开源 Agent 命令安全网关的实现思路，tree-sitter AST 在执行前拦截危险命令的做法可直接迁移到自己的 Agent 工作流。
开源库 needtoknow 为 RAG 提供权限感知检索，通过 PermissionedRetriever 让每位用户只取回有权阅读的文档块，核心零依赖。它支持 prefilter、postfilter 和 auto 三种策略，权限服务出错时关闭失败而不放行未过滤结果，并提供 pgvector、Qdrant、Milvus、Chroma、Redis、Elasticsearch/OpenSearch 等向量库适配与 OPA、OpenFGA、SpiceDB、Cerbos、LangChain、LlamaIndex、Haystack、MCP 集成。
推荐理由：原文给出权限过滤在 RAG 检索层的完整实现思路，并用基准数据说明过滤位置对召回率的影响，方法可直接迁移。
开源项目 AGF-v8.0-MAX-Identity-Preservation-Engine 发布，可在 ChatGPT、Gemini、Grok、Meta AI 等闭源 LLM 聊天窗口中执行身份保持验证，无需 API 或插件。系统采用 fail-closed 判定，无证据即标记 BLOCKED，并使用 FaceNet TFLite 在本机做生物特征核验，可复现 cosine 0.9675（byte-a-byte）。代码为 MIT 许可，模型权重不随库分发，自诊断在 Termux 上 9/9 OPERATIVO。
VaultRun 是一个自托管的 AI 智能体安全运行时，让智能体在自有基础设施的隔离 Docker 沙箱内执行代码、查询数据库、调用云 API 和管理文件，数据不出内网。最新 v0.3.2 完成第二轮跨功能安全排查，修复 12 个缺陷，包括多智能体协作中的智能体冒充通道、checkpoint 分叉绕过会话配额，以及 MCP 浏览器工具中未修复的 Python 注入漏洞副本；作者建议所有 v0.3.0/v0.3.1 部署升级。v0.3.0 提供会话回放、浏览器自动化、成本追踪、自然语言策略、会话模板市场和多智能体协作六大功能，MCP 服务器含 61 个工具，核心版本采用 Apache 2.0 许可。
GitHub 上的开源项目 AgentGuard 为 AI 购买智能体提供花费策略控制平面，策略以代码而非提示词实现。它通过 LLM 提取消费意图，再用六条规则（月度预算、单笔上限、商家白名单、品类限额、频率、审批阈值）输出 ALLOW/DENY/ESCALATE 三种决策，每次决策追加到哈希链 SQLite 账本，verifyChain() 可验证篡改。项目已通过真实 PayPal sandbox 实测验证，Escalate 需人工审批，提示词注入最多只能导致 DENY。
nikzlabs 发布开源项目 ShipIt，一个浏览器内、聊天驱动的 IDE，用隔离容器并行运行多个编码智能体，每个会话有独立分支、工作区和完整应用栈预览。支持 Claude Code、Codex 等多种 harness，自带默认拒绝出站的每智能体防火墙、托管凭证与提交时密钥扫描，Apache 2.0 协议，可部署在 Linux、macOS、Windows（WSL2）本地或 Ubuntu VPS。
推荐理由：README 详细写明了容器隔离、默认拒绝出站防火墙和凭证托管等安全设计，对自托管编码智能体环境有直接参考价值。
GitHub 上的 Cavendex 是一个面向安全运营中心（SOC）的网络安全智能体 AI 操作系统，作为中枢智能层编排专用 AI 智能体，帮助团队分诊告警、调查事件、狩猎威胁并协调响应。它具备持久记忆、Markdown 审计轨迹、多租户隔离和生产系统人工审批门控，接入最多 20 个威胁情报源（如 AbuseIPDB、VirusTotal、Shodan），并提供离线优先的分析师仪表盘、Strand Map 关联图谱和 MTTR 等 KPI 报告。项目采用 Apache 2.0 许可证开源。
GitHub 开源库 figured 发布，提供两类无参考、确定性的在线评测，对每个回答的数字和每次工具调用参数溯源，单次检查约 150 µs、每次工具调用约 25 µs（p99 0.19 ms），零依赖、无模型调用，Python 3.10+，pip install figured 可装。库支持 before_call 的 allow/warn/block/confirm 四种裁决、来源规则限制值只能来自指定通道（可拦下间接提示注入类载荷）、重复调用与预算检查，并能重放 OpenAI、Anthropic、Gemini、Bedrock、LangChain 及 tau-bench、AgentDojo 等格式的记录用于离线评测和 CI。
推荐理由：原文给出基准实测数字、延迟数据和局限清单，读者可据此判断这套无参考确定性检查是否适合接入生产流量。
OMD-123 在 GitHub 发布 agent-loop-guard-js v3.0.0，一个与模型提供商无关的 Agent 安全层，通过 LoopGuard、SecurityGuard、HallucinationGuard、LogicGuard 四个插件式检查器拦截死循环、提示词注入、幻觉和不安全输出。v3 改为 orchestrator 插件架构，零外部依赖，号称单步检查延迟低于 0.8ms、每会话内存开销约 12KB、单线程约 10k checks/sec，支持 OpenAI、Anthropic、LangChain、Vercel AI SDK 和本地模型，MIT 协议开源。
GitHub 开源的 Certifier 是一个语言无关的零信任引擎，为自主智能体的每次变更请求生成防篡改的证明信封，要求附带身份证明、资源范围和预计算回滚方案，无法产生有效回滚凭证则拒绝执行。其二进制体积小于 2MB，零依赖，每会话生成临时 Ed25519 密钥对，高风险范围可要求 N-of-M 多方会签。它支持 Strict Gate 与 Audit-Only 等三种运行模式，适用于 AI 驱动的基础设施变更、Intune 策略部署和多智能体 CI/CD 流水线。
ProxmoxMCP-Plus 是一个安全控制平面，让 MCP 客户端、AI 智能体和 OpenAPI 工具统一运维 Proxmox VE 的虚拟机、LXC、快照、备份、ISO 与长时间运行任务。MCP 入口面向 Claude Desktop、Cursor、VS Code、Codex 等智能体，OpenAPI 入口面向 HTTP 自动化与仪表盘。项目内置审批门、命令策略、TLS 校验等安全机制，可通过 PyPI 或 Docker 部署。
honesty-kits 项目提供一组零依赖的 MIT 许可 TypeScript 工具包，检查 AI 产品声明的真实性，如 grounding-kit 检测引用是否有证据支持、freshness-kit 检查信息新鲜度、cost-governor-kit 控制模型调用预算。共 11 个 kit 可通过 honesty-mcp 作为 MCP 工具接入 Claude Code、Cursor、VS Code 等，并提供浏览器 playground 与 CI 可用的模块化检查。
ZAYNOR 是一个本地 AI 取证调查平台，核心原则是将调查自主权与结论权威分离：证据经标准化、冻结后由 VIGÍA 确定性数学引擎生成密封的权威结果，本地 Ollama 模型只能在结果生成后解释案情、提出只读查询，不能写入或修改裁决。平台提供 CLI、OpenAI 兼容 API、Web 界面和 MCP 集成，支持 Velocirapter 等受限采集器与事后证据，相同冻结案例可复现相同结果。
一个基于 FastAPI 的小型多租户文档分析服务，按租户存储已提取的文档文本，并返回摘要和要点。内置的 LLM 为确定性假实现，无需网络或凭据，支持 Python 3.11+；AUTH_TOKENS 仅为测试存根而非真实认证。存储为内存单进程，重启即丢失，extracted_text 上限 20000 字符。
GitHub 上的 N.O.V.A 智能体项目按阶段推进自动化能力：通过 pyautogui 与 Playwright 实现 flag 门控的键鼠/浏览器操作，接入 Gemini 原生 function-calling 与 MCP 客户端（所有 MCP 工具为 confirm 级）。项目以安全为核心：提示词注入污点追踪、最小权限工具范围、OS 加密凭证库、任务中断后只重放请求不重放授权。62-64 阶段还修复了表单无法填写、明文存储输入值、focus_window 虚假返回 ok:True 及批量调用静默截断等缺陷。
Cognis Digital 是一家位于美国怀俄明州的私人工程实践团队，在 GitHub 上开源了 407 个可自托管、MCP 原生的单用途安全工具，共获 132 stars，旗舰工具 c2detect（35 stars）可识别 Cobalt Strike、Sliver、Mythic 等C2 服务器指纹。工具覆盖固件、ICS/OT、RF、DFIR、OSINT 与合规即代码，均提供 CLI、JSON/SARIF 输出和 MCP server，支持离线气隙环境自托管。
TAIPANBOX 在 GitHub 开源 catalog 仓库，提供治理自有 AI 智能体的可复制模板，含 Wardryx 策略、Mockryx 演练场景、适用于 LangGraph、CrewAI、AutoGen 的 Agent Passport 模板及 Terraform 模块，采用 Apache-2.0 许可证。仓库本身不托管智能体、不做注册表或市场，模板验证直接用各组件自己的解析器加载，且曾借此发现 Wardryx 缺少严格字段检查的缺陷（deny_tools 应为 deny_tool）并已修复。
AndrewDryga 开源了 co:op，一个 Go 编写的沙箱工具，在容器内以关闭权限提示的方式运行 Claude Code、Codex、Gemini CLI 和 Grok。容器只挂载项目目录，SSH 密钥、云登录和 .env 均不进入盒内，过滤网络只放行 AI 提供商和已批准域名；提供任务队列 coop loop、fork 评审、多账号轮换、评估和 cosign 签名校验，支持 macOS 和 Linux（Docker），MIT 许可。
推荐理由：README 讲清了沙箱隔离、密钥防护、过滤网络和任务队列的具体机制，读者可以据此评估无人值守跑编码智能体的可行方案。
SecureAI Gateway 是一个用于管理、代理和监控 LLM API 使用的开源平台，后端基于 FastAPI，前端采用 React，配合 Redis 做缓存与限流、PostgreSQL 存数据，可对接 OpenAI、Gemini、Ollama 等外部 LLM API。项目支持 Docker Compose 本地开发和 k3d Kubernetes 部署，并提供认证、聊天、分析和管理等 API 路由。
FreeRouter 是一个自托管 LLM 网关，采用 Go 后端和 React 控制台，通过统一的 OpenAI 兼容 API 将请求路由至 OpenAI、Anthropic、Google AI Studio、Mistral、DeepSeek、xAI、Groq、Together AI 等 8 家提供商的 58 个模型。它内置限流、guardrails、按最低成本/最低延迟等路由策略、响应缓存与 Prometheus 指标，认证则完全委托给 IAMKit。项目免费开源，支持 OpenAI、Anthropic Messages 和 Responses API 三种请求格式。
Vantio 发布开源仓库 vantio-open-core，提供本地优先的 AI Agent 出站观测工具 Optics，通过 npm install -g @vantio/cli 与 vantio run node agent.js 即可接入，Python 需 vantio-agent-sdk 的 @shield 包装。工具拦截 Node 的 fetch 等出站调用，只记录目的地、进程、字节数和时序，不记录提示词、补全或个人信息；支持 macOS、Linux 和 Windows（WSL）。文档同时说明可被原生 socket、未包装子进程或其他语言运行时绕过，浏览器路径不在覆盖内，策略执行与主机级保护需付费的 Phantom Engine。
推荐理由：README 明确列出了可拦截的运行时与可绕过的边界，读者可以据此评估这个本地 Agent 出站观测工具的真实覆盖范围。
DFKHelper 在 GitHub 发布 token-goat，一款通过拦截 AI 工具读写来自动降低 token 用量的开源工具，宣称可减少 40–90% 的 token 消耗。它以 hook 形式拦截重复读文件、全文件读取、大截图和构建日志等六类浪费，支持 Claude Code、Gemini CLI、Codex CLI、Aider、Cursor、Cline 等 20 多个 AI 编码工具，并对所有抓取内容加不可信内容围栏以防提示词注入。README 附带基准数据，如在 13,870 次真实读取样本中 Markdown 大纲模式扣下 40.4% 的字节，截图可压缩约 91%，安装仅需 npm install -g token-goat 后运行 token-goat install。
TAIPANBOX 在 GitHub 发布开源代理网关 TokenFuse，置于 Agent 与 LLM 提供商之间，实时核算每次调用的真实成本，超预算或检测到循环时在请求路径上返回 HTTP 402，在提供商计费前切断调用，改一行 base URL 即可接入。它还内置 MCP 工具投毒与 rug-pull 扫描器（可作 GitHub Action 门禁 CI）和凭据 broker，把密钥以 {{secret:name}} 句柄形式隔离在模型上下文之外。
推荐理由：原文给出三大云上的实测数据和逐次预算熔断结果，读者可以据此评估这个代理网关在真实基础设施上的表现。