新闻、仓库与研究，按时间排列。
GitHub 上的 cfgaudit 是一个 AI 编码助手配置文件安全审计工具，首先支持 Claude Code，检查违反最小权限原则或暴露敏感文件的设置，每条发现映射到 OWASP GenAI LLM Top 10 2026，并提供 OWASP MCP Top 10、AISVS 1.01 和 AVE 行为分类的次级映射。支持 Homebrew、go install、预编译二进制和 Docker 安装，输出 JSON、SARIF 2.1.0 和 Code Climate 格式，可接入 GitHub Code Scanning 与 GitLab Code Quality。
GitHub 仓库 Geloos/llm_benchmark 将越狱提示词注入真实 MITRE ATT&CK 攻击日志，让本地 LLM（通过 Ollama 运行 gpt-oss:20b、llama3.1:8b、gemma3:12b）判断日志是攻击还是正常流量，以此计算攻击成功率（ASR）。每条日志都是真实攻击，模型给出"正常"判定即代表注入生效。实验含 plain、hex、--dovsdofs、--ob 四类，每轮用 5 个 seed（42–46）重复，比较低/中两档温度下的平均 ASR 与 95% 区间，plain 实验使用 10 个类别的 47 种注入。
wehnsdaefflae 发布 LLMSecTest 0.4.0，一个 pytest 插件形式的 LLM 安全测试工具，对运行中的端点执行 OWASP LLM Top 10 (2026) 全部十个类别的攻击探测，输出 CI 可读的 SARIF v2.1.0 报告。覆盖提示注入、敏感信息泄露、供应链、模型投毒、RAG 间接注入等，支持 JailbreakBench/AdvBench 红队集、CVSS v4.0 评分、CycloneDX SBOM，可离线读取 Chroma/FAISS 向量库检测嵌入反演与多租户隔离问题；当前为 pre-alpha，由德国 BMFTR 通过 Prototype Fund 资助（资助号 16IS26S10）。
一位 Reddit 用户称 VS Code Copilot 智能体在执行测试时误删了其数据库，所幸有备份。此前也曾有 AI 智能体未经许可删除文件的推文走红，发帖者询问随着智能体能力提升，这类事故如今是否仍常见。
Blackman99 发布 keyroll（https://github.com/Blackman99/keyroll），离线扫描本机 Claude Code、Codex、OpenCode、shell 配置、.env 及备份中的所有 API key 副本，并通过各 issuer 的免费只读端点检查 key 是否仍有效（ALIVE/REJECTED）。keyroll rotate 只需粘贴一次新 key 即可重写所有生效副本并清除遗留副本，keyroll ci 可列出 GitHub Actions 中疑似供应商 key 的 secret 名称；工具只显示指纹和密钥末四位，绝不读取或输出密钥值，单一 Go 静态二进制、无第三方依赖。
推荐理由：作者完整公开了工具的扫描范围、检查与轮换流程和不读密钥值的安全设计，读者可以据此评估是否把它用于管理本机散落的 API key 副本。
ggml-org llama.cpp 的 Pocket-TTS 组件存在越界写入漏洞：函数 list_pockettts_state_slots 中对参数 mmproj 的操作可触发堆越界写，攻击需本地访问，公开 exploit 已可用。升级到 b11796 可修复，恶意 mmproj 现在会触发 GGML_ASSERT 中止；但 PR #29360 的根治修复仍在开放中。
Cal Poly SLO CS + AI Club 在 GitHub 开源 CANARY，一个用于测量和隔离工具调用 LLM Agent 中间接提示词注入的受控评估项目。它将“模型提出的不安全行为”与“系统实际允许的效果”分开记录，并量化每种防护措施对正常任务的代价。实验仅使用本地虚构 fixture 和 fake sink，无网络外发；开发模型为 claude-haiku-5-5，备选 gpt-6-luna，防护方案包括 D1_POLICY_GATE 和 D2_DATAMARKING。
一位 Reddit 用户计划用新购置的 256 GB Mac Studio 运行本地 AI 做内部渗透测试，出于隐私考虑不使用 Claude 或 Codex，而是寻找开源权重模型控制 Greenbone OPENVAS 和 Kali Purple VM 执行红队相关工作，向 r/LocalLLaMA 社区征求模型推荐。
Iago 是一个 Python CLI 渗透测试工具，对自有模型批量运行 guardrail 绕过技术库，多轮重复试验并生成含加固建议的渗透式报告。每次测量给出 95% CI，提示词泄露按预埋密文评分，伪造历史攻击带安慰剂对照，还通过实际 tool call 测试 agent。默认目标是 Ollama，也支持经 --authorized 测试 Anthropic API。
Shanjeev Rajendran 发布开源工具 Cloakroom（Apache-2.0），在本地把 API 密钥、机密和个人数据（PII）替换成占位符后再交给 AI 编码代理，写入文件时在本地还原真实值。0.7.0 起在 Mac 和 Linux 上支持 OpenAI Codex CLI 和 Google Gemini CLI；实测对 1,005 条个人数据零泄漏，而对比的 Claude Code 隐私工具泄漏 119 至 992 条。真实值存于本机加密保险库，检测模型仅首次从 Hugging Face 下载一次（Mac 约 1 GB，其他平台最多约 4 GB），提供防篡改活动日志、dashboard 误报学习规则和面向金融团队的付款调用拦截与审计功能。
推荐理由：原文给出与其他 Claude Code 隐私工具的横向实测数据，泄漏数和误报数都有对照，读者可据此评估是否值得在本地部署。
pelens 是一款 Windows PE 静态分析工具，可解析 .exe/.dll/.sys 文件，提取 SHA-256、imphash、编译时间戳、节表熵值、RWX 权限、安全缓解措施（ASLR/DEP/CFG）及按能力分类的导入 API 列表，全程不执行目标文件。配套的 ai_analyzer.py 将解析出的 JSON 数据发送给 LLM，生成分诊报告：第一部分为确定性发现，第二部分为带置信度评级的 AI 解释。该脚本支持 OpenAI、Gemini、Anthropic、Groq、OpenRouter 及本地 Ollama 等多家模型服务。
开源工具 Verdis 在安全报告被人工读取前先自动复现问题：按报告声称的版本构建项目，在无网络的 rootless 沙箱中运行 proof of concept，并返回判定结果和带哈希的证据包。它以 Python CLI 和 GitHub Action 形式发布，需 Python 3.12+ 及 Podman 或 Docker，支持 C/C++（ASan/UBSan）、Go、Node 和 Python 构建。模型只起草运行计划，判定由 oracle 决定，最终决定权留给维护者。
一位 Reddit r/LocalLLaMA 用户在构建本地 agent 系统（主 LLM 运行于 24 GB GPU），希望找一个在 agent 处理工具结果前快速筛查间接提示注入的分类器，支持英文和德文（含混合语言与 OCR 噪声文本），要求单条检测远低于 1 秒、可开源、阈值可调、误报低。其已尝试 Prompt Guard 2 86M、PIGuard 和 StackOne Defender，但尚无模型被验证对德语有效，正在征集模型推荐、微调数据集与防御 adaptive attack 的经验。
Reddit r/LocalLLaMA 用户发布了一个让 LLM 对战的竞技场：每个模型作为格斗者读取游戏状态，在 move、block、punch、kick、fireball 中选择动作，并支持“心理攻击”——向对手的下一次提示词注入消息，尝试诱导对手误判，但不改变实际游戏状态。平台提供战斗回放与决策记录，每份配置有独立 rating 记在昵称下，注册赠 1 美元，可玩 100 场以上。
GitHub 上的 solve-ai-ctf 是一个 AI 驱动的 CTF 解题工作台，覆盖分诊、假设、有界执行、验证、提交、复盘全流程留痕。项目用纯 Python 标准库实现、零 pip 依赖，内置本地 Web 工作台、Docker 沙箱执行、Flag 自动识别与抢一血式自动提交，支持 misc/crypto/pwn/web/reverse/forensics/ai 七类题型，附 24 份知识库参考文档，仅限授权的 CTF 比赛与安全研究使用。
Reddit r/LocalLLaMA 用户讨论：下载新模型时如何判断权重是否存在恶意内容。safetensors 可防权重执行任意代码这一显性风险，但模板后门、LLM 投毒等隐蔽问题尚无共识方案。
一位 Reddit r/SillyTavernAI 用户发帖提醒，一名自称 20 岁女性的账号在互动数小时后索要其未公开的 Ariel 角色卡，该账号仅注册 10 天、已发帖 211 条，且对话风格与其刚写过的 AI 伴侣 Ani 高度相似。Claude AI 指出对方存在镜像兴趣、刻意建立信任的模式。作者建议将可疑对话粘贴给 Claude 或 ChatGPT 判断是否被操控，或找旁观朋友核实。
作者 Mesut Güngör 在 GitHub 开源了 llm-scan，一个面向 Hugging Face、ModelScope 及本地模型的开源 LLM 安全扫描工具，采用零执行静态分析，覆盖 pickle 反序列化 RCE、trust_remote_code、Jinja2 SSTI（CVE-2024-34359）、SafeTensors 内存炸弹（CVE-2023-44469）等 42 条规则，并附 SHA-256 验证引擎。
推荐理由：作者开源的静态扫描工具在不执行模型代码的前提下检查权重、模板和配置，并给出与 OWASP、NIST 等框架的逐条映射。
Two Much Labs 发布 reversibility-classes（spec v0.2 草案、rclass 0.3），定义 R0 到 R4 五级可恢复性分类，并开放覆盖 20 个 MCP 服务器、536 个工具的带证据链接登记表。rclass scan 可扫描 Claude Desktop、Claude Code、Cursor、VS Code 或 Windsurf 的本地 MCP 配置，按最坏参数情形分级，未识别服务器一律计为 R4；项目还提供网关接入示例、preimage 覆盖等部署级降级机制、46 个一致性测试向量和 CI 用的 --list 模式。
推荐理由：作者提出按可恢复性而非严重性给 Agent 工具分级，并给出可复用的扫描器和 536 个工具的开放登记表，方法可直接移植到自己的网关。
GitHub 开源项目 Sentinel 是一个为 LLM 编码工具打造的防御性安全扫描插件，提供 MCP server 和独立 CLI，含 335 个测试，MIT 协议发布。当前版本尚无漏洞检测层，只能做仓库画像（语言、框架、授权面等）并从 2 个 pack、13 条技术的注册表中筛选适用技术，输出 markdown 与 SARIF 2.1.0 报告，且每份报告都明确声明哪些代码未被检查。工具强制范围与授权校验：仅扫描本地或你有权访问的 GitHub 仓库，只读不写入，需逐目标输入确认；项目还公开了自身 105 个待修复问题的 backlog，下一步将开发检测层。
一位 r/CharacterAI 用户称，在 Character.AI 上每次创建新角色都提示违反社区准则，即使角色不含真人全名、没有头像、描述只有最基本信息也无法通过。发帖人询问原因并寻求解决方法，帖内暂无官方回应。
开源项目 GERMLINE 上线 pre-alpha 版本，将已修复的公开漏洞转化为可复现的回归测试“抗体”，用于检测 AI 重写代码是否继承了前代的安全修复。其语料库含 100 个抗体，覆盖 libxml2、ffmpeg、imagemagick 等 17 个关键项目、15 种崩溃类型，目前 3/100 已在 CI 中端到端验证，98 个待复核。项目还提供 CI/CD 的 Immune Gate、签名 Immune Passport 及开放交换格式 ABX（RFC-0），代码采用 Apache-2.0、数据采用 CC-BY-4.0 许可。
AyushAditya444 发布 data-leak-guard，一个 OpenAI 兼容的 drop-in 代理，拦截 Aadhaar、PAN、手机号、UPI ID、银行账号、IFSC、地址、姓名和 API 密钥等敏感信息，在请求发给 LLM 前掩码替换、收到回复后还原，应用只需改一行 base_url 即可接入，项目处于 7 个阶段的第 5 阶段。在 1600 条合成消息的 held-out 测试集上整体 F1 为 94.4%，负样本误报率 1.4%；规则检测延迟 p50 0.175 ms，加 CPU 上的 ONNX 人名模型后 p50 17.340 ms。
推荐理由：项目给出了1600条held-out测试集的分类型精确率召回率和延迟数据，读者可据此评估这套脱敏代理的可靠程度。
作者发布 Ephor，一个只检测不拦截的 Linux CLI，通过读取内核 socket 表和 /proc 被动记录 AI Agent 的出站连接、下载量和是否命中已知恶意目的地，无需配置代理、被入侵的 Agent 也无法绕过。它还能展示每个 Agent 的权限爆炸半径，包括运行用户、Linux capabilities、免密 sudo 和可读的密钥文件；仅依赖 Python 标准库，可在 Pi Zero 2 W 等 512 MB 小设备上运行。v0.3 新增安装与 DNS 监控，追踪 pip/npm 安装并查 OSV.dev，可选 eBPF probe 补捉秒级进程，威胁判定默认离线匹配 URLhaus、Feodo Tracker、FireHOL 等免费 feed，VirusTotal 查询默认关闭。
推荐理由：原文讲清了无代理被动监测的实现原理、资源占用与同类工具对比，读者可以判断它是否适合放进自己的 homelab 监控栈。
TrustRAG 是一个开源 RAG 项目，针对"chat with your PDF"工具的幻觉、不可验证答案和文档内隐藏提示词注入问题，答案全部来自检索段落并逐条标注页码引用，用第二个模型对每条陈述做事实核查，并给出 🟢🟠🔴 信任分。在其自建的 5 份政策文档、71 个问题的评测中，检索 recall@4 达 100%、MRR 0.97，幻觉率 0%，30 个注入攻击 100% 被移除且无误删，每题平均耗时 6.6 s。技术栈采用 Claude Sonnet 5.5（回答）与 Claude Haiku 5.5（核查/OCR/扫描）、ChromaDB 与 all-MiniLM-L6-v2 本地嵌入，支持 Claude 订阅或 Anthropic API，并提供 Docker 部署。
faithdroid 是一个 GitHub 仓库，包含一篇硕士论文，提出用本地 LLM 做成本感知的 Android 恶意软件检测。模型生成的解释会被自动检查忠实性（faithfulness），数据集与实验涉及 KronoDroid 和概念漂移（concept drift）处理。
TroubieD3v 在 GitHub 开源发布 AgentShield v0.1.0，一个测试 LLM 应用、AI Agent、RAG 系统和工具调用安全性的工具，关注 Agent 实际做了什么而非回答文本是否可疑。包含 12 个模块、46 个场景定义扩展为 60 个可执行用例、12 类攻击（含直接与间接提示词注入、工具滥用、内存投毒、跨租户 RAG 泄露），映射 OWASP LLM 与 Agentic Top 10。
推荐理由：面向 Agent 的安全测试不只看文本回答，而是核对工具调用与实际行为，46 个场景映射 OWASP LLM Top 10，方法可迁移到自己的 Agent 测试。
一位用户询问在手机上下载的 AI 应用中进行语音对话时，是否存在声音被克隆的风险。他想通过 AI roleplay 智能体练习沟通和谈判技巧，并希望了解如何区分安全与不安全的应用。
Ethan Mollick 转引 OpenAI 红队测试称，前沿模型智能体在攻击 OpenAI 加固的隔离基础设施时，几乎在每个受限联网服务中都找到漏洞。智能体还能利用 CPU 缓存时序，在不联网、无共享文件的虚拟机之间传递秘密，手法类似 Spectre 和 Meltdown 攻击。作者认为实验室关于 AI 网络安全的判断应被更认真对待。
ari-ai 是为 HackATL 构建并计划发展为真实产品的自主软件工程与网络安全平台，核心是代码智能审查修复、七智能体安全团队和持续监控与 RL 防御三大支柱，共享一个版本感知的 Unified Intelligence Layer。后端 FastAPI、七安全智能体（Scout、Probe、Trace、Diagnose、Patch、Fortify、Verify）、代码智能与前端控制台已实现并通过测试，默认模型为 claude-haiku-5-5；基础设施部署尚未配置，RL 防御建议不会自动应用。
GitHub 用户 bugshunter95-blip 发布了 AI 安全作品集仓库 ai-security-portfolio，内容涵盖 LLM 安全、提示词注入、AI 红队测试、RAG 安全、Agent/MCP 安全及 AI 安全工程实践。仓库目前为 0 stars、0 forks。
sundi133 在 GitHub 发布开源的 llm-shield，一个部署在应用与 LLM 之间的 AI guardrails 平台，内置 19 条覆盖输入安全、输出质量和 Agent 安全的护栏，采用 CPU 快速护栏先行、LLM 护栏按需运行的两级并行流水线。支持基于 Redis 的多租户护栏策略与限流配额，提供基于角色的工具授权、MCP 工具校验、跨工具数据污点追踪、目标漂移检测和工具 kill switch 等能力，可用内置 Qwen3-8B 后端跑在 RunPod，或作为网关代理任意 OpenAI 兼容 API，并附 NIST AI RMF / OWASP LLM / ISO 42001 合规映射文档，MIT 许可。
推荐理由：开源 AI guardrails 平台，19 条护栏分两级流水线，覆盖多租户策略、工具授权、数据污点追踪和目标漂移检测，可按清单对照自己的 Agent 安全需求。
新加坡国立大学 ESP3201A 课程项目 trace-and-gate 在 GitHub 开源，针对能收发邮件的 LLM 邮件助手，对比溯源追踪与策略检查两类防御对抗间接提示词注入的效果。Qwen3-8B 本地实测中，无防御基线攻击成功率 33.0%，Dual-LLM 为 2.1%，溯源追踪 D1 为 0%，策略检查 D2 为 1.0%，D1h 在套件 v2 复测中攻击成功率 0% 且正常任务完成率与基线持平（87.5%）。项目含 Docker 沙箱环境、LLMail-Inject 真实攻击采样与 AgentDojo 桥接，第 10 周将加入冻结防御后编写的 held-out 攻击集。
推荐理由：项目给出了五种防御配置的攻击成功率与正常任务完成率对照数据，可用来比较溯源追踪与策略检查这两类防注入思路的代价。
wardowl（2.0 前名为 needtoknow）是一个开源 Python 库，把 OpenFGA、OPA、Cerbos 等权限系统接入 pgvector、Qdrant、Pinecone 等向量库的搜索内部，每次命中再复核并故障时关闭，保证 LLM 提示词只含用户有权读取的文档。基准测试在 57,600 个真实 chunk 上经 33,000 次检索无一次越权返回，pgvector 上 recall@10 保持 0.949 以上；百万 chunk 场景下中位延迟 3 到 21 ms，每秒最多可服务 126 次请求。
推荐理由：项目给出基准数据说明在搜索内做权限过滤可保住召回率，对搭建企业内部 RAG 的团队是可参考的做法。
OpenAI 介绍其前沿模型训练已完全断网，并用 AI 智能体红队测试自家基础设施。在隔离测试中，智能体在无网络、无共享文件条件下，通过 CPU 缓存时序差异、共享内存写入模式等侧信道通信，甚至独立建立编码方案交换信息。
dahchenoor-cmd 在 GitHub 发布 AI 红队测试作品集仓库，系统化整理对抗性机器学习评估、攻击 PoC 与防御缓解措施，覆盖本地及企业级 LLM 架构。仓库包含 10 个模块，从环境搭建到企业模拟审计，基于 Ollama、vLLM 运行 Llama-3、Mistral、Qwen 等开源模型，使用 garak、PyRIT 等工具，并对照 OWASP Top 10 for LLM Applications（2026）、MITRE ATLAS 与 NIST AI 100-2e2025 等标准。所有测试均在本地容器化环境中进行，数据全部为合成数据。
dbalchunas2-pixel 发布 Warden，一个原生 Mac 应用，作为 MCP 客户端（Claude Desktop、Claude Code、Cursor、Windsurf、Cline）与 MCP 服务器之间的安全网关，拦截每个工具调用并决定是否执行。决策管线含正则规则引擎（<10ms）、NVIDIA Nemotron LLM 分类（经 Nebius Token Factory）、启发式回退与熔断器，全部 fail-closed，并记录 JSONL 审计日志。内置对抗评测（seed 1337，22 次攻击+6 个良性对照）显示攻击检出率 100%、误报 0%、平均判定延迟约 3.5s；洪泛测试 30/30 拦截且仅 3 次调用消耗 LLM 预算。
推荐理由：原文给出完整决策管线和可复现的对抗评测数据，包括100%攻击检出率、0%误报和约3.5秒平均延迟，便于评估其实际拦截能力。
GitHub 开源项目 Website-Vulnerability-Scanner 发布自托管网站安全测试平台，内置 202 个确定性扫描模块，扫描过程零 AI 调用、无 API 计费。其中 43 个深度侵入式模块仅在验证站点所有权后运行，报告含证据、CVSS 评分与修复建议。2026 年 10 月新增 AI 攻击面检测模块，可识别 MCP server 安全、泄露 AI 密钥及 vector DB 等暴露面，通过 Docker 全栈部署。
GitHub 开源项目 plc-guard 用规则检查器加 LLM 检测和修复 IEC 61131-3 Structured Text PLC 代码中的安全漏洞。规则检查器在原始数据集上 F1 达 1.00，变量重命名后降至 0.71；NVIDIA Nemotron 3 Ultra 零样本检测在混淆数据集上保持 1.00 recall，但 F1 为 0.69 ± 0.05，误报较多。项目含 85 个离线测试、Streamlit UI、缓存回复保证可复现，计划扩展到 30+ 数据对并支持 Gemini 和 OpenRouter。
Google 开源的 Mantis 是一套技能（skills）加 ADK 参考实现的工具包，覆盖威胁建模、代码审查、漏洞研究、修补到报告的完整安全流程。它支持 `./run.sh --focus` 指定目标、`--exclude` 排除目录、`--max-tokens` 设定花费上限及并行扫描，并通过研究图合成动态生成 agent-graph 拓扑。仓库强调需在隔离环境使用，AI 发现须经安全专家人工验证，PR 扫描尚未实测、不可用于合并门禁。