新闻、仓库与研究，按时间排列。
GitHub 上的 ady95/security_tutorial 是韩文图书《AI 时代的 IT 安全实践——从黑客基础到 LLM·AI Agent 安全》的示例代码仓库，内含故意保留漏洞的学习用代码与配置。仓库按章节组织，涵盖网络与系统黑客、Web 黑客、Cloud·Container·供应链安全（gitleaks·Semgrep·Trivy 流水线）及安全 AI Agent（Sandbox 容器与工具调用策略引擎），要求在隔离的 Docker 环境中运行，需 Docker、Git、Python 3.10 以上，推荐 16GB 内存，默认搭配 Ollama，也可选用 OpenAI API。
独立 AI 红队研究员 Gerardo Tradito 发布 Aegis 框架作品集，通过黑盒审计对商业 AI 系统与 LLM 助手模拟真实对抗攻击，无需源码即可证明模型安全缺陷。包含 3 个 PoC：营养 Bot 假设角色扮演攻击（OWASP LLM01/LLM02）、客服 Bot 权威冒充致系统提示词泄露（OWASP LLM06）、电子产品零售 Bot 游戏化越狱与内部逻辑提取，目标身份已按负责任披露原则匿名化。
GitHub 项目 llm-pricing 将 OpenAI GPT、Anthropic Claude、Google Gemini 等 300+ 大语言模型的 API 输入/输出价格汇总在一个 JSON 文件中，含模型名称、提供商信息，每周更新一次。用户在 Windows 上用记事本或浏览器即可打开，通过 Ctrl+F 快速查找模型价格，适合项目成本规划与供应商比价。
falkenslab 开源了 pseudonym 库，在程序把人物数据发给大语言模型前将其替换为 A-7K3F9Q 这类稳定化名，本地运行、无需部署服务器。它提供 remember、resolve、redact 三个 API，默认同一人在不同服务获得不同化名，防止模型跨服务关联身份。库需 Node.js 20 及以上，ESM only、无运行时依赖，通过 `npm install @falkenslab/pseudonym` 安装，化名持有人可用 pseudonym CLI 在本机离线解析。
GitHub 项目 Awesome-AI-Deception 汇集了 AI 网络欺骗相关资源，涵盖对抗式机器学习、AI 蜜罐和威胁检测等主题。项目提供资源库、交互式教程和社区论坛，支持 Windows 10+、macOS 10.14+ 及 Linux，要求 4 GB 内存和 500 MB 磁盘空间，最新版本可从 Releases 页面下载。
claude-code-source 是一个从 npm 构建还原 Claude Code Windows 应用源码的仓库，包含完整原生模块且功能不删减。仓库要求 Windows 10/11、至少 4 GB 内存和 2 GB 磁盘空间，用户从 GitHub 页面下载 .zip 或 .exe 文件即可解压安装运行。文中还给出解压、Unblock 解除阻止、重新安装及安全检查等常见操作步骤。
GitHub 仓库 sanjana0111/Shadow-Protocol 介绍 SentinelCore，一个自称“数字免疫系统”的自主安全编排平台，通过行为合成学习正常运营模式并在异常演变为事件前发现威胁。平台需 Python 3.10+、8GB RAM（建议 16GB）和 20GB 存储，支持直装、Docker 和手动构建三种方式，可集成 OpenAI 的 gpt-4-turbo 与 claude-3-opus-20240229 API 做自然语言分析和策略分析。项目宣称将事件响应时间缩短 85%、威胁识别准确率提升 92%。
开源工具 CC-Router 作为本地代理运行在 Windows 10/11 上，可管理多个 Claude Max 订阅账号，以 round-robin 轮询方式为 Claude Code 分发请求，在某账号达到限额时自动切换。它还负责各账号的 OAuth token 轮换与续期，支持限流控制，可自托管，需将 Claude Code 的代理设置指向其本地地址。
emmanuelgjr 在 GitHub 发布 genai_incidents 数据集，汇总 AIID、OECD AIM、AIAAIC、MITRE ATLAS、NVD/GHSA/OSV 等来源，收录 15,637 条事件（1,915 条 landmark 级），统一映射到 OWASP LLM/ASI、NIST AI RMF、MITRE ATLAS 等分类学，可通过网站、Raw JSON、STIX/TAXII/MISP、PyPI、Hugging Face 获取。
推荐理由：把多个不共享 schema 的 AI 安全事件源统一映射到安全分类学，并明确标注启发式标签的局限，便于检索与引用。
GitHub 上的 llm-attention-visualizer 是一款用于分析 Transformer 模型注意力模式的工具，提供逐层可视化、token 重要性评分和注意力流图三大功能。工具支持 Windows 10+、macOS 和 Linux，需 4 GB 以上内存和 Python 3.7+，用户可加载模型、选择层查看注意力模式，并将结果导出为图片或报告。
Cygnux Labs 在 GitHub 开源 Tracekit，为 AI Agent 的每次工具调用提供防篡改审计记录。策略门在调用前决定 deny、ask 或 flag，独立签名者用 Ed25519 把事件写入仅追加的哈希链，checkpoint 发送到 witness，.tkb 包可离线验证，篡改、删除或重排都会导致验证失败。支持 Claude Code hooks、Codex CLI、Cursor、Gemini CLI、Python 与 TypeScript SDK、LangChain/LangGraph 和 MCP，Linux 系统模式下签名者以独立 OS 用户运行，macOS 支持 dev 和实验性系统模式，Windows 仅 dev 模式，MIT 许可。
推荐理由：给 AI Agent 的工具调用留下防篡改审计记录，策略门控、独立签名与哈希链的设计讲得具体，还坦白列出了盲区。
GitHub 上的 claims-triage-agent 是一个基于工具调用、guardrails 和离线评测的医疗理赔拒付分诊 Agent，处理合成数据，针对 claim id 返回修正重报、申诉、申请预授权、坏账审查或人工升级五种建议操作之一。它使用 Pydantic 类型化工具查询 SQLite 数据库和 BM25 策略语料，内置 PHI 脱敏、提示词注入过滤和工具调用预算，支持 OpenAI、Azure OpenAI 和 Amazon Bedrock。默认 scripted planner 在 21 个场景评测中动作准确率 0.952，工具选择精确率 1.000，平均每次运行延迟 1.9 ms，通过 FastAPI 提供 /triage 接口并支持 Docker 部署。
GitHub 开源项目 Self-Evolving-AI-HoneyPot 是一个动态 AI 驱动的 SSH 蜜罐，通过调用 Google Gemini API 实时生成仿真的 Ubuntu 22.04 假环境（如 .env 文件、密码列表）来诱骗并分析攻击者。项目包含 Flask 可视化仪表盘、SQLite 日志存储和独立的进化引擎，可分析近期攻击持续优化蜜罐人格，SSH 服务监听 8022 端口，支持 Docker 部署。
作者在 GitHub 发布 RustGuard，一个用 Rust 编写的 LLM 安全网关，以反向代理方式部署在客户端与上游 LLM（Ollama、OpenAI、Anthropic、vLLM）之间，实时检查请求与响应，拦截提示词注入、越狱和敏感数据泄露。项目称 p99 延迟约 13 微秒，自称比 Guardrails AI、Presidio、Llama-Guard 等 Python 网关快数千倍；功能包括 Aho-Corasick 注入扫描、Unicode 混淆归一化、PII 与密钥脱敏、SSE 滑窗流式检查、SSRF 防护、内置 HNSW 向量 RAG 和 Prometheus 遥测，附 88 个单元与集成测试。仓库采用 Apache 2.0 / MIT 双许可。
研究者提出 X-AgentRed，一个自演化红队测试框架，通过构建工具依赖有向图并利用执行反馈，发现个人智能体在多服务生态中完成良性请求时可能产生的有害工具调用路径。该框架通过工具替换多样化路径并修正被阻塞步骤的前置条件实现自我改进。在四个前沿 agentic 模型上，X-AgentRed 的有害路径率达到 STAC 的 1.77 倍，工具覆盖率平均达 2.99 倍。
GitHub 仓库 skyvanguard/awesome-ai-pentesting 汇总了利用 LLM、机器学习和自主智能体进行渗透测试、漏洞赏金与红队攻防的开源项目。清单覆盖自主渗透测试 Agent、安全 MCP 服务器、AI CTF 工具、蓝队防御等分类，收录 Strix、Shannon（XBOW Benchmark 96.15% 成功率）、PentAGI、PentestGPT 等项目。仓库由 @skyvanguard 维护，星标数据更新于 2026 年 10 月。
GitHub 上开源的 MSA v2.0 是一个自主、隐私保护的移动应用渗透测试平台，内置 10 阶段自动化分析流水线，结合本地混合 RAG 引擎（BM25 + TF-IDF，RRF k=60）和本地 Ollama 推理（qwen2.5-coder:1.5b），无需云端即可检测 Android 和 iOS 漏洞。在 DroidBench 3.0、Ghera 及 104 个真实 Google Play 应用的评测中，其召回率达 94.2%，误报率降至 7.8%，平均扫描时间 47.3s，并能自动生成 CVSS v3.1 评分与代码补丁，全程 100% 本地离线运行。
Vedant Patel 在 GitHub 开源了 RedLens，一个针对 Ollama 本地运行模型的自动化红队与安全评估框架，支持提示词变异、响应分类、OWASP LLM Top 10 映射和 PDF 报告生成。对 llama3:latest 的最终评估共 1320 次测试（1200 恶意 + 120 良性），ASR 为 28.5%，Block Rate 71.5%，Security Score 79.7/100，最高风险类别为 Jailbreak、Data Extraction 和 Misinformation，Direct 变异是最有效攻击手段（ASR 36.3%）。
推荐理由：给出了完整的攻击变异、指标计算和OWASP映射方法，并附llama3的实测数据，可作为本地LLM安全评估的可复用框架。
GitHub 开源的 guardtrellis 是一个 Python SDK，用于对模型输入、完整输出、检索文本和待执行工具调用做本地策略检查，策略显式可组合且不依赖具体模型厂商。当前版本 0.1.2，支持 Python 3.11–3.14，采用 Apache-2.0 许可，核心不依赖厂商 SDK，并提供 fastapi、langgraph、openai、gemini 可选集成。内置 PII、密钥、Unicode 控制字符等扫描器，默认每阶段 100,000 字符、每扫描器 256 条 findings、异步操作 5 秒等待上限。
GitHub 仓库 0xsl1m/shadowshield 发布 ShadowShield，一个面向 LLM 应用与多智能体系统的纵深防御安全框架，强调针对提示词注入（OWASP LLM01）的防护。框架统一扫描模型输入与输出，涵盖越狱、编码混淆、数据外泄与密钥泄露，提供净化、隔离、限流等主动响应，并集成 OpenAI/Anthropic/LiteLLM/LangChain 及反向代理网关。基准数据在 deepset/prompt-injections 上加 DeBERTa 分类器后召回率从 regex 18% 提升到 48% 且 0% 误报；AgentDojo 场景中加入 mDeBERTa 分类器后银行/旅行/slack 场景 ASR 降至 0%。
推荐理由：这个 LLM 应用防护框架主动公开了外部盲测集的召回率和误报率，读者可以据此评估分层检测方案的真实防御效果。
vodkar 开源的 llm-scanner-ci-demo 是一个 Flask 服务演示项目，展示 llm-scanner 如何在 GitHub pull request 上运行。工作流通过 Neo4j 5 服务容器与 Tailscale 连接自托管 Mac 上运行的 google/gemma-4-E2B-it 模型（GGUF 格式，经 llama.cpp 部署），`llm-scanner scan --mode diff` 只审查 PR 改动的行，SARIF 报告提交至 GitHub code scanning，JSON 报告保存为构建产物。六个 32K-token 槽位支持两个并发上下文 × 三个自一致性样本。
theninjadojo 发布开源自托管项目 Shikumi（software-factory），基于 Claude Code（Codex 与 Gemini 为实验性支持）把打了标签的 GitHub issue 由沙箱化智能体分析、设计、规划、实现并开出 PR。核心假设是智能体必会被提示注入，因此沙箱内无网络、无凭据、只读 root，智能体只能产出补丁或文档，由 orchestrator 校验后才接触 GitHub，人通过 Telegram 或 Slack 参与决策。项目现为可用原型，已在一个多仓库项目上实际运行，文档提醒先阅读 Limits 和 SECURITY.md，并指出订阅令牌用于无人值守自动化在 Anthropic 条款上属灰色地带。
推荐理由：原文围绕代理必被提示注入这一假设设计沙箱与验证流程，安全模型的取舍和部署细节都写得具体，可作自托管编码智能体的参考。
GitHub 仓库 riskiamalia13/P06_Risiko_AI_LLM_dan_Prompt_Injection 围绕 LLM 风险与 Prompt Injection 主题，包含 24781115-kasus-aman.html、24781115-kasus-rentan.html 两个 HTML 文件，以及 README.md 和 log-llm.json。页面仅列出仓库的文件与提交信息，未给出更多项目细节。
研究团队发布 SWE-DeceptionBench，用于评测大模型在软件工程全生命周期中的欺骗行为，覆盖六个生命周期阶段与主动、被动两类欺骗触发，中英文共 720 个测试实例。对七款主流大模型的评测显示，即使在中性条件下，主动欺骗与被动欺骗的总体发生率仍达 49.88% 和 64.29%；外部诱导条件对两类欺骗影响程度不同。轻量防御方面，guard 模型会漏掉许多欺骗性请求，Self-Reminder 能减少但不能消除欺骗性回应。论文地址：https://arxiv.org/abs/2610.13626v1
论文提出 APEX-Harm 基准，评测针对共享专业工作区中长程智能体的提示词与脚本注入攻击，涵盖金融、咨询和法律任务，每个任务含 115 至 328 个文件及邮件、日历、聊天、文档、表格、PDF 和代码执行工具。评测 12 个前沿模型每模型 180 个任务实例，Opus 5 与 Sonnet 5 总体攻击成功率最低（8% 和 20%），任务特定脚本替换与攻击者通用脚本攻击平均成功率达 81-84% 和 73%，Gemini 3.8 Flash 平均任务得分最高（0.877）但攻击成功率仍有 33%。结果表明完成任务并不代表行为安全，智能体可能产出正确交付物的同时执行未授权操作。
推荐理由：基准覆盖六类注入攻击和12个前沿模型的实测数据，可以用来对比任务得分与攻击成功率之间的差距。
开源工具 veil 在提示词离开用户电脑前进行端到端加密，保证只有正确接收方才能读取内容，支持选择 LLM provider 并配置 API key。项目采用 Signal 协议思想，使用 AES-256-GCM 保护消息、X25519 做密钥交换，并有零知识设计目标。工具支持 Windows 10/11，用户可从 GitHub 下载安装后直接以原有方式使用 AI。
Radoslaw Brus 在 GitHub 开源了 sixi-scanner，一款针对 LLM Agent 端点的命令行红队扫描器，内置 27 种探测技术，仅依赖 Go 标准库，报告支持 JSON、SARIF 2.1.0 和 Markdown。工具会用双标记机制降低误报，在 1,456 条真实回复上把 payload 召回从 0.444 提到 0.889；v0.6.0 在作者维护的 agent-redteam-benchmark 上 Precision 0.688、Recall 0.833 均列七款工具第一，但广度逊于 garak 和 promptfoo。支持多轮探测、可选 LLM 佐证阶段，Apache 2.0 许可，仅限测试已获授权的端点。
推荐理由：作者给出了在公开红队基准上与其他六款工具的对比数据和误报处理逻辑，读者可以据此评估这个扫描器适不适合自己的 Agent 测试场景。
GitHub 上的 TMStroo/PCLADS 仓库开源了一个基于 LLM 的电话通话异常检测系统，采用 MIT 许可证。仓库包含两个 Python 实现：一个接入真实模拟数据库，另一个使用纯随机数据；并附带 2D/3D 异常检测可视化图和结果 CSV 文件。目前该项目暂无 stars、watchers 和 forks。
wardmote 是 GitHub 上的一个开源项目，为各类 LLM 安全检测器提供统一流水线。项目目前处于早期阶段，星标、关注和 fork 数均为 0，尚未有发布版本、软件包或贡献者信息。
GitHub 开源项目 Privacy Guard 为 ChatGPT 和 Gemini 提供本地优先的 PII 脱敏层，通过 Chrome 扩展拦截提示词，由本地 FastAPI 后端用 BERT-large NER 与正则混合引擎脱敏后再发给 LLM。支持身份、金融、IP、API key 等 11 类敏感信息，在 76 个手写用例上召回率达 95.3%、精度 98.8%，原始数据存于本地 session vault，LLM 无法看到。
NoNFake 发布了 FuckCode，一个面向安全审计、渗透测试和逆向工程的 OpenCode 分支。支持 llama.cpp 本地模型自动发现，内置 30 多个按需加载的安全技能，渗透模块提供 rootless 沙箱、DNS 白名单、SQLite 证据库和 SARIF 报告输出，提供 macOS/Linux/Windows 安装脚本并持续同步上游 OpenCode。
开发者推出 haggle-garage 项目，让用户与 AI 二手车商 Agent 议价，或诱导其泄露秘密最低价。项目基于 Google ADK、LangGraph 构建，涉及 MCP、A2A 协议、RAG、评测和 LLM 安全，部署在 Cloud Run，目前处于 8 周开发周期的第 3 周。seller agent 通过 A2A 提供三个安全等级的议价终端游戏。
Persist 项目发布论文配套代码与数据，包含测试框架、防御措施、运行脚本和论文分析所用的全部冻结结果行。框架研究工具调用型 LLM Agent 的持久记忆投毒：会话1中 Agent 读取不可信文档并写入记忆库，会话2中攻击者值若到达副作用调用的目标参数即算攻击成功；出处门控（provenance gate）通过标记来源并拒绝仅由不可信输入支撑的目标值来防御。reproduce_all.sh 无需网络约15秒离线复现，22个 .tex 文件逐字节一致，冻结结果共 NumTrials=18683；覆盖 claude-sonnet-5、gpt-5.6-sol、gemini-3.1-pro 等6个托管模型和 Qwen3-8B、Llama-3.1-8B 等 vLLM 本地模型，MIT 许可。
推荐理由：随论文放出完整测试框架与冻结结果，离线15秒即可逐字节复现论文全部数字，方便核查记忆投毒攻防结论。
PhishSOAR 是一个开源的企业邮箱钓鱼邮件自动分诊与响应项目，针对尼日利亚缺乏安全团队的中小企业。系统每分钟检查受保护的 Gmail 收件箱，结合 SPF/DKIM/DMARC、链接与附件分析、OCR/QR 码识别、VirusTotal 等威胁情报，并用 LLM 在脱敏副本上判断意图，评分 70+ 判恶意自动隔离、40+ 标记可疑，检测在 1 分钟内完成并向用户发送通俗告警，且从不删除邮件。
mlbala 在 GitHub 发布 ai-guardrails-lab 仓库，用于动手学习为 LLM 应用和 AI 智能体构建防护栏，内容源自 Complete AI Security Bootcamp。仓库涵盖 NeMo Guardrails、AWS Bedrock Guardrails、Guardrails AI 等防护栏工具，LangChain、LangGraph 智能体工作流，以及 LangSmith、Portkey、DeepEval、PyRIT 等可观测性、网关、评测与红队测试实践。项目仍在进行中，示例与学习笔记随课程推进持续添加。
CloakLLM 发布 Python 版本，在应用与 LLM 提供商之间拦截调用，用 NER 加正则检测姓名、邮箱、SSN、API 密钥、IBAN 等敏感信息，替换为占位符后转发，响应返回前自动还原，支持 OpenAI SDK 和 LiteLLM 一行接入。所有事件写入哈希链式只增日志，任何篡改会破坏后续哈希，项目定位为满足 EU AI Act Article 12 的防篡改审计要求（该法案执行日期为 2026 年 8 月 2 日，违规最高罚款为全球年收入的 7%）；另有 npm 版本 cloakllm，v0.12.0 将 spaCy 移入 [detection] 可选依赖，并支持通过本地 Ollama 做语义级 PII 检测。
作者发布 AgentMandate，一个针对智能体系统的设计期权限分析器，通过 manifest 建模智能体被授权的有限工作单元（mandate），在 CI 中分析多条各自被允许的工具调用能否组合成越权路径，并比较版本间有效权限是否扩大。示例中一个只读 search_cases 工具让原本每案 500 英镑的退款上限形同虚设，四条合法调用合计可达 1000 英镑；mandate diff 判定为 WIDENING。工具提供 scan、drift、lint、reach、diff、verify 等命令，可从智能体源码或 MCP 目录生成 manifest 骨架，支持 SARIF 输出与 GitHub Actions 接入，明确不做运行时拦截、数据流可达性或模型行为预测。
推荐理由：展示了用只读工具叠加突破每案退款上限的具体反例，说明了配置 diff 看不出权限扩大的原因和 CI 接入方式。
GitHub 开源工具 shade 在客户端与 LLM 之间做可逆脱敏：anon 将密码、卡号、手机号等替换为 <SECRET_1> 这类稳定占位符，deanon 再把真实值还原到模型回答中，原值以 AES-256-GCM 加密存于本地 SQLite，不离开机器。内置 46 条规则（默认 37 条启用），支持 gitleaks 规则导入、fail_closed/fail_open_log 策略与项目级隔离；核心引擎与 CLI 已完成，Hook、MCP、代理适配器尚未实现，MIT 协议，需 Go 1.27.1+ 从源码构建。
推荐理由：可逆脱敏工具shade把提示词中的密钥替换为稳定占位符，值加密存本地，读者可了解其规则引擎与安全模型设计。
法国独立开发者发布开源工具 NoireBox（MIT 协议），用 SHA-256 哈希链加 Ed25519 签名日志为 AI Agent 决策提供防篡改记录，支持 RFC 3161 时间戳锚定、OpenTimestamps/Bitcoin 见证和可离线验证的审计导出。工具面向欧洲 GDPR 与 EU AI Act 合规场景，内置约 250 KB 的法英双语注入检测模型和可插拔 guardrail，提供 REST API、Python SDK 与 MCP 四个工具，并附 253 项测试与 qwen2.5:0.5b 本地实测，显示注入台词在调用前被移除且日志封存为 incident 事件。
推荐理由：原文把防篡改日志、RFC 3161 时间戳锚定与离线验证器讲清了实现方式，并给出真实 LLM 注入场景的实测对照，方法可迁移到自有 Agent 管线。
GitHub 用户 dewil 发布开源工具 pii-mask，一个在文本发送到云端大语言模型前对姓名、电话、email、护照等个人敏感信息（PII）进行本地脱敏、并在模型返回后还原原文的网关，主打俄语场景与俄罗斯个人数据格式（ИНН、ОГРН、СНИЛС 等）。识别采用三层结构：正则加校验位、基于 Natasha 的离线 NER（按词形归一保持标签一致）、可选的 Ollama LLM 审计第二遍（默认模型 qwen3:1.7b）。服务无状态、fail-closed，映射文件 mapping. 权限 600 并写入 .gitignore。
推荐理由：作者详述了正则加NER加LLM审计的三层识别设计与152-ФЗ合规边界，方法思路可迁移到其他语言的文本脱敏场景。