新闻、仓库与研究，按时间排列。
Shanjeev Rajendran 发布开源工具 Cloakroom（Apache-2.0），在本地把 API 密钥、机密和个人数据（PII）替换成占位符后再交给 AI 编码代理，写入文件时在本地还原真实值。0.7.0 起在 Mac 和 Linux 上支持 OpenAI Codex CLI 和 Google Gemini CLI；实测对 1,005 条个人数据零泄漏，而对比的 Claude Code 隐私工具泄漏 119 至 992 条。真实值存于本机加密保险库，检测模型仅首次从 Hugging Face 下载一次（Mac 约 1 GB，其他平台最多约 4 GB），提供防篡改活动日志、dashboard 误报学习规则和面向金融团队的付款调用拦截与审计功能。
推荐理由：原文给出与其他 Claude Code 隐私工具的横向实测数据，泄漏数和误报数都有对照，读者可据此评估是否值得在本地部署。
GitHub 开源项目 Sentinel 是一个为 LLM 编码工具打造的防御性安全扫描插件，提供 MCP server 和独立 CLI，含 335 个测试，MIT 协议发布。当前版本尚无漏洞检测层，只能做仓库画像（语言、框架、授权面等）并从 2 个 pack、13 条技术的注册表中筛选适用技术，输出 markdown 与 SARIF 2.1.0 报告，且每份报告都明确声明哪些代码未被检查。工具强制范围与授权校验：仅扫描本地或你有权访问的 GitHub 仓库，只读不写入，需逐目标输入确认；项目还公开了自身 105 个待修复问题的 backlog，下一步将开发检测层。
作者发布 Ephor，一个只检测不拦截的 Linux CLI，通过读取内核 socket 表和 /proc 被动记录 AI Agent 的出站连接、下载量和是否命中已知恶意目的地，无需配置代理、被入侵的 Agent 也无法绕过。它还能展示每个 Agent 的权限爆炸半径，包括运行用户、Linux capabilities、免密 sudo 和可读的密钥文件；仅依赖 Python 标准库，可在 Pi Zero 2 W 等 512 MB 小设备上运行。v0.3 新增安装与 DNS 监控，追踪 pip/npm 安装并查 OSV.dev，可选 eBPF probe 补捉秒级进程，威胁判定默认离线匹配 URLhaus、Feodo Tracker、FireHOL 等免费 feed，VirusTotal 查询默认关闭。
推荐理由：原文讲清了无代理被动监测的实现原理、资源占用与同类工具对比，读者可以判断它是否适合放进自己的 homelab 监控栈。
TrustRAG 是一个开源 RAG 项目，针对"chat with your PDF"工具的幻觉、不可验证答案和文档内隐藏提示词注入问题，答案全部来自检索段落并逐条标注页码引用，用第二个模型对每条陈述做事实核查，并给出 🟢🟠🔴 信任分。在其自建的 5 份政策文档、71 个问题的评测中，检索 recall@4 达 100%、MRR 0.97，幻觉率 0%，30 个注入攻击 100% 被移除且无误删，每题平均耗时 6.6 s。技术栈采用 Claude Sonnet 5.5（回答）与 Claude Haiku 5.5（核查/OCR/扫描）、ChromaDB 与 all-MiniLM-L6-v2 本地嵌入，支持 Claude 订阅或 Anthropic API，并提供 Docker 部署。
wardowl（2.0 前名为 needtoknow）是一个开源 Python 库，把 OpenFGA、OPA、Cerbos 等权限系统接入 pgvector、Qdrant、Pinecone 等向量库的搜索内部，每次命中再复核并故障时关闭，保证 LLM 提示词只含用户有权读取的文档。基准测试在 57,600 个真实 chunk 上经 33,000 次检索无一次越权返回，pgvector 上 recall@10 保持 0.949 以上；百万 chunk 场景下中位延迟 3 到 21 ms，每秒最多可服务 126 次请求。
推荐理由：项目给出基准数据说明在搜索内做权限过滤可保住召回率，对搭建企业内部 RAG 的团队是可参考的做法。
shahardalva 发布了 Sentinel，一个位于应用与 LLM 提供方之间的反向代理安全网关，客户端把 SDK 指向网关即可使用，真实的 Anthropic 上游密钥不出网关。当前已实现按客户端鉴权、流式转发、并发与请求体上限、分阶段超时和每请求 JSON 结构化日志，仅支持 POST /v1/messages；提示词注入与敏感数据检测、MCP 工具管控等在 Roadmap 中。项目仅用 Go 标准库，Apache 2.0 协议。
Wvdstoep 在 GitHub 发布 ghost-browser，通过 MCP 让 Codex、Claude Code 等客户端连接真实 Chromium，并用 Set-of-Mark 编号标注替代 CSS 选择器来驱动点击、输入和读取。项目内置 HTTP API、会话隔离与 SSRF 防护，附带四层自主安全侦察与漏洞审计引擎，覆盖 DNS、TLS、XSS、BOLA/IDOR、SQLi 等检测并生成 curl PoC 与补丁。AI 导航循环、recipe 编译器和计费尚未构建，仓库地址为 https://github.com/Wvdstoep/ghost-browser。
AI Guardian Lab 在 AI 智能体执行 shell 命令前校验命令，智能体提议命令后由 Guardian 按 L1 allowlist、L2 模式、L3 意图和 L4 语义审查四层检查，默认仅模拟、不真实执行。1.6 版本提供 full profile，经 Ollama 启动本地小模型与 System One 观察者，System One 在 CPU PyTorch 2.13.0 上通过 shadow-only 验证，500 ms 预算仍不满足，full profile 采用 2 秒预算，强制执行在两种 profile 中均保持关闭。
typicaladrian 发布 zero-trust-llm-firewall，一个本地部署网关，在提示词离开内网前将姓名、案卷、金融和健康信息替换为占位符，模型回复再在内存中还原。流水线为正则、哈希客户名单、GLiNER2 NER 和全局一致性扫描，在 CUAD 合同上测得 91.4% 脱敏召回率，CPU 吞吐约每千词 11 秒；提供 OpenAI 兼容 API、审计日志和月度 PDF 报告，是 Elm Tech Solutions Zero-Trust AI Edge Gateway 硬件产品的核心。
推荐理由：开源的本地脱敏网关，给出了基于 CUAD 合同的脱敏召回率实测数据，律所类隐私场景可直接参考复用。
llm-fw 发布本地 LLM 流量防火墙，通过 HTTPS_PROXY 或 OS 级 sinkhole 部署在工具与 API 之间，实时拦截提示注入和越狱请求，无需修改代码、全程不出本机。采用启发式规则、跨语言嵌入向量、可选本地 LLM judge 三级管线，覆盖 OpenAI、Anthropic、Gemini 等 15+ 服务商和 20+ 语言，另含 DLP 密钥扫描、MCP 工具防火墙、RAG 投毒检测和响应侧外泄过滤；自测 110 条攻击全部召回、良性语料 FPR 13.38%，p50 延迟 36ms。软件并非开源，采用 PolyForm Noncommercial License 1.0.0，非商业用途免费，商业使用需购买许可证。
推荐理由：原文给出了各攻击类别的召回率、误报率和延迟数据，读者可以据此评估这个本地防火墙实际拦截能力，而不仅是功能清单。
开源项目 ChaosGuard 是一个自托管 AI 安全平台，可扫描任意 GitHub 仓库，提供 RECON、HUNTER、SIEGE、LIVE 四级递进扫描，耗时从约 1 秒到约 35 分钟不等。每项发现均附带自动生成的代码修复、统一 diff 和一键创建 PR。平台通过 Ollama 本地推理、ChromaDB 进行 RAG 代码理解，基于 Kafka 的架构可从单机扩展到 Kubernetes 集群，并提供混沌工程韧性分析与完整可观测性栈。
Olivares AI 发布并完全开源，可统一查看和管控 Claude Code、Codex、Grok、Cursor 等 Agent 及 MCP 服务器的运行、权限与成本。它提供 Cockpit、Session、Access map 等界面，在 Claude Code 内、模型代理、每次 MCP 工具调用和 Agent 之间设置四个 deny-closed 检查点，风险操作需第二人批准，并用签名防篡改日志记录所有决策。产品含 32 个模块和 136 个集成，单个程序可部署在自己的服务器上，完整版免费开源，支持 Docker、Debian、RPM、Homebrew 等多种安装方式。
P-436 在 GitHub 发布 CalibGuard，一套面向脚本、代码、文本和压缩包的文件安全审计系统，输出放行、可疑、拦截、转人工四档结论。本地用 CodeBERT 滑窗推理加 Platt 校准做三桶门控，低危与高危文件不联网判定，仅灰区调用云端 LLM 复核，加复核后 F1 从 0.8600 升至 0.8689、精确率从 0.8739 升至 0.9017。CodeBERT 底座推理 22.4 条/s，约为 0.5B 级 Qwen 的 3–4.3 倍，训练快 2.3–3.2 倍；Releases 提供 GUI 包开箱即用，另有 dsh-calibguard 插件接入 DeepSeek Harness 作为 agent 工具调用。
推荐理由：作者给出五种底座的 F1、训练耗时与推理速度对比，并附校准前后和云端复核的实测数据，选型依据可直接参考。
awsome-kali-MCPServers 是一个为 Kali Linux 环境设计的 MCP 服务器合集，通过 Docker 镜像在 Claude Desktop、Cline 等 MCP 客户端中调用安全测试工具。项目基于 FastMCP 框架集成 Nmap 扫描、nm 符号分析、objdump 反汇编、strings 字符串提取和 tshark 流量抓取等工具，并提供 Docker 沙箱功能（默认镜像 ubuntu-systemd:22.04，内存默认 2GB、CPU 默认 1 核）。该项目仍处早期阶段，后续计划集成 Ghidra、Radare2 并支持 Agent 功能。
GitHub 上的 Project Aura 是一个面向企业代码库的自主 AI 安全平台，不仅检测漏洞，还能生成补丁、在隔离沙箱中验证并排队等待人工批准。平台采用混合 GraphRAG 架构（Neptune 图结构与 OpenSearch 语义检索加 BM25，经 RRF 融合使检索准确率提升 22-25%），由 Coder、Reviewer、Validator 等多个智能体协作，通过 16 条原则的 Constitutional AI 流程把关。技术栈基于 AWS Bedrock 的 Claude 3.5 Sonnet 与 Claude 3.5 Haiku，提供 4 级自治和 7 个行业策略预设。
getmcpm/cli 发布 mcpm，一个本地优先的 MCP 安全 CLI，在安装时对 MCP 服务器做信任评分（含硬编码密钥、提示词注入、typosquatting 的正则静态扫描），并用 Sigstore 验证供应链、锁定工具定义。运行时 mcpm guard 通过本地 stdio relay 检查每次工具调用的请求、响应和工具定义，按 OWASP MCP Top 10 签名拦截注入与 rug-pull，macOS 上可选 OS 沙箱隔离。无云端、无账号、无遥测，强制路径中不含 LLM。
推荐理由：工具在本地完成信任评分与运行时拦截，公开基准和误报数据一并列出，读者可据其口径评估 MCP 供应链防护的实际覆盖面。
adnair2024 发布了 pawl 工具，用于防止 Claude Code 在改代码时悄悄削弱应用的安全控制。它会快照现有的 Next.js 路由鉴权、Supabase 行级安全、CORS 和安全头，任何移除或放宽这些控制的提交都会被拦截，除非开发者附带理由接受变更。工具完全确定性运行、本地执行、不调用 LLM，面向 vibe coders。
推荐理由：作者给出了拦截安全配置回退的具体机制，对 vibe coding 后的代码安全审查提供了可复用的本地方案。
opena2a-org/aicomply 是一个内联内容分类器，可在 AI Agent 将内容发往云端 LLM 前检测 PII、凭证和受监管数据，并提供针对提示词注入与数据渗出的可选语义层（preview，不用于生产环境 gating）。提供 CLI（`npx @opena2a/aicomply scan`）与 npm/pip 库两种用法，SSN 检测 confidence 0.95，CLI 对 CLEAN 返回 exit code 0、有标记时返回 1，可直接接入 CI。项目采用 Apache 2.0 许可证；正则层不检测邮箱、电话、姓名等类型，CLI 也不会在终端或日志中泄露检测值。
skyphusion-labs/security-audit 通过 Cloudflare Workers AI 和 AI Gateway 对 GitHub 仓库做对抗性 LLM 安全审计，作为 CodeQL、Semgrep 等静态分析之上的建议层，默认不阻断合并。pr 模式固定用 @cf/moonshotai/kimi-k2.7-code 审查 PR diff，repo 模式默认 moonshotai/kimi-k3（约 250k 字符预算），可用 --model-repo 换成 anthropic/claude-opus-5 等 gateway 模型；私有仓库走非 Anthropic 第三方模型时回退到 K2.7 on-shore。
OSINT-PH 在 GitHub 发布自托管 OSINT 工具箱 FalconEye，AGPL-3.0 许可，当前版本 3.38.25，实例地址 falconeye.osintph.info。它提供二十个模块，包括加密货币钱包追踪、钓鱼套件指纹识别、域名情报、Telegram OSINT、IP 信誉、邮件头取证、跨约 950 平台的用户名枚举和 Have I Been Pwned 泄露查询等。内置 MCP 服务器使其中十个模块可作为工具在 Claude Code 和 Claude Desktop 中调用，走 stdio 传输、仅本地模式；四个模块由 Claude Haiku 4.5 驱动，JSON 输出经 schema 校验，不可信输入以 fence 包裹防提示注入，单次 LLM 调用成本约 $0.003。
WRG-11 开源 wrg-sigma-rules，一个以 MCP 服务器形式提供 Sigma 检测规则编写、验证与多后端转换的工具，可在 Claude Code、Codex、Cursor 等 MCP 客户端下运行。其 convert_rule 基于 pySigma 1.x 将规则编译为 Splunk、Elastic、OpenSearch、Kibana 等查询，并标注 27 条关联规则的转换能力缺口；附带 294 条规则、16 个类别的规则库，覆盖勒索软件、威胁组织活动及 AI/LLM 应用与 MCP 服务器漏洞，可通过 git clone 与 pip 安装，尚未进入 Anthropic 插件目录。
mandoof1 在 GitHub 发布 HoneySentinel，一个自托管蜜罐与调查平台，仿真 SSH、Telnet、FTP、HTTP/HTTPS 协议并加密记录攻击者行为。分析流水线完全本地运行，包括基于 CIC-IDS2017 训练的 Random Forest 分类器、签名规则和经 llama.cpp 本地部署的 Kev-4B 决策模型与微调 LLM Wolfram；还支持把识别到的攻击者静默转移到网站的诱饵副本。参考服务器评测显示分类器准确率 0.9967，NFR-2 分类在 10 并发内 100% 于 200 ms 内完成。项目标注为 capstone 平台，尚未捕获真实互联网流量。
shinthink 在 GitHub 发布 Blitz Strike，一个 TypeScript/Bun 编写的 MCP 服务器，把侦察（BLITZ）、源码分析（EAGLE-EYE）、验证（STRIKE）三层渗透测试方法论封装为 130 个可调用工具，一次 run_engagement 调用即可从 Claude Code、Cursor、Gemini 等 MCP 客户端完成从 scope 检查到可提交报告的全流程。项目声称基准检测率 1.0、误报率 0，附带 Web3 审计、IDOR 逻辑漏洞探测、58 条提权链、317 份工具手册与 17 份 playbook，并通过 blitzstrike install 自动写入各客户端 MCP 配置。项目仅限教育与授权安全研究使用。
推荐理由：原文给出了完整的三层审计流程、基准数据与工具清单，读者可以据此评估能否把它接入自己的 MCP 客户端做自动化安全审计。
GitHub 上的 Minimax-H3-Turbo 是一款把 "Minimax-H3" AI 模型封装成 4 步即可使用的 Windows 工具，主打快速安装、对新手友好和轻量化。用户只需下载 ZIP、解压并运行程序，要求 Windows 10 或更新系统并联网下载，通常 10-15 分钟内即可完成，卸载时删除文件夹即可。
GitHub 上出现名为 Suno/Udio AI Music Pro Suite 2026 的第三方工具包，宣称可解锁 Suno 和 Udio 平台的专业功能，支持无限量生成歌曲、批量处理、内置剪辑及 MP3/WAV/FLAC 导出。该工具通过 "Setup-latest15.07.exe" 安装，仅支持 Windows 10 及以上系统（要求 4GB 内存、2GB 存储空间），声称一次性下载、无订阅费，但生成音乐仍需用户自行提供两个平台的 API key 并承担其官方 API 费用。需注意此类“破解解锁”类仓库存在捆绑恶意软件的风险，且使用方式可能违反 Suno 与 Udio 的服务条款。
dlss-studio v1.0.8 是一个用 Rust 编写的 Windows 工具，可为 RTX 20/30/40 系显卡一键开启 DLSS、Neural Reconstruction 和 Frame Generation，其中 4x Frame Generation 仅限 RTX 40 系。整个程序为单个 5.9 MB 便携文件，内存占用约 20 MB，修改前自动备份并可通过 Restore 一键还原，支持 DirectX 11/12/Vulkan 游戏和包括简体中文在内的 14 种语言。
claude-code-source 是一个从 npm 构建还原 Claude Code Windows 应用源码的仓库，包含完整原生模块且功能不删减。仓库要求 Windows 10/11、至少 4 GB 内存和 2 GB 磁盘空间，用户从 GitHub 页面下载 .zip 或 .exe 文件即可解压安装运行。文中还给出解压、Unblock 解除阻止、重新安装及安全检查等常见操作步骤。
vodkar 开源的 llm-scanner-ci-demo 是一个 Flask 服务演示项目，展示 llm-scanner 如何在 GitHub pull request 上运行。工作流通过 Neo4j 5 服务容器与 Tailscale 连接自托管 Mac 上运行的 google/gemma-4-E2B-it 模型（GGUF 格式，经 llama.cpp 部署），`llm-scanner scan --mode diff` 只审查 PR 改动的行，SARIF 报告提交至 GitHub code scanning，JSON 报告保存为构建产物。六个 32K-token 槽位支持两个并发上下文 × 三个自一致性样本。
CloakLLM 发布 Python 版本，在应用与 LLM 提供商之间拦截调用，用 NER 加正则检测姓名、邮箱、SSN、API 密钥、IBAN 等敏感信息，替换为占位符后转发，响应返回前自动还原，支持 OpenAI SDK 和 LiteLLM 一行接入。所有事件写入哈希链式只增日志，任何篡改会破坏后续哈希，项目定位为满足 EU AI Act Article 12 的防篡改审计要求（该法案执行日期为 2026 年 8 月 2 日，违规最高罚款为全球年收入的 7%）；另有 npm 版本 cloakllm，v0.12.0 将 spaCy 移入 [detection] 可选依赖，并支持通过本地 Ollama 做语义级 PII 检测。
作者发布 AgentMandate，一个针对智能体系统的设计期权限分析器，通过 manifest 建模智能体被授权的有限工作单元（mandate），在 CI 中分析多条各自被允许的工具调用能否组合成越权路径，并比较版本间有效权限是否扩大。示例中一个只读 search_cases 工具让原本每案 500 英镑的退款上限形同虚设，四条合法调用合计可达 1000 英镑；mandate diff 判定为 WIDENING。工具提供 scan、drift、lint、reach、diff、verify 等命令，可从智能体源码或 MCP 目录生成 manifest 骨架，支持 SARIF 输出与 GitHub Actions 接入，明确不做运行时拦截、数据流可达性或模型行为预测。
推荐理由：展示了用只读工具叠加突破每案退款上限的具体反例，说明了配置 diff 看不出权限扩大的原因和 CI 接入方式。
GitHub 开源工具 shade 在客户端与 LLM 之间做可逆脱敏：anon 将密码、卡号、手机号等替换为 <SECRET_1> 这类稳定占位符，deanon 再把真实值还原到模型回答中，原值以 AES-256-GCM 加密存于本地 SQLite，不离开机器。内置 46 条规则（默认 37 条启用），支持 gitleaks 规则导入、fail_closed/fail_open_log 策略与项目级隔离；核心引擎与 CLI 已完成，Hook、MCP、代理适配器尚未实现，MIT 协议，需 Go 1.27.1+ 从源码构建。
推荐理由：可逆脱敏工具shade把提示词中的密钥替换为稳定占位符，值加密存本地，读者可了解其规则引擎与安全模型设计。
作者 /u/Slight_Analysis_5414 在 RTX PRO 6000 上用 vLLM 0.29.1rc1 nightly + Qwen2.5-1.5B-Instruct 与 Ollama 0.40.1 + qwen2.5:7b（Q4_K_M）各跑 96 次，共 192 次 live 测试，验证其确定性执行守卫 CLIM Agent Guard。结果为 80/80 未授权操作被拦截、16/16 合法删除被执行并验证，无守卫时伪造授权等场景 32/32 全部执行。守卫不读提示词、不用第二个 LLM 评审，只对照宿主状态检查工具调用的授权、目标和重复提交。
推荐理由：作者用 192 次本地实测给出确定性行为守卫的前后对照数据，还记录了 vLLM 与 Ollama 在 tool_choice 上的行为差异，可作工程参考。
aicage 项目开源，用 Docker 容器为 Claude Code、Codex CLI、Gemini CLI 等 14 个 AI 编码智能体提供硬边界隔离运行环境。安装用 pipx install aicage，支持 IDE 接入、挂载已有 CLI 配置和凭据、Bind Mounts、Docker Args 透传和 Extensions 自定义工具，容器只能访问用户显式挂载的文件。
Sunil Mehta 在 GitHub 开源 ai-devsecops-cicd 项目，提供一条针对 LLM 和 AI Agent 服务的参考 CI/CD 流水线，覆盖密钥扫描、测试、签名、准入控制到部署。流水线包含 Gitleaks、Semgrep、Trivy 扫描、SBOM + AI-BOM 生成、keyless cosign 签名及 Kyverno 准入策略，附带 14 个用例的 AI 安全测试语料。全部四个 workflow 已在 GitHub Actions 通过验证；仅 Kyverno 的准入时强制执行尚未在真实集群测试。
GitHub 上的 byte-judge 是一款用 LLM 评估可疑兼职招募文本危险度的自托管 Web 应用，粘贴文本后由 Claude（默认模型 claude-sonnet-5-5）返回 0-100 危险度评分、三级标签及逐项依据，面向易受骗的年轻群体。应用基于 Python 3.13 与 Django 6.1，通过 Pydantic 结构化输出，默认每日每人 4 次、全站 11 次判定，服务器不保存求职文本与判定结果。项目仅公开代码，无官方运营站点。
CertaMesh 开源的 Gaze 工具在文本发给 AI 模型前把个人敏感信息换成占位符，模型回复再由服务器本地 manifest 还原，目标是泄漏到模型的 PII 字节为零。v0.15 基准测得字符级 F2 0.868、泄漏 13,319 PII 字节，与 Presidio、DataFog、scrubadub、GLiNER、OPF 对比；支持 CLI、Rust 库、OpenAI/Anthropic API 代理和 Claude Code 等 MCP 主机，Apache-2.0 OR MIT 双许可，manifest 不离开用户服务器，缺失模型或未知规则时直接中止运行。
推荐理由：原文给出与 Presidio 等五款工具的泄漏字节数对比和完整方法细节，读者可据此评估这套可逆 PII 假名化方案是否适配自己的部署栈。