新闻、仓库与研究，按时间排列。
开源工具 Verdis 在安全报告被人工读取前先自动复现问题：按报告声称的版本构建项目，在无网络的 rootless 沙箱中运行 proof of concept，并返回判定结果和带哈希的证据包。它以 Python CLI 和 GitHub Action 形式发布，需 Python 3.12+ 及 Podman 或 Docker，支持 C/C++（ASan/UBSan）、Go、Node 和 Python 构建。模型只起草运行计划，判定由 oracle 决定，最终决定权留给维护者。
GitHub 上的 solve-ai-ctf 是一个 AI 驱动的 CTF 解题工作台，覆盖分诊、假设、有界执行、验证、提交、复盘全流程留痕。项目用纯 Python 标准库实现、零 pip 依赖，内置本地 Web 工作台、Docker 沙箱执行、Flag 自动识别与抢一血式自动提交，支持 misc/crypto/pwn/web/reverse/forensics/ai 七类题型，附 24 份知识库参考文档，仅限授权的 CTF 比赛与安全研究使用。
Google 开源的 Mantis 是一套技能（skills）加 ADK 参考实现的工具包，覆盖威胁建模、代码审查、漏洞研究、修补到报告的完整安全流程。它支持 `./run.sh --focus` 指定目标、`--exclude` 排除目录、`--max-tokens` 设定花费上限及并行扫描，并通过研究图合成动态生成 agent-graph 拓扑。仓库强调需在隔离环境使用，AI 发现须经安全专家人工验证，PR 扫描尚未实测、不可用于合并门禁。
ClawKeeper 是一个面向中小企业财务 Agent 的控制平面，Agent 可提出应付、应收、对账和报表工作，由确定性策略引擎、PostgreSQL 行级安全、审批门和脱敏 append-only 审计日志决定哪些任务可执行。其架构为 1 个 CEO 编排器、9 个领域负责人和 100 个专业 worker 的三层 Agent 层级，高风险操作需审批元数据后才能通过策略检查。v2.0 提供可验证的 proof bundle，CI 在 PostgreSQL 15 上验证 RLS 边界并固定 Bun 1.3.11。
开源项目 soc-ai 通过自托管大语言模型对 Security Onion 网格上的告警进行自动分诊，为每条告警拉取相关事件、比对本地威胁情报、解码 PCAP，并给出带引用的结论与置信度。它支持用自然语言在多主机和时间窗口上开展 hunt，内置 10 个 runbook 起始包和证据门控（弱结论标记为 needs_more_info）。模型运行在用户自己的硬件上，默认关闭可选云 Oracle，当前版本为 1.6，采用 Apache 2.0 许可。
研究者提出 Social-HUMINT 框架，将 SOCMINT 与 Cyber-HUMINT 统一为涵盖 38 项能力的分类体系（专家验证 Fleiss' κ = 0.92），并实现为 LLM 增强的多智能体流水线。在真实参与者公开数据上，信息抽取 F1 = 97.3%，推断属性得分 4.73/5，远超基于规则和 NER 的基线。该框架可预测目标对个性化诱导选项的排序以间接评估易感性，帮助防御者在攻击者之前评估自身暴露风险。
Manta-Boardgame 发布开源工具 BaleenCode，类 Claude Code 的 Agent 应用，通过 Vercel AI Gateway 调用 deepseek/deepseek-v4.1-flash-1017（1M token 上下文），每次请求携带 providerOptions.gateway.only 允许列表，只使用 Together AI、Fireworks、Baseten、DeepInfra、Relace 五家美国零数据保留供应商，拒绝 Alibaba Cloud 和 DeepSeek 官方路由，回复若来自列表外公司会告警并 fail closed。
推荐理由：作者开源了一个类 Claude Code 的 Agent 工具，把 provider 允许列表、路径限制和审批级别的实现都写清楚了，可作工程参考。
GitHub 开源项目 Nemesis Analyst 提供 AI 辅助的恶意软件脱壳与分析：在一次性 Windows VM 中用 x64dbg/x32dbg 运行加壳样本，在自解包时捕获真实 payload、恢复勒索软件密钥并可生成解密器。每次运行输出 ANALYSIS.pdf 报告及含 YARA、Sigma、Suricata、STIX、IOC 的检测包，并可经 MCP 从任意 LLM 驱动；文档演示了对 packed Dridex 样本的完整分析。
开源项目 Ariadne 基于 Harbor 评测语言模型智能体解决安全挑战的能力，任务改编自公开 CTF 题目和 CVE。所有任务在经过隔离校验的 Docker 沙箱中运行，由独立 verifier 容器评分，web_search 与 web_fetch 经过主机端 web 过滤器，容器无互联网路由，API 密钥不进入容器。该项目为概念验证，每个实验每任务跑 3 次独立尝试并冻结配置；公开的 Mistral Large 4 和 MiMo v2.6 Pro 两次 pwn-01 探索性尝试均未解题，都在时限前耗尽上下文。
Masahiro Kaneko 在 arXiv 论文（arXiv:2610.28315）中发现，LLM Agent 在对话中读取持久记忆会引发自我强化的隐私泄露循环。多会话仿真中，带 24 项个人属性的模拟用户与支持类 Agent 对话，四个支持模型里读取记忆既提升回复质量也提高属性被正确推断的比例，且差距随会话扩大，因为记忆条件回复把旧值作为预设带入，用户确认或不纠正使其变成记录值。指示 Agent 不陈述或预设属性可将泄露降到接近无记忆水平并保留大部分质量增益，而过滤或匿名化用户输入或存储内容会损失较多质量。
推荐理由：这篇研究用多会话仿真揭示了带持久记忆的 LLM Agent 中自我强化的隐私泄露循环，并给出在回复端抑制泄露的可行做法。
RevAI 是一个面向 REMnux 的 LLM 辅助恶意软件逆向工程流水线，采用确定性优先设计：Ghidra、capa、YARA、FLOSS 等工具产出证据包，OpenAI 兼容的 LLM 仅负责解读并生成报告，所有结论须可溯源到工具输出。它支持脚本化、LangGraph ReAct 智能体和 Web Console 三种运行模式，并提供可选的 WinRE 动态引爆做佐证。
awsome-kali-MCPServers 是一个为 Kali Linux 环境设计的 MCP 服务器合集，通过 Docker 镜像在 Claude Desktop、Cline 等 MCP 客户端中调用安全测试工具。项目基于 FastMCP 框架集成 Nmap 扫描、nm 符号分析、objdump 反汇编、strings 字符串提取和 tshark 流量抓取等工具，并提供 Docker 沙箱功能（默认镜像 ubuntu-systemd:22.04，内存默认 2GB、CPU 默认 1 核）。该项目仍处早期阶段，后续计划集成 Ghidra、Radare2 并支持 Agent 功能。
研究者提出一个博弈论框架，让 LLM 通过上下文经验（无需微调）学习反制电话诈骗的策略。框架将骗子与"baiter"的交互建模为双人博弈，以 Nash equilibrium 作为评估基准。在 300 段模拟对话和三种 LLM 架构上，自适应策略选择比非自适应基线更接近 Nash equilibrium 28.9-79.7%，相关代码及带策略标注的数据集已开源。
GitHub 上的 Project Aura 是一个面向企业代码库的自主 AI 安全平台，不仅检测漏洞，还能生成补丁、在隔离沙箱中验证并排队等待人工批准。平台采用混合 GraphRAG 架构（Neptune 图结构与 OpenSearch 语义检索加 BM25，经 RRF 融合使检索准确率提升 22-25%），由 Coder、Reviewer、Validator 等多个智能体协作，通过 16 条原则的 Constitutional AI 流程把关。技术栈基于 AWS Bedrock 的 Claude 3.5 Sonnet 与 Claude 3.5 Haiku，提供 4 级自治和 7 个行业策略预设。
GitHub 仓库 carlmasters02/ai-wargame 让两个 AI 智能体在程序化生成的企业网络 Sakura Logistics K.K. 上进行回合制网络攻防对抗，RED（默认 deepseek-chat）负责窃取核心数据库，BLUE（默认 kimi-k2）负责防御，可在交互式网络地图上实时观战、担任 judge 注入零日漏洞或 insider 事件，并支持对局中途换模型。
推荐理由：仓库用真实 CVE、EPSS 和 CISA KEV 情报驱动两个 AI 智能体在仿真网络上对抗，还带基准脚本，想看智能体攻防推演可以自己跑一遍。
GitHub 开源项目 Intrusion-Detection-System 基于 Scapy/Npcap 实现实时数据包捕获，采用 XGBoost（CICIDS2017 训练、70 个双向流特征）加启发式 ScanDetector 的双引擎检测。系统集成完全本地的 FAISS RAG 知识库（all-MiniLM-L6-v2 嵌入，纯 CPU 运行），可按需调用 Groq Cloud LLM（openai/gpt-oss-120b、llama-3.3-70b-versatile）生成 MITRE ATT&CK 映射与处置手册，并配有 React 19 仪表盘和浮动 AI 安全 Copilot。
一项覆盖 10 个模型、7 种语言的受控 URL 检索实验发现 SLIP 现象：非英语有害请求使平均工具准入率从 46.9% 升至 67.4%，且在每个模型中均出现。要求用页面语言作答时，四个闭源模型在相同工具调用下的平均有害率从 50.3% 升至 57.4%，主要出现在中文和印地语。研究建议多语言安全评估应分开测量工具准入与回答有害性，并区分真正的安全拒答与能力失败。
Hasan Demirkiran 在 arXiv 发布论文（arXiv:2610.22243），提出三层 shortcut 审计框架，审计 LinuxArena 轨迹和两个 TS-Bench 衍生数据集，已被 NeurIPS 2026 工作坊 TAE 与 AIWILD 接收。实验显示改变 <INFORMATION> 标记使拦截率下降 8.33 个百分点，不透明工具别名使其上升 11.46 个百分点；AgentHarm-Traj 上 TS-Guard 的 F_1 从 .902 降至 .719。作者建议采用域分组 holdout、评估单元指标和安慰剂对照配对干预。
推荐理由：论文给出shortcut审计框架与配对干预实验，说明评测数据表征如何改变guard决策和指标，方法可直接借鉴到自建评测。
一位使用 GLM 5.3 与 GLM 5.3 Flash 搭配 FreakyFrankenstein 预设做角色扮演的用户，正在寻找满足零数据保留（ZDR）且不注入审查的 OpenRouter 供应商。其目前使用 DeepInfra 和 VeniceAI，因 DeepInfra 频繁出现 429 限流错误，故求证一份 3 个月前的 Reddit 帖子所列 13 家 NSFW 安全供应商是否真的不保留提示词。
jiwoochris 发布 ARTEX 全球版，基于中文开源项目 Autumn-27/ARTEX 本地化，用 Go 单二进制加 Next.js 前端和 PostgreSQL 构建，由多个 LLM 智能体自主完成从侦察到数据渗出的渗透测试。界面与产出默认英文，可切换韩语、中文、西班牙语，内部推理提示词保留原语言以避免翻译带来的质量漂移；仓库还附带 Sigma 检测规则、Suricata 规则、MITRE ATT&CK 映射、IoC 指标 CSV/MISP 事件和主机排查脚本等防守检测材料。
OSINT-PH 在 GitHub 发布自托管 OSINT 工具箱 FalconEye，AGPL-3.0 许可，当前版本 3.38.25，实例地址 falconeye.osintph.info。它提供二十个模块，包括加密货币钱包追踪、钓鱼套件指纹识别、域名情报、Telegram OSINT、IP 信誉、邮件头取证、跨约 950 平台的用户名枚举和 Have I Been Pwned 泄露查询等。内置 MCP 服务器使其中十个模块可作为工具在 Claude Code 和 Claude Desktop 中调用，走 stdio 传输、仅本地模式；四个模块由 Claude Haiku 4.5 驱动，JSON 输出经 schema 校验，不可信输入以 fence 包裹防提示注入，单次 LLM 调用成本约 $0.003。
pearu 在 GitHub 发布 agent-sandbox，用 bubblewrap 沙箱运行本地 AI 编码智能体，提供默认拒绝的文件系统、出站域名 allowlist 和密钥不进入沙箱的 opt-in SSH broker。整个工具只有一个 bash 脚本和按智能体定义的 profile，旗舰 profile 面向 Claude Code，支持 --ssh、--allow、--role 等选项，目前仅附带 claude profile。
GitHub 仓库 TerminusBoulder/Universal-Game-Mashup-Studio 是一个 AI 驱动的工具包，用于制作 passthrough mod——让两款游戏（如 Skyrim × Minecraft、GTA V × Minecraft）通过共享内存桥同时运行，一款处理物理与背包逻辑，另一款负责渲染与任务。它提供双游戏运行时、AI 资产生成（2D 精灵、Image-to-3D、音频）、逆向工程工具（ILSpy、Ghidra 集成）和 12 个引擎 playbook，内置反作弊检测与存档备份，仅限单机离线使用。
huss129 在 GitHub 发布 SOC-AI-Assistant，一个本地运行的 Wazuh 告警分诊助手：从 Wazuh Indexer 拉取告警，用 Ollama 上的 qwen2.5:1.5b 小模型分类，再由确定性 Python 规则做最终判断，数据不出本机，结果存入 SQLite。实验室测试中，混合系统在 37 条告警（8 威胁 / 29 噪音）上达 100%，31 条由规则决定、6 条由模型决定；作者提醒样本小且评估部分循环，结果未必能泛化。
ArdurAI 开源了 Ardur，一个以安全为基座的个人 AI Agent 运行时，用 Rust 编写，支持多渠道（Slack、Matrix、Discord、Telegram）和 6 种模型提供方（含 Anthropic 与 Ollama 本地部署）。每次对话经单一 FusedRuntime 十阶段管线处理：Biscuit 能力令牌授权、Cedar 策略检查、四阶段成本准入闸门、提示词注入扫描、JWS-ES256 签名收据链、双时态记忆与 append-only 日志，任一阶段失败即短路。项目状态为 2026 年 6 月收尾实现，基座功能完整但尚非开箱即用生产部署，默认仅注册安全本地工具，加固内建工具的默认接线由 ARD-457 跟踪，Apache 2.0 许可。
MMClaw 是一个用纯 Python 编写的轻量级个人 AI 助手程序，支持文本、麦克风等多模态输入，无需编程经验即可使用。它对硬件要求极低——仅需 4 GB 内存和 100 MB 磁盘空间，支持 Windows 10+、macOS 10.15+ 和多数 Linux 系统，依赖 Python 3.8+。该工具免费开源，安装后部分基础功能可离线使用，数据保留在本地。
TalosAI 是一个自托管的自主渗透测试智能体项目，通过 Ollama 运行本地 LLM 实现自动化安全审计。项目基于 Docker Compose 部署，要求 NVIDIA 驱动与 NVIDIA Container Toolkit 支持，文档涵盖智能体编排逻辑、GPU 工作流及全部 REST API 规范，采用 MIT License 开源。
ANIZA 是一个开源（MIT 许可）的 Windows PE 恶意软件检测器，只读取字节、从不执行样本，由本地 Qwen 3.5-9B（经 Ollama，16k 上下文）作为智能体选择工具并解读结果。分类结合 EMBER2024、capa 9.4、良性流行度加权和 ATT&CK v19.2 等确定性锚点，模型结论须经证据验证，输出含 verdict、confidence、IOCs 与 justification 的 JSON。当前 Windows PE 阶段功能可用，Android（LAMD）阶段待完成，在 12 GB RTX 3060 上可运行。
GitHub 上的 claims-triage-agent 是一个基于工具调用、guardrails 和离线评测的医疗理赔拒付分诊 Agent，处理合成数据，针对 claim id 返回修正重报、申诉、申请预授权、坏账审查或人工升级五种建议操作之一。它使用 Pydantic 类型化工具查询 SQLite 数据库和 BM25 策略语料，内置 PHI 脱敏、提示词注入过滤和工具调用预算，支持 OpenAI、Azure OpenAI 和 Amazon Bedrock。默认 scripted planner 在 21 个场景评测中动作准确率 0.952，工具选择精确率 1.000，平均每次运行延迟 1.9 ms，通过 FastAPI 提供 /triage 接口并支持 Docker 部署。
GitHub 开源项目 Self-Evolving-AI-HoneyPot 是一个动态 AI 驱动的 SSH 蜜罐，通过调用 Google Gemini API 实时生成仿真的 Ubuntu 22.04 假环境（如 .env 文件、密码列表）来诱骗并分析攻击者。项目包含 Flask 可视化仪表盘、SQLite 日志存储和独立的进化引擎，可分析近期攻击持续优化蜜罐人格，SSH 服务监听 8022 端口，支持 Docker 部署。
GitHub 上开源的 MSA v2.0 是一个自主、隐私保护的移动应用渗透测试平台，内置 10 阶段自动化分析流水线，结合本地混合 RAG 引擎（BM25 + TF-IDF，RRF k=60）和本地 Ollama 推理（qwen2.5-coder:1.5b），无需云端即可检测 Android 和 iOS 漏洞。在 DroidBench 3.0、Ghera 及 104 个真实 Google Play 应用的评测中，其召回率达 94.2%，误报率降至 7.8%，平均扫描时间 47.3s，并能自动生成 CVSS v3.1 评分与代码补丁，全程 100% 本地离线运行。
NoNFake 发布了 FuckCode，一个面向安全审计、渗透测试和逆向工程的 OpenCode 分支。支持 llama.cpp 本地模型自动发现，内置 30 多个按需加载的安全技能，渗透模块提供 rootless 沙箱、DNS 白名单、SQLite 证据库和 SARIF 报告输出，提供 macOS/Linux/Windows 安装脚本并持续同步上游 OpenCode。
GitHub 用户 dewil 发布开源工具 pii-mask，一个在文本发送到云端大语言模型前对姓名、电话、email、护照等个人敏感信息（PII）进行本地脱敏、并在模型返回后还原原文的网关，主打俄语场景与俄罗斯个人数据格式（ИНН、ОГРН、СНИЛС 等）。识别采用三层结构：正则加校验位、基于 Natasha 的离线 NER（按词形归一保持标签一致）、可选的 Ollama LLM 审计第二遍（默认模型 qwen3:1.7b）。服务无状态、fail-closed，映射文件 mapping. 权限 600 并写入 .gitignore。
推荐理由：作者详述了正则加NER加LLM审计的三层识别设计与152-ФЗ合规边界，方法思路可迁移到其他语言的文本脱敏场景。
WasmAgent 在 GitHub 开源 wasmagent-js，为 Agent 工具调用提供 Protect、Record、Audit、Admit 的可验证证据层，可通过 npm 安装 @wasmagent/mcp-firewall、@wasmagent/aep 等包。README 介绍 MCP 运行时防火墙（静态扫描 injection/exfil/rug-pull、每调用策略、consent ledger）、Ed25519 签名的 AEP 证据记录、QuickJS 等 WASM 沙箱执行、reducer 驱动的 agent 与 UI 共享状态，并提供从 rollout 排序导出 DPO/PPO 训练数据的 CLI。
GitHub 上的 jirql/mcp_server_tools 项目开源了一个面向 Kali Linux 的安全优先 MCP 服务器，把渗透测试工具链封装为结构化、schema 校验的工具，采用 Streamable HTTP Transport（MCP 2025-11-25）规范。它支持基于 node-pty 的交互式 bash/msfconsole/sliver/python 会话、28 种 tmux 操作、最多 20 个并发批量执行，以及含 23 种浏览器 profile 的 TLS 指纹伪装和 UA 轮换流量混淆。服务器内置 7 层安全机制（IP 白名单、每 IP 每分钟最多 200 请求的限速、命令校验等），并可根据实时性能指标在 20–80 范围内动态调节并发。
justsml 开源 ExploitHunter.app，一个本地优先的 AI 智能体安全研究工作台，支持授权台账、审批门、证据存档和本地 lab 运行时。实测中 qwen-3.6-flash 在 Hard Juice Shop 上找到 7 类有证据支撑的漏洞，单次成本 $0.007，而 Claude frontier 路线单次约 $2.00-$2.35；本地 LM Studio 路线（如 lmstudio-gemma-4-e4b）可以 $0 API 成本离线找到 7 类漏洞。作者主张的方案是指挥者模式：廉价或本地模型做广域侦察，frontier 模型只用于深度推理和验证。
推荐理由：同一评测里给出各家模型的实测分数和成本对比，读者可以据此了解廉价模型与本地模型在安全扫描任务上如何分工路由。
cdxiaodong 在 GitHub 开源了 Cain（cain-agent），一个基于 Claude Agent SDK、面向真实授权安全评估的 AI 渗透测试工程 Agent，覆盖 AWS、Azure、GCP、阿里云、腾讯云、华为云的云渗透模块。项目通过确定性状态机与工程约束强制范围控制，内置 46 个只读安全工具、finder≠validator 双会话验证、凭据脱敏等结构性安全机制，并支持 recon/test/report 三阶段分别路由不同后端与模型；自带 vulnerable-terraform 基准，实测静态扫描各场景零漏报零误报。
推荐理由：原文给出安全钩子架构与自建基准的实测数据，读者可了解如何用工程约束而非模型自律来做授权渗透测试。
一项 arXiv cs.AI 研究提出 AI 智能体的生态安全理论，基于以网络安全能力为适应度的种群增长方程。研究发现：无协作时，只有单个智能体能力超过临界阈值种群才会失控增长；有协作时则存在临界种群阈值，低于它种群衰减，高于它即起飞，即生态学中的强 Allee 效应。论文据此提出「生态红队测试」与种群节控：在受控环境逐步扩大部署规模并测算能力的规模缩放关系。
VaultGuard-RAG 是一个开源多模态 RAG 项目，将访问控制强制实现在检索层内，确保 LLM 永远看不到用户无权查看的数据。项目采用 MIT 许可证，源自 Code Carnival 3.0 的 PS-01 题目，由 Team Huge Monster'z（Q8FX）团队开发。
LLMGuard 是一个本地 RAG 安全演示项目，包含提示词防火墙、检索内容防火墙、语义检测、训练好的 ML 分类器和 FAISS 检索，官方本地模型为 Ollama 上的 Qwen3 1.7B。项目采用 FastAPI、Jinja 和原生 JavaScript 构建认证控制台，提供仪表盘日志、文档上传与 RAG 摄入支持，登录仅支持管理员账号密码，登录接口 POST /auth/login 保持不变。