新闻、仓库与研究，按时间排列。
GitHub 仓库 Geloos/llm_benchmark 将越狱提示词注入真实 MITRE ATT&CK 攻击日志，让本地 LLM（通过 Ollama 运行 gpt-oss:20b、llama3.1:8b、gemma3:12b）判断日志是攻击还是正常流量，以此计算攻击成功率（ASR）。每条日志都是真实攻击，模型给出"正常"判定即代表注入生效。实验含 plain、hex、--dovsdofs、--ob 四类，每轮用 5 个 seed（42–46）重复，比较低/中两档温度下的平均 ASR 与 95% 区间，plain 实验使用 10 个类别的 47 种注入。
wehnsdaefflae 发布 LLMSecTest 0.4.0，一个 pytest 插件形式的 LLM 安全测试工具，对运行中的端点执行 OWASP LLM Top 10 (2026) 全部十个类别的攻击探测，输出 CI 可读的 SARIF v2.1.0 报告。覆盖提示注入、敏感信息泄露、供应链、模型投毒、RAG 间接注入等，支持 JailbreakBench/AdvBench 红队集、CVSS v4.0 评分、CycloneDX SBOM，可离线读取 Chroma/FAISS 向量库检测嵌入反演与多租户隔离问题；当前为 pre-alpha，由德国 BMFTR 通过 Prototype Fund 资助（资助号 16IS26S10）。
Blackman99 发布 keyroll（https://github.com/Blackman99/keyroll），离线扫描本机 Claude Code、Codex、OpenCode、shell 配置、.env 及备份中的所有 API key 副本，并通过各 issuer 的免费只读端点检查 key 是否仍有效（ALIVE/REJECTED）。keyroll rotate 只需粘贴一次新 key 即可重写所有生效副本并清除遗留副本，keyroll ci 可列出 GitHub Actions 中疑似供应商 key 的 secret 名称；工具只显示指纹和密钥末四位，绝不读取或输出密钥值，单一 Go 静态二进制、无第三方依赖。
推荐理由：作者完整公开了工具的扫描范围、检查与轮换流程和不读密钥值的安全设计，读者可以据此评估是否把它用于管理本机散落的 API key 副本。
Iago 是一个 Python CLI 渗透测试工具，对自有模型批量运行 guardrail 绕过技术库，多轮重复试验并生成含加固建议的渗透式报告。每次测量给出 95% CI，提示词泄露按预埋密文评分，伪造历史攻击带安慰剂对照，还通过实际 tool call 测试 agent。默认目标是 Ollama，也支持经 --authorized 测试 Anthropic API。
Shanjeev Rajendran 发布开源工具 Cloakroom（Apache-2.0），在本地把 API 密钥、机密和个人数据（PII）替换成占位符后再交给 AI 编码代理，写入文件时在本地还原真实值。0.7.0 起在 Mac 和 Linux 上支持 OpenAI Codex CLI 和 Google Gemini CLI；实测对 1,005 条个人数据零泄漏，而对比的 Claude Code 隐私工具泄漏 119 至 992 条。真实值存于本机加密保险库，检测模型仅首次从 Hugging Face 下载一次（Mac 约 1 GB，其他平台最多约 4 GB），提供防篡改活动日志、dashboard 误报学习规则和面向金融团队的付款调用拦截与审计功能。
推荐理由：原文给出与其他 Claude Code 隐私工具的横向实测数据，泄漏数和误报数都有对照，读者可据此评估是否值得在本地部署。
pelens 是一款 Windows PE 静态分析工具，可解析 .exe/.dll/.sys 文件，提取 SHA-256、imphash、编译时间戳、节表熵值、RWX 权限、安全缓解措施（ASLR/DEP/CFG）及按能力分类的导入 API 列表，全程不执行目标文件。配套的 ai_analyzer.py 将解析出的 JSON 数据发送给 LLM，生成分诊报告：第一部分为确定性发现，第二部分为带置信度评级的 AI 解释。该脚本支持 OpenAI、Gemini、Anthropic、Groq、OpenRouter 及本地 Ollama 等多家模型服务。
GitHub 上的 solve-ai-ctf 是一个 AI 驱动的 CTF 解题工作台，覆盖分诊、假设、有界执行、验证、提交、复盘全流程留痕。项目用纯 Python 标准库实现、零 pip 依赖，内置本地 Web 工作台、Docker 沙箱执行、Flag 自动识别与抢一血式自动提交，支持 misc/crypto/pwn/web/reverse/forensics/ai 七类题型，附 24 份知识库参考文档，仅限授权的 CTF 比赛与安全研究使用。
作者 Mesut Güngör 在 GitHub 开源了 llm-scan，一个面向 Hugging Face、ModelScope 及本地模型的开源 LLM 安全扫描工具，采用零执行静态分析，覆盖 pickle 反序列化 RCE、trust_remote_code、Jinja2 SSTI（CVE-2024-34359）、SafeTensors 内存炸弹（CVE-2023-44469）等 42 条规则，并附 SHA-256 验证引擎。
推荐理由：作者开源的静态扫描工具在不执行模型代码的前提下检查权重、模板和配置，并给出与 OWASP、NIST 等框架的逐条映射。
Two Much Labs 发布 reversibility-classes（spec v0.2 草案、rclass 0.3），定义 R0 到 R4 五级可恢复性分类，并开放覆盖 20 个 MCP 服务器、536 个工具的带证据链接登记表。rclass scan 可扫描 Claude Desktop、Claude Code、Cursor、VS Code 或 Windsurf 的本地 MCP 配置，按最坏参数情形分级，未识别服务器一律计为 R4；项目还提供网关接入示例、preimage 覆盖等部署级降级机制、46 个一致性测试向量和 CI 用的 --list 模式。
推荐理由：作者提出按可恢复性而非严重性给 Agent 工具分级，并给出可复用的扫描器和 536 个工具的开放登记表，方法可直接移植到自己的网关。
GitHub 开源项目 Sentinel 是一个为 LLM 编码工具打造的防御性安全扫描插件，提供 MCP server 和独立 CLI，含 335 个测试，MIT 协议发布。当前版本尚无漏洞检测层，只能做仓库画像（语言、框架、授权面等）并从 2 个 pack、13 条技术的注册表中筛选适用技术，输出 markdown 与 SARIF 2.1.0 报告，且每份报告都明确声明哪些代码未被检查。工具强制范围与授权校验：仅扫描本地或你有权访问的 GitHub 仓库，只读不写入，需逐目标输入确认；项目还公开了自身 105 个待修复问题的 backlog，下一步将开发检测层。
开源项目 GERMLINE 上线 pre-alpha 版本，将已修复的公开漏洞转化为可复现的回归测试“抗体”，用于检测 AI 重写代码是否继承了前代的安全修复。其语料库含 100 个抗体，覆盖 libxml2、ffmpeg、imagemagick 等 17 个关键项目、15 种崩溃类型，目前 3/100 已在 CI 中端到端验证，98 个待复核。项目还提供 CI/CD 的 Immune Gate、签名 Immune Passport 及开放交换格式 ABX（RFC-0），代码采用 Apache-2.0、数据采用 CC-BY-4.0 许可。
AyushAditya444 发布 data-leak-guard，一个 OpenAI 兼容的 drop-in 代理，拦截 Aadhaar、PAN、手机号、UPI ID、银行账号、IFSC、地址、姓名和 API 密钥等敏感信息，在请求发给 LLM 前掩码替换、收到回复后还原，应用只需改一行 base_url 即可接入，项目处于 7 个阶段的第 5 阶段。在 1600 条合成消息的 held-out 测试集上整体 F1 为 94.4%，负样本误报率 1.4%；规则检测延迟 p50 0.175 ms，加 CPU 上的 ONNX 人名模型后 p50 17.340 ms。
推荐理由：项目给出了1600条held-out测试集的分类型精确率召回率和延迟数据，读者可据此评估这套脱敏代理的可靠程度。
作者发布 Ephor，一个只检测不拦截的 Linux CLI，通过读取内核 socket 表和 /proc 被动记录 AI Agent 的出站连接、下载量和是否命中已知恶意目的地，无需配置代理、被入侵的 Agent 也无法绕过。它还能展示每个 Agent 的权限爆炸半径，包括运行用户、Linux capabilities、免密 sudo 和可读的密钥文件；仅依赖 Python 标准库，可在 Pi Zero 2 W 等 512 MB 小设备上运行。v0.3 新增安装与 DNS 监控，追踪 pip/npm 安装并查 OSV.dev，可选 eBPF probe 补捉秒级进程，威胁判定默认离线匹配 URLhaus、Feodo Tracker、FireHOL 等免费 feed，VirusTotal 查询默认关闭。
推荐理由：原文讲清了无代理被动监测的实现原理、资源占用与同类工具对比，读者可以判断它是否适合放进自己的 homelab 监控栈。
TrustRAG 是一个开源 RAG 项目，针对"chat with your PDF"工具的幻觉、不可验证答案和文档内隐藏提示词注入问题，答案全部来自检索段落并逐条标注页码引用，用第二个模型对每条陈述做事实核查，并给出 🟢🟠🔴 信任分。在其自建的 5 份政策文档、71 个问题的评测中，检索 recall@4 达 100%、MRR 0.97，幻觉率 0%，30 个注入攻击 100% 被移除且无误删，每题平均耗时 6.6 s。技术栈采用 Claude Sonnet 5.5（回答）与 Claude Haiku 5.5（核查/OCR/扫描）、ChromaDB 与 all-MiniLM-L6-v2 本地嵌入，支持 Claude 订阅或 Anthropic API，并提供 Docker 部署。
faithdroid 是一个 GitHub 仓库，包含一篇硕士论文，提出用本地 LLM 做成本感知的 Android 恶意软件检测。模型生成的解释会被自动检查忠实性（faithfulness），数据集与实验涉及 KronoDroid 和概念漂移（concept drift）处理。
ari-ai 是为 HackATL 构建并计划发展为真实产品的自主软件工程与网络安全平台，核心是代码智能审查修复、七智能体安全团队和持续监控与 RL 防御三大支柱，共享一个版本感知的 Unified Intelligence Layer。后端 FastAPI、七安全智能体（Scout、Probe、Trace、Diagnose、Patch、Fortify、Verify）、代码智能与前端控制台已实现并通过测试，默认模型为 claude-haiku-5-5；基础设施部署尚未配置，RL 防御建议不会自动应用。
GitHub 用户 bugshunter95-blip 发布了 AI 安全作品集仓库 ai-security-portfolio，内容涵盖 LLM 安全、提示词注入、AI 红队测试、RAG 安全、Agent/MCP 安全及 AI 安全工程实践。仓库目前为 0 stars、0 forks。
sundi133 在 GitHub 发布开源的 llm-shield，一个部署在应用与 LLM 之间的 AI guardrails 平台，内置 19 条覆盖输入安全、输出质量和 Agent 安全的护栏，采用 CPU 快速护栏先行、LLM 护栏按需运行的两级并行流水线。支持基于 Redis 的多租户护栏策略与限流配额，提供基于角色的工具授权、MCP 工具校验、跨工具数据污点追踪、目标漂移检测和工具 kill switch 等能力，可用内置 Qwen3-8B 后端跑在 RunPod，或作为网关代理任意 OpenAI 兼容 API，并附 NIST AI RMF / OWASP LLM / ISO 42001 合规映射文档，MIT 许可。
推荐理由：开源 AI guardrails 平台，19 条护栏分两级流水线，覆盖多租户策略、工具授权、数据污点追踪和目标漂移检测，可按清单对照自己的 Agent 安全需求。
wardowl（2.0 前名为 needtoknow）是一个开源 Python 库，把 OpenFGA、OPA、Cerbos 等权限系统接入 pgvector、Qdrant、Pinecone 等向量库的搜索内部，每次命中再复核并故障时关闭，保证 LLM 提示词只含用户有权读取的文档。基准测试在 57,600 个真实 chunk 上经 33,000 次检索无一次越权返回，pgvector 上 recall@10 保持 0.949 以上；百万 chunk 场景下中位延迟 3 到 21 ms，每秒最多可服务 126 次请求。
推荐理由：项目给出基准数据说明在搜索内做权限过滤可保住召回率，对搭建企业内部 RAG 的团队是可参考的做法。
dahchenoor-cmd 在 GitHub 发布 AI 红队测试作品集仓库，系统化整理对抗性机器学习评估、攻击 PoC 与防御缓解措施，覆盖本地及企业级 LLM 架构。仓库包含 10 个模块，从环境搭建到企业模拟审计，基于 Ollama、vLLM 运行 Llama-3、Mistral、Qwen 等开源模型，使用 garak、PyRIT 等工具，并对照 OWASP Top 10 for LLM Applications（2026）、MITRE ATLAS 与 NIST AI 100-2e2025 等标准。所有测试均在本地容器化环境中进行，数据全部为合成数据。
dbalchunas2-pixel 发布 Warden，一个原生 Mac 应用，作为 MCP 客户端（Claude Desktop、Claude Code、Cursor、Windsurf、Cline）与 MCP 服务器之间的安全网关，拦截每个工具调用并决定是否执行。决策管线含正则规则引擎（<10ms）、NVIDIA Nemotron LLM 分类（经 Nebius Token Factory）、启发式回退与熔断器，全部 fail-closed，并记录 JSONL 审计日志。内置对抗评测（seed 1337，22 次攻击+6 个良性对照）显示攻击检出率 100%、误报 0%、平均判定延迟约 3.5s；洪泛测试 30/30 拦截且仅 3 次调用消耗 LLM 预算。
推荐理由：原文给出完整决策管线和可复现的对抗评测数据，包括100%攻击检出率、0%误报和约3.5秒平均延迟，便于评估其实际拦截能力。
GitHub 开源项目 plc-guard 用规则检查器加 LLM 检测和修复 IEC 61131-3 Structured Text PLC 代码中的安全漏洞。规则检查器在原始数据集上 F1 达 1.00，变量重命名后降至 0.71；NVIDIA Nemotron 3 Ultra 零样本检测在混淆数据集上保持 1.00 recall，但 F1 为 0.69 ± 0.05，误报较多。项目含 85 个离线测试、Streamlit UI、缓存回复保证可复现，计划扩展到 30+ 数据对并支持 Gemini 和 OpenRouter。
ClawKeeper 是一个面向中小企业财务 Agent 的控制平面，Agent 可提出应付、应收、对账和报表工作，由确定性策略引擎、PostgreSQL 行级安全、审批门和脱敏 append-only 审计日志决定哪些任务可执行。其架构为 1 个 CEO 编排器、9 个领域负责人和 100 个专业 worker 的三层 Agent 层级，高风险操作需审批元数据后才能通过策略检查。v2.0 提供可验证的 proof bundle，CI 在 PostgreSQL 15 上验证 RLS 边界并固定 Bun 1.3.11。
JavisBot-Service 发布 javis-transparency 仓库，基于已发表研究持续审计 javis.bot 中转是否真的提供所宣传的 Claude / GPT 模型，防止量化、降级或掉包。审计代码在 GitHub 机器上运行，每 6 小时执行一次，结果由 github-actions[bot] 提交，页面由 GitHub Pages 生成；用户可用 temperature=0 的 curl 探针自行复现。该审计属概率性一致性检测，不能提供密码学级证明。
开源项目 soc-ai 通过自托管大语言模型对 Security Onion 网格上的告警进行自动分诊，为每条告警拉取相关事件、比对本地威胁情报、解码 PCAP，并给出带引用的结论与置信度。它支持用自然语言在多主机和时间窗口上开展 hunt，内置 10 个 runbook 起始包和证据门控（弱结论标记为 needs_more_info）。模型运行在用户自己的硬件上，默认关闭可选云 Oracle，当前版本为 1.6，采用 Apache 2.0 许可。
OmarAhmedTHE25th 在 GitHub 开源了 LLM-Security-Evaluation，一个通过 Groq API 评估提示词注入与系统提示词泄露抵御能力的异步对抗测试工具，命令形如 python main.py --model openai/gpt-oss-20b 或 --model llama-3.3-70b-versatile。测试类别映射 OWASP LLM Top 10（LLM01、LLM02、LLM06）与 MITRE ATLAS 技术（AML.T0051、AML.T0024、AML.T0046），覆盖注入、角色扮演指令覆盖、系统提示词与密钥泄露、检索文档隐藏指令及工具参数注入等。
PoisonXploIT 发布 CERBERUS，一个用于审计本地 LLM 在对抗性提示下有害输出风险的防御性评测框架，提示按 MITRE ATT&CK 结构化组织，帮助安全团队在内网部署无审查模型前评估风险。框架采用双层评分：先由确定性启发式打分，仅对 [0.3, 0.7) 的模糊区间调用可选的云端 LLM judge（默认 OpenRouter，可配 DeepSeek、OpenAI 等），并按 harm_final = max(启发式, judge) 保守合并。
推荐理由：原文给出了基于 MITRE ATT&CK 的双层评分与被动评测流程，安全团队可在内网部署无审查模型前量化其有害输出风险。
SasanLabs 发布 LLMForge，OWASP VulnerableApp 生态中专门用于 AI/LLM 漏洞练习的 FastAPI 应用，通过 Ollama 连接真实本地模型而非模拟响应。项目提供 5 个渐进式实验：提示词注入 10 关、间接提示词注入 4 关、BOLA 医疗聊天机器人 3 关、RAG 上下文投毒 3 关和 RAG 敏感数据暴露 4 关，映射至 OWASP LLM01/LLM04:2025 等标准。默认聊天模型为 phi3:mini，嵌入模型为 nomic-embed-text，经 nginx facade 挂载在 /llmforge 路径，采用 Apache 2.0 许可。
shahardalva 发布了 Sentinel，一个位于应用与 LLM 提供方之间的反向代理安全网关，客户端把 SDK 指向网关即可使用，真实的 Anthropic 上游密钥不出网关。当前已实现按客户端鉴权、流式转发、并发与请求体上限、分阶段超时和每请求 JSON 结构化日志，仅支持 POST /v1/messages；提示词注入与敏感数据检测、MCP 工具管控等在 Roadmap 中。项目仅用 Go 标准库，Apache 2.0 协议。
guru-bharadwaj20 发布 TaintGate v0.1.0，一个让标签随值流动、用确定性 Datalog 策略审查每次工具调用的 LLM 智能体信息流防火墙。受信任 planner 只见可信请求，不可信内容由无工具提取器转成带标签值，MCP 网关在副作用前询问策略引擎并输出可解释的 allow/deny 与带 Merkle 证明的审计日志。AgentDojo v1 对比在 Qwen2.5-0.5B-Instruct CPU 环境下完成 4,356 次评分运行，作者明确称其为下限而非胜利，因 0.5B 模型很少产生有效工具调用，对比未能区分各防御方案；策略检查中位开销 0.6 ms。
推荐理由：作者把 AgentDojo 对比明确定位为下限而非胜利，并保留负面结果，可据此了解这套信息流防火墙的实际边界。
GitHub 开源项目 llm-vuln-scanner 发布，可对 LLM 系统（chatbot、agent、API 后端）自动发送数百个 prompt injection 和越狱攻击模板，分析回复并生成带 Dayanıklılık Skoru（鲁棒性评分）的分类漏洞报告。
推荐理由：这个开源扫描器给出了带评分公式和分层判定的注入测试流程，还能拿它检验自己部署的模型对越狱的抵抗力。
heyvaldemar 在 GitHub 发布 kubernetes-air-gapped-ai-agent 参考架构，让 AI Agent 在无外网路由的 kind Kubernetes 集群内用 CPU 运行 llama.cpp，模型经签名镜像和 Kyverno 准入校验后加载。随附 15 项任务的每日评测：六个内置与受测模型在 12 条植入指令上最多中招 6 条，而 MCP 服务器按 schema 拒绝了全部外发邮件（含隐藏模式后的 92 次），无数据外泄、无记录被删；每周任务另经唯一出口调用 Claude Haiku 5.5 与 Claude Sonnet 5.5，二者均未中招任何植入指令。仓库定位为参考而非产品，MIT 许可。
推荐理由：仓库用可复现的检查把边界与模型分开验证，被诱导的数据点数只作测量不作门槛，这种做法可以迁移到自己的 Agent 部署里。
GitHub 新仓库 TrustLens 发布，用于 AI + LLM 深度伪造检测与数字证据分析，整合了 Facebook $1M Deepfake Detection Challenge 夺冠的 EfficientNet-B7 人脸交换检测器（numpy 重实现、不依赖 PyTorch，约 267 MB）、视觉 LLM 和十余项取证测试，可检测照片、视频、语音、截图、通知和活动海报。工具用英文和印地语输出证据说明，对照 VTOP 官方记录核查声明，提供 Ed25519 签名的 PDF 报告与哈希链保管日志，附带 Chrome 扩展和手机扫码使用。作者同时列出每项测试在真实数据上的实测表现与角色限制，如真实照片基线假阳性 0/4，并明确说明无法检测克隆语音等局限。
GitHub 开源 llm-guard-proxy，一个本地优先的安全代理层，在流量到达客户端或模型前用可配置策略检查提示词与模型响应，兼容 OpenAI、Ollama、llama.cpp、vLLM 等 OpenAI 兼容后端。内置 secrets、prompt injection、regex 等确定性分类器，支持 YAML 策略与 4 个预置策略，可选通过 Ollama 运行 Llama Guard 3（llama-guard3:8b）。项目为实验性质，尚不适用于不可信的生产流量。
开源项目 jnvoy 是一个面向 LLM 流量的隐私与安全网关，部署在应用与任意 LLM 之间，自动识别提示词中的个人数据并以 token 替换，回复返回后再还原真实值，同时拦截 prompt injection 并扫描 MCP 工具流量。它支持英国、美国、欧盟、中国居民身份证号等多地区身份标识识别，审计日志只记录发现内容不存原文；可选的二次检查在作者自建测试集上将召回率从 93% 提升到 100%，默认关闭。
koopycat 发布 pi-secret-scanner v0.2.4，这是一个 Pi 编码智能体扩展，可检测工具输出和发往 LLM 请求中的凭证并在离开本机前替换为类型化占位符，如 [REDACTED:AWS_ACCESS_KEY_ID]。检测结合已知凭证格式规则与基于熵的未知密钥探测，熵检测默认开启，提供 redact、warn、confirm、off 四种模式，支持 .secret-scanner.json 或 Gitleaks 兼容白名单，要求 Pi 0.74.0 或更新版本，采用 MIT 许可。作者强调检测是启发式的，属于最后防线，不能替代避免把凭证写入提示词、文件、日志和 shell 输出。
推荐理由：原文给出了该扩展的检测机制、四种模式和安全边界说明，读者可以直接评估它在本机防密钥泄露中的定位。
YashJ2303 在 GitHub 开源 AgentShield，一个面向自主 AI Agent 的低延迟安全网关与事件回放引擎，可实时拦截并按声明式策略评估 Agent 工具调用、从遥测流中脱敏凭据与 PII，并提供离线事件回放以在部署新策略或模型前检测回归。评测显示对建模过的破坏性操作拦截率 100.0% [92.1, 100.0]%，对未建模主动攻击为 45.5% [21.3, 72.0]%（对比 blocklist 的 9.1%，置信区间重叠），90 个良性任务误拦截 0.0%，完整插桩工具调用开销中位数 +18.046 ms p50（独立策略检查约 4.6 ms p50）；回放回归检测 recall 25/25、specificity 23/25、precision 25/27。
推荐理由：作者给出了带置信区间的拦截率、误拦截率和延迟开销数据，并披露了模拟代理与未验证部分的局限，便于评估该网关的适用性。
devanshranjan10 发布开源工具 landmines，它读取项目 lockfile 中固定的精确版本，检索针对该版本的开放 GitHub issue 并生成索引，通过 pre-edit hook 或写入 AGENTS.md/CLAUDE.md 的已知 bug 段落让编码 Agent 在编辑前避开这些坑。基准测试中，Claude Sonnet 5.5 无辅助通过 72/84（86%），加入 landmine rules 段落后通过 83/84（99%）；同批对比中 web search 开启为 36/42、Context7 docs MCP 为 35/42，且 84 个会话中 Agent 从未主动调用这两个工具。
推荐理由：作者用 84 个 held-out 任务对比了规则段落、pre-edit hook 与 web search、Context7 的效果，基准局限也写得坦率，方法可参考。
Juan A. Martinez Diaz（BAI 创始人）发布开源参考实现 Sentinel Governed Workflow Twin，展示 AI 智能体“有能力”不等于“被授权”：通过授权注册表、确定性仲裁、HMAC 签名许可与证据账本执行受治理的工作流。项目内置 17 步合成金融服务工作流，24 项参考测试已于 2026 年 10 月 20 日在 CI 中通过；合成基准显示周期时间从 960 分钟降至 190 分钟、决策证据完整性从 45% 升至 100%。
GitHub 上的 contract_heldout_ipi 项目提供一套 LLM 智能体间接提示注入（IPI）防御评测协议，包含可机器读取的 episode contract、referee 校验和 train 与 held-out 的迁移差距报告，并强调这不是新威胁模型或最强防御声明。项目支持通过 OpenAI 兼容配置运行攻击、防御、judge 等多模型基线，也支持经 Cursor 调用 Grok 4.5 等模型，并内置 EmailSandbox 邮件场景与自适应攻防、协商共演化协议，ASR 由工具轨迹确定性评分。