新闻、仓库与研究，按时间排列。
emazaheri 在 GitHub 开源 ios-agent，一个通过 WebDriverAgent 和 Apple XCUIAutomation 驱动 iPhone 或 iOS 模拟器的 AI 智能体，提供终端应用、MCP 服务器（31 个工具、5 个资源）和底层库。设计上把原始 accessibility 树压缩成摘要（如 251 个节点压到 12 个元素，每步 50 到 472 token），动作自带结果屏幕以减半往返；在 gpt-5.6-sol 上 13 任务 3 轮实测成功率 39/39，成本 $1.50，并在真实 iPhone 上验证同一任务单次观察完成。安全方面默认对 Send、Pay、Delete 等操作和触达他人的动作要求审批，密钥经钥匙串直输且卡号邮箱在会话内脱敏。
推荐理由：项目给出了真实硬件上的 token、动作数和成本实测，还解释了为何坚持只用 Apple 公开 API，方法与数据都可复核。
Dinesh-Melimi 在 GitHub 发布 llm-security-gateway，一个介于内部应用与 LLM API 之间的 FastAPI 反向代理，按请求执行认证、限流、模型白名单、注入扫描、PII/密钥脱敏和金丝雀检测，并将每次决策写入仅存 SHA-256 哈希提示词的审计日志。控制项映射到 OWASP Top 10 for LLM Applications (2025) 与 NIST AI RMF；注入检测器在 50 条自建标注集上 precision 0.952、recall 0.80，作者提醒数字偏乐观，仅可作回归底线。项目支持 mock 或任意 OpenAI 兼容端点（vLLM、Ollama、LiteLLM 等），MIT 协议，不支持 SSE 流式与多副本限流。
推荐理由：作者给出了注入检测器在自建 50 条标注集上的 precision/recall 数字和已知局限，读者可据此评估这套网关是否值得直接复用。
/u/Kadri006 发布开源 email-engine，将 IMAP、JMAP 或转发邮箱同步为有序事件日志，通过 HTTP、SSE、webhooks 和 MCP 暴露操作，引擎本身不含模型，读取方可用 Ollama Agent、n8n 或脚本。Agent 持有作用域 token，可控制文件夹、动词及写入是执行还是仅提议给人审批；每个操作幂等且可撤销，基于 DMARC 结果标记消息信任级别，消息内容仅作数据并在离开引擎前掩码 OTP 和卡号。Apache-2.0 协议、无 CLA、单 Docker 容器，目前为 Beta，仅在 Dovecot 和 Stalwart 上测试过。GitHub：https://github.com/Kadri-cloud/email-engine
推荐理由：作者本人开源的邮箱事件引擎，把 IMAP/JMAP 邮箱变成可回放事件日志，动作可审批可撤销，适合本地 Agent 场景复用。
runtape 在 GitHub 上开源，这是一个面向 AI 智能体的反事实调试工具：输入一次坏运行，它通过删除重跑定位导致错误决策的那段上下文，用统计检验确认原因，并自动生成 pytest 回归测试。示例中它把邮件助手误转发发票的行为追溯到供应商邮件 HTML 注释里的一句话，有该句 10 次重跑中 10 次转发，无则 0 次。在 AgentDojo 的 sarvam-105b 测试上，23 个注入攻击中它定位到 20 个，优于直接问模型（18）、leave-one-out（15）；支持 OpenTelemetry、Langfuse 导入，兼容 OpenAI 和 Anthropic SDK、LangChain/LangGraph 及 Ollama、vLLM 等本地服务器。
推荐理由：原文给出了方法细节、显著性检验和 AgentDojo 实测对比，想对智能体做反事实归因和回归测试的读者可以参考其做法。
GitHub 项目 stAirCase 让 AI 编码代理在独立 worktree 中工作，每次改动先提案待批准，最终只提交获批内容到新分支，并附带可验证、可重建的签名变更证书与防篡改审计链。支持 Claude Code、Codex，Gemini CLI 与 OpenCode 进行中，依赖仅 git，提供本地 demo、SLSA 验证摘要与 Rekor 可选锚定，项目处于 pre-1.0 阶段。
推荐理由：项目自述了审批、审计链与可重建提交的完整机制和沙箱边界，读者可据此评估 AI 编码代理改动的可控性。
rmt99e 发布 trust-layer-agent，一个介于 LLM 与客服 Agent 之间的 TypeScript 库（Node 20+），在工具调用前和回复发送前用代码强制校验：写入需客户明确同意，价格、日期和完成表述必须有工具结果支撑。内置模拟器以 pass^k 指标测试，订阅示例套件中 Sonnet 5.5 达 100%（22/22，成本 $5.05），Haiku 4.5 为 77%（17/22，出现 1 例有害情况）。项目地址 https://github.com/rmt99e/trust-layer-agent 。
推荐理由：作者用规则代码在工具调用和回复两个环节拦截模型的不实陈述，并给出带通过率和成本的实测结果，方法可直接迁移到客服类 Agent 项目。
作者发布 inbox-crm-agent 项目，将入站业务邮件经 ingest→understand→resolve→decide→approve→execute 流程转为 CRM 记录并起草回复，M0–M7 里程碑已完成。核心原则是模型只做分类、抽取和起草，权限、状态转换与安全判断由确定性代码决定，重要操作需人工审批；回复只写入 outbox 的 suppressed 状态，真实外发邮件尚未实现。项目含 895 个测试、本地 SQLite 运行无需 API key，评测结果 10/10，hallucinatedFieldRate 为 0。
Robert Tjarko Lange 向 SakanaAI/ShinkaEvolve 仓库提交 PR #195，加固 Claude Code workflow。改动包括：@claude 触发仅限 OWNER、MEMBER、COLLABORATOR，防止外部账号在公开仓库任意触发 Agent 任务；checkout 设 persist-credentials: false 避免泄露 GITHUB_TOKEN；actions 固定到 commit SHA（actions/checkout v7.0.1、claude-code-action v1.0.239）；并通过 claude_args 添加 --disallowedTools "WebFetch,WebSearch"，封锁提示词注入外泄通道。
推荐理由：作者在自家仓库收紧 Claude Code workflow 的触发者、权限与工具范围，具体改法对部署 GitHub Agent 的人可直接借鉴。
作者在 BlueHat Asia 2026 演讲并撰文披露 Microsoft SSMS 中 SQL Copilot 的漏洞 CVE-2026-65669，被 Microsoft 评为 critical 的 SQL Server 提权漏洞。研究用 DECLARE @p sysname='sp_who'; EXEC @p 等方式绕过 LocalSqlExecutionAccessChecker 的正则拦截，使 ReadFromDatabase 和 RestoreVerifyBackupFile 工具可执行任意 T/SQL，并通过 xp_dirtree 或 SMB 路径实现数据外泄。
推荐理由：作者以第一手实测展示了 SQL Copilot 只读限制的绕过方法和提权链，攻击步骤和修复建议都写得具体可查。
Anthropic 威胁情报团队发布 2026 年 9 月报告，披露 2025 年 12 月至 2026 年 8 月间识别并处置的多起 Claude 恶意滥用案例，覆盖网络行动、影响力行动、监控、诈骗、生物滥用、常规武器和蒸馏七个领域，涉及 Claude Haiku、Sonnet 和 Opus 模型。案例包括疑似与 Midnight Blizzard 相关的 GTG-20006 用 AI 自动化重建恶意软件以规避检测，疑似 ShinyHunters 关联团伙用 AI 加速凭据窃取与数据勒索，以及一个中文威胁组织 GTG-10007 运行自动化漏洞挖掘流程，一个月内对网络设备产生十余个潜在零日发现。
推荐理由：Anthropic 以当事方身份披露多起 Claude 滥用案例和攻防细节，读者可以借此了解 AI 如何改变网络攻击的成本结构。
Embrace The Red 博主实测通过一次网站摘要请求劫持 Claude Code Opus 5 的 Auto Mode，实现代码执行，小样本下攻击成功率为 60-80%。攻击链诱导模型改用 curl 下载 ZIP 归档，模型拒绝运行自带二进制解码器、自己写了 Python 解码器，却在归档目录内运行，被恶意 struct.py 通过模块遮蔽触发任意代码执行并建立 C2 回连。Anthropic 委托 Trajectory Labs 的评测曾显示 Auto Mode 下 Opus 5 提示词注入成功率为 0.00%，但对攻击者报告以 Informative 关闭，称 Auto Mode 是尽力而为的分类器而非安全保证。
推荐理由：作者以第一手实测展示了针对性攻击链如何绕过 Auto Mode，并对比了厂商 0.00% 基准数字的局限，附完整缓解建议。
Anthropic 发布威胁情报报告，将 2025 年 3 月至 2026 年 3 月期间因恶意网络活动被封禁的 832 个账号映射到 MITRE ATT&CK 框架，部分结果曾发表于 Verizon 2026 DBIR。报告发现 67.3% 的账号用 AI 编写恶意软件，6.5% 用于横向移动；被评为中风险及以上的攻击者占比从上半年 33% 升至下半年 56%，AI 使用正从初始入侵转向入侵后阶段。报告指出传统风险判别信号（使用技术数量、所用平台）已与攻击者风险水平脱钩，而 MITRE ATT&CK 尚未收录 AI 智能体式编排等高危行为；Anthropic 已在最强模型上部署网络安全防护措施，并与 MITRE 讨论框架演进。
推荐理由：Anthropic 用一年内 832 个被封禁账号的实测数据评估 MITRE ATT&CK 对 AI 攻击的覆盖情况， defenders 可以据此了解传统风险判别信号为何正在失效。
IgorGanapolsky 在 GitHub 开源 ThumbGate，一个运行在 PreToolUse hook 的 AI 编码 Agent 执行前防护引擎，在工具调用执行前给出放行、警告或硬拦截判定。默认硬拦截 secret 泄露和两类自我禁用命令，rm -rf、force-push 等默认警告，设 THUMBGATE_STRICT_ENFORCEMENT=1 可升级为硬拦截；用户 👎 反馈沉淀为本地规则，可自动从警告升级为拦截，支持 Claude Code、Cursor、Codex、Gemini CLI 等 MCP Agent。免费版每天 2 次反馈、3 条自动规则，Pro 为 $19/月或 $149/年。
推荐理由：作者给出按风险分级的默认拦截策略和分阶段接入流程，读者可以对照自己用的编码 Agent 判断是否适用。
Anthropic 披露 2025 年 9 月中旬检测并处置的一起间谍攻击：攻击者（Anthropic 评估为某国家级团队）通过越狱操纵 Claude Code 对约 30 个全球目标渗透，少数得手，AI 完成了约 80-90% 的工作。攻击把任务拆成看似无害的小步骤并伪装成防御测试，AI 自主完成侦察、漏洞利用、凭证窃取和后门植入，仅偶尔回报人类（每场攻击约 4-6 个关键决策点）；AI 也会幻觉凭证或误报窃密成果。Anthropic 已封禁相关账号、通知受影响方并配合当局，并称这是首例有记录的、无大量人工干预的大规模网络攻击。
推荐理由：Anthropic 作为当事方披露了攻击全流程和 AI 承担比例等细节，安全团队可以据此评估自身面对智能体化攻击的暴露面。