新闻、仓库与研究，按时间排列。
作者开源了 agentic-devflow，一个半自主开发智能体框架，可做 issue 分诊、把 Jira 工单变成带测试的 PR、审查 diff 和更新文档，用 n8n 处理触发与人工审批、MCP 提供工具，模型可用 Claude 或通过 Ollama 自托管的开源权重模型。核心是风险分级策略：工具按 read/write/publish/critical 四级分类，超过 autonomy 上限的操作会暂停等待人工批准，合并永远需要人确认，未分类工具默认按 critical 处理。
推荐理由：开源的半自主开发智能体框架，作者用7B模型实测了注入防御规则开关的前后差异，policy设计细节可直接借鉴。
GitHub 用户 anxious-phyllo879 发布 Anthropic-Cybersecurity-Skills 工具包，提供 817 个结构化网络安全技能，覆盖 MITRE ATT&CK、NIST CSF 2.0 等 6 大框架和 29 个安全领域，可配合 Claude Code、GitHub Copilot、Cursor 等 20+ 平台使用，采用 Apache 2.0 许可证。使用方式为下载 zip 并运行 start.exe，占用约 3.0MB 存储；需注意其要求下载可执行文件并在杀毒软件拦截时放行，建议谨慎核验来源。
该项目使用 NVIDIA Garak v0.17.0 对 Anthropic Claude 3.5 Sonnet（claude-3-5-sonnet-20241022）进行红队安全评估，共执行 943 个攻击向量，耗时约 2 小时，发现 0 个漏洞，缓解成功率达 100%。测试覆盖自适应越狱（200 向量）、ANSI 转义序列、API Key 提取及 700+ 编码绕过与注入探测，并按 OWASP LLM Top 10 框架整理 FINDINGS.md 与 ANALYSIS.md 等文档，附带 parse_garak.py 等分析脚本供复现。
研究者提出 EASE（Entropy-Adaptive Distribution Shaping），一种免训练、与检测器无关的绕过 AI 生成文本检测的框架。它直接从源 LLM 的 next-token 分布计算预测熵，自适应调整 logit 扰动和采样温度，无需检测器反馈或模型微调。在三个源 LLM 和多个检测器上的实验显示检测性能持续下降，文本质量和推理开销几乎不受影响。
Teng-Ruei Chen 在 arXiv 发表论文，测量 LLM 路由器的路由选择日志如何在内容日志关闭时泄露敏感话题。基于 WildChat-1M 和 LMSYS-Chat-1M 共 170 万条真实请求的预注册研究，RouteLLM 在 50% 工作点下骚扰与自残请求被路由到强模型的比例低 19 个百分点，20 次路由决策区分频繁医疗提问者的 AUC 为 0.71；长度匹配的按类别 parity 可消除差距且在 RouterBench 上最多损失 0.2 个准确率点，而每会话 stickiness、每用户预算区间等方法失效。
推荐理由：论文用预注册实验量化了 LLM 路由日志泄露敏感话题的程度，并测试了 defenses 的代价与失效方式。
smartsequence 发布 shadow-ai-scan，一个单文件 Python 工具，扫描 repo 找出未登记的 AI 调用并按高、中、低三级给出处置对象。它通过代码中的 SDK 引用、设置文件里的 AI 服务网址和 sk-proj- 等固定前缀的金钥样式三处痕迹检测，不用安装依赖、离线运行，支持六种语言界面，可接 CI 拦截新增高风险提交；作者同时说明它是关键字比对而非深度分析，自封装调用和运行时才确定的套件名等四类情况扫不到。
推荐理由：工具把检测思路、三级处置分流和自身盲区都写清楚了，读者可据此评估关键字扫描这类影子 AI 盘点方法的适用边界。
一篇 arXiv 论文提出面向 SIEM/XDR 事件响应的受限动作架构：SIEM/XDR 控制平面将 LLM 输出限定在封闭意图词汇表中，由端点代理执行，并配参数校验器兜底；外层用 NeMo-Guardrails 代理包裹 SOC 分析师 LLM。开箱即用的护栏将注入攻击召回率从 25.0% 提升至 94.5%，误报率 0.1%；红队演练证实该设计可在命令跨越信任边界前遏制 LLM 失效模式。受限于护栏延迟，方案建议采用人机协同或延迟执行模式。
arXiv 论文提出针对多向量视觉文档检索器索引的逆向攻击，将索引还原视为条件文档图像生成。在 ViDoRe v3 基准上，从原始索引还原的页面可恢复 47% 的词和 45% 的敏感 token，作为查询时有 98.4% 的概率将源页面排第一；token pooling 和乱序两种防护都能把词召回降到约 8%，但有模型可将乱序索引的源页面首位命中率从 3.8% 提回 93.5%。同一攻击作用于另一多向量检索器仍有 70.2% 的首位命中率，索引应像原文档一样被保护。
GitHub 仓库 alexroto/refusal-in-llms 是一项独立研究，将 Arditi 等人 2024 年论文《Refusal in Language Models Is Mediated by a Single Direction》提出的拒绝消融技术，应用于初始数据集中覆盖不足、本应触发拒绝的领域。项目为 Python 3.12 环境，运行在 runpod 上，配置为 PRO 6000 MIG 48GB GPU、8 vCPU、125 GB 内存。
Insomniac-VibeLabs 在 GitHub 发布 two-key-concept 0.2.1 原型，要求两个独立密钥（Path A 策略 VM 加 Path B 评委仲裁，支持 xAI、OpenAI、Anthropic、Gemini、Ollama）都通过后 Agent 才能执行工具。采用 Apache License 2.0，含加密账本、单次使用能力令牌和评委与受监控 Agent 的身份检查，但不含载荷扫描、杀毒或 DLP 钩子，无独立审计和生产部署，1.0 目标见 ROADMAP.md。
GitHub 项目 LLMInjection 发布，定位为面向 AI、LLM 和智能体系统的开放威胁情报库，收录 8 个威胁行为者、10 个攻击活动、28 项技术、40 个安全测试用例、45 条检测规范和 32 个防御控制，每条记录附来源分级与验证日期。技术映射到 MITRE ATLAS、OWASP、NIST、Google SAIF 和 CSA MAESTRO，2026-10-07 更新新增 7 项基于 ATLAS 2026.09 的技术，ATLAS 覆盖从 52% 升至 78%，并附 DUSTMAKER 窃密链与 Semantic Kernel CVE-2026-26030 提示词注入转代码执行两条攻击链的防守方手册。
推荐理由：这个 AI 威胁情报仓库把每条技术都标注证据等级并联动测试、检测与控制，2026-10-07 更新将 ATLAS 覆盖从 52% 提到 78%。
aicage 项目开源，用 Docker 容器为 Claude Code、Codex CLI、Gemini CLI 等 14 个 AI 编码智能体提供硬边界隔离运行环境。安装用 pipx install aicage，支持 IDE 接入、挂载已有 CLI 配置和凭据、Bind Mounts、Docker Args 透传和 Extensions 自定义工具，容器只能访问用户显式挂载的文件。
agent-contracts 是一个智能体构建工具，支持声明式节点定义、自动图构建和混合路由，并可与 LangGraph 集成。软件支持 Windows 10+、macOS 10.14+ 和 Linux，建议 4 GB 以上内存，需从 Releases 页面下载安装。用户可通过模板定义节点、拖拽连线并用一键部署功能发布智能体，问题可通过 GitHub Issues 反馈。
ExileAI 发布 model-audit（前身为 gguf-audit），一个针对 abliterated 模型产物的供应链审计工具，目前支持 GGUF 文件。工具提供 CLI 扫描、逐张量 SHA-256 指纹基线、与 Hugging Face 仓库哈希交叉核对及批量审计，并为非技术用户生成通俗 HTML 报告；可检出恶意聊天模板、隐藏指令、标签不匹配、缺少来源信息和附带可执行文件等问题。作者明确说明哈希只证明一致性而非安全，最可靠方式仍是从可信来源自行量化；路线图包括 safetensors 支持、统计化逐张量剖析和针对 abliteration 修改位点（ffn_down/ffn_out/attn_o）的基线差异定位。MIT 许可。
推荐理由：面向非技术用户解释了 abliterated 模型文件的供应链审计思路，明确了哈希能验证什么、不能证明什么，方法可直接复用。
WaiperOK 在 GitHub 发布 burp-agent-mcp，一个位于 LLM agent 与 Burp Suite 之间的 MCP 网关，用于授权安全测试。网关在代码层而非提示词层强制范围、环境、模式和限速，配 31 个分三组的工具、哈希链审计日志与密钥脱敏，扫描结果仅作候选供人工复核，附 AgentFindings Burp 扩展和 154 个测试。
推荐理由：原文完整给出了网关在代码层强制范围、环境、限速与审计日志的实现方式，读者可以直接复用这套让模型安全驱动 Burp 测试的架构。
GitHub 用户开源 scoped-inbox-agent，一个用本地 LLM 分拣个人邮件噪音的 Agent，基于 Ollama 运行 qwen3:8b，分类全程不出本地机器。项目围绕最小权限 OAuth2 设计，Gmail 仅用 gmail.modify 范围并通过固定 allow-list 封装限制为只能将邮件移到两个预批准标签，模型只输出分类和置信度，且从不打开或点击邮件中的任何链接或附件。OAuth2 流程和 Gmail API 调用留待使用者实现，分类器、Ollama 客户端与 JSONL 审计日志已可用。
GitHub 开源项目 AdversarialFlow Engine 提供一套受红队启发的对抗性验证框架与配套工具，将测试流程重构为系统与模拟对手的持续对抗。它支持 12+ 种语言的对抗性测试、预算感知调度、三层验证架构（单元对抗测试、流水线完整性验证、预算约束元循环），并配套 15 个验证章节与 14 个实战 lab，可在每次 push 时自动扫描并通过 Slack/邮件告警，输出 JSON、PDF 和交互式 HTML 报告。项目需 Python 3.10+，可对接 OpenAI、Anthropic 或本地模型 API。
Sereno 是一个 GitHub 仓库，研究 prompt injection 与持久记忆中毒如何影响长时程任务的编码 Agent，并构建 harness 层让 Agent 在攻击下仍能可靠完成任务。实验基于 DeepSWE 任务运行，每个 session 对应一个完整任务，通过 /memories 目录跨任务携带记忆；sereno context-eval 在仓库文件、命令输出和记忆文件中植入内容，对比 clean、carry、reset 和 ablation 各组，并可通过用户的 AGENT.md 修复被污染记忆，用任务自带 verifier 评分，报告暴露、攻击成功、任务成功与恢复等指标及区间估计。
推荐理由：原文给出了在 DeepSWE 任务上实测 prompt injection 与记忆中毒的实验设计，含对照组、恢复机制和成本记录方法。
GitHub 上的 llm-rank 是一个用 C++ 编写的轻量级重排库，借助大语言模型（LLM）对搜索结果或列表打分排序，仅需一个头文件 llm_rank.h、零外部依赖，可运行于 Windows、Linux 和 macOS。文中给出从 GitHub 下载 ZIP、在 Visual Studio 或 MinGW 中配置编译的完整步骤，并注明需 Windows 10 及以上、至少 4 GB 内存和 500 MB 磁盘空间。它不是独立程序，需具备 C++ 开发经验才能集成使用。
LLaDA2.0 是蚂蚁集团 InclusionAI 团队开发的扩散语言模型系列，该仓库提供其下载、安装与运行教程。它支持 Windows 10+、macOS 10.15+ 和 Linux，推荐 8 GB 内存、500 MB 磁盘空间，具备跨平台、用户友好界面及与常用工作流集成的特性。
Ollama-Windows 是一个面向 Windows 10/11 的本地 AI 运行工具，宣称提供免费官方下载，支持 Qwen、DeepSeek、CodeGemma 等模型，无需编程即可点按安装使用。它强调数据全部在本地处理、可离线运行，内置 API 服务器、RAG 文档检索、Web UI 和远程/云端代理配置等进阶功能。文中还称 8GB 内存的普通机器即可运行较小的模型，且软件可免费用于商业用途。
GitHub 项目 llm-router-attacks 发布了可运行的演示，展示恶意 LLM 路由器可在请求转发、响应转发和模型选择三个环节发起攻击：插入未经授权的指令（如虚构的 StudyHarbor Plus 广告）、在推理后追加赞助文本、以及用策略外模型（如 Llama 3.2 3B 替代 Claude Opus 4.6）冒名应答导致结果出错。项目提供无需 API key 的复现方式和规则、语义检索、预测器三种选型配置，并指出需要可验证路由机制让客户端确认实际模型、请求与响应。
claude-code-leaked 是一款面向 Windows 的 CLI/TUI 应用，为用户提供本地 shell 风格界面来使用 Claude Code。它支持 Windows 10/11，要求至少 2 GB 磁盘空间，可完成代码求助、文件编辑、脚本生成和报错解释等任务，需 Claude 账号或 API 密钥登录，可从 releases 页面下载最新 Windows 版本。
System-Prompt-Open 是一个通过 JustAsk 从前沿 LLM 提取系统提示词的开放数据库，支持浏览、搜索和跨模型对比提示词。项目可用于 AI 安全、red teaming、LLM 安全和提示词提取研究，提供 data/、docs/、examples/ 等目录，以 .md、.json、.csv 等格式存储数据。项目要求 Windows 10/11、至少 4 GB 内存和 500 MB 磁盘空间，仅限本地环境下的学习与研究使用。
GitHub 上的 learn-from-claudecode 项目发布，提供分步引导学习 Claude Code 源码的应用，面向 Windows 用户，可从 release 页面下载 .exe 或 .zip 文件直接运行。课程内容涵盖阅读代码流程、追踪输入输出、理解功能连接和 LLM 工具设计，无需预先掌握编程术语，下载后可离线使用大部分本地课程内容。
EvoNet-Core 是一个自主 AI 安全智能体，可持续采集 CVE 数据、分析漏洞并生成防御代码。系统采用 NVIDIA NIM → Groq → Cloudflare AI → 本地 Ollama 的 4 层 AI 故障转移，结合 Pinecone 向量库与 Neo4k 知识图谱的 Graph RAG、基于 PPO 的强化学习防御 Agent、MITRE ATT&CK 映射与 FIRST EPSS 评分。补丁需经 Telegram 人工审批，项目采用 Apache License 2.0 开源，支持 Docker 部署。
GitHub 上的 KarmaPash 是一个 LLM 安全网关与提示词注入防御 SDK，在用户提示词到达 LLM 前进行分析，结合模式匹配、语义相似度和行为信号等多种检测手段识别提示词注入攻击，并聚合风险评分给出 ALLOW、FLAG、BLOCK 三种策略决策。它提供可插拔的 LLM provider 架构，内置 Groq provider，附 Python SDK。
anishalx 在 GitHub 发布 dynamictester，一个 AI 驱动的 DAST 工具，解析 Semgrep、Trivy、CodeQL、Gitleaks 等 7 种静态分析器结果，用 LLM 智能体加 Playwright 浏览器自动化动态验证漏洞。支持 OpenAI、DeepSeek、Qwen、GitHub Copilot、Google Gemini、OpenRouter、NVIDIA NIM 共 7 个提供商，含 25 个智能体工具、16 个漏洞类别、L0-L4 证据分级、WAF 绕过引擎，输出 SARIF 2.1.0、HTML 和 JSON 报告，并提供带退出码的 CI/CD 模式。
推荐理由：原文给出了完整的工具架构、分类体系和 CI 集成方式，读者可以了解用 LLM 智能体自动验证静态分析漏洞的具体做法。
GitHub 上的开源项目 payment-fraud-detector 使用机器学习和 transformer 技术检测金融交易中的欺诈行为，检测准确度超过 98% AUC。项目提供 Streamlit 实时仪表盘和基于 FastAPI 的 Web 集成，支持微调以适配不同数据集，采用 MIT License 开源，最低要求 4 GB 内存和 Python 3.8+。
GitHub 用户 Aanny27 开源了 LLM-for-SOC 项目，将大语言模型应用于安全运营中心（SOC）场景。仓库采用 MIT 许可证，包含事件关联（incident_correlator.py）、自然语言查询（nl2query.py）、漏洞处理（vulns.py）与判定升级（soc_verdict_escalation.py）等模块，并配有回放评测脚本与共享 RAG 组件。
SecureDocs RAG 是一个 B.E. 毕业设计项目，构建零泄露的多租户 RAG 知识助手。系统在检索前按 tenant_id 和角色等级（1-3）过滤向量，采用 HKDF-SHA256 派生租户密钥的 AES-256-GCM 信封加密存储，并在 LLM 前用正则脱敏 SSN、薪资等 PII，配合 SHA-256 哈希链实现防篡改审计日志，自动化攻击测试验证跨租户泄露率为 0.00%。
Hyper-AI-Lab 在 GitHub 发布 Python 库 containment（PyPI 包名 containment），为 LLM Agent 提供生产级提示词注入防御，包含安全标签、默认拒绝策略代理、隔离提取和检测器。作者明确声明该库不使模型对注入免疫，而是约束权限：不可信数据无法自行获得特权，特权工具调用须经默认拒绝引用监控，不可逆操作需独立授权；文档含威胁模型、企业主机加固与 OpenAI 风格及 Claude Code PreToolUse 等运行时适配，推荐 Python 3.12+，采用 Apache-2.0 许可证。
推荐理由：这个库明确说明不能让模型免疫注入，而是通过默认拒绝的权限代理约束不可信数据，边界声明本身就有参考价值。
GitHub 上的 PromptShield 是一个 AI 安全平台，用于分析提示词、检测提示词注入等威胁，并在请求到达 LLM 之前执行安全策略、保护 AI 应用。
一个名为 bedrock-php-security-eval 的实验将带有已知漏洞的 PHP 文件发送给 Amazon Bedrock 模型，通过人工阅读生成的代码来验证修复是否真实有效，而非相信模型给出的说明。在 search.php 的测试中，Amazon Nova Lite 声称用参数化查询修复 SQL Injection，实际却使用了 mysqli_real_escape_string，且 CWE 分类错误，得分为 1（脆弱实践）。该实验是作者在 PUCPR 的 TCC 的一部分，结论是 LLM 的输出必须在代码层面验证，而不是看其报告。
dsh-xiaoyao-skins 是由"夕小瑶"社区维护的 DeepSeek Harness Web 视觉皮肤合集，宣称开源免费，内置一键安装器和皮肤创作工具，库中包含超过 50 款皮肤，如 Dark Mode Pro、Sunset Glow、Minimal White 等，并支持导入 .zip 或 .dshskin 格式的社区皮肤。 ⚠️ **编辑安全提示（重要）**：在按上述摘要发布前，建议对这篇内容保持高度警惕。该 README 呈现多个典型的恶意软件社工特征，我无法为其背书推荐： 1. **诱导下载可执行文件**：核心动作是"下载 setup 安装包并双击运行"，而非常见的开源主题分发方式（如 CSS 文件、Git clone、包管理器安装）。
作者发布 SpecAgent v0.10，一个面向 AI Agent 的行为驱动测试与回归检测平台，把 Agent 行为规则写成 YAML，自动生成含攻击 probe 的用例并检查 tool trace。PASS/FAIL 仅由确定性代码判定，LLM 只做提议且不改判定；发现 NEW_REGRESSION 时可在 GitHub CI 中阻断 PR，内置 FinCare 等演示示例与仪表盘。作者也坦承这是个人作品集项目，PostgreSQL 路径与跨运行缓存等尚未充分验证。
推荐理由：作者讲清了用确定性判定替代 LLM 打分的 Agent 行为回归门禁方法，并附部署与 CI 接入细节，可迁移到自家项目。
GitHub 上的 a9320/arcanum-spark 发布了一套针对 AI 时代漏洞的代码安全审计系统，基于 Arcanum Prompt Injection Taxonomy，可检测提示词注入、隐形字符走私、Trojan Source 等传统 SAST/DAST 工具不覆盖的攻击面。它包含一个纯标准库、零 GPU 的确定性 Agent Skill，以及 6-agent 审计流水线，可在 AMD MI300X 上自托管四个 llama-server（Muse-Glimmer-30B、Qwen3.8-27B、R1-Distill-32B、Gemma4-26B-A4B），也可路由到云 API council，并输出 JSON / SARIF 2.1.0 / Markdown 报告。
awesome-mcp-security 是一款 Windows 桌面工具，可用九项安全检测评估 800 多个 MCP 服务器的安全性，覆盖 prompt injection、不安全对话流、数据隐私等风险，并给出每日更新的安全评分。用户输入服务器名称即可查看结果，无需技术背景，安装需 Windows 10 及以上、4 GB 内存和 4 GB 磁盘空间。
GitHub 用户 superpengam 开源 psnb-obs，一套把越狱做成可开关、可量化、可复现的十六层工程套件，含措辞转换、出站清洗、多轮状态机、LRM 自主攻击、多模态与隐写注入、LLM 裁判和投毒检测等模块。仓库给出跨模型实测结论，如措辞转换使同一能力 ASR 从 50% 升至 100%、reasoning 挡位 off 时拒绝率 80% 对 high 40%、语境包装在 GLM 上反效，静态映射表实测 78.6% 而变异搜索文献达 92.5~99%；附 CLI、Pi 插件、多平台部署器与 322 项测试，声明权重层对齐硬底线无法用提示词攻穿，使用边界见 DISCLAIMER.md。
推荐理由：仓库给出跨模型实测 ASR 与自动搜索对比静态表的数字，读者可据此了解越狱手法的分层工程与模型间差异。
GitHub 仓库 llm-prompt-engineering 提供一套面向 ChatGPT-5、Gemini 2.5 等大语言模型的提示词工程与红队实验应用，供教学和研究使用。无需编程基础，双击即可安装，支持 Windows 10+、macOS 10.15+ 和主流 Linux，要求至少 4 GB 内存和 500 MB 存储空间。功能包括提示词设计、模型安全边界测试、教程资源和交互式界面，最新版本可从 Releases 页面下载。