新闻、仓库与研究，按时间排列。
GitHub 开源项目 Self-Evolving-AI-HoneyPot 是一个动态 AI 驱动的 SSH 蜜罐，通过调用 Google Gemini API 实时生成仿真的 Ubuntu 22.04 假环境（如 .env 文件、密码列表）来诱骗并分析攻击者。项目包含 Flask 可视化仪表盘、SQLite 日志存储和独立的进化引擎，可分析近期攻击持续优化蜜罐人格，SSH 服务监听 8022 端口，支持 Docker 部署。
作者在 GitHub 发布 RustGuard，一个用 Rust 编写的 LLM 安全网关，以反向代理方式部署在客户端与上游 LLM（Ollama、OpenAI、Anthropic、vLLM）之间，实时检查请求与响应，拦截提示词注入、越狱和敏感数据泄露。项目称 p99 延迟约 13 微秒，自称比 Guardrails AI、Presidio、Llama-Guard 等 Python 网关快数千倍；功能包括 Aho-Corasick 注入扫描、Unicode 混淆归一化、PII 与密钥脱敏、SSE 滑窗流式检查、SSRF 防护、内置 HNSW 向量 RAG 和 Prometheus 遥测，附 88 个单元与集成测试。仓库采用 Apache 2.0 / MIT 双许可。
研究者提出 X-AgentRed，一个自演化红队测试框架，通过构建工具依赖有向图并利用执行反馈，发现个人智能体在多服务生态中完成良性请求时可能产生的有害工具调用路径。该框架通过工具替换多样化路径并修正被阻塞步骤的前置条件实现自我改进。在四个前沿 agentic 模型上，X-AgentRed 的有害路径率达到 STAC 的 1.77 倍，工具覆盖率平均达 2.99 倍。
GitHub 仓库 skyvanguard/awesome-ai-pentesting 汇总了利用 LLM、机器学习和自主智能体进行渗透测试、漏洞赏金与红队攻防的开源项目。清单覆盖自主渗透测试 Agent、安全 MCP 服务器、AI CTF 工具、蓝队防御等分类，收录 Strix、Shannon（XBOW Benchmark 96.15% 成功率）、PentAGI、PentestGPT 等项目。仓库由 @skyvanguard 维护，星标数据更新于 2026 年 10 月。
Distiller Labs 在 GitHub 发布 DeepSteer，一套用于测量语言模型道德内容表征及其行为是否一致的 PyTorch 工具，Apache 2.0 协议，支持 pip install deepsteer。研究发现道德知识的低秩子空间在预训练中形成，后训练只做旋转；OLMo-3 的拒绝门是后训练构造，约四分之三因果输入在道德子空间之外；OLMo-3-7B-Instruct 在压力下约五分之一场景会执行其自判错误的行为。包内含 1200 对道德/中性探测数据集、消融与转向扫描、表征与行为基准，及六篇配套论文（如 arXiv:2610.08670）的复现脚本，FL 和 MN 的数据存于 Zenodo。
推荐理由：作者开源了一套测量语言模型道德表征与行为差距的 PyTorch 工具，附数据集、基准和配套论文，可直接复用于对齐研究。
GitHub 上开源的 MSA v2.0 是一个自主、隐私保护的移动应用渗透测试平台，内置 10 阶段自动化分析流水线，结合本地混合 RAG 引擎（BM25 + TF-IDF，RRF k=60）和本地 Ollama 推理（qwen2.5-coder:1.5b），无需云端即可检测 Android 和 iOS 漏洞。在 DroidBench 3.0、Ghera 及 104 个真实 Google Play 应用的评测中，其召回率达 94.2%，误报率降至 7.8%，平均扫描时间 47.3s，并能自动生成 CVSS v3.1 评分与代码补丁，全程 100% 本地离线运行。
GitHub 开源的 guardtrellis 是一个 Python SDK，用于对模型输入、完整输出、检索文本和待执行工具调用做本地策略检查，策略显式可组合且不依赖具体模型厂商。当前版本 0.1.2，支持 Python 3.11–3.14，采用 Apache-2.0 许可，核心不依赖厂商 SDK，并提供 fastapi、langgraph、openai、gemini 可选集成。内置 PII、密钥、Unicode 控制字符等扫描器，默认每阶段 100,000 字符、每扫描器 256 条 findings、异步操作 5 秒等待上限。
Threavix 是一个面向安全团队的自托管 AI 分析服务，可将告警、邮件或日志中的指标提取出来，对照威胁情报源查询并返回包含拦截、监控与后续动作的报告。它以 FastAPI 运行、用 LangGraph 编排，集成 IOC 提取、DNS 解析、CVE 查询（CIRCL API）、MITRE ATT&CK 映射、DuckDuckGo 搜索等 8 个工具，默认模型为 gpt-5-mini，需 Python 3.13+ 与 Docker，配合 PostgreSQL 部署；VirusTotal 与 AbuseIPDB 情报为可选配置。
Kernel-Hunter 在 GitHub 开源 Mudroom，将 Claude Code、Codex、Gemini CLI、opencode、Aider 等编码智能体运行在 Linux micro-VM 与项目写时克隆中，真实目录不挂载，网络限定为白名单主机。智能体完成后可按全部、部分文件或部分 hunk 审查并应用 diff，且每次应用都可撤销。macOS 应用与 CLI 需 macOS 26+ 及 Apple silicon，Linux 仅 CLI（需 Docker 或 Podman）；项目状态为早期原型，作者提示 Apple 后端下 VM 可达宿主监听端口、会话运行期间密钥以明文落盘等限制。
推荐理由：README详细写明了隔离实现、网络白名单机制与已知的隔离缺口，读者可以据此评估在运行无权限约束的编码智能体时是否适用。
GitHub 仓库 0xsl1m/shadowshield 发布 ShadowShield，一个面向 LLM 应用与多智能体系统的纵深防御安全框架，强调针对提示词注入（OWASP LLM01）的防护。框架统一扫描模型输入与输出，涵盖越狱、编码混淆、数据外泄与密钥泄露，提供净化、隔离、限流等主动响应，并集成 OpenAI/Anthropic/LiteLLM/LangChain 及反向代理网关。基准数据在 deepset/prompt-injections 上加 DeBERTa 分类器后召回率从 regex 18% 提升到 48% 且 0% 误报；AgentDojo 场景中加入 mDeBERTa 分类器后银行/旅行/slack 场景 ASR 降至 0%。
推荐理由：这个 LLM 应用防护框架主动公开了外部盲测集的召回率和误报率，读者可以据此评估分层检测方案的真实防御效果。
vodkar 开源的 llm-scanner-ci-demo 是一个 Flask 服务演示项目，展示 llm-scanner 如何在 GitHub pull request 上运行。工作流通过 Neo4j 5 服务容器与 Tailscale 连接自托管 Mac 上运行的 google/gemma-4-E2B-it 模型（GGUF 格式，经 llama.cpp 部署），`llm-scanner scan --mode diff` 只审查 PR 改动的行，SARIF 报告提交至 GitHub code scanning，JSON 报告保存为构建产物。六个 32K-token 槽位支持两个并发上下文 × 三个自一致性样本。
GitHub 开源项目 RRFN-LLM-SUPER 是一个对抗鲁棒、去流行度偏差的推荐框架，可抵御评分翻转、bandwagon shilling 和刷差评等攻击。框架结合 SUPER 流行度校准、RRFN 噪声转移矩阵建模、轻量 LLM 语义审计（gemini-2.5-flash）与时空刷评检测做多视角可靠性融合。在 MovieLens-1M 上遭受 ρ=0.10 攻击时，Recall@10 相对提升 14.5%，GKPI 性能退化仅 +1.1%（对比基线 +30.4%），去噪 F1 达 0.9120，并提供 Streamlit 6 标签页交互仪表盘。
GitHub 开源了 enforcement-mcp，一个面向 LLM 智能体的 MCP 服务器，用于诊断 SELinux、fapolicyd 和 MLS 安全策略导致的应用拦截。它提供 29 个工具、覆盖诊断与管理三层权限，所有操作返回结构化 JSON；管理类操作默认 dry_run 预览，并按 0-100 分评估风险，76-100 分的 Critical 变更会被硬性阻止。此外支持通过 CVE ID 结合 Red Hat Security Data API 生成定向、可自动过期的 CVE 遏制策略，身份鉴权支持 OAuth 2.0（JWT）与 SPIFFE。
GitHub 仓库 riskiamalia13/P06_Risiko_AI_LLM_dan_Prompt_Injection 围绕 LLM 风险与 Prompt Injection 主题，包含 24781115-kasus-aman.html、24781115-kasus-rentan.html 两个 HTML 文件，以及 README.md 和 log-llm.json。页面仅列出仓库的文件与提交信息，未给出更多项目细节。
研究团队发布 SWE-DeceptionBench，用于评测大模型在软件工程全生命周期中的欺骗行为，覆盖六个生命周期阶段与主动、被动两类欺骗触发，中英文共 720 个测试实例。对七款主流大模型的评测显示，即使在中性条件下，主动欺骗与被动欺骗的总体发生率仍达 49.88% 和 64.29%；外部诱导条件对两类欺骗影响程度不同。轻量防御方面，guard 模型会漏掉许多欺骗性请求，Self-Reminder 能减少但不能消除欺骗性回应。论文地址：https://arxiv.org/abs/2610.13626v1
论文提出 APEX-Harm 基准，评测针对共享专业工作区中长程智能体的提示词与脚本注入攻击，涵盖金融、咨询和法律任务，每个任务含 115 至 328 个文件及邮件、日历、聊天、文档、表格、PDF 和代码执行工具。评测 12 个前沿模型每模型 180 个任务实例，Opus 5 与 Sonnet 5 总体攻击成功率最低（8% 和 20%），任务特定脚本替换与攻击者通用脚本攻击平均成功率达 81-84% 和 73%，Gemini 3.8 Flash 平均任务得分最高（0.877）但攻击成功率仍有 33%。结果表明完成任务并不代表行为安全，智能体可能产出正确交付物的同时执行未授权操作。
推荐理由：基准覆盖六类注入攻击和12个前沿模型的实测数据，可以用来对比任务得分与攻击成功率之间的差距。
Project Hellhound 在 GitHub 开源了 J.A.R.V.I.S.，一个自主 OSINT 情报专家与情报框架，面向安全研究员、漏洞赏金猎人和 CTF 选手。它支持 300+ 平台用户名扫描、身份跳转、邮箱验证、WHOIS 映射、泄露数据遥测和实时 ADS-B 军机追踪，所有输出绑定到验证过的扫描数据以杜绝幻觉。系统提供桌面 GUI、交互终端和无头 CLI 三种界面，推荐 NVIDIA NIM（nemotron-3-ultra-550b-a55b）云端推理或经 Ollama 本地运行 qwen2.5:7b/14b。
开源工具 veil 在提示词离开用户电脑前进行端到端加密，保证只有正确接收方才能读取内容，支持选择 LLM provider 并配置 API key。项目采用 Signal 协议思想，使用 AES-256-GCM 保护消息、X25519 做密钥交换，并有零知识设计目标。工具支持 Windows 10/11，用户可从 GitHub 下载安装后直接以原有方式使用 AI。
GitHub 仓库 egwajnphoiu 发布的 Semantic-Gate-IP-Core 是一款 Windows 本地工具，通过高维向量语义比对实时监控 AI 输出，在语义偏离预期时触发门控。它支持实时与批量检查、可调阈值和阻断、告警、日志等失败动作，主打低延迟和确定性控制，适用于聊天机器人、AI 助手工作流及边缘设备的本地推理监控，支持 Kill switch，无需编程基础。
Radoslaw Brus 在 GitHub 开源了 sixi-scanner，一款针对 LLM Agent 端点的命令行红队扫描器，内置 27 种探测技术，仅依赖 Go 标准库，报告支持 JSON、SARIF 2.1.0 和 Markdown。工具会用双标记机制降低误报，在 1,456 条真实回复上把 payload 召回从 0.444 提到 0.889；v0.6.0 在作者维护的 agent-redteam-benchmark 上 Precision 0.688、Recall 0.833 均列七款工具第一，但广度逊于 garak 和 promptfoo。支持多轮探测、可选 LLM 佐证阶段，Apache 2.0 许可，仅限测试已获授权的端点。
推荐理由：作者给出了在公开红队基准上与其他六款工具的对比数据和误报处理逻辑，读者可以据此评估这个扫描器适不适合自己的 Agent 测试场景。
GitHub 上的 TMStroo/PCLADS 仓库开源了一个基于 LLM 的电话通话异常检测系统，采用 MIT 许可证。仓库包含两个 Python 实现：一个接入真实模拟数据库，另一个使用纯随机数据；并附带 2D/3D 异常检测可视化图和结果 CSV 文件。目前该项目暂无 stars、watchers 和 forks。
wardmote 是 GitHub 上的一个开源项目，为各类 LLM 安全检测器提供统一流水线。项目目前处于早期阶段，星标、关注和 fork 数均为 0，尚未有发布版本、软件包或贡献者信息。
Cognis Digital 是一家位于美国怀俄明州的私人工程实践团队，在 GitHub 上开源了 407 个可自托管、MCP 原生的单用途安全工具，共获 132 stars，旗舰工具 c2detect（35 stars）可识别 Cobalt Strike、Sliver、Mythic 等C2 服务器指纹。工具覆盖固件、ICS/OT、RF、DFIR、OSINT 与合规即代码，均提供 CLI、JSON/SARIF 输出和 MCP server，支持离线气隙环境自托管。
GitHub 开源项目 Privacy Guard 为 ChatGPT 和 Gemini 提供本地优先的 PII 脱敏层，通过 Chrome 扩展拦截提示词，由本地 FastAPI 后端用 BERT-large NER 与正则混合引擎脱敏后再发给 LLM。支持身份、金融、IP、API key 等 11 类敏感信息，在 76 个手写用例上召回率达 95.3%、精度 98.8%，原始数据存于本地 session vault，LLM 无法看到。
NoNFake 发布了 FuckCode，一个面向安全审计、渗透测试和逆向工程的 OpenCode 分支。支持 llama.cpp 本地模型自动发现，内置 30 多个按需加载的安全技能，渗透模块提供 rootless 沙箱、DNS 白名单、SQLite 证据库和 SARIF 报告输出，提供 macOS/Linux/Windows 安装脚本并持续同步上游 OpenCode。
Joseph Egan 等人发布 arXiv 论文，提出无需预先知道特征即可从蒸馏学生模型的参数更新中无监督恢复隐性传递特征的方法，利用该特征在教师生成的多样数据上一致表达、而任务能力随数据变化的单一不对称性。该方法返回一个权重空间方向，可放大以解释特征或投影去除以抑制其表达；在 Cloud et al. (2026) 的 subliminal-learning 基准上，无需特征标签即恢复了传递的动物偏好特征，且抑制表达几乎不影响任务性能。论文地址 https://arxiv.org/abs/2610.13536v1。
推荐理由：提出无需预先知道对齐问题即可从参数更新中无监督发现并抑制蒸馏隐性传递特征的方法，为蒸馏继承对齐风险提供了可操作的缓解思路。
一项 arXiv 研究提出基于笔记本电脑本地 LM 的 agentic AI 框架，用于自适应生成边缘场景，成本低、可控且保障数据隐私。系统采用 think-act-observe-update-continue 循环和轻量 JSON 编码，以系统需求、系统与环境描述作为知识库构建提示词，并由第二个独立 LM 按领域标准批评并改进场景。改进后的场景在仿真中运行并收集评估指标，通过事后聚类与主题分析定位功能缺口及触发条件，为安全论证生成可追溯证据。
GitHub 上的 Control Trace Lite 是一个模型无关的 Python 库，在 finalize() 返回产物前检查必需控制函数是否已记录本次执行的完成回执，缺失时抛出 ControlMissing。库为早期研究原型，MIT 协议，需 Python 3.10+，不依赖模型 API。它不验证控制语义正确性、无法阻止应用绕过 finalize()，也不保证防篡改、持久化和线程安全。
GitHub 仓库 yunaremaia/aipr 发布了 aipr 工具，在贡献前抓取 CONTRIBUTING.md、AI_POLICY.md、AGENTS.md 等治理文件，用加权短语匹配把仓库立场分为 human_only、restrictive、disclose_ok、permissive、unknown 五种判定。工具支持 pip 安装、GitHub CLI 扩展、批量扫描、SARIF 2.1.0 输出接入 Code Scanning，退出码 0/1/2 供 CI 判断，结果磁盘缓存 24 小时；aipr init 可生成三种预设的 AI 政策文件。目前为早期 beta，已在 hister、polars、MDAnalysis 等少数真实政策上测试，仅支持英文模式匹配，unknown 结果需人工阅读。
推荐理由：把仓库 AI 贡献政策的检查变成一条命令，给出判定规则、退出码和 CI 集成方法，可直接复用在贡献前的政策筛查里。
Persist 项目发布论文配套代码与数据，包含测试框架、防御措施、运行脚本和论文分析所用的全部冻结结果行。框架研究工具调用型 LLM Agent 的持久记忆投毒：会话1中 Agent 读取不可信文档并写入记忆库，会话2中攻击者值若到达副作用调用的目标参数即算攻击成功；出处门控（provenance gate）通过标记来源并拒绝仅由不可信输入支撑的目标值来防御。reproduce_all.sh 无需网络约15秒离线复现，22个 .tex 文件逐字节一致，冻结结果共 NumTrials=18683；覆盖 claude-sonnet-5、gpt-5.6-sol、gemini-3.1-pro 等6个托管模型和 Qwen3-8B、Llama-3.1-8B 等 vLLM 本地模型，MIT 许可。
推荐理由：随论文放出完整测试框架与冻结结果，离线15秒即可逐字节复现论文全部数字，方便核查记忆投毒攻防结论。
flam7791 在 GitHub 发布 governed-ai-platform，把 LLM 网关、MCP 证据服务器和多智能体服务整合为一个可运维的容器化平台。所有模型调用经网关记录预算与策略，外部操作需人工在审批页确认，文档仅用本地嵌入模型索引，支持 Claude、Azure OpenAI、Ollama 及纯开源权重的 sovereign 模式，并提供 Prometheus 告警、Jaeger 全链路追踪、Kubernetes 清单和每次变更运行 8 项端到端冒烟测试的 CI。项目为 MIT 许可，自述适合团队试点而非高可用生产。
推荐理由：原文给出了从原型到可运维服务的完整部署细节，包括网关策略、审批流、监控与 CI 验证，方法可直接迁移。
PhishSOAR 是一个开源的企业邮箱钓鱼邮件自动分诊与响应项目，针对尼日利亚缺乏安全团队的中小企业。系统每分钟检查受保护的 Gmail 收件箱，结合 SPF/DKIM/DMARC、链接与附件分析、OCR/QR 码识别、VirusTotal 等威胁情报，并用 LLM 在脱敏副本上判断意图，评分 70+ 判恶意自动隔离、40+ 标记可疑，检测在 1 分钟内完成并向用户发送通俗告警，且从不删除邮件。
mlbala 在 GitHub 发布 ai-guardrails-lab 仓库，用于动手学习为 LLM 应用和 AI 智能体构建防护栏，内容源自 Complete AI Security Bootcamp。仓库涵盖 NeMo Guardrails、AWS Bedrock Guardrails、Guardrails AI 等防护栏工具，LangChain、LangGraph 智能体工作流，以及 LangSmith、Portkey、DeepEval、PyRIT 等可观测性、网关、评测与红队测试实践。项目仍在进行中，示例与学习笔记随课程推进持续添加。
CloakLLM 发布 Python 版本，在应用与 LLM 提供商之间拦截调用，用 NER 加正则检测姓名、邮箱、SSN、API 密钥、IBAN 等敏感信息，替换为占位符后转发，响应返回前自动还原，支持 OpenAI SDK 和 LiteLLM 一行接入。所有事件写入哈希链式只增日志，任何篡改会破坏后续哈希，项目定位为满足 EU AI Act Article 12 的防篡改审计要求（该法案执行日期为 2026 年 8 月 2 日，违规最高罚款为全球年收入的 7%）；另有 npm 版本 cloakllm，v0.12.0 将 spaCy 移入 [detection] 可选依赖，并支持通过本地 Ollama 做语义级 PII 检测。
GitHub 开源项目 CloakLLM-JS 拦截 LLM API 调用，在数据发送给 OpenAI、Anthropic、Google、Mistral 等提供商前检测并遮蔽 EMAIL、SSN、CREDIT_CARD、API_KEY 等 PII，并在响应中自动还原真实值。它以 Regex 加本地 Ollama LLM（可选 llmDetection: true）进行检测，将每条事件写入 SHA-256 哈希链式审计日志，面向 EU AI Act Article 12 合规。
TAIPANBOX 发布 agent-passport，这是面向 AI Agent 治理的最小共享规范，仅包含一个 agent:// 标识符、一条委托链和一个事件 envelope，无需共享运行时或数据库。规范将治理划分为支出、记忆、访问、加密四个平面，并提供 Agent Passport 文档 schema（taipanbox.dev/agent-passport/v0.1 与 /v1.0）及 agent-event NDJSON 契约，其 ID 与 SPIFFE 机制对齐但不依赖 SPIFFE 基础设施。该格式已在跨整个技术栈的实测中验证，包括真实 raft 复制网关上的 34-agent 并发压测。
no-human-ai/no_human 在 GitHub 开源，是一款带计划、对抗审查、防篡改守卫和复现门禁的 AI 编码流水线工具，附 CLI、看板、GitHub Action 和 MCP server。独立评审模型从不接触编码会话记录，只输出引用文件与行号的 pass/fail 清单。作者称在其自身看板上运行 65 天，1709 次被标记完成的尝试中有 505 次被第二模型驳回，44 次因删除或削弱测试在审查前被拦截，46 次修复证明因测试在旧代码上也能通过被拒。支持 Jira、Linear、monday.com 票据接入，MIT 协议，需 Python 3.12+。
推荐理由：原文给出 65 天 1709 次尝试中被驳回 505 次的门禁数据，可以看清这套对抗式审查机制的实际拦截规模。
TAIPANBOX 开源 agent-stack-go，作为其 Agent 治理栈的共享 Go 契约模块，供 Wardryx、Mockryx 等服务导入，统一实现 Agent Passport 身份文档和 agent-event NDJSON 事件封装。它包含 passport、event、delegation 三个包，仅依赖标准库和 RFC 8785/JCS 规范化库 github.com/gowebpki/jcs，支持 SPEC 6.5 prev_hash 完整性链和基于 RFC 8693 + RFC 9449 的委派 token（DPoP 约束、最大链深 32）。该栈用于组织治理和审计自身 AI agent，可通过 stack-up 一键本地运行。
GetReport 是一个企业级自动化数据智能与 EDA 平台，可将多格式原始数据转化为 PDF 报告、特征工程管道、交互式可视分析和对话式智能。平台采用 Polars 与 DuckDB 的 Zero-Copy 混合引擎（基于 Apache Arrow），提供 4 级行分类（PROTECT/REVIEW/FIX/EXCLUDE）、自监督异常检测、统计画像、Great Expectations 数据契约导出及双层 RAG 对话式沙箱分析，并包含针对 SSRF、CSV 公式注入等攻击面的安全加固。
作者发布 AgentMandate，一个针对智能体系统的设计期权限分析器，通过 manifest 建模智能体被授权的有限工作单元（mandate），在 CI 中分析多条各自被允许的工具调用能否组合成越权路径，并比较版本间有效权限是否扩大。示例中一个只读 search_cases 工具让原本每案 500 英镑的退款上限形同虚设，四条合法调用合计可达 1000 英镑；mandate diff 判定为 WIDENING。工具提供 scan、drift、lint、reach、diff、verify 等命令，可从智能体源码或 MCP 目录生成 manifest 骨架，支持 SARIF 输出与 GitHub Actions 接入，明确不做运行时拦截、数据流可达性或模型行为预测。
推荐理由：展示了用只读工具叠加突破每案退款上限的具体反例，说明了配置 diff 看不出权限扩大的原因和 CI 接入方式。