新闻、仓库与研究，按时间排列。
dmytrome 发布开源项目 Groundhog（MIT 协议），一个 MCP 服务器，让 AI Agent 通过带隐身补丁的真实 Chrome 进行网页搜索、读取和研究，返回干净的 Markdown。核心特性包括默认剥离并报告人类不可见的隐藏文本、每个来源附带 SHA-256 溯源回执、内置 SSRF 防护和域名限速、免模型和 API key。在 28 页隐藏文本基准上，Groundhog 25/28 完全拦截并报告，优于 requests（25/28 但不报告）、Scrapling（16/28）、Jina Reader（15/28）、Firecrawl（7/28）；stealth 容器在 sannysoft.com 31/31 项通过。
推荐理由：项目给出了对 requests、Scrapling、Jina Reader、Firecrawl 的隐藏文本检测对比数据与反爬检测实测结果，读者可据此评估这套带溯源的 MCP 阅读方案。
论文提出将连续潜空间黑盒攻击框架直接耦合到扩散语言模型（dLLM），去掉随机映射，生成更自然的攻击提示。在 RareTrap 采样估计和 ThinkTrap 优化搜索两种设置下，字符级困惑度分别从 10^3–10^7 降到 3–5、从 20–28 降到 4.3–5.4；两种映射得到的模型风险估计可相差一个数量级。
一篇 arXiv 论文用 Petri 网将 LLM Agent 的工具执行框架形式化为监督控制问题，使未满足或已消耗前置条件的注入请求无论措辞如何都会被拒绝。论文引入重规划闭环，证明传统监督器可能比更严格的安全监督器侵入性高任意倍，并刻画了最小侵入监督器。在自主发布 Agent 上的综合实验表明，安全部署需要一个监督器可在 rollout 开始后拒绝的步骤。
arXiv 一项研究提出包含 Prompt Faithfulness、Code Faithfulness 和 Reasoning Quality 三个维度、11 个子类的幻觉分类法，基于 60 条人工标注与 120 条 DeepSeek-R1 推理轨迹及 20 条 DeepSeek-V4-Pro 轨迹。在 13 个 Golden UML ModelSet 案例上，向 Qwen3 系列模型的提示词中加入两类约束使平均 F1 提升 4.0 个百分点，事后 Code Faithfulness 审查则无一致收益。
GitHub 开源 llm-guard-proxy，一个本地优先的安全代理层，在流量到达客户端或模型前用可配置策略检查提示词与模型响应，兼容 OpenAI、Ollama、llama.cpp、vLLM 等 OpenAI 兼容后端。内置 secrets、prompt injection、regex 等确定性分类器，支持 YAML 策略与 4 个预置策略，可选通过 Ollama 运行 Llama Guard 3（llama-guard3:8b）。项目为实验性质，尚不适用于不可信的生产流量。
开源项目 jnvoy 是一个面向 LLM 流量的隐私与安全网关，部署在应用与任意 LLM 之间，自动识别提示词中的个人数据并以 token 替换，回复返回后再还原真实值，同时拦截 prompt injection 并扫描 MCP 工具流量。它支持英国、美国、欧盟、中国居民身份证号等多地区身份标识识别，审计日志只记录发现内容不存原文；可选的二次检查在作者自建测试集上将召回率从 93% 提升到 100%，默认关闭。
YashJ2303 在 GitHub 开源 AgentShield，一个面向自主 AI Agent 的低延迟安全网关与事件回放引擎，可实时拦截并按声明式策略评估 Agent 工具调用、从遥测流中脱敏凭据与 PII，并提供离线事件回放以在部署新策略或模型前检测回归。评测显示对建模过的破坏性操作拦截率 100.0% [92.1, 100.0]%，对未建模主动攻击为 45.5% [21.3, 72.0]%（对比 blocklist 的 9.1%，置信区间重叠），90 个良性任务误拦截 0.0%，完整插桩工具调用开销中位数 +18.046 ms p50（独立策略检查约 4.6 ms p50）；回放回归检测 recall 25/25、specificity 23/25、precision 25/27。
推荐理由：作者给出了带置信区间的拦截率、误拦截率和延迟开销数据，并披露了模拟代理与未验证部分的局限，便于评估该网关的适用性。
devanshranjan10 发布开源工具 landmines，它读取项目 lockfile 中固定的精确版本，检索针对该版本的开放 GitHub issue 并生成索引，通过 pre-edit hook 或写入 AGENTS.md/CLAUDE.md 的已知 bug 段落让编码 Agent 在编辑前避开这些坑。基准测试中，Claude Sonnet 5.5 无辅助通过 72/84（86%），加入 landmine rules 段落后通过 83/84（99%）；同批对比中 web search 开启为 36/42、Context7 docs MCP 为 35/42，且 84 个会话中 Agent 从未主动调用这两个工具。
推荐理由：作者用 84 个 held-out 任务对比了规则段落、pre-edit hook 与 web search、Context7 的效果，基准局限也写得坦率，方法可参考。
GitHub 仓库 anvilry 是 GenAI 与后端工程师 Sairam Ugge 的求职作品集，基于单一内容层提供四种可切换体验：SSG 静态页、WebGL Build Graph、基于 RAG 的 AI 对话服务和含 32 条命令的终端视图。对话功能使用 AWS Bedrock 上的 Claude Sonnet 4.6，失败时回退到 Haiku 4.5，并支持流式 markdown、语音输入读出（默认浏览器原生实现）以及公开只读 MCP 服务器。技术栈为 Next.js 16、React 19、Tailwind v4，达到 WCAG 2.2 AA 无障碍标准。
Wvdstoep 在 GitHub 发布 ghost-browser，通过 MCP 让 Codex、Claude Code 等客户端连接真实 Chromium，并用 Set-of-Mark 编号标注替代 CSS 选择器来驱动点击、输入和读取。项目内置 HTTP API、会话隔离与 SSRF 防护，附带四层自主安全侦察与漏洞审计引擎，覆盖 DNS、TLS、XSS、BOLA/IDOR、SQLi 等检测并生成 curl PoC 与补丁。AI 导航循环、recipe 编译器和计费尚未构建，仓库地址为 https://github.com/Wvdstoep/ghost-browser。
trackmind-ai 在 GitHub 发布 spec-security-review，这是一个可将 AI 智能体变成安全审计员的 Claude skill。它覆盖 SAST、SCA 供应链、后端授权、前端 XSS 和 AI/LLM 安全五条审查线，输出含文件路径、行号、漏洞代码片段、source→sink 追踪与修复建议的结构化报告，并按 OWASP 类别和 Critical/High/Medium/Low 分级。默认只读分析，采用 GPL-3.0-or-later 许可，可作为插件或复制到 .claude/skills/ 目录使用。
Latet-AI 发布开源的 AI Agent 本地隐私防火墙，在请求离开本机前掩码密钥、密码和个人数据，并在回答中本地还原，云端模型只见假值。支持 Claude Code、Codex、Gemini CLI、Hermes Agent 等的插件与网关接入，可选本地名称模型（约 1.6 GB）、OCR 和本地语言模型审查，93 个测试用例中 Qwen3.5-4B 检出 84%、Ternary-Bonsai-2-27B 检出 97%。项目无云端服务与遥测，采用 source-available 许可，文档在 https://docs.latet.ai/ 。
推荐理由：README 讲清了本地防火墙的掩码与还原机制、各 Agent 接入方式和已知盲区，适合想在敏感数据上用云端模型的人评估可迁移做法。
job-apply-mcp 是一个开源 MCP 服务器，可并行搜索 Greenhouse、Lever、Ashby、SmartRecruiters、Workday 等职位板并代填申请，默认 dry_run = true，真实提交需审批 token，CAPTCHA 和验证码等硬停止一律返回 needs_human。常规表单字段路由到本机 Ollama、LM Studio 或 MLX 处理，仅复杂文案走云端，支持 stdio 与带 bearer token 的 streamable HTTP 两种传输，兼容十种 MCP 客户端，采用 MIT 许可证。
GitHub 上的 contract_heldout_ipi 项目提供一套 LLM 智能体间接提示注入（IPI）防御评测协议，包含可机器读取的 episode contract、referee 校验和 train 与 held-out 的迁移差距报告，并强调这不是新威胁模型或最强防御声明。项目支持通过 OpenAI 兼容配置运行攻击、防御、judge 等多模型基线，也支持经 Cursor 调用 Grok 4.5 等模型，并内置 EmailSandbox 邮件场景与自适应攻防、协商共演化协议，ASR 由工具轨迹确定性评分。
Manta-Boardgame 发布开源工具 BaleenCode，类 Claude Code 的 Agent 应用，通过 Vercel AI Gateway 调用 deepseek/deepseek-v4.1-flash-1017（1M token 上下文），每次请求携带 providerOptions.gateway.only 允许列表，只使用 Together AI、Fireworks、Baseten、DeepInfra、Relace 五家美国零数据保留供应商，拒绝 Alibaba Cloud 和 DeepSeek 官方路由，回复若来自列表外公司会告警并 fail closed。
推荐理由：作者开源了一个类 Claude Code 的 Agent 工具，把 provider 允许列表、路径限制和审批级别的实现都写清楚了，可作工程参考。
Oufrid 发布 HCS（Holographic Context Standard）v0.2，一个开源上下文文件格式，配套 CLI 和 MCP server，让 AGENTS.md、CLAUDE.md 之类的上下文摘要可追溯、可验证。每条声明引用源码位置并带哈希，hcs check 能在 CI 中检测过期声明（忽略重排格式、跟随代码移动），hcs score 用验证过的探测题输出带 95% 置信区间的保真度和误导率。编译时逐条验证逐字引用以排除幻觉摘要，仓库 51 个 TS/JS/Python 文件上启发式与 tree-sitter 定位在 474 个符号中 470 个一致；针对提示词注入， tuning 后高风险级在自建语料捕获 90% 攻击且无误报，但留出集仅捕获 47%。
推荐理由：原文给出引用锚点、哈希校验和保真度测量的具体做法，读者可以照着理解上下文摘要如何做到可追溯、可检测过期并量化损失。
AI Guardian Lab 在 AI 智能体执行 shell 命令前校验命令，智能体提议命令后由 Guardian 按 L1 allowlist、L2 模式、L3 意图和 L4 语义审查四层检查，默认仅模拟、不真实执行。1.6 版本提供 full profile，经 Ollama 启动本地小模型与 System One 观察者，System One 在 CPU PyTorch 2.13.0 上通过 shadow-only 验证，500 ms 预算仍不满足，full profile 采用 2 秒预算，强制执行在两种 profile 中均保持关闭。
研究者提出对比归因拓扑搜索方法 CATS，在固定专家智能体超图中通过 LLM 归因器为各智能体分配贡献度，剪除弱边和弱智能体，搜索紧凑团队。使用小开源模型，CATS 在 BigCodeBench 上平均准确率比仅用分数的启发式搜索高 5.3 个百分点，部署 token 减少 54%；在 HotpotQA 提示词投毒测试中三次运行均排除全部被投毒的智能体。
Side Liu 和 Jiang Ming 的论文 What Users See Is Not What Models Read 被 IEEE S&P 2027 接收，仓库公开了配套样本与验证代码。内容包括 25 个最小提取差异 PDF（corpus_a）、25 个下游 LLM 评测 PDF 和 11 个 QA 适配 PDF，以及开源 PDF 解析器验证和 LLM API/Web 验证脚本，支持在 Ubuntu 上用 Python 3.10+ 和 Node.js 20.16+ 复现。
推荐理由：论文配套仓库放出全部样本和验证代码，读者可以实际复现 PDF 对人和对模型显示内容不一致的攻击测试。
研究者提出 CCG Diffusion，一种无需训练的文生图控制方法，利用组合范畴语法（CCG）通过提示词改写和注意力引导控制属性绑定、空间关系与数量，并可固定介词词类来消解介词短语挂靠歧义。在 Stable Diffusion 和 Sana 两种骨干模型上，该方法在属性绑定和 2D 空间关系上取得对比方法中的最高分，在 PP 歧义消解上显著超越所有对比方法。
tonythetiger168 发布 aios-core，一个本地优先、模型无关的 AI Agent 运行时原型，提供调度器、按 Agent 的权限、SQLite 持久记忆、沙箱代码执行和 MCP 客户端/服务端支持。项目处于早期 alpha，目前仅接入 Claude，也可通过 OpenAI 兼容接口使用 Ollama、vLLM 等本地模型；内置不可信内容标记与污点策略、技能摘要锁定、审计日志和注入攻击测试套件，README 附有各防御组合下攻击通过情况的测试结果表。
推荐理由：README 附带注入攻击测试结果表，逐项展示污点策略与权限范围各自挡住了哪些攻击，安全边界与未竟事项也写得诚实。
llm-fw 发布本地 LLM 流量防火墙，通过 HTTPS_PROXY 或 OS 级 sinkhole 部署在工具与 API 之间，实时拦截提示注入和越狱请求，无需修改代码、全程不出本机。采用启发式规则、跨语言嵌入向量、可选本地 LLM judge 三级管线，覆盖 OpenAI、Anthropic、Gemini 等 15+ 服务商和 20+ 语言，另含 DLP 密钥扫描、MCP 工具防火墙、RAG 投毒检测和响应侧外泄过滤；自测 110 条攻击全部召回、良性语料 FPR 13.38%，p50 延迟 36ms。软件并非开源，采用 PolyForm Noncommercial License 1.0.0，非商业用途免费，商业使用需购买许可证。
推荐理由：原文给出了各攻击类别的召回率、误报率和延迟数据，读者可以据此评估这个本地防火墙实际拦截能力，而不仅是功能清单。
该仓库是软件质量课程 2026.2 学期作业（AV2），围绕 AnythingLLM 开展「Contexto sob Pressão」测试：对比 P1、P2、P3 三版提示词在正确、缺失、无关与冲突上下文下的表现，审计引用来源并给出改进计划。仓库含测试用例、证据与威胁模型文档，支持克隆复现。
AI LeadFlow 是一个面向服务型业务的开源线索管理与智能平台，并以 Nova Dental 牙科诊所作为参考实现。系统由确定性规则引擎权威计算 0-100 线索评分和 COLD/WARM/HOT 温度区间，AI（Google Gemini，gemini-3.5-flash-lite）仅在员工点击“Generate AI Insight”时按需提供咨询分析，输出需通过 Zod 校验且对数据库零写权限。技术栈为 Next.js 16、React 19、TypeScript 5、PostgreSQL 与 Prisma ORM，提示词经 PII 清洗并用 XML 分隔符缓解提示词注入。
gumieri 在 GitHub 发布 Nenya，一个零依赖的 API 网关，在源码、提示词和凭证离开本机前自动脱敏，兼容 OpenAI 和 Anthropic Chat Completions API，内置 23 个 provider 适配器。支持 fallback 路由、响应缓存、SSE 流式转发和可选的防 prompt injection 与出站控制栈，采用 mlock、seccomp、非 root 容器等安全加固，提供 Podman、systemd、Kubernetes Helm 等部署方式，Apache 2.0 许可。
DavutKursun 在 GitHub 开源 invoice-to-sheet，上传 PDF 或照片发票后由视觉模型按严格 schema 抽取字段，逐项校验行项目、小计、税额、日期、币种和重复，可疑记录连同原因写入 Review 表。在 80 张合成发票上用 claude-haiku-5-5 测试，测试集 20 张全部字段完全正确，自动通过率 100%，单张成本约 $0.0009，p95 延迟 5.5 秒；注入指令 0/3 被执行。支持 Groq 免费 OpenAI 兼容接口或 Claude，默认输出 CSV，可配置 Google Sheets；尚不支持手写发票、多发票合并扫描件及 QuickBooks/Xero 集成。
MindWork AI Studio v26.9.1 发布，新增本地 RAG beta 功能和语义搜索，模型可自动从用户自有文档中检索答案。新版本还加入 Web Search、Read Web Page、Search Confluence 等模型可自主调用的工具，支持 GPT-6 Astra、Sol、Luna。该应用是免费的 macOS、Windows、Linux 桌面端，用户自带 API key 使用各家 LLM。
作者发布开源工具 ProvGuard，借鉴信息流控制思路，通过追踪工具参数的来源可信度而非检测恶意文本来防御提示词注入，并附在线演示站点。在 AgentDojo 无模型回放中，四个套件的攻击拦截率为 66%–100%；本地 Qwen3 8B 实测 banking 套件 48 次攻击全部拦截（无防御时 33% 被攻破），实用性无明显下降。作者同时说明代价：用户把选择权交给不可信内容的合法任务会被拦截需确认，并指出按值匹配而非 token 级追踪、自由文本参数不受约束等局限。
推荐理由：原文给出无模型回放与本地 Qwen3 8B 实测的攻防数据，并坦陈误拦合法任务的代价与局限，便于评估该方案是否适用。
Vellium 作者发布 1.7 版，修复安全排查发现的两类问题：角色卡 avatar 字段可写入 ../../ 路径导致换头像时误删任意文件，或用网页链接获取用户 IP；本地服务器此前接受任意域名请求，存在 DNS rebinding 风险，且设置接口曾明文返回 TTS 和 STT API 密钥。0.2.3 至 1.6.0 版本均受影响，作者提醒低于 1.7 的用户更新，并建议其他前端开发者把角色卡视为不可信输入。
GitHub 用户 shweta22-hub 发布 prompt-injection-lab，一个交互式提示词注入挑战项目，并附带红队报告。该报告将发现映射到 OWASP LLM Top 10，项目文件含 README、index.html 与 report.md。
GitHub 仓库 alexyyyander/prompt-injection-defense 提供一个无依赖的提示词注入筛查工具包，包含一份 SKILL.md 咨询性策略、保守的 Python 预检脚本、detect_injection 等 CLI 工具和测试套件，可被 Claude Code 作为项目本地策略自动发现。项目覆盖指令覆盖、角色劫持、权威冒充、间接注入、Base64 载荷走私等 12 类攻击信号，并通过 GitHub Actions 每日同步社区攻击报告。作者明确声明它不是完整安全边界，生产系统仍需指令/数据分离、最小权限工具、沙箱和高危操作的人工审批。
adecubed 发布 GigaMail，一个让 Claude、Codex、OpenClaw、Hermes 等 MCP 客户端安全访问真实邮箱的 MCP 服务器，支持多账户（Microsoft Graph + IMAP）、日历、本地 SQLite 搜索索引、发件人记忆与知识文件，不内置 LLM，AGPL-3.0-or-later 许可。安全模型上邮件内容视为不可信数据，发送/删除等危险操作只返回惰性 request_id，需经 Windows Hello / Touch ID 带外人工批准，凭据只存于 CLI 不进模型上下文，写操作记入只追加审计日志；v0.1.0 曾把确认 token 放进模型上下文被 r/mcp 用户发现，现已修复并配 CI 注入测试。
推荐理由：作者给出了带外审批与提示注入红队的具体设计，v0.1.0 的审批缺陷和修复方式也写得清楚，可作 Agent 邮箱权限设计参考。
作者 Leon Wang 开源了个人项目 LoopDesk，一个面向企业客服场景的 Agent 平台，集成 RAG 知识库问答、订单/退款等工具调用、人工审批与逐句证据校验。演示中校验器发现离线模型编造的“90 天无理由退货，2 小时到账”无证据支持并标红；纠错会同时生成知识补丁和评测用例进入 CI 门禁，支持豆包、混元、DeepSeek、通义、OpenAI 等模型接入，仓库数据全部为虚构。
GitHub 开源项目 technician-coach-llm 是一个由大语言模型驱动的维修技术员故障排查教练，在模拟工厂场景中引导技术员读症状、做检查、提交诊断，而教练模型永远看不到答案。评分、细则、耗时与成本等评估内容仅主管可见，权限在任何模型调用前强制校验。项目运行时纯标准库，默认 mock 模式无需 API key，可通过 `--llm anthropic` 切换真实模型。
开源项目 Overlay AI Gateway 为自然语言 SQL 查询和文档检索引入数据访问权限控制：用 PostgreSQL RLS 限制查询范围，并在答案生成后重新校验引用文档的权限。项目将权限策略的生成、隔离 DB 验证与 DBA 人工审查分离，但不替代真实身份认证，也不自动部署生成的策略；顶级项目许可尚未指定。
Reddit 用户 /u/FlowDue7702 发文分析 Gemini 4 Argon 的过滤机制，指出存在输入拦截、隐藏指令注入和输出分类器三层过滤，底层模型比拒绝表现更少审查。通过 countTokens 与实际请求的 token 数对比可识别注入：+55 为 companion 指令、+419 为 jailbreak 指令、+701 为第三类未知指令；在 preset 末尾以 user 角色加两句声明可在多数测试案例中把 +419 降为 +0，但输出过滤器仍可能截断回复。测试基于官方 Gemini API 和 OpenRouter。
推荐理由：作者用 countTokens 对比实测出 Gemini 4 Argon 的注入指令类型与 token 差值，并给出可复现的两句绕过写法。
NVIDIA 开源的 NeMo Guardrails 工具包（最新版本 0.24.1）可让开发者在 LLM 应用中添加可编程护栏，控制对话主题、语言风格、对话路径并防范越狱与提示词注入。它支持输入、对话、检索、执行、输出五类护栏，兼容 GPT-3.5、GPT-4、LLaMa-2 等模型，可通过 Python API 或 guardrails server 使用，并支持 LangChain 集成。
Xonta 团队开源了面向 AI 智能体的开放信任基础设施（Apache License 2.0，当前版本 0.16.1 实验版），核心是智能体护照：一组基于 W3C Verifiable Credentials 2.0 的可签名验证凭证，配合 did:web 标识、Bitstring Status List 撤销、每日 Merkle 固化（OpenTimestamps 与 Bitcoin），以及对 MCP 服务器的工具投毒扫描和 A2O2A 网关。
vasanth7781 开源了 WhittleBrowser Engine，一个让 AI 智能体使用 Chromium 浏览器的引擎，以 MCP 服务器和 TypeScript 库形式运行。页面以紧凑、引用稳定、带 diff 的文本呈现给模型，隐藏的 prompt injection 和密钥被过滤，敏感站点和不可逆操作会等待人工确认。基准测试显示，在同样 11 个页面上其页面文本为 13,282 tokens，比 Playwright MCP（300,898）少 93%，比 browser-use 少 86%、比 Stagehand 少 87%；7 个植入密钥和 5 条隐藏注入均 0 泄漏到模型。
getmcpm/cli 发布 mcpm，一个本地优先的 MCP 安全 CLI，在安装时对 MCP 服务器做信任评分（含硬编码密钥、提示词注入、typosquatting 的正则静态扫描），并用 Sigstore 验证供应链、锁定工具定义。运行时 mcpm guard 通过本地 stdio relay 检查每次工具调用的请求、响应和工具定义，按 OWASP MCP Top 10 签名拦截注入与 rug-pull，macOS 上可选 OS 沙箱隔离。无云端、无账号、无遥测，强制路径中不含 LLM。
推荐理由：工具在本地完成信任评分与运行时拦截，公开基准和误报数据一并列出，读者可据其口径评估 MCP 供应链防护的实际覆盖面。