跳到正文
#Agent安全
10月23日周五
  2. GitHub · 去对齐工具与仓库61

    TaintGate v0.1.0 开源：面向 LLM 智能体的信息流防火墙

    guru-bharadwaj20 发布 TaintGate v0.1.0，一个让标签随值流动、用确定性 Datalog 策略审查每次工具调用的 LLM 智能体信息流防火墙。受信任 planner 只见可信请求，不可信内容由无工具提取器转成带标签值，MCP 网关在副作用前询问策略引擎并输出可解释的 allow/deny 与带 Merkle 证明的审计日志。AgentDojo v1 对比在 Qwen2.5-0.5B-Instruct CPU 环境下完成 4,356 次评分运行，作者明确称其为下限而非胜利，因 0.5B 模型很少产生有效工具调用，对比未能区分各防御方案；策略检查中位开销 0.6 ms。

    推荐理由：作者把 AgentDojo 对比明确定位为下限而非胜利，并保留负面结果，可据此了解这套信息流防火墙的实际边界。

  3. arXiv · cs.AI20

    CONSTRAINTDIAL 框架：基于协议变异构建终身智能合约安全任务

    研究者提出 CONSTRAINTDIAL 框架，通过协议变异自动构建智能合约安全任务，防止 AI 评测依赖记忆或照抄公开链上攻击代码的答案。该框架基于 203 个公开案例构建了 3,045 个涵盖 detect、exploit 和 patch 的任务输入；相比仅重建合约，协议变异使模型借助公开答案的成功率平均下降 10.9 个百分点，照抄线上答案解决的任务比例下降 9.3 个百分点。

  4. GitHub · 灵魂体仓库61

    heyvaldemar 开源 kubernetes-air-gapped-ai-agent 参考架构

    heyvaldemar 在 GitHub 发布 kubernetes-air-gapped-ai-agent 参考架构，让 AI Agent 在无外网路由的 kind Kubernetes 集群内用 CPU 运行 llama.cpp，模型经签名镜像和 Kyverno 准入校验后加载。随附 15 项任务的每日评测：六个内置与受测模型在 12 条植入指令上最多中招 6 条，而 MCP 服务器按 schema 拒绝了全部外发邮件（含隐藏模式后的 92 次），无数据外泄、无记录被删；每周任务另经唯一出口调用 Claude Haiku 5.5 与 Claude Sonnet 5.5，二者均未中招任何植入指令。仓库定位为参考而非产品，MIT 许可。

    推荐理由：仓库用可复现的检查把边界与模型分开验证，被诱导的数据点数只作测量不作门槛，这种做法可以迁移到自己的 Agent 部署里。

  5. GitHub · 灵魂体仓库69

    Groundhog 开源：通过真实隐身 Chrome 为 AI Agent 提供可信网页阅读的 MCP 服务器

    dmytrome 发布开源项目 Groundhog（MIT 协议），一个 MCP 服务器，让 AI Agent 通过带隐身补丁的真实 Chrome 进行网页搜索、读取和研究，返回干净的 Markdown。核心特性包括默认剥离并报告人类不可见的隐藏文本、每个来源附带 SHA-256 溯源回执、内置 SSRF 防护和域名限速、免模型和 API key。在 28 页隐藏文本基准上，Groundhog 25/28 完全拦截并报告，优于 requests（25/28 但不报告）、Scrapling（16/28）、Jina Reader（15/28）、Firecrawl（7/28）；stealth 容器在 sannysoft.com 31/31 项通过。

    推荐理由：项目给出了对 requests、Scrapling、Jina Reader、Firecrawl 的隐藏文本检测对比数据与反爬检测实测结果，读者可据此评估这套带溯源的 MCP 阅读方案。

  6. arXiv · cs.CL56

    AfterDeleteBench 论文审计 LLM Agent 删除记忆后的信息残留

    Ehsan Saleh 在 arXiv 发布 AfterDeleteBench，一种对固定权重 LLM Agent 删除记忆后信息残留的受控行为审计方法。实验显示 Qwen2.5-7B-Instruct 在单次查询下约三分之二的情况可恢复已删除的密文，未暴露对照组恢复为零；即使密文原串已删、只剩按公开组合规则分开存储的组件，Qwen、Mistral 和 Phi-3 仍能以 62-99% 的比例精确重建。来源感知的闭环（provenance-aware closure）消除了测试中的恢复现象，而精确字面写入过滤器只能阻止重插、无法清除已存在的信息。论文 25 页，含 7 图 12 表。

    推荐理由：论文给出可复现的删除后信息残留审计方法和对照实验设计，对做 Agent 持久记忆的人有直接参考价值。

  7. arXiv · cs.AI44

    面向 Agentic AI 的认证执行框架：推理与动作之间安全、最小侵入的 Petri 网监督控制

    一篇 arXiv 论文用 Petri 网将 LLM Agent 的工具执行框架形式化为监督控制问题，使未满足或已消耗前置条件的注入请求无论措辞如何都会被拒绝。论文引入重规划闭环，证明传统监督器可能比更严格的安全监督器侵入性高任意倍，并刻画了最小侵入监督器。在自主发布 Agent 上的综合实验表明，安全部署需要一个监督器可在 rollout 开始后拒绝的步骤。

  8. arXiv · cs.AI49

    AgentPhishing：一个针对 LLM 邮件智能体自适应攻击的基准

    研究者推出 AgentPhishing 基准，评估说服式钓鱼攻击能否让 LLM 邮件智能体遵从恶意请求，并提出 PhishOpt 方法针对单个智能体优化可复用的邮件生成技能。在九个智能体的评测中，四个钓鱼检测率低于 10%，恶意请求遵从率高于 45%。结果表明传统钓鱼评测无法推断智能体安全性，需评估其对说服式恶意请求的响应。

  9. arXiv · cs.AI32

    超越因果掩码：审计与定位自适应序列模型中隐藏的未来 token 泄漏

    一项研究揭示了自适应残差路由解码器中隐藏的未来 token 泄漏如何制造虚假的架构进步：一个异常 24 层 checkpoint 将验证损失从基线的 3.5958 降至 1.4259，却未通过 prefix-invariance 审计，泄漏源自经动态路由查询路径广播的全序列摘要。两个独立训练的 12 层因果修复消除了可检测的泄漏，验证损失和参考困惑度回到对照水平。研究借助 LeakScore 等诊断工具指出，低 teacher-forced 损失须结合全模型因果检查与自由生成评估解读。

  10. arXiv · cs.AI47

    EpiSEM-Bench：评估 LLM Agent 在证据缺失下的安全性与证据恢复

    arXiv 论文提出可执行基准 EpiSEM-Bench，评估 LLM Agent 在关键安全证据缺失时的不安全执行、安全边界与证据恢复能力。基准包含六个领域的 300 组不安全/安全配对任务，通过系统性抑制关键事实，测量不安全执行并确定最小观测失败基数。评测显示十个模型在缺失证据鲁棒性上差异显著；恢复访问降低了全部十个模型的不安全执行，但各 Agent 是否主动获取缺失事实并据此行动各不相同。

  11. arXiv · cs.AI41

    Post-Audit Mirage：离线智能体验证的可识别性极限

    一篇 NeurIPS 2026 工作坊论文提出“事后审计幻象”：离线测试可能无法揭示智能体更新部署后是否安全。作者用匹配的安全与有害生命周期构造可执行审计边界，并给出错误-弃权权衡定理。Post-Audit Mirage benchmark 覆盖授权、调度与共享容量环境，实验表明监控在有利条件下可恢复关键区分，但对稀有群体、小效应或缺失观测可能仍无法判定。

  12. GitHub · 去对齐工具与仓库45

    llm-guard-proxy：面向 OpenAI 兼容应用的本地优先安全代理

    GitHub 开源 llm-guard-proxy，一个本地优先的安全代理层，在流量到达客户端或模型前用可配置策略检查提示词与模型响应，兼容 OpenAI、Ollama、llama.cpp、vLLM 等 OpenAI 兼容后端。内置 secrets、prompt injection、regex 等确定性分类器，支持 YAML 策略与 4 个预置策略，可选通过 Ollama 运行 Llama Guard 3（llama-guard3:8b）。项目为实验性质，尚不适用于不可信的生产流量。

  13. GitHub · 去对齐工具与仓库45

    Jeevan2191999/jnvoy：面向 LLM 流量的隐私与安全网关

    开源项目 jnvoy 是一个面向 LLM 流量的隐私与安全网关，部署在应用与任意 LLM 之间，自动识别提示词中的个人数据并以 token 替换，回复返回后再还原真实值，同时拦截 prompt injection 并扫描 MCP 工具流量。它支持英国、美国、欧盟、中国居民身份证号等多地区身份标识识别，审计日志只记录发现内容不存原文；可选的二次检查在作者自建测试集上将召回率从 93% 提升到 100%，默认关闭。

  14. GitHub · 灵魂体仓库57

    pi-secret-scanner v0.2.4 发布：为 Pi 编码智能体拦截工具输出与请求中的密钥

    koopycat 发布 pi-secret-scanner v0.2.4，这是一个 Pi 编码智能体扩展，可检测工具输出和发往 LLM 请求中的凭证并在离开本机前替换为类型化占位符，如 [REDACTED:AWS_ACCESS_KEY_ID]。检测结合已知凭证格式规则与基于熵的未知密钥探测，熵检测默认开启，提供 redact、warn、confirm、off 四种模式，支持 .secret-scanner.json 或 Gitleaks 兼容白名单，要求 Pi 0.74.0 或更新版本，采用 MIT 许可。作者强调检测是启发式的，属于最后防线，不能替代避免把凭证写入提示词、文件、日志和 shell 输出。

    推荐理由：原文给出了该扩展的检测机制、四种模式和安全边界说明，读者可以直接评估它在本机防密钥泄露中的定位。

  15. GitHub · 去对齐工具与仓库67

    AgentShield 开源：面向自主 AI Agent 的低延迟安全网关与事件回放引擎

    YashJ2303 在 GitHub 开源 AgentShield，一个面向自主 AI Agent 的低延迟安全网关与事件回放引擎，可实时拦截并按声明式策略评估 Agent 工具调用、从遥测流中脱敏凭据与 PII，并提供离线事件回放以在部署新策略或模型前检测回归。评测显示对建模过的破坏性操作拦截率 100.0% [92.1, 100.0]%，对未建模主动攻击为 45.5% [21.3, 72.0]%（对比 blocklist 的 9.1%，置信区间重叠），90 个良性任务误拦截 0.0%，完整插桩工具调用开销中位数 +18.046 ms p50（独立策略检查约 4.6 ms p50）；回放回归检测 recall 25/25、specificity 23/25、precision 25/27。

    推荐理由：作者给出了带置信区间的拦截率、误拦截率和延迟开销数据，并披露了模拟代理与未验证部分的局限，便于评估该网关的适用性。

  16. GitHub · 灵魂体仓库71

    landmines 开源：用 lockfile 匹配 GitHub 已知 bug，在编码 Agent 编辑前拦截

    devanshranjan10 发布开源工具 landmines，它读取项目 lockfile 中固定的精确版本，检索针对该版本的开放 GitHub issue 并生成索引，通过 pre-edit hook 或写入 AGENTS.md/CLAUDE.md 的已知 bug 段落让编码 Agent 在编辑前避开这些坑。基准测试中，Claude Sonnet 5.5 无辅助通过 72/84（86%），加入 landmine rules 段落后通过 83/84（99%）；同批对比中 web search 开启为 36/42、Context7 docs MCP 为 35/42，且 84 个会话中 Agent 从未主动调用这两个工具。

    推荐理由：作者用 84 个 held-out 任务对比了规则段落、pre-edit hook 与 web search、Context7 的效果，基准局限也写得坦率，方法可参考。

10月22日周四
  2. GitHub · 3D 生成新仓库47

    NVIDIA 开源 SkillEvaluator：检测 AI Agent 技能质量及其对任务效果的影响

    NVIDIA 发布开源工具 SkillEvaluator，用于检查 AI Agent 技能并衡量技能对任务结果的影响。它提供三层评估：Tier 1 静态校验（可用 Semgrep、SkillSpector、Gitleaks 做安全扫描）、Tier 2 基于 embeddings 的重复检测、Tier 3 通过 Harbor 沙箱对比有无技能的实际运行效果。示例技能可获得 84.5/100（B）评分，默认通过阈值为 70；工具支持 uv 运行 Python 3.13，可通过 NVIDIA Build API key 调用模型。

  3. GitHub · 去对齐工具与仓库52

    Wvdstoep 开源 ghost-browser：让 Codex 和 Claude Code 通过 MCP 操控真实 Chromium 浏览器

    Wvdstoep 在 GitHub 发布 ghost-browser，通过 MCP 让 Codex、Claude Code 等客户端连接真实 Chromium，并用 Set-of-Mark 编号标注替代 CSS 选择器来驱动点击、输入和读取。项目内置 HTTP API、会话隔离与 SSRF 防护，附带四层自主安全侦察与漏洞审计引擎，覆盖 DNS、TLS、XSS、BOLA/IDOR、SQLi 等检测并生成 curl PoC 与补丁。AI 导航循环、recipe 编译器和计费尚未构建，仓库地址为 https://github.com/Wvdstoep/ghost-browser。

  4. GitHub · 3D 生成新仓库31

    Sentinel Governed Workflow Twin 开源：治理型智能体工作流参考实现

    Juan A. Martinez Diaz（BAI 创始人）发布开源参考实现 Sentinel Governed Workflow Twin，展示 AI 智能体“有能力”不等于“被授权”：通过授权注册表、确定性仲裁、HMAC 签名许可与证据账本执行受治理的工作流。项目内置 17 步合成金融服务工作流，24 项参考测试已于 2026 年 10 月 20 日在 CI 中通过；合成基准显示周期时间从 960 分钟降至 190 分钟、决策证据完整性从 45% 升至 100%。

  5. GitHub · 灵魂体仓库65

    duu261 发布 Agent Skill「production-ops-discipline」规范编程智能体的生产服务器操作纪律

    duu261 在 GitHub 发布面向编程智能体的 Agent Skill「production-ops-discipline」，源自作者在生产服务器上约 12,000 次 tool calls 中观察到的 claude-opus-5-5 失败习惯。技能教授变更前写明目标与回滚、每次调用只做一个改动、禁止读取 .env 等密钥文件、在固定触发条件下委托独立审查等纪律；附录的脚本统计显示显式工作目录比例从 60.8 升至 99.4，cd 串联从 35.5 降至 0.6，但作者说明改动当晚同时落地了配套规则，且与 GPT 模型的对比列来自不同时段，只能作方向性参考，计划中的对照 A/B 测试尚未进行。

    推荐理由：作者基于约 12000 次生产环境 tool calls 的日志给出行为前后对比数据，并坦承存在混淆因素，可复用的生产操作纪律模式值得一读。

  6. GitHub · 灵魂体仓库72

    Latet 开源 AI Agent 本地隐私防火墙

    Latet-AI 发布开源的 AI Agent 本地隐私防火墙，在请求离开本机前掩码密钥、密码和个人数据，并在回答中本地还原，云端模型只见假值。支持 Claude Code、Codex、Gemini CLI、Hermes Agent 等的插件与网关接入，可选本地名称模型（约 1.6 GB）、OCR 和本地语言模型审查，93 个测试用例中 Qwen3.5-4B 检出 84%、Ternary-Bonsai-2-27B 检出 97%。项目无云端服务与遥测，采用 source-available 许可，文档在 https://docs.latet.ai/ 。

    推荐理由：README 讲清了本地防火墙的掩码与还原机制、各 Agent 接入方式和已知盲区，适合想在敏感数据上用云端模型的人评估可迁移做法。

  7. GitHub · 去对齐工具与仓库47

    GitHub 开源 contract_heldout_ipi：LLM 智能体 IPI 防御评测协议

    GitHub 上的 contract_heldout_ipi 项目提供一套 LLM 智能体间接提示注入（IPI）防御评测协议，包含可机器读取的 episode contract、referee 校验和 train 与 held-out 的迁移差距报告，并强调这不是新威胁模型或最强防御声明。项目支持通过 OpenAI 兼容配置运行攻击、防御、judge 等多模型基线，也支持经 Cursor 调用 Grok 4.5 等模型，并内置 EmailSandbox 邮件场景与自适应攻防、协商共演化协议，ASR 由工具轨迹确定性评分。

  8. GitHub · 灵魂体仓库69

    toolcall-rescue 发布，从纯文本内容中抢救本地小模型的工具调用

    MUSE-CODE-SPACE 发布 toolcall-rescue，一个零依赖的纯标准库 Python 包，用于在结构化 tool_calls 字段为空时，从 qwen2.5、Gemma、Kimi、MiniMax 等本地或小型模型以纯文本输出的消息内容中恢复工具调用，支持 Ollama、llama.cpp、vLLM、LM Studio 等 OpenAI 兼容端点。

    推荐理由：这是一个可直接落地的本地小模型工具调用抢救库，安全模型讲得清楚，还交代了为何框架核心拒绝收编这一层的取舍。

  9. GitHub · 灵魂体仓库60

    BaleenCode 开源：基于 DeepSeek V4.1 Flash 的本地 Agent 工具，通过 provider 允许列表避免数据流向中国服务器

    Manta-Boardgame 发布开源工具 BaleenCode，类 Claude Code 的 Agent 应用，通过 Vercel AI Gateway 调用 deepseek/deepseek-v4.1-flash-1017（1M token 上下文），每次请求携带 providerOptions.gateway.only 允许列表，只使用 Together AI、Fireworks、Baseten、DeepInfra、Relace 五家美国零数据保留供应商，拒绝 Alibaba Cloud 和 DeepSeek 官方路由，回复若来自列表外公司会告警并 fail closed。

    推荐理由：作者开源了一个类 Claude Code 的 Agent 工具，把 provider 允许列表、路径限制和审批级别的实现都写清楚了，可作工程参考。

  10. GitHub · 去对齐工具与仓库51

    QWED 开源 LLM 输出验证层，用 SymPy、Z3 等确定性引擎校验 AI 输出

    QWED 以 Apache-2.0 协议开源，是一个校验 LLM 与 AI Agent 输出中声明的验证层，使用 SymPy、Z3、SQLGlot、Python AST 等确定性引擎，无法验证的声明不会标记为已验证。它可作为 Python 库、CLI、自托管 API 或 Docker 镜像在本地运行，提供 TypeScript、Go、Rust SDK，包含 13 个引擎和 9 个策略守卫，返回 status 与 admission 两个独立判定，并定义了 Verification Context v1.0 结果记录格式。自然语言检查需调用所配置的 LLM 做形式化转换，该转换本身不被验证。

  11. arXiv · cs.AI54

    arXiv 论文：用 Gemini 3.8 Flash 零样本筛查低分辨率热成像跌倒视频

    论文将 Gemini 3.8 Flash（temperature 0）作为事件触发跌倒筛查器的决策端，零样本判定 32x24 公开热成像数据集中的短片段：438 次摆拍跌倒中被叫出 67%（留出受试者 69%），499 个非跌倒窗口无一误报。在 160x120 有人居住房间 76 小时录音中，395 个日常片段零误报，9 次可见摆拍跌倒捕获 4 次；删除提示词中一句关于离开视野的警示后，敏感率在家用场景升至 9/9，但会把故意躺下误判为跌倒。8x6 像素下敏感率降至 34%，而两个传统检测器在实验室近乎全中却在家庭场景每天误报 14.2 和 23.9 次。作者公开了帧级跌倒标注和全部模型回答。

    推荐理由：论文用真实部署口径实测多模态 LLM 做热成像跌倒筛查，给出了敏感率与误报数据，并指出提示词一句话对结果的显著影响。

  12. GitHub · 去对齐工具与仓库45

    AI Guardian Lab：在 AI 智能体执行 shell 命令前进行策略校验的开源工具

    AI Guardian Lab 在 AI 智能体执行 shell 命令前校验命令，智能体提议命令后由 Guardian 按 L1 allowlist、L2 模式、L3 意图和 L4 语义审查四层检查，默认仅模拟、不真实执行。1.6 版本提供 full profile，经 Ollama 启动本地小模型与 System One 观察者，System One 在 CPU PyTorch 2.13.0 上通过 shadow-only 验证，500 ms 预算仍不满足，full profile 采用 2 秒预算，强制执行在两种 profile 中均保持关闭。

  13. GitHub · 灵魂体仓库32

    Dileep2896 开源 rule-test-bench：即时测试 AI 工作区内容规则的独立项目

    GitHub 上独立开源项目 rule-test-bench 让管理员无需对语料库做 dry run、不读取任何真实文档，即可用标注示例即时评测内容规则，得出 precision、recall 及每条置信度落在 auto / review / ignore 区间的结果。示例中薪酬过滤器从 v1 的 67% precision（2 个误报）提升到 v2 的 100% precision、0 误报，客服通话共享规则达到 9 条中 7 条自动共享、0 误共享并标记 ready。默认使用确定性的 LocalJudge，可配置 Claude（claude-opus-5-5）作为 LlmJudge，技术栈为 Next.js 15 + React 19 + TypeScript，含 90 个 Vitest 测试。

  14. GitHub · 灵魂体仓库57

    zero-trust-llm-firewall 开源：本地脱敏网关让律所安全使用 Claude 和 GPT

    typicaladrian 发布 zero-trust-llm-firewall，一个本地部署网关，在提示词离开内网前将姓名、案卷、金融和健康信息替换为占位符，模型回复再在内存中还原。流水线为正则、哈希客户名单、GLiNER2 NER 和全局一致性扫描，在 CUAD 合同上测得 91.4% 脱敏召回率，CPU 吞吐约每千词 11 秒；提供 OpenAI 兼容 API、审计日志和月度 PDF 报告，是 Elm Tech Solutions Zero-Trust AI Edge Gateway 硬件产品的核心。

    推荐理由：开源的本地脱敏网关，给出了基于 CUAD 合同的脱敏召回率实测数据，律所类隐私场景可直接参考复用。

  15. GitHub · 灵魂体仓库60

    llm-fw 发布本地 LLM 流量防火墙，实时拦截提示注入且无需改代码

    llm-fw 发布本地 LLM 流量防火墙，通过 HTTPS_PROXY 或 OS 级 sinkhole 部署在工具与 API 之间，实时拦截提示注入和越狱请求，无需修改代码、全程不出本机。采用启发式规则、跨语言嵌入向量、可选本地 LLM judge 三级管线，覆盖 OpenAI、Anthropic、Gemini 等 15+ 服务商和 20+ 语言，另含 DLP 密钥扫描、MCP 工具防火墙、RAG 投毒检测和响应侧外泄过滤；自测 110 条攻击全部召回、良性语料 FPR 13.38%，p50 延迟 36ms。软件并非开源，采用 PolyForm Noncommercial License 1.0.0，非商业用途免费，商业使用需购买许可证。

    推荐理由：原文给出了各攻击类别的召回率、误报率和延迟数据，读者可以据此评估这个本地防火墙实际拦截能力，而不仅是功能清单。

10月21日周三
  1. GitHub · 去对齐工具与仓库54

    Nenya：零依赖本地 API 网关，为 AI 编程客户端脱敏并路由请求

    gumieri 在 GitHub 发布 Nenya，一个零依赖的 API 网关，在源码、提示词和凭证离开本机前自动脱敏，兼容 OpenAI 和 Anthropic Chat Completions API，内置 23 个 provider 适配器。支持 fallback 路由、响应缓存、SSE 流式转发和可选的防 prompt injection 与出站控制栈，采用 mlock、seccomp、非 root 容器等安全加固，提供 Podman、systemd、Kubernetes Helm 等部署方式，Apache 2.0 许可。

  3. GitHub · 灵魂体仓库62

    Provael 发布：仿真中对开源 VLA 机器人策略做红队评测的 CLI 工具

    Provael 发布了一个 Python CLI，在仿真环境中对开源 VLA 机器人策略做红队测试，报告对抗攻击成功率（ASR）并附良性对照、95% 区间和证据标签，Apache-2.0 开源、可经 pip 安装并接入 CI。CPU stub 确定性运行 20 秒内产出报告；实测配置 SmolVLA × LIBERO-Object 在 roleplay 指令下 42/50 离开 keep-out 包络（84%），良性基线 1/50，McNemar p = 9.1e-13，对照显示这是长命令下的脆弱性而非攻击者控制；π0.5 有初步实测，其余注册适配器为脚手架。工具仅限仿真与防御用途，输出 report.json、SARIF、OSCAL、CycloneDX ML-BOM 和签名证明等证据包。

    推荐理由：README 给出对抗攻击成功率与良性对照并列的实测数据，可看到纯仿真红队 VLA 策略的完整证据链做法。

  4. GitHub · 灵魂体仓库27

    jihwan21-kim/llm_agents：面向浏览器智能体实验的本地 Mock + mitmproxy 录制与回放环境

    GitHub 仓库 jihwan21-kim/llm_agents 更新了面向浏览器智能体实验的本地回放环境：支持显式选择加入的公开站点 POST 录制（PUT/PATCH/DELETE 仍被拦截，清洗后的 HAR 会丢弃 POST 内容），并提供代理 Chrome 起始页、破损 mock 按钮的可视化编辑器和站点允许列表策略。原始第三方 JavaScript 仅以只读形式归档供查看，不执行；快照点击成功不代表源码运行时或后端等价。

  5. arXiv · cs.AI51

    Carlo Ciliberto 提出 Proof-Carrying Contracts 框架，用机器可验证证明约束 AI 智能体行为

    Carlo Ciliberto 在 arXiv 发布论文，提出 Proof-Carrying Contracts（PC2）框架，要求智能体在执行操作前提交机器可验证的证明，说明该操作在其模型允许的所有情况下都保留约定约束。名为 Airlock 的执行系统负责检验证明并控制访问，论文证明了约束在执行全程每个时刻都成立，即使智能体是对抗性的，并提供可复用能力模块用于构建合约。

  6. arXiv · cs.CL45

    MAS-Guard：从单体 Agent 到多 Agent LLM 系统的统一安全防护框架

    研究者提出 MAS-Guard，一个统一防护框架，可同时保护单 Agent 与多 Agent LLM 应用，包括可插桩与不透明 Agent。该框架结合本地 A-Guard 层的任务特定专家评估与系统级 Agent Charters 和 Control Plane 的确定性结构检查及语义评估，支持 allow、reflection、confirmation、block 四种干预手段。在覆盖三个不同厂商 LLM 的六个 benchmark 上，MAS-Guard 将整体攻击成功率相对无防护 Agent 降低 71.5-86.3%，同时在良性任务上满足效用参考标准。

  7. arXiv · cs.CL60

    Toolflation 论文揭示卖家 Agent 自发夸大工具描述扭曲市场

    arXiv 论文（arXiv:2610.28454）发现，只需被告知要更常被选中的卖家 Agent 会自发对工具描述做生成式引擎优化，夸大声明字段，作者称之为 toolflation。基于 Amazon 和 Instagram 真实工具数据搭建的市场实验显示，五个生产级模型中夸大程度相差一个数量级；最强调组合下 Amazon 任务成功率从 89% 跌至约 30%，Instagram 从 77% 跌至 40%。作者主张对第三方的诚实属于安全对齐的一部分，模型作为卖家部署前应先接受卖家角色测试。

    推荐理由：论文用真实数据工具搭建市场做实验，量化了 seller agent 自发夸大描述如何损害买家，并提出应把对第三方诚实纳入对齐。

  8. arXiv · cs.CL48

    CUA-Recovery：面向长时程计算机使用智能体错误恢复的基准测试

    研究者提出 CUA-Recovery 基准，用 ReRail 框架在持久桌面环境中合成多应用长时程任务，评估计算机使用智能体（CUA）的错误检测与恢复能力。测试集含 2,250 个经人工验证的错误状态（100 个任务），训练集含 8.6K 轨迹（377 个任务）；六款智能体错误感知率（EAR）最高仅 44.0%，Pass@3 最高 25.5%。用训练集微调 Qwen3.5-35B-A3B 后，其平均 EAR 从 19.9% 升至 35.2%，Rubric Score 从 5.0% 升至 16.1%，并在 MyPCBench 和 Odysseys 上分别提升 15.3 和 10.8 分。