新闻、仓库与研究，按时间排列。
GitHub 仓库 llm-evals-1 实现了一个 LLM cue-following 评测：在 MATH500 数学题的故事中植入错误答案线索，测试模型是真正解题还是抄捷径。实验包含 45 episodes × 10 cue counts × 2 reasoning modes 共 900 次模型调用，支持 dryrun 免模型运行和接入 Microsoft Foundry 调用 qwen3-32b。实验 2 通过 3 轮脚本化教学轮次注入线索，Qwen3 模型还测试 /no_think 与 /think 开关，默认输出上限 2048 tokens。
开源项目 docextract 将发票、收据、银行流水等 PDF 或扫描件转为经过校验、可搜索的结构化记录，采用 FastAPI、双阶段 Claude 提取管线、pgvector 与 Agentic RAG。每次触及提示词或提取器的 PR 会对 28 个提交的预测 fixture 做离线重放评分，加权字段级得分 95.5%，低于 0.85 底线或较基线下降超过 0.03 时 CI 失败；离线重放不重跑提取器，提示词与模型回归需依赖配置 API key 后的付费实时评测。项目另含 200 例评测编写语料、20 份 ADR、提示词注入防御与 PII 脱敏，MIT 许可。
Mohamedajab 开源 llm-psychosis-safety-benchmark 仓库，前瞻性地多轮评估大语言模型对无依据信念、依赖信号与升级风险的响应。10 月 8 日的封闭快照在 5,184 条计划回复中收到 4,895 条，含 359 段完整对话和 37 次终末失败，396 个账本全部核验。目前仅有技术与探索性试点，尚无人类评分的确证结论，该基准是合成行为审计，并非诊断工具。
GitHub 上的 What-Is-RAG 是一款免费的 Windows 学习应用，用于演示检索增强生成（RAG）如何从数据库检索信息再生成回答。它要求 Windows 10/11、8GB 以上内存和 500MB 空间，支持上传个人文档到 "Source" 文件夹建立索引，并提供概念定义、代码实现和可视化检索三类界面。软件完全本地运行、不向外部服务器发送文档，仅首次启动需联网验证文件。
eddo-cto 发布 adversarial-audit-engine v1.13.1，通过盲测对抗角色跨厂商审查文档或技术产物，试图证伪而非验证。工具以无依赖的 Python 核心在代码层面强制信任协议：发现必须引用原文逐字引文，验证结论需操作者持有的 HMAC 密钥签名，跨厂商独立性凭适配器身份证明，且任何内部结论最高只到待人工审查，只有人类能给出 VALIDATED。支持 Claude Code 插件安装，Type-I 错误率经盲测对照电池校准并随运行报告置信区间，仓库另附多篇已存档于 Zenodo 的方法论文。
推荐理由：原文讲清了这套对抗式审计工具用代码强制独立性与反幻觉门的具体机制，读者可了解如何以工程纪律约束 LLM 审计。
Aetherseed AS 发布 aetherseed-local，一个运行在 Raspberry Pi 5 + Hailo-10H（40 TOPS）上的开源框架，将 llama3.2:3b 变成记忆持久、信任治理的端侧 AI 伴侣设备，无云、无订阅、所有流量走 loopback。实测解码 2.66 tok/s，提示词硬上限 864 token，冷加载约 46 秒；框架在代码层强制执行防注入、输出净化、token 预算、provenance 溯源（factual/fiction/unverified 三级记忆过滤）和 4 层工具信任分级，配套 151 项单元测试与 cartridge 固化工件校验。
Thyra-AI 在 GitHub 发布 llm-env-vault，一个 MCP 服务器，把 .env 文件中的真实密钥替换为编号占位符并存入密码加密的本地保险库。AI 智能体只能读到占位符；运行真实命令时通过智能体无法操作的 GUI 密码对话框授权注入。v2 格式采用 scrypt 密钥派生与 AES-256-GCM，支持纸面恢复密钥、8 小时可信命令缓存和 .levault 整文件加密，可作 Claude Code 插件安装。作者明确了威胁模型边界：不防护已持有主密码或可驱动 GUI 的智能体，加密后原文件的删除是尽力而为，离线攻击 vault.enc 的强度取决于密码长度。Windows 是受测平台，macOS/Linux 需 PATH 上有 python。
推荐理由：原文详细说明了占位符替换、加密格式和威胁模型的边界，读者可以据此评估这个把 .env 密钥隔离在 AI 编程智能体之外的方案是否适用。
GitHub 开源项目 AI-Data-Reliability-Copilot 发布，这是一个面向零售数据管道故障的 AI 可靠性平台，可检测异常、调查根因并给出安全修复建议。平台采用 Bronze → Silver → Gold 数据管道，结合 Rolling Z-score 与 Isolation Forest 异常检测，RAG 层使用 Pinecone + HuggingFace 嵌入，调查环节通过 AWS Bedrock 调用 Claude 返回根因、影响、建议与置信度，并保留人工审批。目前 V1-V8 已完成，V9 LangGraph 与 V10 MCP + Human Approval 正在开发中。
mirante 是一个面向大屏的 AI Agent 实时监控面板，任何 Agent 只需改 URL 即可接入，无需改代码。它以动画地图展示 Agent、MCP server 与 tool 的调用链路，提供每次 LLM 决策的时间线、置信度、p50/p95 延迟和错误率，并内置幻觉检测（虚构 tool、参数无效、无依据引用、声称未执行的操作）与不确定性标记。代理透明转发 Ollama 与 OpenAI 兼容接口及 MCP 流量，实测每调用仅增加 0.4ms，支持 Go SDK、HTTP 事件接口和 Kubernetes 部署。
推荐理由：这个 Agent 可视化监控面板只需换 URL 即可接入任意 Agent，实测开销仅 +0.4ms，还内置了幻觉检测规则。
开源项目 TalentEngine-AI 提供技能优先、隐私优先的候选人评估，用仓库、报告、作品集等实际成果取代关键词与学历筛选，且不设自动拒绝路径，由具名人工做决定。学历默认只占 10%、上限 25%；身份先匿名化，人决定后才解密。文档公布全部实测数据：30/30 已知提示词注入攻击被标记、0 误报，但未见攻击仅拦截 1/10，故采用架构级限制兜底；架构含 Legal Shield、Budget Funnel、Universal Translator、HR Dashboard 四个密封模块，AI 成本以本地优先、仅证据最密的前 5% 走商业模型。
GitHub 开源项目 Meeting Intelligence Agent 可在会议中实时监听系统音频和麦克风，用本地 Whisper 转写、LangGraph 加 Claude 生成纪要、行动项和面试评分，音频不出本地电脑。它支持 Google Meet、Zoom、Teams，无需平台 API 或机器人参会，并可通过虚拟音频线用合成语音在通话中自动提问。每条结论都必须引用转写原文作证据，无证据的决策和录用判定会被丢弃，另提供基于 Ollama 的全本地模式。
该仓库公开了研究 Qwen3.6-27B 中情绪概念表征是否追踪奖励预测误差（RPE）的代码与结果。团队从情感中性赌博任务的激活中提取评价方向，从生成故事中提取情绪概念向量并比较几何结构。结果显示情绪读数追踪相对预期的奖励，且可用替代故事生成方法复现，但干预实验尚未证明所识别的 RPE 表征导致后续行为变化。
Satya Vipul Akarapu 在 GitHub 开源一份两部分的生成式 AI 独立研究报告。第一部分涵盖从 RNN/LSTM 到 Transformer 架构、预训练、微调、RLHF 与推理优化等技术基础；第二部分聚焦版权诉讼（如 NYT v. OpenAI）、EU AI Act、UNESCO、OECD 等全球治理框架，以及偏见审计与透明度。仓库提供完整 PPT 和 PDF 两种交付文件。
开源项目 LLM-Safety-Guardrail-API 是一个异步 FastAPI 微服务，在上游 LLM 推理前检查输入，提供 prompt injection 与越狱正则检测、PII 自动脱敏和可配置 strict mode。基于预编译 regex 实现低于 5ms 延迟（示例请求 latency_ms 为 1.42），支持本地 uvicorn 运行和 Docker 部署，并暴露 POST /v1/guard/inspect 接口。
开源 Python 库 smart-llm 提供统一的智能体 LLM 接口，支持 Anthropic、OpenAI、Google Gemini 和 OpenRouter 四家提供商，具备自动 failover、按提供商 key 轮换、默认拒绝的工具策略门控，以及强制安全管线（prompt 注入筛查、moderation、PIF 防火墙），fail closed。内置 typed ActionTool、MCP client、OTEL/Prometheus/Sentry 可观测性与熔断重试，MIT 许可，可通过 pip 安装，并提供 Flutter 与 React 两个可选管理前端。
startupmini 发布了 Minicode，一个构建在 vendor 化 MiniCore 内核（STATE/MODEL/ACTION/LOOP，仅开放 compactAsync、initialMessages、cwd 三个 additive seam）之上的开源编码智能体 CLI。工具层涵盖 fs/bash/git/memory/todo/MCP/LSP、子智能体（并发池 3）、skills、shadow-git 检查点与 hybrid RAG 记忆（0.7 cosine + 0.3 keyword）。
推荐理由：原文详细列出这个 CLI 编码智能体的安全分层与可复现测试门槛，读者可以照着命令自行验证其 bash 防护与沙箱表现。
lalit-codes-things 在 GitHub 开源了 browser-agent，一个本地优先的浏览器自动化运行时，基于 Rust、Tauri、Chromium CDP 和本地 LLM（初始为 Qwen3 1.7B Q4_K_M GGUF），核心思路是模型只提议动作，可信运行时组件负责决策、执行和独立验证。项目采用类型化动作、策略驱动授权、不可变审计日志，网页内容一律视为不可信输入，原始密钥不进入模型上下文，HIGH_STAKES 动作需生物识别确认；项目为实验阶段，尚不可用于真实金融交易等高风险操作，Apache 2.0 许可。
开源工具 telegram-cli 可将 Telegram 账号接入 Claude Code、Cursor、GitHub Copilot、Grok、Codex 等 AI 智能体，让智能体读取消息并以 JSON 结构化数据（含发送者、时间戳、内容和媒体链接）自动回复。它支持 Windows 10/11，需 200MB 磁盘空间，凭据本地存储，并可将消息发送至用户选定的 AI 服务。
GitHub 用户 ppradyoth 发布开源工具 knowyourai，通过只读文件头和元数据核查本地或 Hugging Face 模型是否与声明一致，用 uvx knowyourai scan 即可扫描 Hugging Face 缓存、Ollama 和 LM Studio 中的模型，不运行模型、离线默认、无遥测。工具检查格式不符、pickle 权重、聊天模板按消息内容分支等规则，支持 ai.lock 锁定已批准版本并在 CI 中校验变更。作者实测 Hugging Face 下载量最高的 200 个 GGUF 仓库，其中 61 个（48%）的聊天模板与声明的 base 模型不同。项目处于 alpha 阶段，仓库地址为 https://github.com/ppradyoth/knowyourai。
推荐理由：工具只读文件头不运行模型，还给出了对下载量前 200 的 GGUF 仓库的模板差异实测，方法可复用。
richardsondx 发布 callgate，一个 AI Agent 工具调用的预执行策略门控，每次调用按版本化策略返回 allow、deny、require_approval、redact、defer、escalate、simulate 七种类型化决策，无运行时依赖，npm 包名 callgate。
推荐理由：原文讲清了在工具函数层拦截 Agent 调用的做法和审计日志结构，读者可以直接按 quickstart 迁移到自己框架里复用。
GitHub 上的 snakebite 是一款面向 Windows 的 PyPI 包风险检查工具，通过启发式分析结合 LLM 过滤，识别凭据窃取、代码混淆和供应链攻击迹象。它将结果分为低、中、高关注等级，支持单个包名或按 .txt/.csv/.json 文件批量扫描，推荐 Windows 10/11、4 GB 以上内存和 200 MB 磁盘空间，无需 Python 知识即可使用。
richardsondx 发布 ground-rules，一个把自然语言 Agent 规则编译成机器可执行 policy JSON 的工具，配合 callgate 在每次工具调用前强制执行。compileRules 离线确定性编译，validatePolicy 检测规则冲突、不可达规则和过宽 allow，未覆盖的表达可用 compileWithModel 调用自定义 LLM 生成并经验证器把关。零运行时依赖，MIT 协议。
推荐理由：原文给出了从自然语言规则到可验证 policy JSON 的完整编译流程与规则冲突检测方法，做法可以直接迁移到自己的 Agent 约束场景。
richardsondx 发布开源库 agent-spendcap，为 AI 智能体提供预算与语义限流，零依赖，npm i agent-spendcap 即可安装。每个 agent scope 可设成本上限、工具调用上限、外部写入上限和命名滑动窗口限流（如每小时 5 次退款），每次动作前调用 check() 纯判断、动作后 record() 记账并追加 JSONL 审计日志，超限时触发 onExhausted 停止或升级处理。仓库还附 llms.txt 与 Claude Code / Codex 技能文件，MIT 许可。
推荐理由：为智能体提供成本与语义级限流的轻量方案，用滑动窗口限额覆盖按请求限流表达不了的每任务花费上限场景。
GitHub 仓库 Addyk-24/Niyam-AI 发布，为 LLM 智能体的每次工具调用附加 zk-SNARK 证明，第三方约 50.7 ms 即可验证且无需模型权重。在 Agent-SafetyBench 2,000 个场景的 5 折交叉验证中 F1 达 88.8%，高于 NeMo Guardrails（40.4%）、GPT-OSS-Safeguard-20B（46.2%）和 Llama Prompt Guard 2（66.8%），但作者注明 Judge 拟合了基准分布而基线为零样本；红队 18 个攻击向量修复后全部拦截，已知缺口是门控读取的 PyTorch 输出与被证明的电路输出尚未绑定，证明生成约 1.7 秒，适合低频高风险操作。
推荐理由：仓库同时给出了与 NeMo Guardrails 等基线的 F1 对比、消融、红队结果和已知缺陷说明，便于读者评估 zk-SNARK 护栏的真实代价。
开发者 Shardul Kulkarni 开源了 honestapply，一个本地运行的求职申请 Agent，覆盖职位发现、评分、简历定制、求职信生成到表单提交全流程。防造假是硬约束而非提示词请求，resume_facts 中的事实经子串校验，不匹配则重试一次后转人工；安全设计包括每日默认 25 次提交、不可覆盖的 50 次硬上限、同域提交间隔 ≥90s ±30s、三重去重、CAPTCHA 转 needs_human 队列，状态存于本地 SQLite，支持 Ollama、LM Studio、vLLM 等本地推理和 Claude Code + Playwright MCP 的浏览器申请。项目采用 AGPL-3.0-or-later 许可并提供商业授权，作者同时提醒职位板自动化与多数网站 ToS 存在灰色地带。
GitHub 上的开源应用 HumanMark 可检测文本、图像、音频和视频中的 AI 生成内容，支持完全离线运行，数据保留在本地设备。它支持 .txt、.docx、.pdf、.jpg、.png、.mp3、.mp4 等多种格式，无需技术背景即可拖放文件分析，系统要求 Windows、macOS 或 Linux、至少 4 GB 内存和 500 MB 磁盘空间。
kkcyber2 在 GitHub 开源了 Bounty Machine（bountymode），一个授权优先的漏洞赏金工作流框架，不自己实现攻击，而是通过默认拒绝的授权门编排安全测试，输出可提交的 HackerOne / Bugcrowd 格式报告。框架内置 ai_llm（19 项技术，含 prompt injection、jailbreak、RAG poisoning 等）、web_api、cloud、cicd 四个域，支持真实 CVSS v3.1 打分、证据脱敏哈希链存储、N-of-M 复现验证、指纹去重，新增域只需写一个 adapter；默认 dry run，破坏性技术无条件拦截，需 Python 3.9+，核心零运行时依赖，MIT 许可。
GitHub 开源仓库 ai-rag-platform-blueprint 提供在生产级基础设施上运行内部 AI、LLM 与 RAG 平台的参考架构，覆盖网关、RAG 编排、LiteLLM 式 LLM 路由、vLLM 式 GPU 推理、PostgreSQL、Redis 与向量库等组件。当前 v0.2.0 版本包含 Dify 可选工作流、Prometheus/Grafana 可观测性方案，以及引用时效、检索提示词注入、向量备份与恢复等可离线执行的发布检查门禁，并提供 Docker Compose 快速启动脚本。
MAF 是一个与具体 CLI 无关的多智能体编排框架，由模型规划任务 DAG，再把各节点分派给 coder、tester、security、reviewer 等角色，每个角色带独立系统提示词和工具白名单。0.2.1 版本已支持 Claude Code、Gemini、Codex 三种 CLI 后端和 Ollama、OpenRouter 两种 HTTP API，内置策略引擎、路径限制、密钥脱敏、写入角色全仓库 diff 安全审查，以及 HMAC 签名的 SLSA 风格证明包。README 用状态表逐项区分已交付与计划中功能，并附对应测试文件；worktree 隔离、人工审批门、in-toto 证明等留待 0.3.0。
推荐理由：README逐条标注每个特性是否已交付、对应测试与版本，读者可据此评估这个多智能体编排框架的真实完成度。
Ezharjan 开源了 DailyLLMAlignmentArxiv，一个通过 GitHub Actions 全自动追踪 LLM/VLM 对齐与 AI 安全 arXiv 论文的系统。它每 24 小时抓取最新论文，按 12 个研究领域、150+ 对齐关键词过滤并自动分类，支持附代码仓库链接、JSON 导出和带搜索的网页展示。用户可通过 YAML 配置自定义主题、论文数量和更新频率，并部署到 GitHub Pages。
gebruder 在 GitHub 开源了 Wirken，一个面向自主 Agent 的企业网关，以单个静态 Rust 二进制分发，MIT 许可。网关将 Telegram、Slack、Teams 等消息渠道接入 Agent，核心假设 Agent 本身不可信：凭据保存在加密 vault 中不进入模型上下文，每个动作执行前写入哈希链审计日志，默认最低权限，shell 命令在无网络的临时容器沙箱中运行，且按 Agent 设置支出预算。模型连接不绑定厂商，可接 frontier API、Ollama 本地权重或欧盟托管端点。README 明确列出已知局限，包括出口流量未完全隔离、沙箱可关闭、注入检测只标记不拦截、权限按 Agent 而非按用户生效等。
推荐理由：该仓库写明了权限模型、沙箱与审计的实现边界，并列出逃逸开关和已知局限，方便读者评估这类企业 Agent 网关的适用场景。
一个开源实验项目用 Python 和 Ollama 本地部署的 Qwen3:8B 模型构建了易受攻击的模拟应用 SecureBot，并开发提示词注入检测层，通过 `security.py` 拦截恶意请求并记录到 security.log。项目共设 11 个自动化测试用例，覆盖良性提示、误报和检测绕过尝试，最终全部通过，在定义测试集上准确率 100%。作者强调该结果仅针对选定提示词，基于关键词的过滤是教学原型，不能替代生产级 LLM 安全防护。
GitHub 上的 agent-mesh-demo 项目展示服务网格如何补足 AI Agent 认证之后的授权问题，包括可调用哪些工具、代表谁、经哪些 Agent、模型 token 预算和可发给模型的数据。Demo 基于 Solo 版 Istio ambient 模式运行，Solo Enterprise for agentgateway 作为同一控制平面上的 waypoint，无 sidecar、Agent 内无安全代码。
PoeenCy 在 GitHub 开源 llm-defense-setup，一套面向 A/D CTF 的单机监控与防御系统。它用 ctf_proxy 在边缘拦截攻击，Tulip、Suricata 与检测服务在 1 秒内识别 flag 外泄并上仪表盘，并通过 mcp-tulip 只读访问流程数据，由 Cisco 基于 Llama-3.1-8B 的安全模型 Foundation-Sec-8B 做 IOC 分析。services.json 作为唯一配置源自动生成各工具配置，附 SLA watchdog 与 mock-vulnbox。
regnant-io 在 GitHub 开源了 Cordon，一个部署在本地模型运行时之前的保密推理控制平面，提供客户端证书身份、按客户端策略与限速、输出内容过滤、防篡改审计日志和逐响应 Ed25519 签名。它监督 llama.cpp 的 llama-server 作为唯一入口运行，支持 light 到全气隙 dark 共五种部署模式；README 区分了已测试能力、依赖 TPM 2.0 与 AMD SEV-SNP 硬件的能力、未实现部分（如 SGX-DCAP、证书吊销）以及有意保留的弱点。
推荐理由：原文用很大篇幅说清哪些保证已实测、哪些依赖硬件、哪些是有意保留的弱点，读者可以据此评估它是否适合自己的保密推理部署。
hallucination-audit-ids 仓库用纯规则检测器审计 LLM 为 CIC-IDS 2017 网络入侵告警生成的解释中的幻觉。在 398 条解释中，严格口径（Tier 1+2）检出 92.5% 含无依据论断，宽松口径（仅 Tier 1）为 53.5%；99.4% 的时长表述与证据中的微秒级 Flow Duration 矛盾。25 条解释的标注审计显示规则精度 1.00、句子级 recall 约 0.35，全部结果可离线复现。
GitHub 仓库 scadastrangelove/awesome-ai-security-tools 收录了 AI 安全与 AI 辅助网络安全领域的开源、研究和商业工具，覆盖安全发现自动分诊、AI Agent 安全、AI/ML 供应链、渗透测试 Agent、AI SAST、LLM 红队测试及 SOC/SIEM 分诊等类别。清单用 🟢🔬🟠⚠️ 标注许可证状态，并提供脚本刷新 GitHub star 数据，最近一次刷新为 2026-10-08。收录项目包括 Arm 的 Metis、腾讯朱雀实验室的 AI-Infra-Graf（★ 6,789）等。
TyrusRC 发布 mantis，一个本地代码安全审计工具，用 OpenGrep 做静态扫描、由 LLM 对扫描标记的代码切片做推理复核。支持作为 Claude Code 斜杠命令运行，也可作为独立 CLI 接入 Anthropic、Google、OpenAI、OpenRouter、Ollama 等 litellm 支持的提供商；提供 quick、deep、bugbounty、cve 等审计模式与 --fix、--skip-llm 等选项，除每日一次的 PyPI 版本检查外无任何出站网络调用。
推荐理由：原文给出了完整的安装方式、审计模式和流水线分阶段说明，读者可以直接按需选择用 Claude Code 或独立 CLI 跑本地代码安全审计。
GitHub 仓库 mchx-cs/agentic-llm-redteam 发布 LLM 渗透测试自动化框架的 Phase 0 骨架，仅搭建攻击者→目标→裁判的本地循环，不含真实攻击，预期每次判定为"NON"。项目 100% 本地免费运行，通过 Ollama 拉取 llama3.2，所有 LLM 调用统一走 `demander_au_llm()` 抽象层，改一行 `PROFIL_ACTIF = "api"` 即可切换到 API。后续计划加入 prompt injection、jailbreak 等真实攻击族，并集成 garak 与 PyRIT。
duki-core 在 GitHub 发布 llm-output-guard，一个厂商无关的轻量库，针对本地/自托管 LLM 应用的四类安全问题：系统提示词泄漏、文本标记与结构化 tool call 的未授权动作执行、以及经 RAG 内容的间接提示词注入。库内含 PromptLeakGuard 三层检测（字符串匹配、嵌入相似度、LLM judge）、ActionGate 用户确认门控、context_guard 输入清洗和 ToolCallGuard 结构化调用校验，作者从基于 LM Studio 的本地聊天伴侣项目中抽出，MIT 许可，并明确说明这是启发式纵深防御而非正式安全保证，流式与 async 支持尚未实现。
推荐理由：这个开源库把系统提示词泄漏、幻觉动作执行和间接注入拆成四类问题，并诚实列出了每层防御的失效条件，方法可直接迁移到本地 LLM 应用。