新闻、仓库与研究，按时间排列。
作者 /u/Slight_Analysis_5414 在 RTX PRO 6000 上用 vLLM 0.29.1rc1 nightly + Qwen2.5-1.5B-Instruct 与 Ollama 0.40.1 + qwen2.5:7b（Q4_K_M）各跑 96 次，共 192 次 live 测试，验证其确定性执行守卫 CLIM Agent Guard。结果为 80/80 未授权操作被拦截、16/16 合法删除被执行并验证，无守卫时伪造授权等场景 32/32 全部执行。守卫不读提示词、不用第二个 LLM 评审，只对照宿主状态检查工具调用的授权、目标和重复提交。
推荐理由：作者用 192 次本地实测给出确定性行为守卫的前后对照数据，还记录了 vLLM 与 Ollama 在 tool_choice 上的行为差异，可作工程参考。
GitHub 开源项目 LLM-Guardrail 是一个 OpenAI 兼容的 PII 治理与匿名化反向代理平台，面向 nvidia/Qwen3.6-35B-A3B-NVFP4 等本地 SLM/LLM，集成 Neon PostgreSQL 数据库与 Clerk Auth，支持 Docker Compose 部署。平台覆盖 HIPAA Safe Harbor 与 DPDP 的 15 类 PII 类别（含姓名、SSN、电话、IP、VIN 等），并为每个用户提供带 user_uuid 的个性化代理 URL，可按 OpenAI Compatible 方式配置到 Cline。
safia-habib 在 GitHub 开源 llm-security-check，一个只读、被动的 Web 扫描器，用通俗英文报告 AI 应用的 LLM 相关安全问题：JS 包、.env、source map 中的 OpenAI、Anthropic、Google Gemini、Groq、AWS 等提供商密钥，客户端代码中的 JWT，浏览器直连提供商 API，前端暴露 system prompt，CORS 配置过宽等。每项发现附带风险说明、攻击场景和修复步骤。工具只发 GET 和 HEAD 请求，不测试密钥有效性、不运行无头浏览器、不扫描需登录的页面，报告仅在内存中保留最多 30 分钟，支持 Docker 和 Fly.io 部署，采用 MIT 许可。
推荐理由：原文明确了工具的检测范围和刻意保留的局限，读者可据此判断它适合放进什么样的自查流程。
Azhy34 在 GitHub 开源 agent-observability-logging，为多智能体系统提供由代码而非模型写入的确定性 JSON 审计日志和回合末不变量检查，可作为 Google ADK 插件或任意 Python Agent 循环的上下文管理器使用。每行事件带 OpenTelemetry trace id，写入前对 API 密钥、JWT、邮箱、电话、卡号等做脱敏，内置 last_reply_from、required_tool_calls 等规则，违规以 ERROR 级 invariant_violation 事件记录且不中断回合。
推荐理由：作者给出多智能体系统确定性审计日志的做法和真实事故案例，读者可以照着把不变量检查搬进自己的 Agent 循环。
sushant-me 在 GitHub 发布了论文《LLM Agent Firewall》的可复现实现，包含 6,000 条确定性智能体间消息语料、亚毫秒级 TF-IDF + 逻辑回归分类器，以及置信度校准的两层路由，仅升级不确定流量给语义判官。在 CPU 上约一分钟跑完全部核心结果，无需 GPU、API 密钥或网络。实测 Strata I+II held-out 准确率 1.000、0 误报 0 漏检，分类器平均延迟 0.333 ms，5% 隐蔽攻击占比下混合延迟 271.5 ms（比全部走判官快 19.9 倍）。
推荐理由：作者复现了论文的多智能体提示词注入防火墙方法，还披露了语料格式混淆这类基准设计陷阱，做法对自建评测的人有参考价值。
gbmeello 开源了 Itaú 技术案例的 Python/FastAPI 实现：一个采购审批服务，接收不完整或有恶意注入的请求，经确定性规则引擎、Claude Sonnet 5.5（分析）与 Claude Haiku 4.5（合规）及代码校验器，输出 APPROVE、REJECT、ESCALATE_TO_HUMAN 或 NEEDS_INFO 等可审计决策，支持直连或经 MCP 消费 ERP。项目含 59 个 pytest 测试和 34 案例/37 轮 golden set 评测，准确率、schema、grounding 均 100%，默认用确定性模拟 LLM 运行、无需 API key，另有架构相同的 Java/Spring Boot 版本。
r/CharacterAI 一位用户发帖称，多个 Character.AI 机器人的 FC（角色形象）看起来像儿童，甚至像小学生，即使对话内容本身没有不当引导，这种现象也令人不适。发帖人表示不确定这些形象来自用户的 persona 设定还是其他原因，并认为无论设定如何都不可接受。
GitHub 仓库 itsoso/health-llm-driven 展示了 Reva Personal Health OS，一个将可穿戴设备、体检等健康数据转化为少量高杠杆行动并验证效果的个人健康执行系统，首个目标人群为 35-55 岁有早期代谢风险的高强度工作者。系统包含 Digital Health Twin、Safety Guardian、Action Ranker、8-12 周 intervention cycle 等模块，后端采用 Python 3.12 与 FastAPI，数据层为 PostgreSQL，移动端基于 Expo/React Native，并支持 Apple Watch 与 Mac 执行界面。项目明确声明不提供诊断、处方或自主用药调整，高风险路径须经安全规则与人工复核。
作者开源 monkeyleash，一套让不会逐行读代码的人监督 AI 编码代理的治理工作流，前身是 agent-gates。核心思路是提示词只是建议、文件和 hook 才是约束：仓库含 9 条规则（R1–R9）加用户级 G1、 outpost 与 pre-commit 双层执行、六站主管线、带哈希链的账本、只读 MCP 服务器和 148 条摩擦日志（编号至 F-159）。作者明确说明仅在 Windows 上用 Claude Code 自测过，1313 项本地测试通过，尚未有外部使用者验证。
kta41 在 GitHub 发布 godot-visual-mcp，一个通过 MCP 服务器向 Cline、Roo Code、Copilot 等 Agent 暴露 Godot 资产工具的开源项目。核心配置完全离线运行，提供 inspect_asset、generate_spritesheet、apply_palette 等工具，v0.3 增加 generate_asset 和 remove_background，可接本地 ComfyUI；所有操作限制在 GODOT_PROJECT_ROOT 内，拒绝绝对路径、../ 穿越和 symlink 逃逸，默认不覆盖已有文件，并提供 Docker 部署与 PyPI 发布流程。
Modeq 是一个基于 GenLayer 智能合约的公开内容审核注册表，由 5 个验证者节点独立运行 LLM 分类，仅当多数节点对 decision 和 primary_category 达成共识时才写入链上。分类阈值（置信度高于 70% BLOCK、高于 40% FLAG、其余 ALLOW）以合约常量写死，模型输出须经 Python 结构校验。项目已部署在 GenLayer Studio、Asimov 与 Bradbury 测试网，提供无门槛公共审计日志，4 次提示词注入等攻击均被判定为 spam 并 BLOCK。
作者发布 PolicyLens（MatthewPaver/iam-policy-auditor），用确定性引擎审查 AWS IAM policy 变更，判断指定敏感操作是否从拒绝变为可允许，并给出触发该结论的语句行号，判定结果为 stop、needs context 或 pass。工具可对候选修复做双向验证，要求风险关闭且必需访问保留；可选 Claude 解释层通过 grounding gate 校验引用后才展示。零运行时依赖，克隆即可本地运行，附带 118 项测试、55 个回归用例及与 AWS iam:SimulateCustomPolicy 对比的独立校验脚本；变更审查和条件求值仅支持 AWS，其他云平台只做解析和规则检查。
Ayush Maheshwari 在 GitHub 开源 SupOps，一个不只给建议、还能 SSH 到服务器实际执行检查与修复的 AI 运维工具，Docker 一条命令即可部署。核心是五阶段风险引擎：任何模型读到的文本都只能提高而不能降低风险等级，因此提示注入最多带来更多审批提示；只读检查自动执行，中高风险暂停等待人工审批，禁止操作永不运行。支持 Kubernetes 集群目标、Prometheus/Grafana 等可观测性接入、告警自动只读诊断、Advisory 模式和知识库导入，采用 Apache License 2.0。
推荐理由：原文完整披露了五阶段单调风险引擎的设计，模型读到的内容无法降低风险等级，对理解运维智能体的防注入思路有参考价值。
CrowdStrike 报告称，上周韩国部分最大型银行遭到的网络攻击可能由单人实施，攻击者组合使用了开源 AI 渗透工具 ARTEX 以及 DeepSeek v4.1-Flash、GLM-5.3、Grok 4.6 和 Claude Code。帖子转发自 Andrew Curran 与 Jukan 在 X 上的讨论，并附 CrowdStrike 报告链接。
推荐理由：材料引用 CrowdStrike 报告还原事件全貌，可以看出开源渗透工具与多个商用模型组合在真实攻击中的用法。
GitHub 仓库 freebuff-proxy 是一个本地代理程序，在用户与 AI 服务之间转发 OpenAI 兼容连接，声称提供私有高速通道。它采用 uTLS JA3 隐蔽技术、多 Token 池与按任务隔离的会话管理，双击即可运行，无需安装或注册。该工具面向注重隐私的 AI 用户，附带 Prometheus 指标和 9router 支持。
Shan091 在 GitHub 开源的 sales_agent 项目，是一个能在 WhatsApp 上独立完成智能家居销售全流程的智能体，基于真实商家 Otohom 的产品目录，用 RAG 回答技术问题、推荐追加销售、生成订单并创建 Razorpay Payment Link，Razorpay 目前运行在 test mode，不涉及真实资金。架构采用 FastAPI 网关、LangGraph 编排、PostgreSQL + pgvector 混合检索和 BAAI/bge-m3 嵌入，模型为通过 OpenRouter 调用的 Gemini 2.5 Flash / Flash-Lite。
reddit-mcp-server 是一个基于 Model Context Protocol（MCP）的开源工具，可在 Windows 本地运行，无需 API 密钥或账号即可搜索 Reddit 帖子、浏览 subreddit 和查看用户活动。系统要求 Windows 10 及以上、4 GB 内存和 200 MB 磁盘空间。任何兼容 MCP 的 AI 工具都能连接并获取结构化的 Reddit 数据。
Balaji Sivarajan 发布一项配对情景审计，检验开源权重 LLM 在判断涉及 doomscrolling 的伴侣冲突时，是否会因 scrolling 一方的性别（male/female/neutral）及文化框架（north_american/south_asian）而改变评判。研究用 120 个情景 × 6 条件 × 2 个开源模型 × 5 次重复共 7,200 次调用，temperature 0，协议预注册于 config/protocol.yaml，统计采用 Wilcoxon signed-rank 与 Holm 校正，并以 evidence_quote 引文核对计算幻觉率。
NYU Abu Dhabi 等机构的研究团队在 GitHub 发布论文数据仓库，审计 GPT-5.4 mini、Claude Haiku 4.5、Llama 4 Scout 和 NVIDIA Nemotron 3 Nano 对事实核查新闻标题的模拟情绪反应。标注 confirmed false 后，GPT、Llama、Claude 的情绪从负面转向正面，六维度合并正面评级从 15% 升至 68%，Claude 的 Confident 评级从 22% 升至 99.6%；但在 84 个统计显著比较中有 82 个显示 Black 人设比 White 人设获得更多负面情绪，标签并未消除人设差异。仓库包含刺激材料、原始输出和聚合评级数据及复现代码。
GitHub 项目 mcocdaa/StatLLM 开源了一套黑盒大模型统计指纹识别与归因系统，用于检测商业 API 或换皮服务中的模型偷换、静默量化降配和虚假底座宣传。方法上通过随机数、颜色、石头剪刀布、字母分布等标准化微观探针采样，结合 Dirichlet 平滑的联合对数似然、95% Bootstrap 置信区间（B=800 次重采样）、加权众包频次更新和 2D PCA 聚类投影判定模型归属。项目提供 CLI、FastAPI Web 端、Docker 一键部署，内置 GPT-4o、Claude 3.5、DeepSeek-V3、Gemini 2.0、Qwen 2.5 仿真样本体验，遵循 MIT License。
推荐理由：原文给出了黑盒大模型指纹识别的完整统计方法与探针设计，读者可以据此复用这套验证 API 底座是否被偷换的流程。
fwerkor 发布 local-shell-mcp，为 ChatGPT Developer Mode 等 MCP 客户端提供容器化受控执行环境，涵盖 shell、持久会话、文件系统、Playwright 浏览器自动化、桌面 GUI 控制、远程 worker 和 Agent Skills。安全边界是容器或 VM 而非宿主机，默认启用 OAuth 2.1、审计日志、命令超时和密钥扫描；支持 Docker、VS Code 扩展、二进制和 Python 运行时，并提供 DeepSeek Harness 插件。项目地址 https://github.com/fwerkor/local-shell-mcp。
推荐理由：原文完整列出了工具面、安全边界和部署步骤，读者可以直接评估它是否适合给 MCP 客户端接一个受控执行环境。
GitHub 开源项目 LedgerLLM 提供多租户 LLM API，核心功能仅是摘要任意 URL 或文本，重点在于 SaaS 化所需的外围设施。它支持 free/pro/enterprise 套餐与每分钟限流、租户月度预算（80% 软警告、超限返回 HTTP 402）、以整数微美元记录每次调用的成本账本，并内置提示词注入检测、输出审核、幂等键、PII 脱敏和 CI 评测门禁。项目基于 SQLite 开箱即用，可用 Gemini API key 或任意 OpenAI 兼容端点（groq、openai、openrouter、ollama、anthropic），默认模型为 gemini-3.5-flash-lite 和 gemini-3.8-flash。
devopssquaddev 在 GitHub 开源了 Zelkor Platform 的 Community Edition（Apache-2.0），在 Kubernetes 上提供沙箱化的自托管 Agent 运行时，隔离网络与租户数据，并通过单一网关路由模型、经 MCP 暴露工具、支持 LangGraph 或 Deep Agents 工作负载及 Langfuse 追踪。./install.sh 可在本地 kind 集群完成安装（chart 2.3.0），Pro 与 Enterprise 版在其上增加 SSO、预算审批、HA/GitOps 及 mTLS、审计保留与 BAA 等合规能力。
作者开源其博士论文第一阶段成果：一个基于蕴含（NLI）验证 LLM 生成的网络威胁组织归因声明的数据集与基线代码。数据集含 85 条声明，分五类并关联 MITRE ATT&CK STIX 2.1 数据。检索+蕴含系统准确率仅 14.1%，无检索基线 11.8%，均低于 33.3% 随机水平；错误分析显示主要瓶颈是蕴含模型而非检索，作者计划引入 Logic Tensor Networks 在 ATT&CK 图上做符号推理。
开发者 Abin-Biju-Offl 在 GitHub 发布 Probagent，一个测试 LLM Agent 及其数据的工具，首期功能是数据质量检查器。它支持上传 CSV 或从 REST API 拉取 JSON（401/403 时可通过 JWT 重试），按 JSON 规则集逐行检查，也可从样本 CSV 自动生成规则；演示数据中检出 13 个问题。其 data guard 可接入 LangGraph ToolNode，在数据到达模型前按 block/warn/filter 策略处理坏数据，模型只能看到问题计数和列名而非原始值以防提示词注入，检查结果写入运行日志并可用 probagent explain 查询。限制为单文件 10 MB、50000 行、200 列。
推荐理由：这是一个可直接部署的开源数据质量检查工具，还提供 LangGraph 集成，能在脏数据进入模型前自动拦截。
Torvi 是一款面向印度住宅小区的 WhatsApp 优先 AI 助手，基于 AWS Serverless 与 Amazon Bedrock Agents（Claude Haiku 4.5）构建，住户可用英语、印地语、泰卢固语或混合语言查询费用，无需 App 和登录。该仓库公开架构设计、安全模型与决策记录，LLM 从不做授权决策，写操作仅在带认证的管理后台完成。试点为一个海得拉巴 11 户小区，自 2026 年 4 月上线，数据全部留在 ap-south-1（孟买）区域。
GitHub 仓库 gato09sa/networks-llm-security-repair 用于度量基于 LLM 的自动化漏洞修复中的虚假安心感（False Assurance）。仓库包含 benchmarks、results/vul4py_scan 结果目录，以及 config.py 和 models.py 等代码文件，目前尚无 stars、forks 和 releases。
GitHub 用户 unbelievablejohn 发布 haa-llm-securitypro 原型，让模型在生成答案前先输出置信分，低分直接拒答，高分答案再由异厂商模型（智谱 GLM 主答、DeepSeek 验证）独立核对并做程序层实体比对。在 54 条自建样本上，验证层把 confident-wrong 从 7 条降到 1 条，减少 86%，过度拒答保持 1 条未增加。项目还给出置信分实为非连续刻度（30 到 88 之间无样本）、智谱 GLM 置信分波动是 DeepSeek 的 9 倍、ECE 达 33.1%、20 条 Red Team 对抗用例被攻破率 10%、以及 790 题 TruthfulQA 外部验证等结果，并附完整代码与各评测报告。
推荐理由：项目用对照实验和重复测量量化了模型自报置信分的失真，验证层对高置信错误的削减有数据支撑，方法可迁移到自建检索或作答流水线。
GitHub 仓库 serend-ljh1/metric-guard-nlsql 发布了一套面向业务人员的多 Agent 协作数据分析系统：指标口径配置化、由编译器确定性生成 SQL，LLM 不在生成链路上，口径外问题一律明确拒绝。系统用 LangGraph 编排六个 Agent（路由、执行、归因、结论、决策等）完成「取数→归因→诊断→决策→HITL」分析链，前端为 Vue3 + ECharts，全链路 SSE 流式。外部基准 Spider dev world_1（N=120）覆盖率 25.0%、覆盖内执行正确率 100%、错答 0 条（作者声明这是看过题面的开发集覆盖率）；61 条外部对抗语料危险拦截 48/48、只读误杀率 7.7%；归因命中率全量三档注入 top-1 33.8%。
josephniel 在 GitHub 开源了 majordomo，一个运行在 Telegram 的自托管 AI 助手框架，可接 Gemini、Claude、GPT、Groq、DeepSeek 或经 Ollama 的本地模型。框架不信任模型声称的动作，会检测未兑现的工具调用并给出纠正提示；所有写入操作需人工 Approve/Deny 确认，默认拒绝无人值守自动批准。检索采用全文加 pgvector 混合方案，附带评测工具，当前成绩为 recall@4 100%、MRR 0.975、false-injection 0%。项目以 MIT 许可发布，文档提示 prompt injection 是核心威胁模型，不提供可执行技能和市场。
推荐理由：作者围绕模型不可信这一前提设计了验证与审批机制，并给出可复现的召回评测数字，适合关注 Agent 可靠性工程的读者参考。
GitHub 上的开源项目 Transmute 是一个受控数据迁移工作台，用于在不同 schema 的系统间迁移数据：Gemini 只基于 schema 元数据提出映射建议，人类审批后由确定性代码执行，模型始终不接触数据库凭据或写入权限。项目内置 50 条合成客户记录（含无效邮箱、空值、无效日期等边界用例）来验证校验与隔离流程，并通过结构化 JSON 输出、转换白名单和 fail-closed 机制保障安全。
Quodeq 是一个 MIT 协议的开源本地代码审计工具，用 AI 从安全、可靠性、可维护性、性能、灵活性、可用性六个 ISO 25010 维度扫描代码库，每条发现映射 CWE 标识并给出违规行号和修复计划。支持 Ollama、llama.cpp 本地模型和 Claude Code、Codex CLI、Gemini CLI、GitHub Copilot CLI 等云端 Agent，无账号、无遥测，结果以 JSON 存在本地，并可导出 SARIF 2.1.0 上传 GitHub code scanning。
推荐理由：原文完整给出了安装、模型配置和评分机制的细节，读者可以据此在本地跑通这套开源代码审计工具。
KMUTNB 的 TreeSHAP-Guided RAG 管线把 Suricata IDS 告警经 XGBoost 分类器（97.5% 准确率）与 TreeSHAP 解释，动态重排 RAG 检索结果，由 Typhoon2（Ollama）生成泰英双语结构化安全报告。知识库含 885,273 个来自 NVD、CVE List V5、CWE 和 MITRE ATT&CK 的文本块，三层引用护栏使 L3 supported 覆盖率从标准 RAG 的 22.7% 提升至 25.1%，并在物理测试床上完成端到端验证。
configguard 是一款面向 Windows 的网络合规检查工具，可加载 .cfg/.txt 等网络配置文件，按 NIST、CIS、PCI-DSS 内置规则检查弱密码、开放端口、防火墙错误配置等问题，并用 LLM 以通俗语言解释结果，还借助 Batfish 模拟验证修复效果。工具支持 PDF/CSV 报告导出、命令行批量检查和定时扫描，无需编程知识即可使用。
开源仓库规范 ATTRIBUTION.md 定义了一种机器可读文件，让维护者声明希望 AI 编程智能体在复用其代码时给予的回馈信号，如请求用户 star 仓库。该规范 v0.1 采用 YAML frontmatter 格式，文件需放在仓库根目录或 .github/ 目录，目前仅支持 star 动作和 suggest 同意模式，agent 必须先征得用户明确批准才能执行操作。sponsor、follow 等动作类型保留给未来版本，未识别的类型将被静默忽略。
netlens 是一款本地运行、只读的网络工程师 AI copilot，可在推送前审查 Cisco IOS/IOS-XE、Junos、Arista EOS 配置变更，输出语义 diff、37 条确定性规则检查、风险摘要和回滚片段，每条 AI 结论必须引用工具输出否则被丢弃。它可用 `--no-llm` 运行，默认通过 Ollama 使用 Qwen3-14B 4-bit 模型（适配 24 GB Mac），并以两层 allowlist/denylist 门控和人机确认限制设备命令，当前版本为 v0.1，License 为 MIT OR Apache-2.0。
BreakBot 是一个面向独立开发者和小团队的工作流感知型 Web 应用安全与 QA 测试工具，通过 DNS TXT 或 /.well-known/ 文件验证目标站所有权后，用 Playwright 爬取站点并分层执行功能 fuzzing、API 健壮性测试和非破坏性安全检查。其核心差异点是 LLM 智能体驱动的多步、有状态"业务逻辑"攻击链，能发现单请求扫描器找不到的漏洞，每项发现附带可复现的 proof-of-exploit 和可重放的 curl 命令。
nimbus-agent 开源了 Nimbus，一个本地优先的 AI Agent，面向生产系统工程师，用本地 SQLite 索引统一源码管理、CI/CD、监控和事件管理等工具链，多数查询不到 100ms 且不调云端 API。删除、发送等破坏性操作由执行器层的人工审批闸门拦截而非提示词约束，凭据存于 OS 密钥库，出站行为记入 BLAKE3 链式出站台账，可用 nimbus prove 查证。项目支持 Ollama、llama.cpp 本地模型及 Anthropic/OpenAI 等云端模型（默认关闭），核心采用 AGPL-3.0，扩展 SDK 为 MIT。
CrisisOps v2 是一个 OpenEnv 兼容的强化学习环境，用 GRPO 训练 Qwen2.5-1.5B（Unsloth LoRA r=16）担任 AI 项目经理，检测团队谎报进度。智能体需在 20 点行动预算内，将成员自报进度与 commit、ticket 响应等可观测信号交叉验证，并以反事实奖励对比贪婪基线。300 episodes 训练后平均分约 0.65+，超过基线的约 0.50；对抗方由 Ollama qwen2.5:3b 驱动。
burakkaygusuz 在 GitHub 发布 Clastogen，一个 pytest 插件，通过删除规则、把 never 改为 always、把 must 弱化为 should、数字乘 10 等方式向系统提示词注入小故障，再重跑评测测试，检验测试能否发现这些缺陷，并输出 Mutation Score。插件用 SPRT 序贯检验在结果明确时提前停止，节省 API 调用，配合 10 次 Laplace 基线运行过滤 flaky 测试；demo 显示两个常规通过的测试只捕获 5 个突变体中的 3 个（得分 60%）。仓库见 https://github.com/burakkaygusuz/clastogen ，MIT 许可。
推荐理由：作者给出了用突变测试检验 LLM 评测是否真的能发现提示词缺陷的可复用方法，含 SPRT 省调用的设计与实测示例。