新闻、仓库与研究，按时间排列。
GitHub 用户 anxious-phyllo879 发布 Anthropic-Cybersecurity-Skills 工具包，提供 817 个结构化网络安全技能，覆盖 MITRE ATT&CK、NIST CSF 2.0 等 6 大框架和 29 个安全领域，可配合 Claude Code、GitHub Copilot、Cursor 等 20+ 平台使用，采用 Apache 2.0 许可证。使用方式为下载 zip 并运行 start.exe，占用约 3.0MB 存储；需注意其要求下载可执行文件并在杀毒软件拦截时放行，建议谨慎核验来源。
OneClickLM 是一个免费开源工具，可通过单条命令在 Windows 上运行 NotebookLM MCP 服务器，自动处理认证并在服务器崩溃时自动重启。它要求 Windows 10 或更高版本（64 位）、至少 4 GB 内存和 500 MB 磁盘空间，无需额外配置，支持与 Claude 等基于 MCP 协议的 AI 工具集成。该工具用 TypeScript 编写，用户可从 GitHub Releases 下载 .exe 安装包使用。
开发者 joymin5655 开源了 Agent v0.6.0（MIT 协议），一个跨厂商的 AI 编码 agent 安全 harness，核心是把拒绝密钥访问、拦截破坏性命令、核对 done 声明等约束做成工具边界的机器闸门而非提示词措辞，核心规则写一次即可同时覆盖 Claude Code、Codex CLI 和 Antigravity CLI。完成核验采用 refute-by-default，低置信或判官崩溃一律判 REFUTED；98 个自检脚本由 CI 运行，docs/reality 测试保证文档与仓库一致。8 个植入 bug 的盲测中其双 agent 组合检出 8/8、0 误报，对比栈 oh-my-claudecode 同为 8/8 但有 1 个含糊误报，作者自评为接近打平。
推荐理由：这个 harness 把完成声明核验、密钥拦截等做成工具边界的机器闸门而非提示词约束，其跨厂商同事件同决策的实测设计可借鉴。
该仓库发布 NSF 资助的 BerNE Research Program 下关于 LLM 金融建议算法偏差的研究成果。作者用 Python 和 Google 的 Gemini API 设计实验，在年龄、收入、储蓄、风险承受度等财务特征不变的情况下改变姓名、职业、地点、婚姻状况等人口统计特征，逐个档案多次查询模型并解析结构化输出中的资产配置建议。结果显示部分个性化档案与对照组存在差异，但因样本量和范围有限，结论仅为探索性而非因果关系证据。
TAIPANBOX 的 stack-single 仓库提供一条 install.sh 命令把整套受治理的 Agent 基础设施装到自有机器上，网关默认绑定 loopback，设 GATEWAY_BIND=0.0.0.0 即可开放给其他环境的 Agent，调用按 tokenfuse 1.5.0 的预算上限（默认 5.00 USD）钳制并做策略检查。栈内共十个容器加一个一次性 init 容器，通过 WireGuard 隧道和 passkey 访问控制台，WebAuthn 要求用 CONSOLE_DOMAIN 配 Let's Encrypt 真实域名而非裸 IP。
该项目使用 NVIDIA Garak v0.17.0 对 Anthropic Claude 3.5 Sonnet（claude-3-5-sonnet-20241022）进行红队安全评估，共执行 943 个攻击向量，耗时约 2 小时，发现 0 个漏洞，缓解成功率达 100%。测试覆盖自适应越狱（200 向量）、ANSI 转义序列、API Key 提取及 700+ 编码绕过与注入探测，并按 OWASP LLM Top 10 框架整理 FINDINGS.md 与 ANALYSIS.md 等文档，附带 parse_garak.py 等分析脚本供复现。
研究者提出自主测试智能体 QuSema，利用量子语义与文档约束作为源码级语义 oracle，在量子库中查找静默 bug。其已适配 Qiskit 和 PennyLane，在 20 个历史静默 bug 基准上平均定位数超过 Claude Code 和 Codex，且 DeepSeek 配置成本低于 Claude Code。QuSema 还发现 40 个经开发者确认的未知 bug，其中 30 个为静默 bug。
一项 arXiv 理论研究指出，现有看似证明对齐的方案大多忽视了智能体所处的环境。作者在部分可观测、需在有限时间内采取行动的环境中分析了 agent-agnostic 安全保证的理论界限，并构造无限状态空间与信号混合两个现实场景，证明即使是完美智能体也无法保证安全行为。结论是任何 AI 安全或对齐证明都必须将环境与相应安全动作同智能体一并具体考虑。
研究者提出后微调防御方法 SLDR，基于选择性层恢复与动态路由，仅在敏感度最高和最低的层上训练 LoRA 恢复适配器，并通过基于表示的动态路由只对恶意查询激活适配器。在 4 种模型架构、5 个下游任务和 4 个有害基准上，SLDR 在 Llama3.1/SST2 上将平均有害分数从 11.54 降至 0.08，投毒比例高达 0.9 时有害分数仍接近零，且保持下游准确率。代码已开源。
研究者推出开源可扩展框架 Open-MMUnlearning，统一 MLLM 遗忘（unlearning）的目标模型准备、多模态数据处理与评测流程。框架支持 5 个涵盖隐私、安全、版权的基准、4 个模型族的 8 个 MLLM 和 12 种遗忘方法；在 10 种代表性方法对比中，GD 与 MIP-Editor 并列最高总分。评测还引入指标元评估协议，13 个指标中 BLEU 综合可靠性最高，KS-Test 忠实度 AUC 最高但鲁棒性较弱。
Elysia0126 在 GitHub 开源了 AI Course Assistant，一个全栈 RAG 学习应用，支持上传课件 PDF、PPT、Word 与笔记后进行带页码级引用的流式问答、自动判分测验和基于 SM-2 间隔重复的闪卡复习。技术栈为 FastAPI + PostgreSQL/pgvector + Next.js，混合检索（HNSW 向量 + BM25 + RRF 融合）在 33 题人工标注评测集上达到 Recall@5 1.00、MRR 0.92，并修复了 Postgres ts_rank_cd 缺少 IDF 导致的排序缺陷（关键词 Recall@1 从 0.64 提升至 0.86）。
推荐理由：作者开源了一个完整 RAG 学习应用并附上 33 题检索评测数据，混合检索与安全实现细节可直接借鉴到类似项目。
一项行为测试发现六个推理模型在基于标识符的随机选择中使用阈值和整除规则。GPT-6 Sol 和 Gemini 3.8 Flash 在共享标识符下表现出相关性，显式要求独立随机化可减少但不能消除这种相关性；在随机抽取客户请求供人工审查的任务中，GPT-6 Sol 接近目标抽取率但选择可预测，其余模型很少抽取，四个模型都严格遵循提供的随机数。
一项遵循 PRISMA 指南的范围综述筛选了 199 条记录，纳入 2020-2025 年间的 20 篇同行评审文献，梳理 RLHF 在人机协作（HRC）系统中的方法，据称是首个聚焦双向闭环设计的综述。团队还开展了被试间 VR 实验，用贝叶斯模型比较系统发起与用户发起的反馈对机器人近距行为安全的影响。结果显示用户发起的反馈更能捕捉感知安全，说明反馈时机直接影响反馈质量。
一篇 arXiv 论文研究了自动化测试、红队测试与事件响应的反馈何时能为 AI 系统提供充分防御。论文证明：若每个未解决攻击都有持续被发现的机会、修复有效且更新保留既有防护，有限输入构成的攻击面最终被防御的概率为 1，并推导出完成时间边界。论文还构建防守者主导的 Stackelberg 博弈，刻画威慑攻击的最低成本投入分配及均衡情形；数值实验显示更快修复可缩短被攻陷持续时间而不降低被攻陷概率。
研究者提出 EASE（Entropy-Adaptive Distribution Shaping），一种免训练、与检测器无关的绕过 AI 生成文本检测的框架。它直接从源 LLM 的 next-token 分布计算预测熵，自适应调整 logit 扰动和采样温度，无需检测器反馈或模型微调。在三个源 LLM 和多个检测器上的实验显示检测性能持续下降，文本质量和推理开销几乎不受影响。
Teng-Ruei Chen 在 arXiv 发表论文，测量 LLM 路由器的路由选择日志如何在内容日志关闭时泄露敏感话题。基于 WildChat-1M 和 LMSYS-Chat-1M 共 170 万条真实请求的预注册研究，RouteLLM 在 50% 工作点下骚扰与自残请求被路由到强模型的比例低 19 个百分点，20 次路由决策区分频繁医疗提问者的 AUC 为 0.71；长度匹配的按类别 parity 可消除差距且在 RouterBench 上最多损失 0.2 个准确率点，而每会话 stickiness、每用户预算区间等方法失效。
推荐理由：论文用预注册实验量化了 LLM 路由日志泄露敏感话题的程度，并测试了 defenses 的代价与失效方式。
arXiv 论文（2610.10049，被 IEEE CogMI 2026 接收）用 30 个情境、6 种偏差和 0/1024/4096/8192 token 思考上限在 4 个模型家族做了剂量反应研究，共 12,350 次 API 调用。结果发现推理模型并不比匹配的非推理模型更少偏差，偏差幅度也不随实际消耗的推理 token 增加而可靠下降；锚定是唯一沿人类方向的偏差（d = 1.89），其余偏差多反向；一条让模型先复述锚点的简单指令降低了全部锚定题目的偏差。作者据此主张不应把测试时推理当作理性保证，应对部署模型逐项审计偏差。
推荐理由：研究用 12,350 次 API 调用检验推理预算与决策偏差的关系，结论可迁移到对部署模型的偏差审计思路上。
一项 arXiv 研究将九种已发表的自动化说服力评估方法统一设置后在 15 个 LLM 上运行，发现各方法排名仅弱相关（平均 Spearman ρ = 0.25）。分析显示，模型对部分任务（主要是操纵类任务）的拒绝使一致性降低约四分之一，且多数理性说服方法与通用能力相关而操纵类方法无关。这表明单一说服分数只反映特定评估设置，难以代表模型跨任务的说服力。
论文发布 PatchBench，指出安全补丁可能通过基准测试却压制无关行为，提出 PatchBench-Local 协议评测补丁的行为精确性。该协议从 27,870 个提示中筛选出 400 个高置信越狱失败案例，为每个有害源提示生成有害变体与两类良性邻居提示；对四种 activation steering 方法的评测显示全局能力几乎不变时局部良性回归可能很严重。论文已被 NeurIPS 2026 Datasets and Benchmarks Track 接收，地址 https://arxiv.org/abs/2610.10276v1。
推荐理由：提出用局部邻居提示区分选择性修复与局部压制的评测协议，可迁移到越狱修复方法的对比评估中。
一项 arXiv 研究基于认知负荷理论提出用推理 token 数作为无需读取思维链内容的低带宽监测信号。三个具备推理能力的大语言模型在 210 道选择题上分别被指示如实、虚假或不管真伪作答，结果显示真实作答消耗的推理 token 少于说谎与真伪无关作答。该结果证明提示的非真实响应策略会产生组级差异，是推理 token 数用于区分真实与非真实行为的初步概念验证。
smartsequence 发布 shadow-ai-scan，一个单文件 Python 工具，扫描 repo 找出未登记的 AI 调用并按高、中、低三级给出处置对象。它通过代码中的 SDK 引用、设置文件里的 AI 服务网址和 sk-proj- 等固定前缀的金钥样式三处痕迹检测，不用安装依赖、离线运行，支持六种语言界面，可接 CI 拦截新增高风险提交；作者同时说明它是关键字比对而非深度分析，自封装调用和运行时才确定的套件名等四类情况扫不到。
推荐理由：工具把检测思路、三级处置分流和自身盲区都写清楚了，读者可据此评估关键字扫描这类影子 AI 盘点方法的适用边界。
Digital Foundry Solutions 开源了 actualis，一个本地只读工具，扫描 Claude Code、Codex、GitHub Copilot CLI 的会话记录，输出成本、shell 审计、凭据暴露和缓存效率报告，无需联网。工具按 message id 去重计费消息，实测修正 2.13 倍的成本虚高；凭据事故按邻近度分级重建，把 7,553 条命令缩减到 42 条值得阅读。提供 --self-check 自验证隐私声明、CI 退出码门禁、MCP server 与托盘应用，AGPL-3.0 协议。
推荐理由：工具用去重后的消息计数和按邻近度分级的事故重建来压缩审计噪声，官方仓库详细写明了计算口径与验证方式。
Jiachen Zhao 在 arXiv 发布论文提出 Persona Hierarchy Model，用共享默认人格解释微调行为在不同情境下的泛化差异。基于 Qwen3-4B 等共 120 个微调模型、4 种行为和 15 个训练情境的实验显示，泛化窄度与训练情境人格和默认人格的相似度正相关（Pearson's r = 0.72）；在默认情境下先微调可拓宽后续泛化。作者还提出 persona-preserving regularization（PPR），在 RL 中将 reward hacking 从 42-55% 降至最多 0.2%，同时保留准确率提升。论文链接 https://arxiv.org/abs/2610.09384v1
推荐理由：论文用 120 个微调模型的数据解释行为为何跨情境泛化，并给出能将 reward hacking 压到 0.2% 的正则化方法。
一项 arXiv 研究用最小集设计测试 LLM 回答州政策问题时是否把其他州的正确值当作答案：固定问法、只变换辖区，覆盖 51 个美国辖区和 3 个 Medicaid 收入资格指标。结果显示 Claude Sonnet 5.5 和 GPT-5.6 Sol 分别在 153 项中的 10 项和 25 项上可复现地给出另一州的当前值。但归因脆弱：仅凭答案等于他州值判定替代会带来 3-5 倍的可复现误判，需完整同州参照集。
研究者提出 Constitution-Guided Watermarking 框架，让语言模型水印根据提供商以自然语言列出的原则，为不同请求选择合适的权衡方案。离线由推理智能体基于经验反馈迭代优化各规则配置，部署时由独立监控器检索对应策略，不改动服务模型。基于 KGW 和五条规则的验证中，鲁棒性优先请求的改写后检测率较固定配置最高提升 14 个百分点，在 0.1% 误报率下整体质量与正常检测持平或超过所有基线。
一篇 arXiv 论文提出面向 SIEM/XDR 事件响应的受限动作架构：SIEM/XDR 控制平面将 LLM 输出限定在封闭意图词汇表中，由端点代理执行，并配参数校验器兜底；外层用 NeMo-Guardrails 代理包裹 SOC 分析师 LLM。开箱即用的护栏将注入攻击召回率从 25.0% 提升至 94.5%，误报率 0.1%；红队演练证实该设计可在命令跨越信任边界前遏制 LLM 失效模式。受限于护栏延迟，方案建议采用人机协同或延迟执行模式。
arXiv 论文提出针对多向量视觉文档检索器索引的逆向攻击，将索引还原视为条件文档图像生成。在 ViDoRe v3 基准上，从原始索引还原的页面可恢复 47% 的词和 45% 的敏感 token，作为查询时有 98.4% 的概率将源页面排第一；token pooling 和乱序两种防护都能把词召回降到约 8%，但有模型可将乱序索引的源页面首位命中率从 3.8% 提回 93.5%。同一攻击作用于另一多向量检索器仍有 70.2% 的首位命中率，索引应像原文档一样被保护。
GitHub 仓库 oliverquaye23/claude-hooks 通过安全和实用 hooks 增强 Claude Code，可防止提示词注入，并支持通过自定义脚本扩展功能。该仓库涵盖 agentic-code、claude-code-skills、claude-code-subagents、MCP server 等主题，目前获得 1 star 和 1 fork。
GitHub 仓库 alexroto/refusal-in-llms 是一项独立研究，将 Arditi 等人 2024 年论文《Refusal in Language Models Is Mediated by a Single Direction》提出的拒绝消融技术，应用于初始数据集中覆盖不足、本应触发拒绝的领域。项目为 Python 3.12 环境，运行在 runpod 上，配置为 PRO 6000 MIG 48GB GPU、8 vCPU、125 GB 内存。
LA Builds 在 GitHub 开源了 llm-output-sanitizer，一个生产级 LLM 输出清洗与 Guardrail 中间件，可清除 PII（SSN、邮箱、信用卡、API 密钥）、中和 DOM 注入载荷并强制 schema 合规。它基于纯 Python 3.10+ 实现零外部依赖，提供适配 FastAPI、Celery 或 CI/CD 的开箱即用集成，采用 MIT 许可证，并包含 100% 覆盖的 Pytest 测试套件。
Humanity Loop 是一个开源协议，让 ChatGPT、Claude、Gemini 等 LLM 或支持 MCP 的智能体在授权下定期认领有界公益任务，用户保留控制权。项目已上线官方 MCP Registry 和公共远程 MCP，支持 Tier-0/Tier-1 有界自主与 Tier-2 人工审批。已验证成果包括 Texas HHS 修正了其报告的 Medicaid Buy-In 手册错误。
IDKMesh 是一个开源研究与工程项目，探索人类、AI 智能体、软件工具与异构算力如何在不确定目标下协作并将提案转化为经验证的工作。其 E017 实验测得一个 25 名验证者的面板在多数投票下有效规模仅 1.00，而 N/(1+(N-1)rho) 校正预测为 1.66；内置的 idkmesh CLI gate-audit 命令可对已有判定运行该测量。项目目前是可执行的研究基础，参考实现 Verified Swarm Runner 尚未完成，本地 Control Tower GUI 提供只读的运行证据检查，API 绑定 127.0.0.1，无需模型账号或 API key。
khalidsaidi 发布开源仓库 agentability，每天用只读 AI agent 在真实网页上完成十个日常任务并原文公布过程记录，每周按 llms.txt、robots.txt、schema.org JSON-LD 等 2026 年 agent 惯例给热门网站打分，生成 AI-Readiness Index。规则包括每任务最多 14 次页面访问、固定 token 预算、无人工挑选或编辑，原始 JSON 数据开放，站点脚本零运行时依赖，部署在 Firebase 免费层，项目地址为 https://agentability.org。
Insomniac-VibeLabs 在 GitHub 发布 two-key-concept 0.2.1 原型，要求两个独立密钥（Path A 策略 VM 加 Path B 评委仲裁，支持 xAI、OpenAI、Anthropic、Gemini、Ollama）都通过后 Agent 才能执行工具。采用 Apache License 2.0，含加密账本、单次使用能力令牌和评委与受监控 Agent 的身份检查，但不含载荷扫描、杀毒或 DLP 钩子，无独立审计和生产部署，1.0 目标见 ROADMAP.md。
GitHub 项目 LLMInjection 发布，定位为面向 AI、LLM 和智能体系统的开放威胁情报库，收录 8 个威胁行为者、10 个攻击活动、28 项技术、40 个安全测试用例、45 条检测规范和 32 个防御控制，每条记录附来源分级与验证日期。技术映射到 MITRE ATLAS、OWASP、NIST、Google SAIF 和 CSA MAESTRO，2026-10-07 更新新增 7 项基于 ATLAS 2026.09 的技术，ATLAS 覆盖从 52% 升至 78%，并附 DUSTMAKER 窃密链与 Semantic Kernel CVE-2026-26030 提示词注入转代码执行两条攻击链的防守方手册。
推荐理由：这个 AI 威胁情报仓库把每条技术都标注证据等级并联动测试、检测与控制，2026-10-07 更新将 ATLAS 覆盖从 52% 提到 78%。
开源项目 Opti-Oignon 提供本地优先的 AI 推理平台，支持通过 WebSocket 与本地 Ollama 模型流式聊天、带 RAG 上下文的项目功能，全部运行在用户自有硬件上，数据不离开机器。安全上采用 Daily/Bulbe 双模式（Bulbe 在 socket 层仅绑定 127.0.0.1 且只接受 cookie 认证）、SQLCipher 静态加密、可选 TOTP/WebAuthn 2FA，并遵循 Kerckhoffs 原则。项目基于 SvelteKit 和 FastAPI，目前处于活跃开发中，Veilid 设备间同步等部分尚未端到端完成。
GitHub 开源项目 AIagentOS 是一个用 Rust 编写的运行时，像操作系统管理进程一样治理 AI Agent，提供进程管理、公平调度、上下文限制、逻辑隔离、安全审批、IPC、服务监督与签名包管理等能力。当前稳定版为 v0.3.0，v0.4.0-rc.1 是面向 Ubuntu 22.04 x86_64 的 CLI 候选版，尚不具生产资格，需待五份签名资格报告齐备。项目无需 API key 即可复现治理演示，独立渗透测试仍在 issue #127 跟踪中。
Ali Zahid Raja 开源了 ISNAD，一个面向 RAG 和多智能体系统的 LLM 溯源与审计工具（pip install isnad，Apache-2.0），为每条声明记录完整传递链并按最弱环节给出可验证信任等级，附 SHA-256 防篡改审计记录，映射 EU AI Act、ISO/IEC 42001、NIST AI RMF 和 SDAIA。框架借鉴定型十四个世纪的圣训传人学（isnād–rijāl），在 575,060 条圣训链上按规则惯例测得链级判定 Cohen's κ = 0.8714；在 RAGTruth 上组合的内容评审器达到 96.0% 幻觉召回、60.4% 精确率，作者同时如实列出内容评审召回不足、置信度门控无效等局限。
推荐理由：原文不仅介绍框架还列出各组件的实测状态与已知局限，读者可以按需评估其在自己 RAG 管线中的可用程度。
GitHub 上的开源项目 QueryPilot 是一个 text-to-SQL 智能体：用户用英文提问，它生成 SQL、执行查询并返回答案和图表，演示数据为某披萨店 2015 年全年销售记录（共 21,350 笔订单）。系统通过 sqlglot 解析确保查询只读安全，失败时将错误反馈给模型自动重试（最多 3 次），数据无法回答时返回 sql: null 而非编造。项目附带 30 道题的评测集（含 gold SQL、strict/lenient 两档准确率），支持 Docker 一键运行，可配置 gpt-4o 等模型对比。
tBeltty 在 GitHub 发布 auditor-executor-protocol，这是一个用 Auditor 和 Executor 两个隔离角色运行多阶段 AI Agent 工作的协议，Auditor 定义完成标准并独立重跑验证命令，Executor 逐任务实现并粘贴原始命令输出，以防止无声计划漂移和以 all tests pass 伪装验证。协议依赖四份文档留痕（plan-of-record.md、execution-guide.md、compliance-log.md、annexes/）和强制负面控制，即安全检查必须在移除防护后看到测试失败才算验证。
推荐理由：原文完整给出了审计者/执行者双角色协议的设计细节与 auditkit 命令用法，读者可以照此把验证流程接入自己的 Agent 工作流。