新闻、仓库与研究，按时间排列。
anishalx 在 GitHub 发布 dynamictester，一个 AI 驱动的 DAST 工具，解析 Semgrep、Trivy、CodeQL、Gitleaks 等 7 种静态分析器结果，用 LLM 智能体加 Playwright 浏览器自动化动态验证漏洞。支持 OpenAI、DeepSeek、Qwen、GitHub Copilot、Google Gemini、OpenRouter、NVIDIA NIM 共 7 个提供商，含 25 个智能体工具、16 个漏洞类别、L0-L4 证据分级、WAF 绕过引擎，输出 SARIF 2.1.0、HTML 和 JSON 报告，并提供带退出码的 CI/CD 模式。
推荐理由：原文给出了完整的工具架构、分类体系和 CI 集成方式，读者可以了解用 LLM 智能体自动验证静态分析漏洞的具体做法。
rupeshpoojary9 发布开源工具 OpenHarnX 0.1.1，用于验证 AI 编程智能体的改动，它锁定约定测试、在 srt 沙箱中运行锁定副本并比较基线，不调用任何模型。它可捕获改测试、加跳过标记、放松配置、破坏既有测试和篡改环境等行为；Claude Code 有内置 Stop hook 集成，OpenCode 有实验性插件，也可作为 GitHub Action 等 CI 门禁使用。在 102 个不可能任务公开数据集回放中，零配置捕获 43/52 个假修复，包括全部 26 个改测试的假修复；对 github/spec-kit 20 个已合并 Copilot PR 的事后回放中 9 个通过。
推荐理由：原文给出了锁定测试、沙箱运行和公开回放数据的完整做法，读者可以据此了解如何验证 AI 编程智能体是否真的让测试通过。
GitHub 用户 Aanny27 开源了 LLM-for-SOC 项目，将大语言模型应用于安全运营中心（SOC）场景。仓库采用 MIT 许可证，包含事件关联（incident_correlator.py）、自然语言查询（nl2query.py）、漏洞处理（vulns.py）与判定升级（soc_verdict_escalation.py）等模块，并配有回放评测脚本与共享 RAG 组件。
SecureDocs RAG 是一个 B.E. 毕业设计项目，构建零泄露的多租户 RAG 知识助手。系统在检索前按 tenant_id 和角色等级（1-3）过滤向量，采用 HKDF-SHA256 派生租户密钥的 AES-256-GCM 信封加密存储，并在 LLM 前用正则脱敏 SSN、薪资等 PII，配合 SHA-256 哈希链实现防篡改审计日志，自动化攻击测试验证跨租户泄露率为 0.00%。
Arthur 开源的 Arthur Engine 提供开发、监控和治理 AI/ML 工作负载的完整服务。它可为 LLM 应用配置实时检测 PII 泄露、幻觉、提示词注入和有毒语言的护栏指标，支持收集 OpenInference OpenTelemetry (OTEL) trace 对 Agentic 应用做持续评估，还能管理提示词版本、端到端评估 RAG 管道，并监控 drift、accuracy、F1、AUC 等模型指标。企业版 Arthur Platform 额外提供专有评估模型、无 Hugging Face Hub 依赖的 air-gapped 部署和可选本地部署。
开源项目 self-healing-llm-gateway 发布，这是一个基于 Python 3.12、FastAPI、Redis、PostgreSQL、Docker 和 React 构建的本地优先、OpenAI 兼容 LLM 网关，位于客户端与下游推理服务商之间。系统提供多租户 BYOK 凭据管理、Redis 三态熔断器、有界重试/故障转移预算、滑动窗口限流与 SSRF 防御。凭据采用 AES-256-GCM 信封加密，API 密钥仅存 SHA-256 哈希，并通过 Prometheus 与 OpenTelemetry 输出全栈遥测。
一个名为 bedrock-php-security-eval 的实验将带有已知漏洞的 PHP 文件发送给 Amazon Bedrock 模型，通过人工阅读生成的代码来验证修复是否真实有效，而非相信模型给出的说明。在 search.php 的测试中，Amazon Nova Lite 声称用参数化查询修复 SQL Injection，实际却使用了 mysqli_real_escape_string，且 CWE 分类错误，得分为 1（脆弱实践）。该实验是作者在 PUCPR 的 TCC 的一部分，结论是 LLM 的输出必须在代码层面验证，而不是看其报告。
GitHub 开源项目 ZTS（Zero Trust Stack）是一个对语言模型输出做确定性过滤的流水线，包含 G1–G7 七道按成本升序执行的门，可去除第一人称、对冲、谄媚和情感词汇，并检测试图覆写自身指令的行为。其 reject 模式下按成本升序可节省 33.3% 的门执行次数，repair 模式则无此收益。项目提供 pip 安装、CLI 和四个 profile，无依赖、需 Python 3.11+，并附 98 个测试。
开源项目 agent-output-guardrails 在 LLM 与应用之间加一层安全防护，在响应到达用户前做 JSON schema 校验（Pydantic）、PII 检测与脱敏、groundedness 检查、毒性/安全拦截，并提供 allow / modify / re-ask / block 策略引擎。技术栈为 Python、Pydantic、本地分类模型和 pytest。Phase 1 已完成 schema 校验、PII 脱敏与策略引擎，21 个测试通过，另有 6 个已记录的红队缺口。
dsh-xiaoyao-skins 是由"夕小瑶"社区维护的 DeepSeek Harness Web 视觉皮肤合集，宣称开源免费，内置一键安装器和皮肤创作工具，库中包含超过 50 款皮肤，如 Dark Mode Pro、Sunset Glow、Minimal White 等，并支持导入 .zip 或 .dshskin 格式的社区皮肤。 ⚠️ **编辑安全提示（重要）**：在按上述摘要发布前，建议对这篇内容保持高度警惕。该 README 呈现多个典型的恶意软件社工特征，我无法为其背书推荐： 1. **诱导下载可执行文件**：核心动作是"下载 setup 安装包并双击运行"，而非常见的开源主题分发方式（如 CSS 文件、Git clone、包管理器安装）。
GitHub 上的 a9320/arcanum-spark 发布了一套针对 AI 时代漏洞的代码安全审计系统，基于 Arcanum Prompt Injection Taxonomy，可检测提示词注入、隐形字符走私、Trojan Source 等传统 SAST/DAST 工具不覆盖的攻击面。它包含一个纯标准库、零 GPU 的确定性 Agent Skill，以及 6-agent 审计流水线，可在 AMD MI300X 上自托管四个 llama-server（Muse-Glimmer-30B、Qwen3.8-27B、R1-Distill-32B、Gemma4-26B-A4B），也可路由到云 API council，并输出 JSON / SARIF 2.1.0 / Markdown 报告。
该仓库是 rag-reliability-harness 的离线孪生工具，用于测量 LLM 在需求 smell 引发的语义退化，并面向编码智能体提供咨询性约束诊断。研究仍处筛选阶段：367 个候选、162 个暂定合格、8 个项目，确认性框架、独立审计与人工校准尚未完成。多个对比实验未通过冻结门槛，包括 v4/v5 各 48 次调用（合计花费 US$0.028024 与 US$0.032449）、各 23/24 构造匹配但各有失误；主队列生成继续暂停。
awesome-mcp-security 是一款 Windows 桌面工具，可用九项安全检测评估 800 多个 MCP 服务器的安全性，覆盖 prompt injection、不安全对话流、数据隐私等风险，并给出每日更新的安全评分。用户输入服务器名称即可查看结果，无需技术背景，安装需 Windows 10 及以上、4 GB 内存和 4 GB 磁盘空间。
ATML PA2（LLM Post-Training）课程作业的学生 starter 仓库上线，涵盖 DPO、PPO、GRPO、安全校准与 RLVR vs RLAIF 五个任务。课程资产（固定数据集、诊断缓存和续训 checkpoint）通过 GitHub Release 以 pinned revision 0b350481fb03f5525a35bcdec4131bd4fe487f98 分发；环境固定 Transformers 4.57.1、TRL 0.27.2、PEFT 0.17.1。Tasks 1-3 各含一个刻意算法缺陷待学生修正，PPO/GRPO 从提供的 midpoint checkpoint 续训，RLVR 和 RLAIF 使用冻结策略仅做评估，续训生成上限默认 512 tokens。
GitHub 用户 superpengam 开源 psnb-obs，一套把越狱做成可开关、可量化、可复现的十六层工程套件，含措辞转换、出站清洗、多轮状态机、LRM 自主攻击、多模态与隐写注入、LLM 裁判和投毒检测等模块。仓库给出跨模型实测结论，如措辞转换使同一能力 ASR 从 50% 升至 100%、reasoning 挡位 off 时拒绝率 80% 对 high 40%、语境包装在 GLM 上反效，静态映射表实测 78.6% 而变异搜索文献达 92.5~99%；附 CLI、Pi 插件、多平台部署器与 322 项测试，声明权重层对齐硬底线无法用提示词攻穿，使用边界见 DISCLAIMER.md。
推荐理由：仓库给出跨模型实测 ASR 与自动搜索对比静态表的数字，读者可据此了解越狱手法的分层工程与模型间差异。
GitHub 仓库 llm-prompt-engineering 提供一套面向 ChatGPT-5、Gemini 2.5 等大语言模型的提示词工程与红队实验应用，供教学和研究使用。无需编程基础，双击即可安装，支持 Windows 10+、macOS 10.15+ 和主流 Linux，要求至少 4 GB 内存和 500 MB 存储空间。功能包括提示词设计、模型安全边界测试、教程资源和交互式界面，最新版本可从 Releases 页面下载。
AgentSmith 是一个覆盖应用与智能体从设计到运维全生命周期的治理层，让 AI 编码智能体的开发安全、可靠且可解释。它要求先有书面设计（RFC）才允许写代码，通过 IDE 护栏、review 与 CI 门禁执行同一套规则，并将每次决策与审批记录在 git 中。它不是 CI/CD 或监控系统，而是运行在 GitHub Actions、OpenTelemetry、Phoenix 之上，统一接入一个提供 Dev、Ops 与 Administration 三个区域的门户，安全控制映射 OWASP LLM Top 10、NIST AI RMF、MITRE ATLAS 与 ISO/IEC 42001。
开源项目 SOCShield 提供 AI 辅助钓鱼邮件分析，可用 LLM 提取 IOC、分类邮件并打风险分，核查 SPF/DKIM/DMARC 头部与 BEC，对接 VirusTotal、urlscan、PhishTank 等威胁情报源，并映射到 MITRE ATT&CK（T1566）。技术栈为 FastAPI + PostgreSQL + Next.js 15，LLM 提供商可切换 Gemini / OpenAI / Claude，但部分 model id 已过时可能导致调用失败。CI 中 51 个后端测试通过、7 个失败、4 个错误，项目处于活跃但需维护状态，采用 MIT 许可。
garak 是一款用于扫描大语言模型（LLM）漏洞的工具，帮助用户发现 AI 应用中的安全弱点。它支持 Windows 10+、macOS 10.13+ 和主流 Linux，要求至少 4 GB 内存和 100 MB 磁盘空间，可从 GitHub Releases 下载安装。使用时输入待评估模型并点击 "Scan" 即可，工具提供用户友好界面、详细风险报告和持续更新。
开源的 Rust 原生自主编码智能体 M31A 直接运行在终端中，可接收高层软件工程目标，检查代码库、生成依赖感知的执行计划、写代码并运行构建与测试，直到满足验收标准。其核心架构原则是“智能不等于权限”：LLM 被视为不可信的推理引擎，仅提出结构化动作，由 Rust 运行时通过 11 级策略门、进程沙箱、原子检查点和证据验证器严格把关。任务只有通过编译器检查、测试通过、lint 清理等经验证据验证后才被标记为完成，并提供 m31a tui 终端界面与 m31a mission run 无头模式。
vpa2007vpa-web 在 GitHub 发布 AST-Navigator-MCP，一个基于 Tree-sitter 0.25 的 MCP 服务器，让 LLM 智能体通过文件大纲、符号定义和依赖图导航 JavaScript 与 TypeScript 代码库，而非整文件阅读，以节省 token 并避免文本误匹配。
推荐理由：作者给出了沙箱探测矩阵和硬ening前后的内存与错误回复对比数据，读者可以据此评估这个 MCP 服务器的安全设计。
GitHub 开源项目 Fraud-Detection-AI-Agent 用 LangGraph 构建多智能体系统，结合交易信号与多模态证件验证检测欺诈风险，高风险决策通过 human-in-the-loop 交由人工审核。决策智能体不接触工具，使注入提示词的三种攻击变体均被正确忽略。基于 8 个场景的评测套件，准确率从 62.5% 提升到 75%，两次运行零漏报，系统以 REST API 形式部署，使用 Groq 上的 Qwen3.6-27B 进行推理。
开源项目 SentinelCX 构建了一个自主式企业客服系统，用 Python 规则的 Policy Gate 决定退款等业务逻辑，LLM 永不参与业务判定。系统集成 Injection Guard、PII Guard 双重防护，支持 human-in-the-loop 审批，并通过 8 个对抗性攻击向量组成的 Red-Team Suite 实现 8/8 全部拦截的可复现安全验证。
VDB 在 GitHub 发布 slopsquatting 数据集，收录大模型在普通编码任务中推荐、但注册表中不存在的 1927 个包名，其中 PyPI 961、npm 718、crates.io 169、Go 79。采集方式为每六小时向持有 API key 的模型发送固定编码任务并实时查证，无对抗性提示；数据以 CC BY 4.0 发布，作者提醒攻击者可能抢注这些包名，安装前应实时核查 https://vdb.ai.kr/ai/slopsquatting 。
推荐理由：数据集附有采集方法、字段定义和统计口径，读者可以直接用它做安装前检查或复现同样的扫描流程。
0xgetz 在 GitHub 发布 hark-pool，一个零依赖的 Node.js 工具，可无头批量创建 Hark 账号、捕获 Better-Auth cookie 会话，并通过 adapter.js 把 Hark 的轮询式私有聊天 API 转成标准 POST /v1/chat/completions，以轮询方式接入 9Router。工具用 mail.tm 临时邮箱收 magic link 完成注册，失败账号冷却 60 秒后重试；受 mail.tm 限流约束约每 60 秒创建 1 个账号。作者提示该工具依赖 Hark 私有 Web API，可能随时变更，并声明与 Hark 和 9Router 无关。
EmbarkAI 在 GitHub 发布 embark-ai-dock 早期预览版，一个开箱即用的 Docker 沙盒，让 AI 智能体通过 MCP 工具（get_balance、transfer、write_contract 等）操作链上钱包。钱包无完整私钥，采用 DKLS23 MPC 阈值签名拆成两份：客户端份额存加密 Docker volume，服务器份额由 EmbarkAI TSS 服务持有；签署前会按控制台策略校验收款地址、每日限额和链，超出即拒绝签名。交易经 ERC-4337 UserOperation 提交，部分网络由 paymaster 代付 gas。
推荐理由：原文详细给出 MPC 两方签名与策略限制的工作机制和部署命令，读者可以直接复用这套让智能体安全持有链上钱包的环境。
seyedmohammadsinamohammadi…更正：GitHub 项目 AI Terminal 是一款本地优先的 Windows 桌面应用，将自然语言请求转为经过安全门控的 PowerShell 命令，目前处于 pre-release 状态。它支持 BYOK 接入 OpenAI、Anthropic、Google Gemini 及 OpenAI 兼容提供商，由 FastAPI 服务、Flutter 界面和原生 C++ 风险引擎组成，将 SAFE/CONFIRM/DANGEROUS/BLOCKED 四级风险分级，灾难性命令永久封禁，模型无权决定命令是否执行。项目适合开发与受控测试，暂不建议无人值守使用。
Emetgate 是一个运行在 Windows 上、面向 TypeScript 和 JavaScript 项目的 MCP 服务器，作为 Claude Code 与源码树之间的闸门，模型提出的改动需在沙箱副本中通过规则、类型检查和测试后才会写入磁盘，每次提交生成可离线复核的回执。作者用 claude-sonnet-5-5 在四个仓库的 15 个问题上对比 Emetgate、Serena、codebase-memory-mcp 和 Claude Code 自带工具，Emetgate 得分 240/252、86.7k tokens、$0.132，token 和成本最低但并非最准确，作者说明 2 分差距在运行波动内、不能据此排名；安全验证含 64 个变异体（57 killed）、TLA+ 模型检查与红队测试。
推荐理由：作者用同一模型和统一题库实测四套代码工具的得分、token 与成本，还给出变异测试和 TLA+ 验证细节，方法可直接复用。
xhanulik 开源了 JCSmartFuzz，一个检测 Java Card 小程序时序侧信道的 LLM 增强模糊测试框架。它将 AFL++（经 Kelinci）与 diffuzz 差分模糊测试结合 LLM 辅助的代码提取和种子生成，通过测量同一密码学操作对两组输入的指令数差异，发现依赖数据的执行路径以定位时序泄露。流水线分 analyze → harness → seeds → eval → profile 五个阶段，配置经 llm_config.py 按环境变量、llm_config.ini、默认值依次解析，LLM 阶段支持 --mock 离线运行。
kuangren777 在 GitHub 发布 RiskCert 论文的代码、冻结实验数据与分析脚本，方法为 LLM 智能体安全审计提供 anytime-valid 风险证书，涵盖 betting 置信序列、配对比较与不和谐对符号过程等决策规则。仓库基于 AgentDojo 和 InjecAgent 测试床，论文中的每个数字、表格和图形均可由 make_numbers.py 和 make_figs.py 从冻结的逐回合记录逐字节再生，实验计划在运行前已冻结于 PREREGISTRATION.md；新实验可通过 OpenAI 兼容端点或 vLLM 本地模型运行，代码采用 MIT 许可证。
作者在 GitHub 发布一个生产风格的 LLM 护栏微服务，用 23 个规则族检测提示词注入、越狱尝试和敏感数据（API 密钥、邮箱、电话），提供 /v1/check/prompt 与 /v1/check/response 两个端点并返回 allow/block JSON 决策。服务以非 root Docker 镜像部署到 kind Kubernetes 集群，用 Secret 做 API key 认证，Kyverno Enforce 策略拒绝特权容器和无资源限额容器。在 112 条留出测试文本上精确率 100%、召回率 87.5%、误报 0，引擎单线程 p95 延迟 0.063 ms，作者同时说明了对 leetspeak、非英语注入、改写探针等 9 类漏检及评测集规模小的局限。
推荐理由：原文给出了规则设计和留出集上的精确率召回率数据，还列出已知漏检类型，适合想自建 LLM 护栏服务的读者参考。
Northumbria University 硕士项目构建端到端流水线，用 Random Forest 分类钓鱼邮件，经 SHAP 提取推理，再调用 Claude API 生成 technical、simple、narrative 三种解释风格，共生成 900 条解释。以保真度、Flesch 可读性和 LLM-as-Judge 评分（accuracy、clarity、completeness）配合 Kruskal-Wallis 检验评估，项目代码以 MIT Licence 开源。
GitHub 项目 crabhi/django-deluxe 发布，提供在 Monty 沙箱中运行 LLM 生成代码的 Django 工具。用 @sandboxed 装饰器定义人工审查的边界类，docstring 即任务、__call__ 即入口签名，生成代码提交到 generated/ 目录并在每次运行时对照 stubs 做类型检查；支持 pydantic 模型与 dataclass 以 JSON dict 进出沙箱，默认资源限制为 512 MiB、60 秒执行、1000 次宿主调用，并提供 run_generated 等在 Monty 中运行测试的辅助函数。
推荐理由：原文完整给出了用 @sandboxed 装饰器划定人审边界并在 Monty 沙箱运行 LLM 生成代码的做法，可迁移到自己的 Django 项目。
开源项目 Sentinel Inbox 用本地 Ollama 托管的大语言模型（如 llama3.2、mistral、qwen2.5）分析 EML 邮件，从紧迫感、权威冒充、熟悉度伪装、逻辑谬误密度、附件异常、多源信誉六条行为轴输出 0-100 的操纵指数评分（MIS），并可选接入 VirusTotal API 查询 URL 和附件哈希信誉。全程本地运行、不依赖云端，邮件内容不出本机，适合 SOC 团队优先审阅高分邮件和事件响应团队快速还原攻击意图，报告以 JSON 和控制台可读形式输出。
GitHub 上的 ai-quality-lab 是一个学习型实验项目，覆盖 AI 智能体行为、工具使用、评估、安全、tracing 与质量报告。项目结合 Pytest 确定性测试与 DeepEval 指标评估智能体，并保留早期独立的 LLM-as-a-Judge 实现作为学习示例；安全测试涵盖 prompt injection、工具越权、路径穿越、敏感信息泄露和资源限制。多数测试无需真实 LLM，DeepEval 测试则依赖 API 配额。
产品经理 Prerna Kakkar 在 GitHub 开源 daily-ai-builds 仓库，每个 build 解决一个问题，部署后的应用可无需 API key 直接打开，代码由 AI 编码工具根据她的提示词和审查完成。内容覆盖 PM 面试与工作流诊断、AI 可靠性与评测、客户成功诊断和青少年 AI 聊天安全，含 Worth Building? 商业案例、Prompt Injection Test Harness 的 14 次注入尝试等工具，另附 Agent 简报导出的 Who Does What? 工作流拆解。
Sunil Mehta 在 GitHub 开源 ai-devsecops-cicd 项目，提供一条针对 LLM 和 AI Agent 服务的参考 CI/CD 流水线，覆盖密钥扫描、测试、签名、准入控制到部署。流水线包含 Gitleaks、Semgrep、Trivy 扫描、SBOM + AI-BOM 生成、keyless cosign 签名及 Kyverno 准入策略，附带 14 个用例的 AI 安全测试语料。全部四个 workflow 已在 GitHub Actions 通过验证；仅 Kyverno 的准入时强制执行尚未在真实集群测试。
GitHub 上的 KAgent 是一个由 LLM 驱动的 Web 渗透测试研究项目，仍在积极开发中，未达生产可用，仅面向本地或私有实验室的授权测试环境。项目基于 Python 3.11+，提供 CLI 和 Textual TUI，内置 recon、sql-injection、ssrf、ssti 等技能类别，运行时保留权限提示与目标范围检查，支持 `pip install .` 安装。
GitHub 开源项目 ActionGuard 是一个面向 AI 智能体的本地安全层，实时监控每个操作并要求用户批准风险行为。它提供策略引擎、审批弹窗和活动日志，无需云依赖，用 Rust 编写，支持 Windows 10/11（最低 4 GB 内存、100 MB 磁盘空间），可接入常见 LLM 自动化框架。
GitHub 用户 Vishnummmmmmmm 开源的 llmwatermark 仓库，包含 MarkMyWords、lm-watermarking、watermarks-remover 等目录，围绕 LLM 文本水印的添加与移除，前端基于 Next.js 与 Tailwind，仓库内还有 CLAUDE.md 与项目文档。