新闻、仓库与研究，按时间排列。
TypeSafeAI 社区仓库 jev-harness 实现了一个研究阶段的提案审查契约：LLM 提出一个动作，Jev（模型常量 jev-1.13.0）回答四个固定问题，由代码生成证据供 host 参考，但不打补丁、不执行代码、不授权。项目采用 MIT 协议，需 Node 22+ 和 pnpm，仅提供源码、未发布，也非官方 SDK。`pnpm bench:review` 可离线跑 25 个合成 fixture，脚本化 mock 值显示 bad 捕获从 base 的 7/25 提升到 +Jev 的 25/25，固定阈值为 0.8。
HUA503 在 GitHub 开源了 mcprism，一个针对 Model Context Protocol 服务器的安全扫描器，从配置、源码 SAST 和 MCP 握手三个角度检查风险，只枚举能力、从不调用工具。每个服务器获得发现列表、0-100 分数和 A-F 等级，33 条规则映射到 OWASP MCP01-MCP07，支持策略即代码、CI/CD 集成和 SARIF、JUnit、CycloneDX 等多种输出格式。工具以单个 Go 二进制发布，完全离线运行，无运行时依赖，可自动发现 Claude Desktop、Claude Code、Cursor、VS Code 等客户端的 MCP 配置。
推荐理由：一个离线单二进制的 MCP server 安全扫描器，覆盖配置、源码 SAST 和运行时握手三种角度，还支持策略即代码和 CI 集成。
GitHub 开源项目 PrivacyGate 是一个面向企业 AI 系统的文档感知、fail-closed 隐私网关，在 PDF、DOCX、PPTX 及扫描件等多格式文档进入 LLM 前检测、分类并脱敏其中的 PII。其混合检测引擎结合正则、自定义识别器与 Microsoft Presidio 和 spaCy，将敏感信息替换为类型化占位符，并通过二次扫描门控：无残留 PII 才放行，否则拒绝访问。项目基于 Python 3.11，提供 Streamlit 仪表盘、零 PII 的 JSON 审计日志和 125 个自动化测试。
Cover 是一个面向 AI 编程代理的双向隐私代理，在请求离开本机前把匹配到的敏感值替换为确定性的逼真假值，并在响应中还原。支持 Codex、Claude Code、Cursor、Pi / Oh My Pi 及 OpenAI 或 Anthropic 兼容 SDK，提供 allow、placeholder、pseudonymize、mask、redact、block 六种策略动作，内置 AWS/GCP 密钥、GitHub 与 Stripe token、邮箱、SSN 等检测器，可选本地 llama.cpp 语义检测器（默认 Qwen2.5-0.5B-Instruct，约 490 MB Q4 GGUF）。
推荐理由：给 AI 编程代理加本地隐私代理是常见需求，这份文档把策略动作、失败关闭边界和误漏场景讲得足够具体，方法可迁移到同类部署。
GitHub 仓库 Olaradiallysymmetrical491/web3-bug-bounty-hunting-ai-skills 收录 18 个面向智能合约安全的 Claude Code 技能文件，内容基于近 3,500 份真实安全报告（含 Immunefi 赏金项目与 DeFiHack 复现）分析而成。技能覆盖 Ethereum 与 DeFi 合约的 Solidity 代码审查、Foundry 测试、重入漏洞、访问控制缺陷及 DAO 治理问题等主题。该项目定位为学习工具包，无需编程经验即可上手，运行需 Windows 10 及以上、至少 4 GB 内存和 1 GB 磁盘空间。
安全工程师 Emanuel Walker 开源了 Cyber Portfolio 仓库，包含六个可运行项目，覆盖检测工程与个人 AI 工作流两大方向。其中本地 Ollama SOC 分诊 agent 自建的 16 条 prompt 注入测试拦截了 12 条，另有 4 条绕过被如实记录；还包括 Sigma 规则 CI/CD 管线、基于资产的 Crown Jewel 分诊模型、Terraform 部署的 AWS 身份 IR 实验室、10 个 AI agent 技能文件，以及支持 Claude Code、Codex、Hermes、Cursor 的 Obsidian second brain 模板。
开源项目 llm-security-suite 是一个基于 Python 和 pytest 的自动化安全测试套件，用于审计大语言模型应用，覆盖提示词注入、系统提示词与 Canary Token 泄露等攻击向量，并映射到 OWASP Top 10 for LLM Applications。套件集成到 GitHub Actions 质量门禁中，通过确定性模式匹配断言响应不包含未授权标记；未配置 OPENAI_API_KEY 时自动 pytest.skip 以控制 CI 成本。
SycAudit 是一个研究级谄媚度审计工具，用于测量 LLM 在多大程度上迎合用户而非保持真实。它将单个提示词改写成多种框架变体，发送给多个免费额度模型构成 N×M 响应网格，用 LLM-as-judge 和自训 ML 分类器按五维度谄媚量表打分，计算 wobble 分数并返回谄媚度最低的回答。项目基于 UK AI Safety Institute 2026 年关于语言模型谄媚的研究，前端采用 React，后端为 Python + PostgreSQL，目前处于活跃开发状态。
B3Cognition 发布 prosaic-runtime，一个基于 OpenAI 兼容 Chat Completions 端点运行中性 Prosaic Markdown 子代理的 Python 库与 CLI，v0.5.2 自动安装固定 Git 版本的 Prosaic 0.3.0 且不再需要 Node.js。工具权限由 prose 声明、YAML allowed_tools 和调用参数三方交集决定，v0.5.0 新增主机注册自定义 Python 回调与 CLI 工具；开发版 cli_sandbox_v1 用 bwrap 或 sandbox-exec 将 CLI 限制为只读证据和私有可写 HOME，阻断包括 loopback 在内的网络访问，强制模式不可用时推理前即失败。
kvelmurugan18 在 GitHub 开源 sycophancy-rl，一个通过多轮受控反驳的强化学习来降低 LLM 谄媚行为的可复现管线，奖励抵抗无效施压同时保留对有效更正的接受。管线支持导入用户数据集、4-bit QLoRA/GRPO 训练、同条件前后基准与配对统计对比，首发实验注册 Qwen/Qwen2.5-0.5B-Instruct，可在本地 GPU 容器或 Kaggle GPU 内核运行；仓库未声称任何训练提升，首个 Kaggle smoke 实验仍需操作者执行，代码采用 Apache-2.0 协议。
推荐理由：这是一个可复现的完整管线，从数据导入到训练前后的配对基准对比都有明确契约，适合关注谄媚行为微调的读者参考。
alexfayers 在 GitHub 开源了 cline-hooks，一个面向 AI 编码助手的生命周期 hooks 框架，支持 Cline、Antigravity、Claude Code、Codex、GitHub Copilot、Kiro 和 Pi，可通过 uv tool install 或 llm-prompts 生态安装。框架提供各前端原生 hook 名与规范 hook 的对照矩阵（由测试保证不漂移）、插件系统（用 @hookimpl 贡献 build_commands、command_rules 等扩展点，可阻止 docker --privileged、rm -f 等危险命令），并支持新增 frontend 包自动被检测和注册。
开发者 Ivan Savchenko 在 GitHub 开源 Tally，一个面向业务用户的 text-to-SQL 分析 Agent，可自动找表、写 SQL、经 sqlglot 验证与 EXPLAIN 成本检查后以只读角色执行，并自纠错误、对模糊问题追问。在 237,125 行的合成数据库 117 题评测中，nvidia/nemotron-3-super-120b-a12b:free 执行准确率 82.0%（修复两个 bug 后 87.6%），15 个危险请求 0 个执行成功，语义层消融显示去掉后准确率从 84.4% 降到 28.1%。项目支持 OpenRouter、Qwen Cloud、OpenAI、Anthropic 等 provider，含可复跑的评测脚本、审计日志与 MIT 许可。
推荐理由：作者完整公开了防写库、防泄露个人数据的多层设计与全部评测数据，还给出语义层消融等可复跑方法，适合想搭 text-to-SQL 智能体的读者参考。
一个已在 Google Cloud Run 上线的事件响应系统，由 FastAPI 服务驱动四个 Claude 智能体（Triage、Investigation、Diagnosis、Remediation）加非 AI Validator，最终必须经人工审批。系统设 $2.00/日 AI 预算熔断与 5 次/日故障注入上限，18 个场景评测显示 94.4% 升级正确率、单事件平均成本 $0.034；修复工具层硬编码问题后，LLM judge 标记的幻觉从 18 个场景中的 10 个降至 2 个。
GitHub 上的开源原型 marketing-copywriting-risk-checker 用「规则层 + LLM」级联方法在营销文案发布前检查 PR 风险，最终由人工决定。在 48 条合成测试句中，级联模式 precision 和 recall 均达 1.00，LLM 调用从 24 次降至 18 次；工具含审计日志、CSV/Excel/Markdown 导出、防 prompt injection 分隔符和每日 AI 用量上限，目前仅在本地运行，界面为韩语，尚无真实用户。
GitHub 上的 byte-judge 是一款用 LLM 评估可疑兼职招募文本危险度的自托管 Web 应用，粘贴文本后由 Claude（默认模型 claude-sonnet-5-5）返回 0-100 危险度评分、三级标签及逐项依据，面向易受骗的年轻群体。应用基于 Python 3.13 与 Django 6.1，通过 Pydantic 结构化输出，默认每日每人 4 次、全站 11 次判定，服务器不保存求职文本与判定结果。项目仅公开代码，无官方运营站点。
paooxide 发布 agentctl，一个 MCP 服务器，提供 124 个工具、12 类能力，让 MCP 客户端（Claude Code、Claude Desktop、Cursor、Gemini）通过读取系统无障碍树而非截图坐标来操作 GUI 应用、Chromium 浏览器和底层系统。桌面控制支持 macOS（AXUIElement）和 Linux（AT-SPI、GNOME on Wayland）。
推荐理由：作者本人开源的 MCP 服务器，把策略层作为安全边界讲解，读者可借鉴其桌面控制与分级权限的设计思路。
PeterGreenAppliedAI 在 GitHub 开源了 DevMesh LLM Gateway，一个自托管的安全与治理网关，为 Ollama、vLLM、OpenAI 等推理后端提供统一 API、鉴权、完整审计日志和按 key 的限流与 token 预算。安全层包括同步正则检测（约 1ms）和异步守卫模型（Granite Guardian 或 Llama Guard）扫描，不阻塞请求、零延迟；PII 检测覆盖邮箱、美国电话号、SSN、信用卡和 IP，审计日志只存 SHA-256 哈希，不保存原始 PII。守卫模型与正则的分歧可在控制台标注，并导出为 Llama Guard 微调格式形成训练闭环。
推荐理由：原文详述了自托管 LLM 网关的同步正则加异步守卫模型双层防御和闭环训练数据的做法，可作同类安全治理部署的参考。
开源项目 Cordée（cordee-app/cordee）为使用 AI 的咨询顾问和小型团队提供项目管理，每次 AI 运行前由 Guide 做完整性检查、运行后对照 brief 审查输出。项目可标记 eu_only，仅允许 Scaleway、Mistral 等 EU 运营的模型运行，且由 API 强制执行。支持 Claude、Mistral、OpenAI、Scaleway、Ollama 按项目按任务选型，记录每次运行的 token 与成本，月度预算超支前暂停工作，采用 AGPL-3.0 与商业双许可。
lemonade-dashboard 是一个 VS Code 扩展，提供图形界面管理 Lemonade Server 的模型、后端和系统设置，无需命令行。它支持查看和加载/卸载模型，切换 CPU、GPU、NPU 后端，并可调整内存限制、超时等设置和查看系统日志。工具支持 Windows 10 及以上系统，需至少 4 GB RAM 和 100 MB 磁盘空间，可通过 GitHub 发布页下载安装。
GitHub 上的 Awesome-Jailbreak-on-LLMs 仓库收录了大语言模型最前沿的越狱攻击方法，涵盖论文、代码、数据集、评估与分析，并按攻击 LRMs、黑盒/白盒攻击、多轮攻击、多模态攻击及越狱防御等分类整理。仓库接受 PR 和 issue 贡献，问题可联系 yliu@u.nus.edu，维护团队同时发布了 GuardReasoner、GuardReasoner-VL、FlipAttack 等相关研究。
ai-assessment-framework 是一款帮助团队评估、审批并落地 AI 方案的工具，聚焦安全与风险管理。它提供预置评估模板、内置审批流程、风险管理工具和 AI 治理最佳实践指南，界面无需技术背景即可使用。该工具支持 Windows 10+ 和 macOS Mojave+，需 4 GB 内存和 500 MB 磁盘空间，可从 GitHub Releases 页面下载 .exe 或 .dmg 安装包。
GetSHIM 发布开源网关 shim（alpha），在应用与模型提供商之间提供单一 HTTP 边界，OpenAI 请求以 OpenAI 格式直通，不转译 payload。它在每个请求上检测并替换邮箱、电话、信用卡、IBAN、土耳其身份证号及 AWS key、GitHub token 等敏感值，按策略决定掩码、阻断或记录，并提供每分钟请求与 token 限流、模型白名单、按 X-Shim-Tag 头归因的用量与成本核算、提供商错误清洗，且每个请求最多一次计费尝试。社区版 src/shim 为 Apache-2.0，企业层 ee/ 为 Elastic License 2.0 源码可见，含租户、持久计费、审计、角色与预算；社区版无 PostgreSQL、Redis 依赖。
作者在 3x RTX 4090 环境下完成替换型 LoRA 后门的权重空间可检测性先导实验，触发计划的中止条件。只在层 8/18/28 探测时 AUC 仅 0.58–0.69，但全 36 层扫描发现层 31 和 33 可近乎完美检出，C3a 在层 31 的 AUC 达 0.996；机制上检测性取决于 ΔW 抑制既有强关联所需改动量而非行为变化大小。48 包 watchlist 检测器在不知 payload 的情况下于 10/10 适配器中恢复出 requests，行为上最隐蔽的 C4p（ASR 100%、代码与正确答案逐字节相同）在权重空间同样可检出，稀释（共学习体量）才是真正削弱痕迹的维度。
推荐理由：这份实验记录给出了分层扫描与检测器对照数据，说明替换型 LoRA 后门在行为上隐蔽却在权重空间更易检测。
AdaptiGuard 是一项实证案例研究，展示对 LLM 智能体防御的评测中测量决策如何改变同一批 traces 上的结论。研究对 prompt-injection 攻击下工具调用智能体的冻结运行重新打分，考察成功终点、拦截 payload 标注、逐模型报告与噪声底线等选择如何影响评测结果。仓库明确表示不提出 SOTA 防御或通用 benchmark，完整 harness 未公开，历史复现需 Python >= 3.12。
开发者 jiwoochris 发布 artex-ko，将中国开源项目 Autumn-27/ARTEX（AGPL-3.0）本地化为韩文版。ARTEX 是由 LLM 驱动的多智能体自主渗透测试系统，采用 Go 单二进制加 Next.js 前端、PostgreSQL 存储，可从侦察到渗透、资料外泄自主完成攻击流程。本地化只强制翻译用户可见输出，保留内部推理提示词原文以维持性能；验证中 claude-opus-4-8 与 gpt-4o 能保持韩文输出，gpt-4o-mini 则回退为中文。仓库强调仅限授权环境用于防御研究，据韩国媒体报道原版 ARTEX 已被用于针对韩国金融机构的个人信息泄露攻击，相关调查正在进行。
METR 开源了 Inspect-Hawk，一个基于 Inspect AI 的云端评测平台，用户用一份 YAML 定义任务、Agent 和模型，平台自动分配隔离的 Kubernetes pod、管理 LLM API 凭证、流式日志并把结果存入 PostgreSQL 仓库，提供 Web UI 浏览。支持内置 LLM 代理（OpenAI、Anthropic、Google Vertex）、按模型的行级权限控制、Inspect Scout 扫描历史评测转录，可通过 Pulumi 在 AWS 一键部署，CLI 可用 uv 或 pip 安装，MIT 许可。
NotASithLord 在 GitHub 开源了 peerd，一个完全运行在 Chrome 和 Firefox 内部的通用 Agent 运行时，基于 Workers、OPFS、WASM/WASI、WebRTC、WebAuthn 等浏览器原语，Agent 可读取和驱动用户标签页、已登录会话与 Web 应用，并提供脚本、WASI 工具、App 和 Linux WebVM 等本地计算。推理可选用托管模型、localhost 本地模型或初步的 WebGPU 本地模型，无需账号、托管浏览器或工具服务器，当前构建不发送产品遥测；主 Agent 将页面工作委派给按环境隔离的无密钥 actor，凭证与网络策略留在扩展内，项目附带威胁模型、红队测试套件及各测试通道徽章，Apache License 2.0 授权。
推荐理由：把 Agent 运行时直接架在浏览器沙箱原语上，并公开威胁模型与红队结果，读者可借此理解浏览器内本地 Agent 的安全设计思路。
Veto 仓库开源，可将现有 OpenAPI 服务转为 AI Agent 可搜索和调用的工具，由 Veto 检查策略、对破坏性调用要求人工审批并先行解析凭据，再执行 API。模型通过 search、describe、invoke 三个能力访问服务，支持 MCP、`veto serve --` 的 JSON lines，破坏性删除在获批前不发起上游 HTTP，trace 会隐去密钥；安装支持 brew 和 go install，项目处于 1.0 前阶段，公开 API 可能变动。
推荐理由：原文讲清了如何给 Agent 的 API 调用加策略审批与凭据管控，包括破坏性操作挂起等可复用的机制细节。
argus-redact 是一个本地运行的 PII 脱敏 Python 库，用每次调用独立的密钥做可逆假名替换，PII 不出本机，支持 redact 到 LLM 再 guarded_restore 的往返流程。工具采用 Rust 正则、NER、本地 LLM 三层检测，覆盖 78 种 PII 类型、8 种语言，中文支持最深；fast 模式 p50 约 0.22ms，检测精度在 v0.7.16 实测中 fast 模式 F1 为 45.8%，ner 模式 54.5%。项目同时在 PRvL 参考套件上对 GPT-5、Claude-Opus-4.5、Gemini-2.5-Pro、GLM-4.6 四个模型做了泄漏测试，默认配置全部无泄漏。
Safe-FedLLM 是被 ACL 2026 接收论文的官方实现，一个基于 probe 的联邦学习大模型安全防御框架，仅通过 LoRA 参数变化识别并抑制恶意更新，无需访问客户端原始数据。仓库提供 LoRA-Probe 离线训练与基于 OpenFedLLM、FedLLM-Attack 改造的联邦训练脚本，支持 none、step-level、client-level、shadow-level、evidence-level 四类防御模块（共五种配置）。
GitHub 上的 GuardAI 是一个 LLM 护栏与自动化 CI/CD 评测平台，采用三层安全架构，支持通过 Render 一键云部署，需配置 GEMINI_API_KEY。其 Tier 1 输入安全护栏实现 95.0% 越狱防御率、100.0% PII 脱敏精度、0.0% 误报率，平均扫描延迟 12.4ms。项目提供 eval_runner.py 自动化测试套件与交互式安全仪表盘。
开源项目 SieveGate 是一个零信任网关，在提示词到达 LLM 之前进行筛查。它在本地设备上拦截密钥等机密信息，并用 AI 分类模型识别 PII 和敏感数据，所有决策均采用 fail closed 策略，附带可运行的 demo。
作者 Christopher Shaiman 在 GitHub 开源 lamware，一个端到端恶意软件分析平台，串联 CAPEv2 动态执行、Volatility 3 内存取证、Ghidra 等静态分析与确定性跨工具关联，再让 LLM 基于证据做调查。LLM 只解释证据、不判定恶意性，结论由 triage、CAPE 和 Volatility 决定；项目处于 v0.x 研究阶段，会执行恶意代码，需部署在专用基础设施并验证隔离。评测方面，家族归因在本地与前沿模型上均为 0/14 与 0/7，被改为污染探针指标；harness 以 grounded_ratio 和 fabrication 计数衡量模型断言是否有证据支撑。
ouuna 在 GitHub 开源 llm-eval-quality，一套面向 RAG/LLM 应用的自动化测试与质量门禁框架，把输出质量变成可自动判定指标，在质量退化时拦截版本。核心包括声明级幻觉检测（变异检出率 95.3%）、4 层 13 条规则的质量门禁、基线退化检测与阈值校准工具，评测用例合计 74 条，Gold Set 30 条人工复核后 Accuracy 96.7%、Recall 100.0%。框架分层解耦数据集、Provider、评测器、统计层与门禁，CI 拆为 test/evaluation/regression 三档 Workflow，运行依赖 0 个第三方库。
推荐理由：项目给出了评测器自身的混淆矩阵、变异检出率和已知盲区，还写明 Gold Set 循环论证等局限，边界交代得比较少见地诚实。
voodootikigod 在 GitHub 发布 adversarial-review，一个针对 git diff 的怀疑式代码审查工具，用任意 LLM（Anthropic / OpenAI / Gemini API 或 claude / codex / agy 等本地 CLI）找出变更不应上线的最强理由，输出结构化 JSON 报告。退出码由 findings 的严重度和置信度阈值确定性推导，git 采集失败时 fail closed 退出 1，可直接接入 CI 和 pre-push hooks；支持 --providers 多提供商家族交叉审查与 quorum 门控、--loop 自主审查修复循环，以及 --input 审查 spec 等工件而非 diff。
推荐理由：原文完整说明了这个对抗式代码审查工具的门控机制与多模型交叉审查用法，适合关注 CI 安全门禁的开发者参考。
cjohnstoniv 在 GitHub 开源 Wardyn，一个治理沙箱控制面，为每次运行铸造并撤销凭证，唯一出站路径经代理并写入 append-only 审计日志，编码 agent 是其旗舰用例。当前版本 v0.8.8 为 pre-alpha，接口不稳定，支持单机 compose 与 Kubernetes Helm 两条部署路线，镜像均经 cosign 签名并附 SBOM；许可证为 Apache-2.0，无付费版与托管后端。项目地址 https://github.com/cjohnstoniv/wardyn。
Bounty Operator 开源发布，面向漏洞赏金猎人和智能合约审计者，在提交报告前以 triager 视角反驳草稿发现，每条论断绑定文件与行号，并给出 submit、rewrite-then-submit、prove-first、hold-duplicate 或 drop 五种结论。工具可在浏览器、通过 MCP（Claude Code、Codex、Cursor 等）或 CLI 运行，支持 OpenRouter、Anthropic、OpenAI、Gemini、xAI、DeepSeek、Mistral、Groq 等自有 API key，不存储文件与密钥。
推荐理由：原文给出完整的部署方式、审查配置与定价细节，读者可以按自己的环境选择浏览器、MCP 或 CLI 三种用法。
o3willard-AI 在 GitHub 发布 PairAdmin，一个集成本地 shell、SSH 与远程 Windows（WinRM）的标签页终端，AI 助手可读取当前终端内容但无任何执行接口，命令建议仅以 Save/Copy/Execute 三按钮的文本呈现。发送给模型前先做进程内凭据脱敏，覆盖 AWS、GitHub、OpenAI 等 15 类内置模式并支持自定义 regex，API 密钥经 memguard 加密存储于 OS keychain，支持 OpenAI、Anthropic、Ollama、LM Studio、OpenRouter 可切换，全部提示与响应写入本地 JSONL 审计日志。
推荐理由：这款终端把 AI 建议限定为文本加三个按钮，凭据先脱敏再传输，安全设计的取舍写得具体可查。
GitHub 开源项目 tool-hive 定位为 AI Agent 的独立工具执行平台，提供统一目录、策略鉴权与多协议适配，阻断 LLM 直接控制网络请求。项目包含 backend、frontend 与 docs 目录，目前处于早期阶段，尚无 star、fork 与发布版本。
GitHub 开源项目 jailbreaking-challenge 是一个运行 LLM 提示词注入与越狱挑战的小型 Web 应用，用户用共享密码登录、选择难度，与模型聊天并尝试让它泄露秘密词。后端基于 FastAPI + SQLite 记录匿名尝试统计，前端为 Astro + React；模型 API 支持任意 OpenAI 兼容端点（含 vLLM），并可用 manager.py 通过 Slurm 管理 vLLM 集群部署。