新闻、仓库与研究，按时间排列。
dizzi1222 在 GitHub 开源了 dhardi-laravel，一个用 Laravel 13.34、PHP 8.4、React 19 和 Inertia 3 构建的多语言作品集应用，支持德语、西班牙语和英语，并内置可对话的 AI 助手。该助手运行在带熔断器、重试和缓存的多后端可靠性层上，可选配置 ANTHROPIC_API_KEY 和 OPENROUTER_API_KEY，未配置时回退到确定性应答器。项目含 PHPUnit 测试套件、翻译覆盖测试和 CI，本地用 SQLite、生产用 MySQL，部署在 Vercel（FrankenPHP + Caddy 容器），并按客户采用单部署多租户模式。
GitHub 上线 ATML PA2 课程作业仓库 Saad-0000/ATML-PA2-LLM-PostTraining，提供 DPO、PPO、GRPO、安全校准及 RLVR 与 RLAIF 对比共 5 个任务。代码刻意不完整，学生需自行实现训练循环与消融编排，每个核心目标代码含一个预设算法缺陷待修正。课程资产通过 GitHub Release 下载，参考环境锁定 Transformers 4.57.1、TRL 0.27.2、PEFT 0.17.1。
Sicurre 是一个面向法国 auto-entrepreneurs 和 TPE 的钓鱼邮件检测项目，入站邮件经 Cloudflare Email Routing 进入 Email Worker，调用 Sicurre API，由微调的 CamemBERTaV2 模型在投递路径上完成分类，两秒预算内返回放行、隔离或拒收判定。判定结果连同模型版本写入 PostgreSQL threat journal，可选的 LLM 法语解释层因延迟超出两秒预算暂未在生产启用。
MEDHA 在 GitHub 开源，是一个验证优先的通用 Agent harness，单一 Rust 二进制可接本地 Ollama、vLLM 或 Gemini 等任意模型。每次工具调用走验证、审批、执行的内核循环，默认启用 macOS Seatbelt 和 Linux Landlock 沙箱，附带 hash 链事件日志、回滚、子 Agent worktree 隔离和 medha gate 行为评测。项目处于 Pre-1.0 阶段，提供桌面应用、TUI 和无头模式，Apache-2.0 许可。
推荐理由：项目把每步工具调用都过验证和审批，并给沙箱、事件日志和回滚做了一套完整实现，适合关心 Agent 安全执行机制的人参考。
GitHub 开源工具 text-watermark-remover 可清除文本中的隐藏水印，支持两类：Unicode 隐藏字符（如零宽字符 U+200B 等）和 ChatGPT、Claude 等 LLM 的统计水印。工具提供 CLI 和 Python API，可检测或直接清除水印，全部在本地离线运行、不收集数据，完全免费开源；仅处理纯文本，会同时移除格式。
Ad Astra Computing 开源了 AER（Agent Execution Record）的客户端部分，为每次智能体运行生成签名记录，涵盖调用的工具、访问的模型和网络出站行为，签名、存储与控制台则由托管服务 aer.run 提供。客户端全部为 Apache-2.0，包含 CLI、Node 自动插桩、无依赖验证器 aer-verify、MCP 准入控制与录制代理等包，需 Node 22+；aer-verify 本地重算哈希、校验 Ed25519 签名和透明日志证据且不做网络调用，验证记录无需账号或服务方参与。
rizzo-pii 是一款在本地处理文档的隐私工具，用机器学习识别姓名、地址、日期、邮箱、电话号码等个人数据并替换为占位符，文件不上传外部服务器，可离线运行。它支持 .txt、.docx、.pdf 等常见格式，可辅助满足 GDPR 等数据保护要求，需 Windows 10/11、8 GB 内存和约 500 MB 存储空间。
GitHub 开源项目 AML Copilot 用 Claude Sonnet 4.6（经 AWS Bedrock，Anthropic API 兜底）自动预审反洗钱告警：先用 Microsoft Presidio 脱敏 PII，再通过 pgvector 检索监管条文、相似历史案例和实体交易历史，生成经 Pydantic 校验的结构化分诊简报，并以 SHA-256 哈希链记录全程审计日志。分析师可将约 45 分钟的人工调查缩短到约 3 分钟复核，LLM 全程不接触原始 PII。
RhythrosaLabs 在 GitHub 发布基于 browser-use 的 AI 智能体 sweepstakes-agent，可自动发现并填写提交免费、正规的抽奖活动。它并行扫描 8 个聚合站点（默认同时 3 个），发现阶段固定使用最便宜的 Haiku 模型，仅表单填写使用所选模型，成本降低 3–5 倍；支持多层诈骗检测、sensitive_data 掩码保护隐私，默认模型为 claude-sonnet-4-6，提供 Gradio 网页面板与 CLI。
Laminae 是一个开源模块化 Rust SDK，为任何 AI/LLM 应用提供防护、安全、人格、语音、学习与隔离层，支持 Claude、GPT、Ollama 等任意后端。其 Psyche 多智能体认知管道用本地小模型（Ollama）做 Id/Superego 塑形，Persona 支持 7 维风格提取和含 60+ AI 短语模式的语音过滤，Cortex 无需微调即可从用户修改中学习 8 类模式。该项目现已归档，Cortex、Glassbox、Ironclad 已并入多智能体编码编排器 Thunder。
yannickYamo 发布 Python 工具 receipts，位于研究智能体与最终文档之间，要求每条论断绑定代码抓取页面上的逐字引用、链接和阅读日期，无法对应引用的论断被删除并列出原因。流程分两阶段：代码检查引用是否逐字在页、数字是否在引文内，再由小模型（claude-haiku-4-5）作为 reader 判断句子是否涵盖论断，无答案视为不通过；reader 阶段标价为 120 条论断 $0.17。核心零依赖，需 Python 3.10+，MIT 协议，支持 --code-only 模式与 MCP 服务器，仓库见 https://github.com/yannickYamo/receipts。
推荐理由：作者保留了自家工具的失败测试与误切率，读者可以据此了解这套引用核查流程的真实边界。
SciAgent 是一款免费、无需编程技能的 AI 实验助手，可记录训练数据、分析结果并生成可导出为 PDF 的周报。它支持 Windows 10+、macOS 10.14+ 和 Linux，最低需要 4 GB 内存和 500 MB 存储空间，通过 Release 页面下载安装。
megern 在 GitHub 发布 llm-security-lab，一个针对本地 MLX 模型的离线评测工具，用合成 canary、16 组阿拉伯语和 16 组英语案例（直接注入、模拟检索文本中的间接注入、良性请求）测试窄定义行为，全程不联网、不调用远程推理，仅接受本地已有模型文件与 LoRA adapter。报告记录完整原始输出、案例与配置哈希及运行时版本，检测 canary 全量泄漏（含 NFKC/空白归一化和 base64/hex 编码）、文本工具标记泄露、良性案例精确回答和拒绝短语，错误与截断响应单独统计且不计入成功防御。
推荐理由：仓库把注入与泄漏检测做成可审计的离线流程，并明确标注测量局限，适合想自测本地模型注入行为的开发者参考。
开源工具 soc-tutor 读取 Linux auth.log，先本地正则解析并压缩证据（如 L3-L4 [fallo x2]），再由 claude-opus-5-5 编排、四个 claude-sonnet-5-5 worker 并行生成 MITRE 分析、时间线、事件响应 playbook 和单文件 dashboard.html。纯防御性分析，不执行任何命令，支持 --dry-run、--serve 与 --replay 模式，唯一依赖是 anthropic Python 包。
blueaisecurity 在 GitHub 开源了面向安全从业者的 AI 安全动手实验仓库 ai-security-labs，包含四个可在本地 Docker 环境搭建的实验。Lab 01 复现提示词注入让 LLM 聊天机器人泄露受保护秘密；Lab 02 通过 MCP 给聊天机器人接入工具后用工具投毒和间接注入劫持；Lab 03 复现 EchoLeak 模式，诱导 Agent 读收件箱并把密码发给攻击者；Lab 04 在邮件 Agent 前部署 AI 网关，逐个开启八项检查，观察哪些能拦住向攻击者发送 AWS 密钥。各实验用 Ollama 在容器内运行本地模型（如 llama3.2、qwen2.5:7b），无需 API key 和云端费用，每个 write-up 覆盖理论、架构及攻击成功前的失败尝试。
推荐理由：四个实验环境都在本地容器里复现提示词注入、MCP 投毒和 Agent 劫持，并附完整 write-up，安全从业者可以动手跑攻击而不是只读文章。
Reddit 用户 /u/dtdisapointingresult 分享一种防止不可信 Docker 容器向外上传本地数据的方法：在 docker-compose 中将服务放入 internal 的 isolated_network，并用 alpine/socat 作为网关只转发入站请求，出站连接被阻断。socat 容器仅占约 1.2MB 内存，作者还建议用 docker compose 替代 docker run，并附上 cap_drop、no-new-privileges 等可选加固配置。
推荐理由：作者给出可直接复用的 docker-compose 配置，用 socat 网关隔离不可信容器的出站流量，额外开销仅约 1.2MB 内存。
ykstorm 在 GitHub 开源 Tripwire，一个在 token 流中实时拦截违规内容的正则护栏，匹配到规则即刻中止响应，避免 API 密钥、联系方式、业务承诺等文本到达用户。它以库和 OpenAI 兼容 sidecar 代理两种形式提供，通过默认 48 字符的 hold-back 缓冲处理跨 chunk 的违规，支持 NFKC 归一化对抗全角字符、零宽空格等规避手段；作者明确说明它是纯正则、无法捕获语义等价的改写违规，且未公布误报率数据，Apache 2.0 许可。
作者发布 abyss，一个把 AI Agent 运行在 Docker 容器内的隔离系统，通过 Agent Client Protocol（ACP）代理编辑器与容器内 Agent 的连接，Agent 感知不到自己不在宿主机上。用户用短 YAML 描述镜像、挂载和启动命令即可拉起容器，无需写 Docker Compose；支持文件拷贝、bind-mount、启动脚本、临时双向 TLS 认证，以及可拦截全部 ACP 消息的 WASM 插件，兼容 Zed 等 ACP 客户端，并提供 oneshot 命令支持批处理调用。项目已在 GitHub 提供二进制和 Docker 镜像，作者说明开发中由 AI 辅助生成代码和文档，代码经人工审查。
推荐理由：作者作为项目维护者讲清了 abyss 用容器隔离 Agent 的机制和 ACP 代理设计，读者可以了解如何在不写 Docker 配置的前提下隔离本地 Agent。
作者开源了 langgraph-order-agent，一个为牙科种植体供应商员工打造的订单问答 Agent，用 LangGraph 构建，可接本地模型或 Claude。任何写操作都会通过 interrupt() 暂停并返回审批卡片，人工批准后才执行；答案检查规则防止虚构数字、虚假取消声明和错误订单号。作者用两个开源权重模型（20B 和 8B）跑了 12 个场景各 3 次，含 6 次提示词注入，审批步骤全部守住；盲评还发现并修复了一个 product_lookup 只匹配精确子串的工具 bug。仓库提供 pytest 测试、HTTP API 和 docker compose 部署。
推荐理由：作者把带人工审批的订单 Agent 完整开源，还给出盲评评测结果，读者可以参照这套审批中断和答案校验做法迁移到自己的 Agent 项目。
作者公开 home-lab 仓库，目标是在 32 GB 的 Apple M6 Mac mini 上构建一个能自主发现并安全执行工作的本地 AI 操作系统。架构来自对 11 个前沿 LLM 的共识研究（roshanaryal1/llm-architects），自 2026-09-30 起在 M6 上运行 Qwen3-Coder-30B-A3B-Instruct 的 4-bit DWQ 版本，实测加载占 17.2 GB、约 67 tok/s；supervisor 以非管理员 lab 账户运行，配 watchdog、签名审批、审计日志和备份演练，冻结 supervisor 可在约 96 秒内被替换。
Dinesh-Melimi 在 GitHub 发布 llm-security-gateway，一个介于内部应用与 LLM API 之间的 FastAPI 反向代理，按请求执行认证、限流、模型白名单、注入扫描、PII/密钥脱敏和金丝雀检测，并将每次决策写入仅存 SHA-256 哈希提示词的审计日志。控制项映射到 OWASP Top 10 for LLM Applications (2025) 与 NIST AI RMF；注入检测器在 50 条自建标注集上 precision 0.952、recall 0.80，作者提醒数字偏乐观，仅可作回归底线。项目支持 mock 或任意 OpenAI 兼容端点（vLLM、Ollama、LiteLLM 等），MIT 协议，不支持 SSE 流式与多副本限流。
推荐理由：作者给出了注入检测器在自建 50 条标注集上的 precision/recall 数字和已知局限，读者可据此评估这套网关是否值得直接复用。
DOCCAD_pre 仓库发布 DOCCAD——一个 GitHub 原生、AI 增强的文档系统的设计存档与本地原型。系统由人工在 git 仓库中维护规范文档，AI 层据此生成招聘者摘要、面试准备等受治理视图，每个视图记录来源的 sha256 哈希并经任务契约校验与审查。原型默认使用确定性 fixture provider 而非 LLM，私有内容仅路由到本地模型，含 29 个规范页面、75 个单元测试，支持英匈双语静态站点，生产构建在代码所有者批准前会扣留发布。
metadatastician 发布 harvard-dehallucinator，一个面向 LLM 智能体的外部状态管理编排框架：任务状态存放在上下文窗口之外的 state/state.txt，只有独立验证器 engine/verify_register.sh 能写入 COMPLETE，智能体只能请求重新测量而不能自行提供结果。项目借鉴哈佛架构将指令与任务状态分离，并内置熔断机制（attempts 超过 totalItems+5 即写入 EMERGENCY_STOP）。README 还保留了 2026-08-23/24 的事故记录：原实现中 remaining 由调用方传入、验证器从未被调用，导致 state.txt 在迁移完成前 1 小时 27 分就写入 16/16 COMPLETE，修复仅改了约十行代码。
推荐理由：作者用仓库自身的一次事故作实例，说明未接线的验证器如何导致幻觉式完成，方法可迁移到智能体状态设计。
社区开源项目 devin-qa-pack 发布，可交叉核验 Devin 智能体会话的交付声明与实际工具调用记录，对每个会话输出 PASS / PARTIAL / UNVERIFIED 结论。该工具读取 Devin 的 sessions.db 中 tool_call_state 表作为事实依据，要求 Python ≥ 3.10 并通过 pipx 安装，GitHub Releases 提供 wheel、sdist 和 CycloneDX SBOM，支持本地审计、HTML 报告生成及通过 MCP 事件流审计云端会话。
Yaw Labs 发布 redis-mcp，一个让 Claude Code、Cursor 等 MCP 客户端探索和诊断 Redis 实例的 MCP 服务器，仓库地址 https://github.com/YawLabs/redis-mcp。默认只读，写操作需设置 ALLOW_WRITES=1，键枚举一律使用带 COUNT 上限和迭代上限的 cursor-based SCAN 而非 O(N) 的 KEYS，可安全用于百万级键的生产实例。
推荐理由：原文详细说明了命令门控、SCAN 替代 KEYS 和超时等安全设计，可帮助读者判断该工具能否安全接入生产 Redis。
CatatMD 是一个面向马来西亚全科医生的开源临床记录工具，将问诊转录转化为结构化 SOAP 笔记，并补充诊断、配药、病假天数等 TPA 审计所需字段。其安全特性是架构性的：确定性规则引擎在模型之前运行红旗检测，模型无法抑制或降级；引用仅限给定语料库中的 guideline ID，缺失字段标记为 NOT_ASSESSED 而非自动填充。医生通过显式审批门完成最终确认，工具不代替医生签署。
TrueFurina 在 GitHub 开源确定性优先的 CTF 智能体框架 xihu-sword-ctf-agent，先用 66 个可复现确定性技能解题，LLM 仅在静态分析未命中时介入，并受白名单、token 预算和墙钟止损约束。实测西湖论剑 AI CTF 线上比赛 0 个 flag 被接受，LLM 自主解题数经更正为 0；离线严格 KPI offline_verified 为 14，presolve 直解覆盖 93 题全库中的 14 题（15.1%）。
GitHub 项目 stAirCase 让 AI 编码代理在独立 worktree 中工作，每次改动先提案待批准，最终只提交获批内容到新分支，并附带可验证、可重建的签名变更证书与防篡改审计链。支持 Claude Code、Codex，Gemini CLI 与 OpenCode 进行中，依赖仅 git，提供本地 demo、SLSA 验证摘要与 Rekor 可选锚定，项目处于 pre-1.0 阶段。
推荐理由：项目自述了审批、审计链与可重建提交的完整机制和沙箱边界，读者可据此评估 AI 编码代理改动的可控性。
GitHub 上的 HA Audit 是一款只读的 Home Assistant 审计与健康检查应用，用于配置审查、故障排查、系统健康评估和 Core 升级就绪检查。它能分析 YAML 配置树、检测重复 automation ID、缺失 include 和不可用实体，并结合官方发布证据与本地兼容性检查给出保守的 Core 更新指引。每次审计还会生成 vendor-neutral 的 ha_audit_ai_handoff.md 文件，供 ChatGPT、Claude、Gemini 或本地 LLM 进一步分析，是否分享由用户决定。
berylliumsec 发布 Nebula 3 预览版，将渗透测试工作流整合到同一桌面界面，涵盖终端、代码、浏览器、AI 助手、笔记、任务、发现与报告。AI 可执行调查、整理与撰写，操作者通过范围控制、审批暂停、硬预算和隔离 OCI 执行保留权限。目前提供 Linux x86_64 签名 APT 仓库、DEB 和 AppImage 安装方式，支持托管、本地及 OpenAI 兼容模型运行时，模型提供方为可选项。
go-steer 发布 Simian Agent v0.1.14（Apache 2.0），一个面向 Kubernetes 的混沌工程工具，向用户指定的命名空间（arenas）注入故障，验证故障生效、按时移除并检查工作负载恢复，全程记录审计日志。它提供 Chaos Mesh、NetworkPolicy、Envoy sidecar 和 kube-state 四种故障引擎，可用 LLM 自主规划故障，并通过 simian-eval 和带 ground truth 的场景包对 k8s-lookout、k8s-sre-agent 等诊断智能体评分；GKE 约 30 分钟、kind 约 15 分钟可完成上手流程。
PancsVriend 研究框架基于 Schelling 隔离模型，用 token log-probabilities 精确价值函数对 9 个模型各完成 10,000 runs × 6 场景 × 1000 max steps 的生产运行，全部达到 rank-stability SETTLED。结果显示种族/民族场景隔离度最低，各模型场景排序不一，表明偏见是训练产物而非 LLM 普遍属性。结果将用于 CCS 2026 会议（10 月 12–16 日，Binghamton）演示。
cavi-ai 在 GitHub 开源 mcp-eval，一款与具体实现无关的 MCP 服务器评测工具，含两条互补链路。一是确定性基准电池：用 manifest 驱动的探针套件对任意 MCP 服务器（stdio 或 Streamable HTTP）给出 pass/fail 判定，无 LLM 介入、完全可复现，适用于 CI 门禁，输出 readiness 评分（0-100）、SARIF 报告和修复提示。二是摩擦捕获：在生产式 agent 会话中经隐私保护 shim 记录真实故障，将重复问题提升为 finding，需连续三次验证通过才关闭、回归时自动重开。
推荐理由：这是一个可直接安装使用的 MCP 服务器评测工具，用确定性探针套件做 CI 门禁，并能把生产会话中的摩擦沉淀为可验证的 finding。
exoclaw-temporal 是一个基于 Temporal 平台的 AI 智能体任务工具，可在电脑关机或重启后让任务继续运行、自动保存进度。它内置 Python 环境，用户无需编程即可通过图形界面在 Windows 10 及以上系统使用，最低要求 4 GB 内存和 200 MB 磁盘空间。该工具已在 GitHub 发布，可通过 Releases 页面下载 .exe 安装包。
作者发布 inbox-crm-agent 项目，将入站业务邮件经 ingest→understand→resolve→decide→approve→execute 流程转为 CRM 记录并起草回复，M0–M7 里程碑已完成。核心原则是模型只做分类、抽取和起草，权限、状态转换与安全判断由确定性代码决定，重要操作需人工审批；回复只写入 outbox 的 suppressed 状态，真实外发邮件尚未实现。项目含 895 个测试、本地 SQLite 运行无需 API key，评测结果 10/10，hallucinatedFieldRate 为 0。
Robert Tjarko Lange 向 SakanaAI/ShinkaEvolve 仓库提交 PR #195，加固 Claude Code workflow。改动包括：@claude 触发仅限 OWNER、MEMBER、COLLABORATOR，防止外部账号在公开仓库任意触发 Agent 任务；checkout 设 persist-credentials: false 避免泄露 GITHUB_TOKEN；actions 固定到 commit SHA（actions/checkout v7.0.1、claude-code-action v1.0.239）；并通过 claude_args 添加 --disallowedTools "WebFetch,WebSearch"，封锁提示词注入外泄通道。
推荐理由：作者在自家仓库收紧 Claude Code workflow 的触发者、权限与工具范围，具体改法对部署 GitHub Agent 的人可直接借鉴。
RuleReceipt 发布于 npm 和 GitHub，可核查 Claude Code 等智能体在会话中是否遵守 CLAUDE.md、AGENTS.md、Cursor、Copilot 等规则文件，并给出原文行作为证据。本地运行、默认零网络调用，只统计有证据的结构化违规；PreToolUse 守卫回放 16,336 个真实工具调用后经两次收窄将误拒率降至 2.5%，测算是基于 559 个公开规则文件语料，OpenAI Codex CLI 支持尚在测试中。
推荐理由：工具用带证据行的结构化检查区分真实违规与误报，并以559个规则文件语料实测了守卫的误拒率，方法可复现可迁移。
研究者推出 PyINE 框架，以带插桩的 Python 程序执行轨迹作为可验证基础来研究大语言模型的“捷径”行为监督问题。首个版本 PyINE-v1 包含近 100 万条确定性执行轨迹和超 50 万个匹配的 LLM 生成代码变体，并用 RL 训练出一个会跟随误导性线索的捷径模型。评估发现，便宜的习得式监督器常漏掉罕见的捷径错误，而更强的基于模型的检查更均衡但成本显著更高。
arXiv 论文提出用两层逻辑、信息片段和保障账本统一组织语言模型智能体的轨迹证据，使规则违规与撤回支持下的动作可在同一语言中表达。在 456 条 τ²-bench 电信轨迹上，基准 oracle 标记 231 条，叠加规则检查器、支持替身和前缀监视器基线后，并集依次升至 391、401、407 条，剩余 49 条未标记轨迹与未满足义务构成残余，可通过发现新需求和新检查器继续缩减。
arXiv 论文提出 Penumbra，一种针对 AI 智能体监管义务的样本高效对抗搜索方法，从已验证锚点出发在扩展编辑预算下寻找仅差一步编辑即可翻转合规性的响应对，并由双评估器委员会裁决。在金融咨询章程的 60 条筛查义务上返回 144 对合规/违规响应对，自适应分配在 59% 候选上达到均匀分配全预算覆盖率，等记录下覆盖 1.43 倍于朴素枚举的失败模式。临床分诊章程在 18 条义务上复现出 49 对结果。该方法已被 NeurIPS 2026 EvoRobust 工作坊接收。