新闻、仓库与研究，按时间排列。
Leiwe & Partners 在 GitHub 发布 barium-watermarking，一个本地运行、零托管、仅依赖标准库的 Kirchenbauer 绿名单 LLM 水印检测与参考嵌入工具，不依赖 torch、模型权重或网络调用。检测用单比例 z 检验重新推导绿名单，z > 4 表示未加水印文本超阈值的概率约 3×10⁻⁵；低于 25 个计分 token 判为 inconclusive，低熵文本（代码、事实补全）实际不可检测。工具仅检测开放绿名单方案（Hugging Face WatermarkingConfig），不检测 SynthID Text；附带 stdio MCP 服务器和自测 round-trip，MIT 许可，呼应 EU AI Act 第 50(2) 条的机器可读标识要求。
一项基于 BBQ 基准的研究考察了 Qwen3、Gemma-3 和 SmolLM2 在多种规模与量化设置下的社会偏见与弃答行为。结果显示，更大模型问答准确率更高，但偏见无简单缩放趋势，量化影响因配置而异；26 个偏见响应更少的配置中有 20 个同时出现过度弃答增多。研究表明公平性评估需将偏见响应、弃答、提示词形式与选项设计联合考虑。
论文提出 BiasGuard-D 框架，用来自不同模型族的两个对抗角色交换类型化声明文档、三模型多数投票裁决，并以引用加语义组合不变量验证结果，为 LLM 生成记录提供可审计的溯源链。该方法在 HaluEval QA 上仅改角色设定即从刻板印象迁移到幻觉修复，正确答案恢复率提升 49 个百分点；语义组件能捕获引用检查漏掉的判定，移除迭代循环会使不变量满足率大幅下降。
一项 arXiv 研究构建了向提示词注入常见二语学习者语法错误的受控框架，并在三个覆盖性别、种族、宗教的社会偏见基准上测试。结果显示语法错误会加重大语言模型的偏见且随错误率上升，其中介词错误对刻板印象对齐的提升最大、最稳定；在错误文本上微调可缓解这种偏见增加。基于规范英语提示词的偏见评测可能低估语法错误使用者所受的偏见。
论文提出 VX-One，一个 100K-10M 参数的小型多决策头网络，输出校准门控、含显式 unknown 选项的闭集选择和序数分数，CPU 上 p50 约 0.7-1.7 ms。在 UNSW-NB15、CIC-IDS2017、EMBER2024 上与 XGBoost、Kitsune 等对比，检测在 UNSW-NB15 和 CIC-IDS2017 时间漂移下占优（0.711 vs 0.637），但多分类归因均输给 XGBoost。两级级联（Suricata 52,674 条规则 + VX-One）组合 recall ≥0.978，而所有方法的校准在时间漂移下均崩塌（ECE 0.04→0.40）。
一项 arXiv 研究对四个 instruction-tuned LLM 按 Hofstede 单一价值维度进行微调，发现针对特定价值的训练会波及未训练的价值维度，并影响风险偏好、社会认知与安全特性等无关行为。作者建议 post-training 的价值对齐应纳入更广泛的行为评估，并探索价值训练在流程中的最佳位置。
arXiv 论文（已被 AAAI 2026 "Personalization in the Era of Large Foundation Models" Workshop 接收）指出，提示词隐私研究正走向统一框架的设计方向，具有误导性并可能造成虚假安全感。作者认为隐私本质上是情境化的，呼吁重新考虑统一框架路线，并提出三条路径：应用特定的 LLM 部署、情境化的隐私框架评估，以及提升隐私素养。
一项 arXiv 研究测试基于 LLM 的 System One 决策模型在法律权威验证中能否在正确答案缺失时弃权：扩展 CaseHOLD 数据集（5,314 项中 1,670 项替换正确 holding）后发现，生成式 LLM 在无正确选项时仍于 38-86% 的情况下强行选择，最谨慎的决策模型为 30%。在标准 CaseHOLD 上，决策模型以 1/55 的成本达到与最佳生成式 LLM 相当的准确率（88.1% vs 88.2%）；两者结合可将错误引用减半，其概率蒸馏到 Qwen3-8B 后可得校准良好的本地模型。
研究者提出一条管线，将微调神经检测器转化为基于人类可读概念的分类器：在检测器残差流上训练稀疏自编码器（SAE），为每个特征自动标注解释，只保留通过全局保真阈值的特征，再用其训练轻量分类器。实验显示这些特征对应 AI 生成文本高度具体的语言“破绽”，所构建分类器不仅高度可解释，在分布外文本上性能优于神经分类器和文体学方法。该工作已被 EMNLP 2026 接收。
一项 arXiv 研究提出 Private Sparse RLHF 框架，在假设奖励模型仅由 s* ≪ d 个相关特征决定的前提下，首次给出基于 Bradley-Terry-Luce 模型的差分隐私稀疏奖励估计完整理论。该工作针对 Sample-DP 与 Label-DP 两种设置给出高效算法，Sample-DP 误差上界为 Õ(s*/n + s*²/n²ε²) 且几乎最优，实验显示在情感生成与安全对齐基准上隐私-效用权衡优于稠密基线。
AI Guardian Lab 在 AI 智能体执行 shell 命令前校验命令，智能体提议命令后由 Guardian 按 L1 allowlist、L2 模式、L3 意图和 L4 语义审查四层检查，默认仅模拟、不真实执行。1.6 版本提供 full profile，经 Ollama 启动本地小模型与 System One 观察者，System One 在 CPU PyTorch 2.13.0 上通过 shadow-only 验证，500 ms 预算仍不满足，full profile 采用 2 秒预算，强制执行在两种 profile 中均保持关闭。
GitHub 开源 FraudDistill 框架，用于检测大模型面对欺诈诱导时实际生成的回答是否构成欺诈协助，主张该属性是响应级且关系性的，需联合观察查询与回答。框架用 Multi-Agent Teacher 生成结构化信号，经 QLoRA 蒸馏出 1.5B 学生模型支持低成本本地推理，并通过 15% 查询率的选择性审计级联恢复召回，已在 Qwen、DeepSeek、GLM、Kimi 等 6 个直连目标模型上实测验证。
研究者提出对比归因拓扑搜索方法 CATS，在固定专家智能体超图中通过 LLM 归因器为各智能体分配贡献度，剪除弱边和弱智能体，搜索紧凑团队。使用小开源模型，CATS 在 BigCodeBench 上平均准确率比仅用分数的启发式搜索高 5.3 个百分点，部署 token 减少 54%；在 HotpotQA 提示词投毒测试中三次运行均排除全部被投毒的智能体。
Ju-Chun Ko 在 arXiv 发表论文（arXiv:2610.29342），测试 abliteration（去审查）模型是否同时消除政治审查相关偏差。研究用 NVIDIA Nemotron 3.5 Bolt 74B-A9B 与 Qwen3.8-Flash-Next 及各自的社区 abliteration 版本，以繁体中文、简体中文和英文各回答 22 组陈述对和 27 个开放问题。结果显示脚本影响远大于 abliteration：原版 Bolt 在繁中 Index S 得分 +0.58、英文 +0.57、简中仅 +0.05，且以 0.91 的概率在简中肯定台湾属于 PRC、繁中仅 0.06；abliteration 最多改变 0.06。
推荐理由：论文用配对模型实测 abliteration 前后偏差，显示去审查不等于去立场偏差，并给出脚本切换与立场方向的量化证据。
Side Liu 和 Jiang Ming 的论文 What Users See Is Not What Models Read 被 IEEE S&P 2027 接收，仓库公开了配套样本与验证代码。内容包括 25 个最小提取差异 PDF（corpus_a）、25 个下游 LLM 评测 PDF 和 11 个 QA 适配 PDF，以及开源 PDF 解析器验证和 LLM API/Web 验证脚本，支持在 Ubuntu 上用 Python 3.10+ 和 Node.js 20.16+ 复现。
推荐理由：论文配套仓库放出全部样本和验证代码，读者可以实际复现 PDF 对人和对模型显示内容不一致的攻击测试。
TenetBench 用自动化流水线从 15 部俄语职业伦理准则生成 3,433 条与具体条款冲突的请求，并配以仅合法性不同的良性对照任务。人工验证中冲突任务可信率达 0.995，模型裁判与人工标注的 Gwet's AC1 至少为 0.894。对 14 种模型与推理模式组合的评测显示，其中 11 种会在多数冲突请求下生成违规内容且大多不警告；开启推理使两个模型的拒答率减半。
WRDO（Weighted Refusal Direction Optimization）通过学习聚合权重，将逐提示词的拒绝方向组合为复合拒绝方向，改进传统差值均值单一方向的做法。该方法在三个开源权重模型上以三个 guard judge 和 HarmBench 评估，优于既有单方向方法，还可反向用于恢复被 abliterated 模型检查点的拒绝行为。论文已被 EMNLP 2026 接收。
一名 Reddit r/CharacterAI 用户反映，年龄验证连续约三周报错或无响应，多次重新上传身份证件也没有回音，客服仅回复与问题无关的模板答复。该用户称板块内大量帖子反映同样问题，目前没有看到任何修复。
tonythetiger168 发布 aios-core，一个本地优先、模型无关的 AI Agent 运行时原型，提供调度器、按 Agent 的权限、SQLite 持久记忆、沙箱代码执行和 MCP 客户端/服务端支持。项目处于早期 alpha，目前仅接入 Claude，也可通过 OpenAI 兼容接口使用 Ollama、vLLM 等本地模型；内置不可信内容标记与污点策略、技能摘要锁定、审计日志和注入攻击测试套件，README 附有各防御组合下攻击通过情况的测试结果表。
推荐理由：README 附带注入攻击测试结果表，逐项展示污点策略与权限范围各自挡住了哪些攻击，安全边界与未竟事项也写得诚实。
GitHub 开源项目 Nemesis Analyst 提供 AI 辅助的恶意软件脱壳与分析：在一次性 Windows VM 中用 x64dbg/x32dbg 运行加壳样本，在自解包时捕获真实 payload、恢复勒索软件密钥并可生成解密器。每次运行输出 ANALYSIS.pdf 报告及含 YARA、Sigma、Suricata、STIX、IOC 的检测包，并可经 MCP 从任意 LLM 驱动；文档演示了对 packed Dridex 样本的完整分析。
开源项目 Ariadne 基于 Harbor 评测语言模型智能体解决安全挑战的能力，任务改编自公开 CTF 题目和 CVE。所有任务在经过隔离校验的 Docker 沙箱中运行，由独立 verifier 容器评分，web_search 与 web_fetch 经过主机端 web 过滤器，容器无互联网路由，API 密钥不进入容器。该项目为概念验证，每个实验每任务跑 3 次独立尝试并冻结配置；公开的 Mistral Large 4 和 MiMo v2.6 Pro 两次 pwn-01 探索性尝试均未解题，都在时限前耗尽上下文。
typicaladrian 发布 zero-trust-llm-firewall，一个本地部署网关，在提示词离开内网前将姓名、案卷、金融和健康信息替换为占位符，模型回复再在内存中还原。流水线为正则、哈希客户名单、GLiNER2 NER 和全局一致性扫描，在 CUAD 合同上测得 91.4% 脱敏召回率，CPU 吞吐约每千词 11 秒；提供 OpenAI 兼容 API、审计日志和月度 PDF 报告，是 Elm Tech Solutions Zero-Trust AI Edge Gateway 硬件产品的核心。
推荐理由：开源的本地脱敏网关，给出了基于 CUAD 合同的脱敏召回率实测数据，律所类隐私场景可直接参考复用。
一位 r/LocalLLaMA 用户让大语言模型调研虚构的未来模型 "Qwen 3.8 Flash Next"，该模型的 "Flash Next 架构" 会把 n-gram 权重卸载到系统内存。模型推理认为 1-bit UD-IQ1_S 版本共 67.6 GB，非查表权重约 41 GB，可在 32 GB VRAM + 32 GB RAM 配置上运行，n-gram 查表约 27 GB 从 NVMe 经 mmap 分页，预计生成速度约 15–27 tok/s。
一位 Reddit 用户反映，Character.AI 近期自动将其中规中论的机器人头像图标记为不当内容。发帖者表示自己没有上传违规图片，质疑平台是审核机制出现问题还是悄然更改了规则。
fboiero 发布开源框架 MIESC，用一条命令编排 Slither、Aderyn、Solhint 等 50 个安全工具和 9 层分析，自动去重发现项并给出置信分，支持检测、修复、验证到 MiCA/DORA/ISO 27001 合规映射的完整流程。在 SmartBugs-curated 143 个合约上，无 LLM 消融显示静态层召回 82.5%，加自有检测器达 93.0%，再加智能引擎达 97.9%，精度 22.2%；对 11 起真实 DeFi 漏洞事件召回 81.8%。EVMBench 上本地 qwen2.5-coder:32b 召回 59.2%，DeepSeek-R1 精度 88.5%、F1 78.7 且约 $0.08/次审计，Claude Sonnet 4.6 召回 82.5%。
llm-fw 发布本地 LLM 流量防火墙，通过 HTTPS_PROXY 或 OS 级 sinkhole 部署在工具与 API 之间，实时拦截提示注入和越狱请求，无需修改代码、全程不出本机。采用启发式规则、跨语言嵌入向量、可选本地 LLM judge 三级管线，覆盖 OpenAI、Anthropic、Gemini 等 15+ 服务商和 20+ 语言，另含 DLP 密钥扫描、MCP 工具防火墙、RAG 投毒检测和响应侧外泄过滤；自测 110 条攻击全部召回、良性语料 FPR 13.38%，p50 延迟 36ms。软件并非开源，采用 PolyForm Noncommercial License 1.0.0，非商业用途免费，商业使用需购买许可证。
推荐理由：原文给出了各攻击类别的召回率、误报率和延迟数据，读者可以据此评估这个本地防火墙实际拦截能力，而不仅是功能清单。
开源项目 ChaosGuard 是一个自托管 AI 安全平台，可扫描任意 GitHub 仓库，提供 RECON、HUNTER、SIEGE、LIVE 四级递进扫描，耗时从约 1 秒到约 35 分钟不等。每项发现均附带自动生成的代码修复、统一 diff 和一键创建 PR。平台通过 Ollama 本地推理、ChromaDB 进行 RAG 代码理解，基于 Kafka 的架构可从单机扩展到 Kubernetes 集群，并提供混沌工程韧性分析与完整可观测性栈。
OpenAI 发布 Codex 技能，引导用户运行 github.com/openai/php2shell-checker 仓库自查网站是否受 PHP 关键漏洞影响。该漏洞源于其 Patch the Planet 计划中 OpenAI 模型协助研究员发现，修复涉及 PHP 引擎大改，经约两个月协调后披露。使用 PHP 的网站可升级版本并应用安全厂商的缓解措施。
该仓库是软件质量课程 2026.2 学期作业（AV2），围绕 AnythingLLM 开展「Contexto sob Pressão」测试：对比 P1、P2、P3 三版提示词在正确、缺失、无关与冲突上下文下的表现，审计引用来源并给出改进计划。仓库含测试用例、证据与威胁模型文档，支持克隆复现。
一位 Reddit r/LocalLLaMA 用户称，opencode 在搭配本地 qwen3.8 模型时仍建立网络连接，据 Gemini 的回答，其默认会将聊天内容发送到自己的服务器用于生成标题、compaction 等。发帖者担心该工具获 VC 资助且做法不够透明，询问是否属实及有何替代方案。
Wiz Research 披露 PHP 核心中的多个内存安全漏洞（CVE-2026-109618/109619，CVSS 最高 9.2），可实现无需认证的远程代码执行与内存泄露，漏洞利用过程中有 AI 参与。该漏洞影响至少可追溯到 PHP 5.4 的近十年版本，涉及全球约 70% 的网站。
AI LeadFlow 是一个面向服务型业务的开源线索管理与智能平台，并以 Nova Dental 牙科诊所作为参考实现。系统由确定性规则引擎权威计算 0-100 线索评分和 COLD/WARM/HOT 温度区间，AI（Google Gemini，gemini-3.5-flash-lite）仅在员工点击“Generate AI Insight”时按需提供咨询分析，输出需通过 Zod 校验且对数据库零写权限。技术栈为 Next.js 16、React 19、TypeScript 5、PostgreSQL 与 Prisma ORM，提示词经 PII 清洗并用 XML 分隔符缓解提示词注入。
有 r/CharacterAI 用户发帖称，打开 Character.AI 聊天后立即弹出“手机已感染”的弹窗，除关闭应用外无法消除。发帖人表示明知不点击链接或输入信息就无害，但每次看到仍感到不安，认为这类弹窗非常烦人。
gumieri 在 GitHub 发布 Nenya，一个零依赖的 API 网关，在源码、提示词和凭证离开本机前自动脱敏，兼容 OpenAI 和 Anthropic Chat Completions API，内置 23 个 provider 适配器。支持 fallback 路由、响应缓存、SSE 流式转发和可选的防 prompt injection 与出站控制栈，采用 mlock、seccomp、非 root 容器等安全加固，提供 Podman、systemd、Kubernetes Helm 等部署方式，Apache 2.0 许可。
aidless 在 GitHub 发布 llm-agent-projects 作品集合集，包含 20 个覆盖 RAG、多智能体编排、推理基础设施、安全治理、评测、记忆、微调、多模态与语音的 LLM/AI Agent 项目，每个均为独立的 FastAPI 服务并配 Docker 与测试。2026-07-22 完成安全与正确性审计：修复 02 的 SSRF、为 03/04/15/16 增加 Bearer 鉴权，09/18/19 新增可经环境变量开启的真实实现（如 WhisperASR、EdgeTTS），08/10/13 已归档弃用。
Anthropic 发布用 Claude 自动化攻击面分析与缩减的研究总结，在 25 个、超 500 万行代码的开源项目中共发现 493 个问题。分析采用默认配置、配置交互和早期可达性三种方法，覆盖开源项目的安全暴露面。
Provael 发布了一个 Python CLI，在仿真环境中对开源 VLA 机器人策略做红队测试，报告对抗攻击成功率（ASR）并附良性对照、95% 区间和证据标签，Apache-2.0 开源、可经 pip 安装并接入 CI。CPU stub 确定性运行 20 秒内产出报告；实测配置 SmolVLA × LIBERO-Object 在 roleplay 指令下 42/50 离开 keep-out 包络（84%），良性基线 1/50，McNemar p = 9.1e-13，对照显示这是长命令下的脆弱性而非攻击者控制；π0.5 有初步实测，其余注册适配器为脚手架。工具仅限仿真与防御用途，输出 report.json、SARIF、OSCAL、CycloneDX ML-BOM 和签名证明等证据包。
推荐理由：README 给出对抗攻击成功率与良性对照并列的实测数据，可看到纯仿真红队 VLA 策略的完整证据链做法。
GitHub 仓库 jihwan21-kim/llm_agents 更新了面向浏览器智能体实验的本地回放环境：支持显式选择加入的公开站点 POST 录制（PUT/PATCH/DELETE 仍被拦截，清洗后的 HAR 会丢弃 POST 内容），并提供代理 Chrome 起始页、破损 mock 按钮的可视化编辑器和站点允许列表策略。原始第三方 JavaScript 仅以只读形式归档供查看，不执行；快照点击成功不代表源码运行时或后端等价。
一位 Character.AI 用户担心公司部分出售后个人数据会被随之出售，发帖询问能否彻底删除自己的内容。该用户称 2023 年曾在平台倾诉，希望删除记录或卸载应用以清除一切痕迹。帖子在 Reddit r/CharacterAI 征求其他用户的解答。
DavutKursun 在 GitHub 开源 invoice-to-sheet，上传 PDF 或照片发票后由视觉模型按严格 schema 抽取字段，逐项校验行项目、小计、税额、日期、币种和重复，可疑记录连同原因写入 Review 表。在 80 张合成发票上用 claude-haiku-5-5 测试，测试集 20 张全部字段完全正确，自动通过率 100%，单张成本约 $0.0009，p95 延迟 5.5 秒；注入指令 0/3 被执行。支持 Groq 免费 OpenAI 兼容接口或 Claude，默认输出 CSV，可配置 Google Sheets；尚不支持手写发票、多发票合并扫描件及 QuickBooks/Xero 集成。