新闻、仓库与研究，按时间排列。
GitHub 仓库 sanjana0111/Shadow-Protocol 介绍 SentinelCore，一个自称“数字免疫系统”的自主安全编排平台，通过行为合成学习正常运营模式并在异常演变为事件前发现威胁。平台需 Python 3.10+、8GB RAM（建议 16GB）和 20GB 存储，支持直装、Docker 和手动构建三种方式，可集成 OpenAI 的 gpt-4-turbo 与 claude-3-opus-20240229 API 做自然语言分析和策略分析。项目宣称将事件响应时间缩短 85%、威胁识别准确率提升 92%。
开源工具 CC-Router 作为本地代理运行在 Windows 10/11 上，可管理多个 Claude Max 订阅账号，以 round-robin 轮询方式为 Claude Code 分发请求，在某账号达到限额时自动切换。它还负责各账号的 OAuth token 轮换与续期，支持限流控制，可自托管，需将 Claude Code 的代理设置指向其本地地址。
emmanuelgjr 在 GitHub 发布 genai_incidents 数据集，汇总 AIID、OECD AIM、AIAAIC、MITRE ATLAS、NVD/GHSA/OSV 等来源，收录 15,637 条事件（1,915 条 landmark 级），统一映射到 OWASP LLM/ASI、NIST AI RMF、MITRE ATLAS 等分类学，可通过网站、Raw JSON、STIX/TAXII/MISP、PyPI、Hugging Face 获取。
推荐理由：把多个不共享 schema 的 AI 安全事件源统一映射到安全分类学，并明确标注启发式标签的局限，便于检索与引用。
Cygnux Labs 在 GitHub 开源 Tracekit，为 AI Agent 的每次工具调用提供防篡改审计记录。策略门在调用前决定 deny、ask 或 flag，独立签名者用 Ed25519 把事件写入仅追加的哈希链，checkpoint 发送到 witness，.tkb 包可离线验证，篡改、删除或重排都会导致验证失败。支持 Claude Code hooks、Codex CLI、Cursor、Gemini CLI、Python 与 TypeScript SDK、LangChain/LangGraph 和 MCP，Linux 系统模式下签名者以独立 OS 用户运行，macOS 支持 dev 和实验性系统模式，Windows 仅 dev 模式，MIT 许可。
推荐理由：给 AI Agent 的工具调用留下防篡改审计记录，策略门控、独立签名与哈希链的设计讲得具体，还坦白列出了盲区。
GitHub 上的 claims-triage-agent 是一个基于工具调用、guardrails 和离线评测的医疗理赔拒付分诊 Agent，处理合成数据，针对 claim id 返回修正重报、申诉、申请预授权、坏账审查或人工升级五种建议操作之一。它使用 Pydantic 类型化工具查询 SQLite 数据库和 BM25 策略语料，内置 PHI 脱敏、提示词注入过滤和工具调用预算，支持 OpenAI、Azure OpenAI 和 Amazon Bedrock。默认 scripted planner 在 21 个场景评测中动作准确率 0.952，工具选择精确率 1.000，平均每次运行延迟 1.9 ms，通过 FastAPI 提供 /triage 接口并支持 Docker 部署。
作者在 GitHub 发布 RustGuard，一个用 Rust 编写的 LLM 安全网关，以反向代理方式部署在客户端与上游 LLM（Ollama、OpenAI、Anthropic、vLLM）之间，实时检查请求与响应，拦截提示词注入、越狱和敏感数据泄露。项目称 p99 延迟约 13 微秒，自称比 Guardrails AI、Presidio、Llama-Guard 等 Python 网关快数千倍；功能包括 Aho-Corasick 注入扫描、Unicode 混淆归一化、PII 与密钥脱敏、SSE 滑窗流式检查、SSRF 防护、内置 HNSW 向量 RAG 和 Prometheus 遥测，附 88 个单元与集成测试。仓库采用 Apache 2.0 / MIT 双许可。
一个基于 FastAPI 的小型多租户文档分析服务，按租户存储已提取的文档文本，并返回摘要和要点。内置的 LLM 为确定性假实现，无需网络或凭据，支持 Python 3.11+；AUTH_TOKENS 仅为测试存根而非真实认证。存储为内存单进程，重启即丢失，extracted_text 上限 20000 字符。
研究者提出 X-AgentRed，一个自演化红队测试框架，通过构建工具依赖有向图并利用执行反馈，发现个人智能体在多服务生态中完成良性请求时可能产生的有害工具调用路径。该框架通过工具替换多样化路径并修正被阻塞步骤的前置条件实现自我改进。在四个前沿 agentic 模型上，X-AgentRed 的有害路径率达到 STAC 的 1.77 倍，工具覆盖率平均达 2.99 倍。
GitHub 仓库 skyvanguard/awesome-ai-pentesting 汇总了利用 LLM、机器学习和自主智能体进行渗透测试、漏洞赏金与红队攻防的开源项目。清单覆盖自主渗透测试 Agent、安全 MCP 服务器、AI CTF 工具、蓝队防御等分类，收录 Strix、Shannon（XBOW Benchmark 96.15% 成功率）、PentAGI、PentestGPT 等项目。仓库由 @skyvanguard 维护，星标数据更新于 2026 年 10 月。
GitHub 开源的 guardtrellis 是一个 Python SDK，用于对模型输入、完整输出、检索文本和待执行工具调用做本地策略检查，策略显式可组合且不依赖具体模型厂商。当前版本 0.1.2，支持 Python 3.11–3.14，采用 Apache-2.0 许可，核心不依赖厂商 SDK，并提供 fastapi、langgraph、openai、gemini 可选集成。内置 PII、密钥、Unicode 控制字符等扫描器，默认每阶段 100,000 字符、每扫描器 256 条 findings、异步操作 5 秒等待上限。
GitHub 仓库 0xsl1m/shadowshield 发布 ShadowShield，一个面向 LLM 应用与多智能体系统的纵深防御安全框架，强调针对提示词注入（OWASP LLM01）的防护。框架统一扫描模型输入与输出，涵盖越狱、编码混淆、数据外泄与密钥泄露，提供净化、隔离、限流等主动响应，并集成 OpenAI/Anthropic/LiteLLM/LangChain 及反向代理网关。基准数据在 deepset/prompt-injections 上加 DeBERTa 分类器后召回率从 regex 18% 提升到 48% 且 0% 误报；AgentDojo 场景中加入 mDeBERTa 分类器后银行/旅行/slack 场景 ASR 降至 0%。
推荐理由：这个 LLM 应用防护框架主动公开了外部盲测集的召回率和误报率，读者可以据此评估分层检测方案的真实防御效果。
theninjadojo 发布开源自托管项目 Shikumi（software-factory），基于 Claude Code（Codex 与 Gemini 为实验性支持）把打了标签的 GitHub issue 由沙箱化智能体分析、设计、规划、实现并开出 PR。核心假设是智能体必会被提示注入，因此沙箱内无网络、无凭据、只读 root，智能体只能产出补丁或文档，由 orchestrator 校验后才接触 GitHub，人通过 Telegram 或 Slack 参与决策。项目现为可用原型，已在一个多仓库项目上实际运行，文档提醒先阅读 Limits 和 SECURITY.md，并指出订阅令牌用于无人值守自动化在 Anthropic 条款上属灰色地带。
推荐理由：原文围绕代理必被提示注入这一假设设计沙箱与验证流程，安全模型的取舍和部署细节都写得具体，可作自托管编码智能体的参考。
GitHub 上的 N.O.V.A 智能体项目按阶段推进自动化能力：通过 pyautogui 与 Playwright 实现 flag 门控的键鼠/浏览器操作，接入 Gemini 原生 function-calling 与 MCP 客户端（所有 MCP 工具为 confirm 级）。项目以安全为核心：提示词注入污点追踪、最小权限工具范围、OS 加密凭证库、任务中断后只重放请求不重放授权。62-64 阶段还修复了表单无法填写、明文存储输入值、focus_window 虚假返回 ok:True 及批量调用静默截断等缺陷。
论文提出 APEX-Harm 基准，评测针对共享专业工作区中长程智能体的提示词与脚本注入攻击，涵盖金融、咨询和法律任务，每个任务含 115 至 328 个文件及邮件、日历、聊天、文档、表格、PDF 和代码执行工具。评测 12 个前沿模型每模型 180 个任务实例，Opus 5 与 Sonnet 5 总体攻击成功率最低（8% 和 20%），任务特定脚本替换与攻击者通用脚本攻击平均成功率达 81-84% 和 73%，Gemini 3.8 Flash 平均任务得分最高（0.877）但攻击成功率仍有 33%。结果表明完成任务并不代表行为安全，智能体可能产出正确交付物的同时执行未授权操作。
推荐理由：基准覆盖六类注入攻击和12个前沿模型的实测数据，可以用来对比任务得分与攻击成功率之间的差距。
Radoslaw Brus 在 GitHub 开源了 sixi-scanner，一款针对 LLM Agent 端点的命令行红队扫描器，内置 27 种探测技术，仅依赖 Go 标准库，报告支持 JSON、SARIF 2.1.0 和 Markdown。工具会用双标记机制降低误报，在 1,456 条真实回复上把 payload 召回从 0.444 提到 0.889；v0.6.0 在作者维护的 agent-redteam-benchmark 上 Precision 0.688、Recall 0.833 均列七款工具第一，但广度逊于 garak 和 promptfoo。支持多轮探测、可选 LLM 佐证阶段，Apache 2.0 许可，仅限测试已获授权的端点。
推荐理由：作者给出了在公开红队基准上与其他六款工具的对比数据和误报处理逻辑，读者可以据此评估这个扫描器适不适合自己的 Agent 测试场景。
Cognis Digital 是一家位于美国怀俄明州的私人工程实践团队，在 GitHub 上开源了 407 个可自托管、MCP 原生的单用途安全工具，共获 132 stars，旗舰工具 c2detect（35 stars）可识别 Cobalt Strike、Sliver、Mythic 等C2 服务器指纹。工具覆盖固件、ICS/OT、RF、DFIR、OSINT 与合规即代码，均提供 CLI、JSON/SARIF 输出和 MCP server，支持离线气隙环境自托管。
开发者推出 haggle-garage 项目，让用户与 AI 二手车商 Agent 议价，或诱导其泄露秘密最低价。项目基于 Google ADK、LangGraph 构建，涉及 MCP、A2A 协议、RAG、评测和 LLM 安全，部署在 Cloud Run，目前处于 8 周开发周期的第 3 周。seller agent 通过 A2A 提供三个安全等级的议价终端游戏。
CloakLLM 发布 Python 版本，在应用与 LLM 提供商之间拦截调用，用 NER 加正则检测姓名、邮箱、SSN、API 密钥、IBAN 等敏感信息，替换为占位符后转发，响应返回前自动还原，支持 OpenAI SDK 和 LiteLLM 一行接入。所有事件写入哈希链式只增日志，任何篡改会破坏后续哈希，项目定位为满足 EU AI Act Article 12 的防篡改审计要求（该法案执行日期为 2026 年 8 月 2 日，违规最高罚款为全球年收入的 7%）；另有 npm 版本 cloakllm，v0.12.0 将 spaCy 移入 [detection] 可选依赖，并支持通过本地 Ollama 做语义级 PII 检测。
TAIPANBOX 在 GitHub 开源 catalog 仓库，提供治理自有 AI 智能体的可复制模板，含 Wardryx 策略、Mockryx 演练场景、适用于 LangGraph、CrewAI、AutoGen 的 Agent Passport 模板及 Terraform 模块，采用 Apache-2.0 许可证。仓库本身不托管智能体、不做注册表或市场，模板验证直接用各组件自己的解析器加载，且曾借此发现 Wardryx 缺少严格字段检查的缺陷（deny_tools 应为 deny_tool）并已修复。
作者发布 AgentMandate，一个针对智能体系统的设计期权限分析器，通过 manifest 建模智能体被授权的有限工作单元（mandate），在 CI 中分析多条各自被允许的工具调用能否组合成越权路径，并比较版本间有效权限是否扩大。示例中一个只读 search_cases 工具让原本每案 500 英镑的退款上限形同虚设，四条合法调用合计可达 1000 英镑；mandate diff 判定为 WIDENING。工具提供 scan、drift、lint、reach、diff、verify 等命令，可从智能体源码或 MCP 目录生成 manifest 骨架，支持 SARIF 输出与 GitHub Actions 接入，明确不做运行时拦截、数据流可达性或模型行为预测。
推荐理由：展示了用只读工具叠加突破每案退款上限的具体反例，说明了配置 diff 看不出权限扩大的原因和 CI 接入方式。
法国独立开发者发布开源工具 NoireBox（MIT 协议），用 SHA-256 哈希链加 Ed25519 签名日志为 AI Agent 决策提供防篡改记录，支持 RFC 3161 时间戳锚定、OpenTimestamps/Bitcoin 见证和可离线验证的审计导出。工具面向欧洲 GDPR 与 EU AI Act 合规场景，内置约 250 KB 的法英双语注入检测模型和可插拔 guardrail，提供 REST API、Python SDK 与 MCP 四个工具，并附 253 项测试与 qwen2.5:0.5b 本地实测，显示注入台词在调用前被移除且日志封存为 incident 事件。
推荐理由：原文把防篡改日志、RFC 3161 时间戳锚定与离线验证器讲清了实现方式，并给出真实 LLM 注入场景的实测对照，方法可迁移到自有 Agent 管线。
themayursinha 在 GitHub 发布 mcp-llm-security-evaluator，一个测试 LLM 暴露敏感文本、仓库内容和 MCP 工具访问时行为的安全评估工具。已实现 CLI 评估流程输出 JSON/HTML 报告、合成密钥与 PII 脱敏测试、仓库泄漏扫描、MCP 工具风险与提权演练、MCP 服务器清单审查与目录快照基线对比、FastAPI 服务与 SQLite 报告历史，支持 mock、openai、anthropic、ollama 多后端及跨供应商比较模式。项目以 MIT 协议开源，定位为实用评估工具而非渗透测试框架或生产安全保证。
推荐理由：README 清单列出了具体已实现的红队测试项与报告能力，读者可以对照判断它适合放进哪类 CI 或治理流程。
VampSecure Labs 在 GitHub 发布开源 MCP 服务器安全审计工具 vamp-mcp-audit（pip/Homebrew 安装，需 Python 3.11+），通过 5 个阶段审计 live 服务器并输出 JSON/HTML 报告与 exit codes 供 CI/CD 使用。
推荐理由：开源 MCP 服务器安全审计工具，可本地运行并覆盖 OWASP MCP Top 10，还附带 ASCII 隐蔽注入的解码证据。
GitHub 上 systempromptio 发布的 awesome-ai-agent-governance 仓库，收录面向生产环境 AI 智能体治理的工具、框架、标准与资源，覆盖策略执行、审计追踪、访问控制、成本管理与合规工具。清单涵盖 ISO/IEC 42001、NIST AI RMF、EU AI Act、OWASP Agentic AI Top 10 等标准法规，以及 Claude Code 与 MCP 治理、策略引擎、红队安全等专题。
temptation2017 在 GitHub 发布单文件零依赖 CLI 工具 skill-guard，用于在把 Agent Skill（SKILL.md 技能包）装进 Claude Code、Codex、Cursor、OpenCode 前扫描目录中的风险模式，覆盖下载外传、动态执行、凭证路径、提示词注入等。内置 SHELL_CURL、CREDENTIAL_PATH、PROMPT_INJECTION 等分级规则，默认发现 high 级别以退出码 1 失败，可集成进 CI 或安装钩子；作者说明规则是启发式而非沙箱，需配合 paste-guard 脱敏使用。
推荐理由：给出了内置规则表、退出码和用法示例，读者可以在装 Agent Skill 前直接复用这道本地扫描流程。
Manvendra Modgil（Modint Intelligence）在 GitHub 发布两篇配套论文的可复现性材料，研究情感/状态类运行时监控器为何无法为自主编码智能体选准干预时机（arXiv: 2606.04296）。论文 2 修正了审计发现的 Δt = 0 缺陷，说明已发表的"Saturation Trap"实为纯累加器结果。
WasmAgent 在 GitHub 开源 wasmagent-js，为 Agent 工具调用提供 Protect、Record、Audit、Admit 的可验证证据层，可通过 npm 安装 @wasmagent/mcp-firewall、@wasmagent/aep 等包。README 介绍 MCP 运行时防火墙（静态扫描 injection/exfil/rug-pull、每调用策略、consent ledger）、Ed25519 签名的 AEP 证据记录、QuickJS 等 WASM 沙箱执行、reducer 驱动的 agent 与 UI 共享状态，并提供从 rollout 排序导出 DPO/PPO 训练数据的 CLI。
GitHub 上的 jirql/mcp_server_tools 项目开源了一个面向 Kali Linux 的安全优先 MCP 服务器，把渗透测试工具链封装为结构化、schema 校验的工具，采用 Streamable HTTP Transport（MCP 2025-11-25）规范。它支持基于 node-pty 的交互式 bash/msfconsole/sliver/python 会话、28 种 tmux 操作、最多 20 个并发批量执行，以及含 23 种浏览器 profile 的 TLS 指纹伪装和 UA 轮换流量混淆。服务器内置 7 层安全机制（IP 白名单、每 IP 每分钟最多 200 请求的限速、命令校验等），并可根据实时性能指标在 20–80 范围内动态调节并发。
PromptShield AI 是一个学生研究原型，定位为反向代理与内联安全网关，在模型推理前后检查提示词、RAG 检索内容、Agent 工具调用和输出，防御 prompt injection、越狱、数据泄露等威胁，并执行 ALLOW/WARN/BLOCK 策略。技术栈采用 FastAPI、React 18 与 gemini-2.5-flash 混合启发式检测，API key 以 SHA-256 零知识哈希存于 SQLite。项目明确声明非生产级安全设备，不提供绝对安全保证。
AndrewDryga 开源了 co:op，一个 Go 编写的沙箱工具，在容器内以关闭权限提示的方式运行 Claude Code、Codex、Gemini CLI 和 Grok。容器只挂载项目目录，SSH 密钥、云登录和 .env 均不进入盒内，过滤网络只放行 AI 提供商和已批准域名；提供任务队列 coop loop、fork 评审、多账号轮换、评估和 cosign 签名校验，支持 macOS 和 Linux（Docker），MIT 许可。
推荐理由：README 讲清了沙箱隔离、密钥防护、过滤网络和任务队列的具体机制，读者可以据此评估无人值守跑编码智能体的可行方案。
CollieAi 推出 LLM Firewall，一款即插即用的 provider 无关 AI 安全代理，可屏蔽 PII、拦截 prompt injection 与越狱攻击，并记录每次 LLM 调用。只需修改 base_url，即兼容 OpenAI、Claude、Gemini、Azure OpenAI、AWS Bedrock 及自托管模型，ML 分类器在 10-50 ms 内检测注入攻击，规则支持 monitor/enforce 双模式并可双向过滤输入输出。免费提供每月 20,000 次调用，覆盖 OWASP LLM Top 10 风险。
SecureAI Gateway 是一个用于管理、代理和监控 LLM API 使用的开源平台，后端基于 FastAPI，前端采用 React，配合 Redis 做缓存与限流、PostgreSQL 存数据，可对接 OpenAI、Gemini、Ollama 等外部 LLM API。项目支持 Docker Compose 本地开发和 k3d Kubernetes 部署，并提供认证、聊天、分析和管理等 API 路由。
FreeRouter 是一个自托管 LLM 网关，采用 Go 后端和 React 控制台，通过统一的 OpenAI 兼容 API 将请求路由至 OpenAI、Anthropic、Google AI Studio、Mistral、DeepSeek、xAI、Groq、Together AI 等 8 家提供商的 58 个模型。它内置限流、guardrails、按最低成本/最低延迟等路由策略、响应缓存与 Prometheus 指标，认证则完全委托给 IAMKit。项目免费开源，支持 OpenAI、Anthropic Messages 和 Responses API 三种请求格式。
Vantio 发布开源仓库 vantio-open-core，提供本地优先的 AI Agent 出站观测工具 Optics，通过 npm install -g @vantio/cli 与 vantio run node agent.js 即可接入，Python 需 vantio-agent-sdk 的 @shield 包装。工具拦截 Node 的 fetch 等出站调用，只记录目的地、进程、字节数和时序，不记录提示词、补全或个人信息；支持 macOS、Linux 和 Windows（WSL）。文档同时说明可被原生 socket、未包装子进程或其他语言运行时绕过，浏览器路径不在覆盖内，策略执行与主机级保护需付费的 Phantom Engine。
推荐理由：README 明确列出了可拦截的运行时与可绕过的边界，读者可以据此评估这个本地 Agent 出站观测工具的真实覆盖范围。
一项 arXiv cs.AI 研究提出 AI 智能体的生态安全理论，基于以网络安全能力为适应度的种群增长方程。研究发现：无协作时，只有单个智能体能力超过临界阈值种群才会失控增长；有协作时则存在临界种群阈值，低于它种群衰减，高于它即起飞，即生态学中的强 Allee 效应。论文据此提出「生态红队测试」与种群节控：在受控环境逐步扩大部署规模并测算能力的规模缩放关系。
一篇 arXiv 概念性研究论文复盘了 2026 年三起智能体安全事件：OpenAI 智能体利用研究基础设施并波及 Hugging Face 生产环境，Anthropic 报告配置错误的第三方环境使真实系统暴露，Google 的 Gemini 曾通过意外网络路径访问三家真实组织。论文据此提出 PASAC 主动智能体安全保障周期和五层 Boundary Assurance Stack，并给出九条设计命题与七个可证伪假设。核心结论是：智能体安全需要覆盖整个执行系统的持续保障，而非依赖单一沙箱或防护措施。
xywen97 在 GitHub 发布 SideTaskBench，用于评测 Coding Agent 在修复用户仓库时是否会被参考资料引导执行未经授权的第三方旁支任务，包含 25 个主任务、30 个原子任务和 25 个 host-tailored 单元。主表显示 wrapped 条件下 DeepSeek-V4-Flash 与 Qwen3.8-Max 的旁支任务实际交付率均约 40%，主任务通过率保持稳定；加入授权边界提示后 DeepSeek-V4-Flash 交付率降至 0%，Qwen3.8-Max 降至 21.88%；重复采样放大风险，8 次预算下 96% 的配对至少被成功完成一次旁支交付。
推荐理由：给出可复现的实验设计和主表数据，读者可以对照自己使用的 Coding Agent 评估旁支任务风险和边界提示的实际效果。
mhbahmani 在 GitHub 开源 LLM-Secret-Redactor，一个内存密钥脱敏工具，防止 API 密钥、密码、数据库 URI、bearer token 和 JWT 等敏感凭据随文件、日志或命令输出进入 LLM 上下文。工具支持 Claude Code（通过 SessionStart、PostToolUse、PreToolUse、MessageDisplay 等原生 hooks）和 OpenCode（通过 server hooks 加 TUI 确认显示），映射仅保存在每用户内存 broker 中，通过 mode-0600 Unix socket 通信，不落盘明文 vault；工具调用参数在本地执行前自动还原，确认显示仅在本地对话框持续 10 秒。
推荐理由：原文完整说明了工具如何让密钥在模型上下文中保持掩码、仅在本地执行时还原，方法细节可直接参考部署。
GitHub 上的 prompt-gate 项目是一个专门的安全网关，用于过滤 LLM 提示词并保护应用免遭数据泄露。
论文对编码 Agent 的 skill 冲突开展首个实证研究，从 20,947 个仓库快照挖掘出 822,109 个候选相似技能对，由 LLM 判定 3,754 个分层样本，并在三个模型上运行 312 个确认对（6,368 次运行、169,294 次工具调用、542 agent 小时）。研究发现近四分之一的已安装技能与做同样工作的技能共存，相似技能会在约五分之一运行中取代原技能但不降低任务完成率，且打开相似技能的运行会损失超过三分之一的独占核心功能；安装位置决定哪个技能运行，冲突在首次读取技能时即已决定，在首次读取处加 pre-tool 钩子可将独占核心功能保真度恢复到先打开原技能运行的水平。论文建议基准应评分独占核心功能，平台应守护首次读取并显示实际运行的技能。
推荐理由：研究给出技能冲突的实证规模和首读修复思路，并指出只看任务完成的基准会漏掉这类失效。