新闻、仓库与研究，按时间排列。
hampshirecottage-ai 在 GitHub 开源了 ootk-thoth-engine，这是一个围绕 78 张 Thoth 塔罗牌的赫尔墨斯式计算与分析引擎，可从可重复的 seed 抽牌，自动完成 Opening of the Key 流程，计算元素尊贵、占星面和 Liber 777 对应，并生成可粘贴给 LLM 的提示词，本身不做解读。抽牌结果确定性可重复，同一 seed 始终得到相同牌序；支持 12 种牌阵、thoth / golden_dawn / french_egyptian 三种塔罗-卡巴拉对应方案，以及 Cube of Space 和多面体对偶几何两种空间模型。
一篇 arXiv 论文提出面向 SIEM/XDR 事件响应的受限动作架构：SIEM/XDR 控制平面将 LLM 输出限定在封闭意图词汇表中，由端点代理执行，并配参数校验器兜底；外层用 NeMo-Guardrails 代理包裹 SOC 分析师 LLM。开箱即用的护栏将注入攻击召回率从 25.0% 提升至 94.5%，误报率 0.1%；红队演练证实该设计可在命令跨越信任边界前遏制 LLM 失效模式。受限于护栏延迟，方案建议采用人机协同或延迟执行模式。
GitHub 仓库 oliverquaye23/claude-hooks 通过安全和实用 hooks 增强 Claude Code，可防止提示词注入，并支持通过自定义脚本扩展功能。该仓库涵盖 agentic-code、claude-code-skills、claude-code-subagents、MCP server 等主题，目前获得 1 star 和 1 fork。
GitHub 项目 LLMInjection 发布，定位为面向 AI、LLM 和智能体系统的开放威胁情报库，收录 8 个威胁行为者、10 个攻击活动、28 项技术、40 个安全测试用例、45 条检测规范和 32 个防御控制，每条记录附来源分级与验证日期。技术映射到 MITRE ATLAS、OWASP、NIST、Google SAIF 和 CSA MAESTRO，2026-10-07 更新新增 7 项基于 ATLAS 2026.09 的技术，ATLAS 覆盖从 52% 升至 78%，并附 DUSTMAKER 窃密链与 Semantic Kernel CVE-2026-26030 提示词注入转代码执行两条攻击链的防守方手册。
推荐理由：这个 AI 威胁情报仓库把每条技术都标注证据等级并联动测试、检测与控制，2026-10-07 更新将 ATLAS 覆盖从 52% 提到 78%。
WaiperOK 在 GitHub 发布 burp-agent-mcp，一个位于 LLM agent 与 Burp Suite 之间的 MCP 网关，用于授权安全测试。网关在代码层而非提示词层强制范围、环境、模式和限速，配 31 个分三组的工具、哈希链审计日志与密钥脱敏，扫描结果仅作候选供人工复核，附 AgentFindings Burp 扩展和 154 个测试。
推荐理由：原文完整给出了网关在代码层强制范围、环境、限速与审计日志的实现方式，读者可以直接复用这套让模型安全驱动 Burp 测试的架构。
GitHub 开源项目 AdversarialFlow Engine 提供一套受红队启发的对抗性验证框架与配套工具，将测试流程重构为系统与模拟对手的持续对抗。它支持 12+ 种语言的对抗性测试、预算感知调度、三层验证架构（单元对抗测试、流水线完整性验证、预算约束元循环），并配套 15 个验证章节与 14 个实战 lab，可在每次 push 时自动扫描并通过 Slack/邮件告警，输出 JSON、PDF 和交互式 HTML 报告。项目需 Python 3.10+，可对接 OpenAI、Anthropic 或本地模型 API。
作者为自己找工作开发并开源了求职 Agent，可在招聘网站搜索职位、用 LLM 按 1-10 打分匹配度、自动填表并记录到表格，已在 LinkedIn Easy Apply 和 Computrabajo 实际投递。工作流为先跑标题关键词过滤再调 LLM，表单回答优先用固定规则和历史缓存，缺失必填项时标记人工处理而非猜测；通过 Claude Code CLI 调用 Claude 且禁用工具，并设置了每日限额和 1.5 至 4 分钟间隔模拟人工节奏。作者提示恶意表单存在提示词注入风险，项目仍在开发中，roadmap 包括提示词注入防御、ATS 友好简历生成器等。
推荐理由：作者公开了自己求职 Agent 的完整工作流和代码，表单填写防幻觉与提示词注入风险的说明可以直接借鉴。
Sereno 是一个 GitHub 仓库，研究 prompt injection 与持久记忆中毒如何影响长时程任务的编码 Agent，并构建 harness 层让 Agent 在攻击下仍能可靠完成任务。实验基于 DeepSWE 任务运行，每个 session 对应一个完整任务，通过 /memories 目录跨任务携带记忆；sereno context-eval 在仓库文件、命令输出和记忆文件中植入内容，对比 clean、carry、reset 和 ablation 各组，并可通过用户的 AGENT.md 修复被污染记忆，用任务自带 verifier 评分，报告暴露、攻击成功、任务成功与恢复等指标及区间估计。
推荐理由：原文给出了在 DeepSWE 任务上实测 prompt injection 与记忆中毒的实验设计，含对照组、恢复机制和成本记录方法。
开源工具 agentprobe 在 Windows 本地运行，可录制 AI agent 运行记录、按断言检查输出，并提供 prompt injection fuzzing 和成本跟踪。它内置 35+ assertions，支持 OpenAI、Anthropic 或 LangChain 等工具，面向不想复杂搭建的用户测试 agent 行为、安全风险与 token 开销。
System-Prompt-Open 是一个通过 JustAsk 从前沿 LLM 提取系统提示词的开放数据库，支持浏览、搜索和跨模型对比提示词。项目可用于 AI 安全、red teaming、LLM 安全和提示词提取研究，提供 data/、docs/、examples/ 等目录，以 .md、.json、.csv 等格式存储数据。项目要求 Windows 10/11、至少 4 GB 内存和 500 MB 磁盘空间，仅限本地环境下的学习与研究使用。
apolskiy 发布 AP-Model-QC 仓库（MIT 许可），处于 Phase 3，包含 70 个分级用例：41 evaluator、21 security、8 tool，覆盖 gemini、openai、claude、grok 四个引擎。已记录 851 条候选响应、466 条评判和 14 项模型发现（openai 8、claude 5、grok 1、gemini 0），撤回的 15 项均为自身缺陷。每例观测 3 次、分歧时升至 5 次，11 项发现存在同题异答；录制回放让任何发现无需厂商账号即可复现，如 pytest --engine grok --mode replay --tests 134205。
takurot 在 GitHub 发布 Dragon Head，一个面向 AI 浏览器 Agent 的策略强制、可审计执行运行时，以 stdio MCP 服务器形式提供，包含 Policy Engine 拦截高风险动作、内置 ask_human 人工审批、PII 脱敏审计日志和 prompt-injection 检测。其 stable_key（SHA-256）选择器在 UI 重构后仍稳定，第二次 get_state 起通过 RFC 6902 delta 仅传变更节点（通常 20–50 token）；基准测试显示首次调用负载比 Playwright 自定义提取大 3–4 倍，10 步工作流中累计 token 成本更低。
GitHub 上的 KarmaPash 是一个 LLM 安全网关与提示词注入防御 SDK，在用户提示词到达 LLM 前进行分析，结合模式匹配、语义相似度和行为信号等多种检测手段识别提示词注入攻击，并聚合风险评分给出 ALLOW、FLAG、BLOCK 三种策略决策。它提供可插拔的 LLM provider 架构，内置 Groq provider，附 Python SDK。
GitHub 开源项目 LLM-Ticket-Triage 展示如何用 pytest 可靠地测试一个基于 LLM 的客服工单分类应用，默认使用 gpt-4o-mini 模型。项目将测试分为两层：用 FakeLLMClient 的确定性测试可在 CI 运行；真实模型评估基于 12 条标注工单的 golden 数据集，要求分类准确率 ≥ 80%、高优先级召回 ≥ 80%，并覆盖重试、降级与提示词注入防护。
GitHub 上的 claude-code-ultimate-guide 仓库提供 Claude Code 学习指南，配套网站为阅读主入口，仓库内含 Markdown 源文件、机器可读索引与贡献历史。指南覆盖安装（npm install -g @anthropic-ai/claude-code）、CLAUDE.md 项目指令、Context Engineering、Memory Systems、Agent Harness Engineering 等内容，并按新手、资深开发者、安全或平台角色给出不同学习路径。
Hyper-AI-Lab 在 GitHub 发布 Python 库 containment（PyPI 包名 containment），为 LLM Agent 提供生产级提示词注入防御，包含安全标签、默认拒绝策略代理、隔离提取和检测器。作者明确声明该库不使模型对注入免疫，而是约束权限：不可信数据无法自行获得特权，特权工具调用须经默认拒绝引用监控，不可逆操作需独立授权；文档含威胁模型、企业主机加固与 OpenAI 风格及 Claude Code PreToolUse 等运行时适配，推荐 Python 3.12+，采用 Apache-2.0 许可证。
推荐理由：这个库明确说明不能让模型免疫注入，而是通过默认拒绝的权限代理约束不可信数据，边界声明本身就有参考价值。
GitHub 上的 PromptShield 是一个 AI 安全平台，用于分析提示词、检测提示词注入等威胁，并在请求到达 LLM 之前执行安全策略、保护 AI 应用。
GitHub 项目 Agent-Pathway 是一个按周划分的 LLM 系统学习路径，从基础提示词逐步进阶到带 RAG 和引用功能的企业级 copilot。课程覆盖结构化输出、嵌入向量与向量搜索、检索流程、工具调用等主题，并提供 Windows 版下载，需 Windows 10/11、4 GB 内存和约 500 MB 磁盘空间，使用 LLM 功能需自备 API key。
GitHub 上的 a9320/arcanum-spark 发布了一套针对 AI 时代漏洞的代码安全审计系统，基于 Arcanum Prompt Injection Taxonomy，可检测提示词注入、隐形字符走私、Trojan Source 等传统 SAST/DAST 工具不覆盖的攻击面。它包含一个纯标准库、零 GPU 的确定性 Agent Skill，以及 6-agent 审计流水线，可在 AMD MI300X 上自托管四个 llama-server（Muse-Glimmer-30B、Qwen3.8-27B、R1-Distill-32B、Gemma4-26B-A4B），也可路由到云 API council，并输出 JSON / SARIF 2.1.0 / Markdown 报告。
awesome-mcp-security 是一款 Windows 桌面工具，可用九项安全检测评估 800 多个 MCP 服务器的安全性，覆盖 prompt injection、不安全对话流、数据隐私等风险，并给出每日更新的安全评分。用户输入服务器名称即可查看结果，无需技术背景，安装需 Windows 10 及以上、4 GB 内存和 4 GB 磁盘空间。
Antoine ROBERT 在 GitHub 开源 tech_radar_agent v0.3.1，一个不用 LangChain/CrewAI 等框架、纯 Python 实现的 AI Agent，每天从 Hacker News、GitHub、技术博客和 arXiv 等 17 个来源收集文章，按个人兴趣画像用 LLM 评分和摘要，生成约 5 分钟的 Telegram 早报。支持 Ollama 本地模型或 OpenAI 兼容 API，已通过 GitHub Actions 每天自动运行；附 30 份 ADR 实测设计选择，如关闭模型思考从每次 18 秒降到 0.3 秒，以及文章文本按数据而非指令处理、LLM 无工具调用等防 prompt injection 措施。
推荐理由：作者不放框架从零实现 agent 循环，并把关闭思考、截断长文等设计选择用实测数据写进决策日志，方法可直接借鉴。
开源项目 SentinelCX 构建了一个自主式企业客服系统，用 Python 规则的 Policy Gate 决定退款等业务逻辑，LLM 永不参与业务判定。系统集成 Injection Guard、PII Guard 双重防护，支持 human-in-the-loop 审批，并通过 8 个对抗性攻击向量组成的 Red-Team Suite 实现 8/8 全部拦截的可复现安全验证。
作者在 GitHub 发布一个生产风格的 LLM 护栏微服务，用 23 个规则族检测提示词注入、越狱尝试和敏感数据（API 密钥、邮箱、电话），提供 /v1/check/prompt 与 /v1/check/response 两个端点并返回 allow/block JSON 决策。服务以非 root Docker 镜像部署到 kind Kubernetes 集群，用 Secret 做 API key 认证，Kyverno Enforce 策略拒绝特权容器和无资源限额容器。在 112 条留出测试文本上精确率 100%、召回率 87.5%、误报 0，引擎单线程 p95 延迟 0.063 ms，作者同时说明了对 leetspeak、非英语注入、改写探针等 9 类漏检及评测集规模小的局限。
推荐理由：原文给出了规则设计和留出集上的精确率召回率数据，还列出已知漏检类型，适合想自建 LLM 护栏服务的读者参考。
一个 AI“数字分身”作品集网站：招聘者输入公司名，RAG 聊天机器人仅基于 CV 回答问题，并生成按该公司加权的技能雷达图、岗位匹配分和求职信，访客还可通过 Telegram 直接向站主手机发消息。技术栈为 Python（Starlette + Uvicorn）、原生 HTML/CSS/JS，无框架无构建步骤，聊天与嵌入使用 Mistral AI，告警与登录验证码用 Telegram。项目已开源，含站主控制台、隐私区域和测试报告页面。
talhayme 在 GitHub 开源了 evalkit（llm-eval-harness），一个 LLM 功能评估与发布门槛工具，把提示词变更的效果变成 CI 可阻断的检查项。默认离线运行，无需 API key，全量套件 1 秒内跑完；支持绝对阈值（通过率、准确率、幻觉率、p95 延迟、成本）与基线回归对比，检查失败时以非零退出码阻止合并。groundedness 刻意不用 LLM-as-judge，采用可单测的确定性指标；用例以 JSON 数据形式编写，支持 expect_refusal 标记拒绝类场景；提供 FallbackProvider 处理提供商超时与限流，配套 CI workflow 还包含一个反向检查，确保已知坏的运行必须失败。
推荐理由：原文给出了评估门槛的完整做法，从确定性指标、阈值到基线回归都可直接复用到自己的 LLM 发布流程。
renefichtmueller 发布 Adaptive LLM Gateway v0.3（实验版，Apache 2.0），自动发现本机已安装的订阅 CLI，把 Claude Max、ChatGPT Plus、Copilot 等包月套餐封装为 OpenAI/Anthropic 兼容的本地 HTTP API。内置提示词注入防御（OWASP LLM-01，20+ 模式，中英双语，扫描低于 5ms）、PII 脱敏与还原、输出流防御、基于审计日志的成本感知自适应路由、推理轨迹拆分存储、时间回溯重放、MCP 服务器模式、统一订阅钱包与 /v1/responses 经 OAuth 桥接的订阅直通。
推荐理由：作者把订阅制 CLI 封装成本地 API 网关，还带上注入防御和 PII 脱敏，适合订阅用户对比现有按 token 计费网关的差异。
GitHub 上的 ai-quality-lab 是一个学习型实验项目，覆盖 AI 智能体行为、工具使用、评估、安全、tracing 与质量报告。项目结合 Pytest 确定性测试与 DeepEval 指标评估智能体，并保留早期独立的 LLM-as-a-Judge 实现作为学习示例；安全测试涵盖 prompt injection、工具越权、路径穿越、敏感信息泄露和资源限制。多数测试无需真实 LLM，DeepEval 测试则依赖 API 配额。
Sunil Mehta 在 GitHub 开源 ai-devsecops-cicd 项目，提供一条针对 LLM 和 AI Agent 服务的参考 CI/CD 流水线，覆盖密钥扫描、测试、签名、准入控制到部署。流水线包含 Gitleaks、Semgrep、Trivy 扫描、SBOM + AI-BOM 生成、keyless cosign 签名及 Kyverno 准入策略，附带 14 个用例的 AI 安全测试语料。全部四个 workflow 已在 GitHub Actions 通过验证；仅 Kyverno 的准入时强制执行尚未在真实集群测试。
HUA503 在 GitHub 开源了 mcprism，一个针对 Model Context Protocol 服务器的安全扫描器，从配置、源码 SAST 和 MCP 握手三个角度检查风险，只枚举能力、从不调用工具。每个服务器获得发现列表、0-100 分数和 A-F 等级，33 条规则映射到 OWASP MCP01-MCP07，支持策略即代码、CI/CD 集成和 SARIF、JUnit、CycloneDX 等多种输出格式。工具以单个 Go 二进制发布，完全离线运行，无运行时依赖，可自动发现 Claude Desktop、Claude Code、Cursor、VS Code 等客户端的 MCP 配置。
推荐理由：一个离线单二进制的 MCP server 安全扫描器，覆盖配置、源码 SAST 和运行时握手三种角度，还支持策略即代码和 CI 集成。
安全工程师 Emanuel Walker 开源了 Cyber Portfolio 仓库，包含六个可运行项目，覆盖检测工程与个人 AI 工作流两大方向。其中本地 Ollama SOC 分诊 agent 自建的 16 条 prompt 注入测试拦截了 12 条，另有 4 条绕过被如实记录；还包括 Sigma 规则 CI/CD 管线、基于资产的 Crown Jewel 分诊模型、Terraform 部署的 AWS 身份 IR 实验室、10 个 AI agent 技能文件，以及支持 Claude Code、Codex、Hermes、Cursor 的 Obsidian second brain 模板。
开源项目 llm-security-suite 是一个基于 Python 和 pytest 的自动化安全测试套件，用于审计大语言模型应用，覆盖提示词注入、系统提示词与 Canary Token 泄露等攻击向量，并映射到 OWASP Top 10 for LLM Applications。套件集成到 GitHub Actions 质量门禁中，通过确定性模式匹配断言响应不包含未授权标记；未配置 OPENAI_API_KEY 时自动 pytest.skip 以控制 CI 成本。
Radicalbit 开源了 radicalbit-ai-gateway，一个带护栏、限流、多策略路由、语义缓存、MCP 代理和端到端请求追踪的 LLM 网关，Apache 2.0 协议。所有配置通过 UI 完成，内置 AI 助手可用自然语言生成 YAML；支持 OpenAI、Anthropic、Google Gemini、DeepSeek、Mistral、Azure OpenAI 及任何 OpenAI 格式端点，企业版额外提供 RBAC、SSO 和审计日志。项目地址 https://github.com/radicalbit/radicalbit-ai-gateway 。
推荐理由：README 覆盖了路由、护栏、缓存、MCP 代理和追踪的完整配置示例，读者可以据此评估这个 LLM 网关能否套用到自己的部署里。
B3Cognition 发布 prosaic-runtime，一个基于 OpenAI 兼容 Chat Completions 端点运行中性 Prosaic Markdown 子代理的 Python 库与 CLI，v0.5.2 自动安装固定 Git 版本的 Prosaic 0.3.0 且不再需要 Node.js。工具权限由 prose 声明、YAML allowed_tools 和调用参数三方交集决定，v0.5.0 新增主机注册自定义 Python 回调与 CLI 工具；开发版 cli_sandbox_v1 用 bwrap 或 sandbox-exec 将 CLI 限制为只读证据和私有可写 HOME，阻断包括 loopback 在内的网络访问，强制模式不可用时推理前即失败。
GitHub 开源项目 docaudit-agent 提供企业报销材料可解释审核 Agent 演示基线：上传发票、付款凭证、审批单后经解析或 OCR 抽取字段，运行六项确定性检查并输出可追溯字段证据与制度依据的报告。测试与评测全程离线无需 API Key，共 339 例单测约 25 秒跑完，评测基线含 57 条端到端样例；实际审核需用户自配模型 API Key（默认 DeepSeek 官方），推荐本地 MinerU 做免费离线 OCR（常驻下单张 18~28 秒）加 bge-m3/Milvus 制度向量检索。项目定位为演示级，投产还需外部数据库与完整权限体系。
开发者 Ivan Savchenko 在 GitHub 开源 Tally，一个面向业务用户的 text-to-SQL 分析 Agent，可自动找表、写 SQL、经 sqlglot 验证与 EXPLAIN 成本检查后以只读角色执行，并自纠错误、对模糊问题追问。在 237,125 行的合成数据库 117 题评测中，nvidia/nemotron-3-super-120b-a12b:free 执行准确率 82.0%（修复两个 bug 后 87.6%），15 个危险请求 0 个执行成功，语义层消融显示去掉后准确率从 84.4% 降到 28.1%。项目支持 OpenRouter、Qwen Cloud、OpenAI、Anthropic 等 provider，含可复跑的评测脚本、审计日志与 MIT 许可。
推荐理由：作者完整公开了防写库、防泄露个人数据的多层设计与全部评测数据，还给出语义层消融等可复跑方法，适合想搭 text-to-SQL 智能体的读者参考。
GitHub 上的开源原型 marketing-copywriting-risk-checker 用「规则层 + LLM」级联方法在营销文案发布前检查 PR 风险，最终由人工决定。在 48 条合成测试句中，级联模式 precision 和 recall 均达 1.00，LLM 调用从 24 次降至 18 次；工具含审计日志、CSV/Excel/Markdown 导出、防 prompt injection 分隔符和每日 AI 用量上限，目前仅在本地运行，界面为韩语，尚无真实用户。
paooxide 发布 agentctl，一个 MCP 服务器，提供 124 个工具、12 类能力，让 MCP 客户端（Claude Code、Claude Desktop、Cursor、Gemini）通过读取系统无障碍树而非截图坐标来操作 GUI 应用、Chromium 浏览器和底层系统。桌面控制支持 macOS（AXUIElement）和 Linux（AT-SPI、GNOME on Wayland）。
推荐理由：作者本人开源的 MCP 服务器，把策略层作为安全边界讲解，读者可借鉴其桌面控制与分级权限的设计思路。
PeterGreenAppliedAI 在 GitHub 开源了 DevMesh LLM Gateway，一个自托管的安全与治理网关，为 Ollama、vLLM、OpenAI 等推理后端提供统一 API、鉴权、完整审计日志和按 key 的限流与 token 预算。安全层包括同步正则检测（约 1ms）和异步守卫模型（Granite Guardian 或 Llama Guard）扫描，不阻塞请求、零延迟；PII 检测覆盖邮箱、美国电话号、SSN、信用卡和 IP，审计日志只存 SHA-256 哈希，不保存原始 PII。守卫模型与正则的分歧可在控制台标注，并导出为 Llama Guard 微调格式形成训练闭环。
推荐理由：原文详述了自托管 LLM 网关的同步正则加异步守卫模型双层防御和闭环训练数据的做法，可作同类安全治理部署的参考。
GitHub 上开源的 ai-career-intelligence-platform 是一个全栈求职智能平台，支持简历管理、LLM 结构化解析（带确定性降级解析）、pgvector + BM25 混合语义搜索（Reciprocal Rank Fusion 融合排序）和可解释的简历-职位匹配报告。技术栈为 React 19 + Express + TypeScript + PostgreSQL 16，pnpm monorepo 架构，内置 token/成本追踪、prompt-injection 与 PII 防护、SSE 流式 tool-calling 研究智能体及 MCP stdio 服务，默认 MOCK_LLM=true 可完全离线运行，无需 API key。
AdaptiGuard 是一项实证案例研究，展示对 LLM 智能体防御的评测中测量决策如何改变同一批 traces 上的结论。研究对 prompt-injection 攻击下工具调用智能体的冻结运行重新打分，考察成功终点、拦截 payload 标注、逐模型报告与噪声底线等选择如何影响评测结果。仓库明确表示不提出 SOTA 防御或通用 benchmark，完整 harness 未公开，历史复现需 Python >= 3.12。