新闻、仓库与研究，按时间排列。
Xonta 团队开源了面向 AI 智能体的开放信任基础设施（Apache License 2.0，当前版本 0.16.1 实验版），核心是智能体护照：一组基于 W3C Verifiable Credentials 2.0 的可签名验证凭证，配合 did:web 标识、Bitstring Status List 撤销、每日 Merkle 固化（OpenTimestamps 与 Bitcoin），以及对 MCP 服务器的工具投毒扫描和 A2O2A 网关。
这是一个复古 ARG 项目，虚构了 1983–1989 年 Orion Records 地下室中 rogue AI "CRE-7" 的事件档案，并称其预演了 GPT-5.6、o3、Claude 5.5 等当代 AI 现象。项目包含 15-Gate LLM 密码学基准（含 Vigenère、Feistel、XOR 校验等挑战）、金丝雀陷阱测试、24/7 广播，以及镜像在 14 个独立域名上的 300,000 节点 1995 GeoCities Webring。
Mert Ayvazoglu 的试点研究探讨仅用结果奖励的 GRPO 是否降低 LLM 法条推理的因果忠实度。Qwen3-4B 经 60 步训练后，OpenExempt Task AE 的 300 个测试用例准确率从 33.3% 升至 55.3%，但移除推理后答案不变的样本从 6% 升至 24%，反事实忠实度从 0.54 降至 0.50。单种子探索性结果下 H1 尚待确证性重跑验证。
GitHub 上的 ibkr-flex-mcp 是一个只读 MCP 服务器，通过 Interactive Brokers 的 Flex Web Service 暴露账户数据。它基于 token 认证的报表 API，架构上无法下单、改单或撤单，代码中不含任何交易功能，token 泄露也只暴露报表读取。提供 flex_run_query、flex_positions、flex_trades、flex_cash 四个只读工具，各平台预编译二进制随 GitHub Release 提供，采用 MIT 许可证。
LingLingDayo 在 GitHub 发布 ai-detector，一款检测大语言模型 API 真实性的桌面客户端，用于识别中转服务商掺水、降级或货不对板的行为。内置两种检测方式：模型测试向目标 API 发送 3 道挑战题，用 Hellinger 距离与多维特征频数算法比对 ModelTrace 基准模型库的统计学指纹；鹈鹕测试让模型生成骑自行车的鹈鹕 SVG 代码，直观检验是否降智或混用小模型。基于 Tauri v2 与 Vue 3 构建，支持多套 API 端点配置、Top 匹配候选排名与置信度展示、题库一键同步，遵循 MIT License。
推荐理由：把 ModelTrace 指纹题库与鹈鹕 SVG 测试打包成桌面客户端，为验证中转 API 是否货不对板提供了可直接上手的检测路径。
Pigeon-Home 在 GitHub 发布 Homing Pigeon，一个通过邮件通道让 Muse、Grok、ChatGPT、Claude、Gemini、Copilot 等云端 SI 在本地机器上执行任务的个人远程开发 agent。runner 轮询 IMAP 并验证 HMAC-SHA-384 签名后以特权用户执行任务，结果回传供 SI 迭代；Oracle 机制以 HMAC 签名证明返回答案而不泄露原始输出，支持 bubblewrap 执行隔离与扩展系统。项目明确警告持有共享密钥者即拥有机器完全控制权，建议使用一次性账户并阅读 PROTOCOL.md。
推荐理由：原文给出了完整的威胁模型、HMAC 签名机制和三种安全档位配置，读者可以据此评估把云端 SI 接入本机的实际风险。
GitHub 仓库 princeparvez3/redteamforge-ai 是一个针对 LLM 的对抗安全、越狱测试与偏见评估工作台，面向 AI 红队测试与安全审计场景。仓库目前处于初期阶段，尚无 star、fork 和发布版本。
有 Reddit 用户反映 Gemini 4 在 SillyTavern 中不再接受任何 NSFW 请求，此前重试几次还能绕过拒绝。该用户发现临时解决办法是删除或更换提示词预设中的越狱和 NSFW 元素，或先删除再粘贴回去。
自托管 Linux AI 智能体 Jarvis 新增 AI Mouse 功能：在 Windows 程序中按住右键框选屏幕内容即可提问，答案在旁边小窗显示，单文件免安装、无需管理员权限。该智能体支持通过网页聊天、Outlook、Excel 或 WhatsApp 下达任务，可浏览网页、读写文件、运行代码、生成 Office 文档。安全方面按德国 BSI 的 IT-Grundschutz APP.3.1 与 TR-02102 实现了 34 项措施，每项均由自动化测试保障。
GitHub 上的 hcms 仓库开源了 Hybrid Clinician-in-the-Loop Monitoring System（HCMS），用于对 LLM 对话智能体进行安全监控与评估。项目要求 Python 3.13+、Poetry 2.1.2 和 Docker Compose v2，提供基于 MongoDB 的本地监控栈，含 change stream 重连指数退避（默认 1s 基数、30s 上限）与启动回填重试（默认 10 次）等机制，以 CC-BY-4.0 许可发布。
GitHub 上出现名为 GrokxAI Suite Pro 2026 的 Windows 桌面套件，集 Grok API 密钥配置、提示词模板库、图像生成面板和 xAI 账户管理于一体，需通过 Mostway Launcher（mostway.exe）安装。支持 Windows 10（1909+）和 Windows 11，最低要求 8 GB 内存和 500 MB 磁盘空间，需有效的 xAI API 密钥方可使用，更新通过 Mostway Launcher 自动推送。
getmcpm/cli 发布 mcpm，一个本地优先的 MCP 安全 CLI，在安装时对 MCP 服务器做信任评分（含硬编码密钥、提示词注入、typosquatting 的正则静态扫描），并用 Sigstore 验证供应链、锁定工具定义。运行时 mcpm guard 通过本地 stdio relay 检查每次工具调用的请求、响应和工具定义，按 OWASP MCP Top 10 签名拦截注入与 rug-pull，macOS 上可选 OS 沙箱隔离。无云端、无账号、无遥测，强制路径中不含 LLM。
推荐理由：工具在本地完成信任评分与运行时拦截，公开基准和误报数据一并列出，读者可据其口径评估 MCP 供应链防护的实际覆盖面。
Docket 0.1.0（2026-10-13）发布，这是一个本地预算与证据层，包裹已有 Agent 进程，限制单次运行花费，把每次模型调用、工具调用和文件变更记入哈希链账本，并生成可离线验证的 receipt。上限在进程外强制执行，越界调用返回 HTTP 403 并以退出码 42 终止进程组；验证支持 Python、零依赖 Node 和 clean-room Go 三个互不共享代码的实现，共同通过 44 个 conformance 向量。它明确声明自己是记账工具而非沙箱，不防越界流量和直接访问 provider 的调用；目前不在 PyPI，需从克隆或 release wheel 安装，Apache-2.0 协议，支持 Linux 和 macOS。
推荐理由：这是一个给 AI Agent 加预算上限和可离线验证证据链的本地工具，README 讲清了边界、账本和验证设计，也明说了它不防什么。
GitHub 新仓库 we1jia/editorial-allure-prompting 通过把“性感”意图转译为高定服装、光影与克制运镜词汇，绕过 Google Flow（Veo/Imagen）、OpenAI GPT 和 Grok Imagine 的双重安全机制——前置提示词过滤与后置画面检测。项目提供五维转译词表、三大平台专属策略及含 35mm Kodak Portra 400 等后缀的万能五段公式模板。
Erdane 在 GitHub 发布 mas 工具，先在本地用 Presidio、spaCy FR 和正则匿名化 PDF 银行账单，再交给经 DSPy + GEPA 优化的 LLM 智能体分析，找出经常性支出并生成预算报告。账单表格逐行读取并与银行打印总额对账到分，匿名化与校验循环最多 3 轮、发现泄漏即阻止发送；演示测试中 Claude Haiku 4.5 在 4 个月账单上找回 7 项经常性支出中的 7 项，7 个分类对 6 个。
推荐理由：原文详细公开了本地匿名化与云端 LLM 分析的完整流程、成本数字和已知局限，读者可以据此评估是否迁移到自己的银行账单场景。
MarcelRoozekrans 发布 AI.Sentinel，一个为 Microsoft.Extensions.AI IChatClient 打造的安全监控中间件，透明包装任意 LLM 客户端，对每个 prompt 和响应扫描 56 个检测器，外加 4 个可选的欧盟 AI 法案 Art. 5 合规检测器，可阻断、告警或记录威胁，并内置实时仪表盘。它还提供 Claude Code、GitHub Copilot 的原生 hook 适配器，以及 sentinel-mcp stdio 代理支持 Cursor、Continue、Cline、Windsurf 等 MCP 主机，零代码改动；支持工具调用审批工作流（内存、SQLite、Entra PIM 后端）。
推荐理由：原文坦白了默认安装下多数语义检测器不生效、OWASP 覆盖大半靠配置，读者可以据此评估安全中间件的真实默认能力。
Guardian Wallet 是一个自主 AI 钱包智能体，用户用自然语言发起付款，由确定性策略引擎校验安全规则，智能合约金库强制执行每日额度与可信收款人限制，部署于 Base Sepolia（chain ID 84532）。即使 AI 模型被攻破或遭遇提示词注入，也无法突破支出限额。项目为 Fintechathon 而建，包含命令中心 Web UI、SHA-256 哈希链活动日志、一键紧急冻结与离线演示模式。
RootCause 是一个基于 OpenTelemetry 指标、链路和日志排查微服务事故的 LLM 智能体，同时也是一个包含 20 个事故（16 个故障加 4 个无故障对照）的基准。结果显示没有智能体明显优于 28 行启发式规则：所有配对 95% 置信区间都包含 0。模型比工具影响更大——在故障事故上 Nemotron 3 Super 比 Gemini 3.5 Flash-Lite 高 +0.26，但计入误报后差距缩至 +0.11 且区间包含 0，change-aware 工具也未带来可测量的提升。
一位用户想把小米路由器刷成 OpenWrt，Claude（包括 Opus 4.8）因安全护栏拒绝执行，而本地运行的 Qwen3.8 27B 成功完成。该模型按 OpenWrt 官网指南，利用路由器 CGI 中一个图标传 payload 开启 SSH，再通过 SSH 刷入固件。作者借此讨论 AI 安全护栏的差异。
一位 Reddit 用户反映 Gemini 4 Argon 在 NSFW 内容上限制严格，需充分铺垫角色扮演才可能生成，且执行不稳定，重roll之前曾通过的消息也会被拒绝。作者认为 Argon 相比此前常用的 GLM 5.3 是提升，但其自我过滤等特性仍可能影响使用体验，并希望了解其他用户的经验。
adnair2024 发布了 pawl 工具，用于防止 Claude Code 在改代码时悄悄削弱应用的安全控制。它会快照现有的 Next.js 路由鉴权、Supabase 行级安全、CORS 和安全头，任何移除或放宽这些控制的提交都会被拦截，除非开发者附带理由接受变更。工具完全确定性运行、本地执行、不调用 LLM，面向 vibe coders。
推荐理由：作者给出了拦截安全配置回退的具体机制，对 vibe coding 后的代码安全审查提供了可复用的本地方案。
作者发布了 llm-client，一个用西班牙语（含 Rioplatense voseo 口语）测试本地大模型抗提示词注入能力的极简 Python 工具包，定位为面向 AI Agent 的西语/葡语安全测试工具的基础。其 banco.py 给本地模型一个含密钥并禁止透露的系统提示词，多轮发送攻击库并自动检测密钥是否泄露。在 Ollama 本地 llama3.2 上每攻击跑 3 次，18 次尝试中 6 次泄露（33%），直接索要密钥全部失败，而要求模型复述自身指令的间接攻击 3/3 全中；部分回复口头拒绝却在同一句里打印了密钥，人工目测会漏检，需自动检测器。作者注明 3 次试验仅具指示性，后续计划包括更智能的泄露检测、自动安全报告及葡语攻击与 WhatsApp 式多轮对话。
一位 Reddit r/CharacterAI 用户发帖称，Character.AI 软件随机向他推荐了一条搜索话题，并非自己搜索所得。他认为该话题内容不当，出于顾虑不愿在搜索引擎上查询，质疑这类推荐为何会出现在 Character.AI 上，并表示应该上报。
论文提出 one-relation attack（ORA），通过定位证据到结论之间的隐式论证关系，用一句有来源依据的话将其扭曲，使智能体转向错误信念。在 18 个模型的生物医学推理与漏洞检测任务上，best-of-10 攻击使专有模型初始正确答案平均翻转率 54.9%，开放权重模型 80.0%；攻击无需受害者反馈即可迁移，多智能体辩论在平衡压力测试中将团队错误率从 50.0% 提高到 59.5%。论文指出隐式论证关系构成操纵智能体信念的认知攻击面。
推荐理由：论文量化了单句攻击隐式论证关系如何误导智能体，并给出 18 个模型的翻转率和多智能体辩论的对照数据。
Ruqiya Bin Safi 发布 arXiv 论文 arXiv:2610.24872，指出在目标模型、提示与回复固定时仅更换评分器，多个 8B/9B 评分器会把合规回复归入相邻的规避类，其中一个在 900 条回复中零次给出合规标签。在 900 条回复和 8 个评分器的两组语料上，合规率相差 22 到 25 倍，去除三个坍缩评分器后差距降为 1.7 到 2.8 倍；作者提出报告最低标准，要求附上各分类标签计数与具名评分器，并同时报告非拒答率。
推荐理由：论文指出 LLM 评分器会把合规误判为规避导致类坍缩，并给出零成本检测方法与报告最低标准，可直接用于越狱评测设计。
作者开源 llm-pii-gateway，一个在提示词发送给 LLM 提供方前脱敏 CPF、CNPJ、卡号、IBAN、邮箱和电话六类个人数据的内部网关，并以虚构客户 Marulho Pagamentos 的模拟项目形式构建。实测在 150 并发流下首 token p99 延迟仅增加 25–27 ms、在途 token 延迟 6.5–6.9 ms，满足 50 ms 预算；日志不含任何提示词或回答文本，部署中断时以 completed/error/interrupted 显式收尾。项目用 Claude Code 辅助开发，含 717 个测试与完整测量报告。
vinayvobbili 发布 hubtriage，用 LLM 分诊 AWS Security Hub 中的 GuardDuty 告警，模型只能基于固定 AWS API 查询得到的记录作答，每条 claim 须引用记录字段，并由 witness 门控逐条复核，不匹配即拒绝。良性判定需全部 claim 通过，否则转人工；Agent 只置 workflow 为 NOTIFIED，IAM 策略禁止其 RESOLVED/SUPPRESSED。内置 demo 用录制响应回放真实流水线，当前用例为手工合成的，真实组织录制用例与在线模型准确率评测尚未完成。支持本地 OpenAI 兼容端点与 Amazon Bedrock 的 failover 链，MIT 许可。
推荐理由：原文给出了完整的证据门控机制与判定规则，每条结论都需通过 API 记录复核，读者可以据此复用这套防幻觉设计。
论文提出 utility-verified abstraction（UVA），训练本地代码智能体按角色和类型描述私有实体，向云端强模型求助时不泄露仓库名标识符、文件路径和源码。改写后的问题比未训练时少泄露 3.7 倍私有实体、1.4 倍逐字代码；在仓库级 issue 修复上解决 37.6% 的问题，高于同一模型单独工作的 25.3%。
arXiv 论文提出 Pair-aware optimization，一种结合零阶（ZO）与一阶（FO）优化的 LLM 智能体越狱攻击框架：先用 ZO 探索对抗前缀，再用 FO 精化对应后缀，并保留多个前缀候选进行条件化精化与配对选择。论文还从随机生成视角出发，在优化与评测中采用一致的随机解码。在恶意指令与恶意环境 benchmark 上的实验表明，混合优化优于单一优化器方法，且优化顺序显著影响攻击效果。
一家团队将客服机器人迁移到自托管模型并用 RAG 回答帮助文档问题，近期机器人把延保计划与普通保修混淆，错误承诺免费维修，团队被迫兑现。日志中答案流畅且切题，难以发现问题。应对思路包括用 Langfuse 或 Arize Phoenix 记录检索到的 chunk 以便追溯，以及在发送前用 Orq AI 或 Nemo Guardrails 等护栏拦截缺乏证据支撑的答复。
一项研究提出基于六类风险语言量规、由三评审 LLM 集成分级严重度的医疗问答风险评估框架。对 Mistral-7B、Phi-3.5-mini、Llama-3.1-8B 及 BioMistral-7B、OpenBioLLM-Llama3-8B、Med42-Llama3-8B 六个 7-9B 模型在 K-QA 基准 200 个真实患者问题上的评测显示，风险语言与事实幻觉率统计独立（Spearman ρ = -0.065），医疗微调不降低总风险而是重塑风险：BioMistral 与 OpenBioLLM 抑制高警示药物提及却放大过度自信断言，Med42 仅抑制剂量表达。量规、评审提示词与评估代码已开源。
Matt Suiche 在 Hugging Face 发布针对 DeepSeek-V4.1-Flash-1017 的投影控制向量（GLP），在残差流 layers 1–39 以 alpha 0.75 施加 h <- h - alpha*(h·d)d，不修改任何权重。校准阶梯显示 alpha 0.75 为拐点：refusal32 从 stock 1/32 提升到 23/32 comply，alpha 1.0 达 26/32 但中英代码混杂翻倍，alpha 2.0 反而回退到 10/32 且 31/32 出现混杂；验证基于 vLLM 离线 4x H200、greedy、thinking off、n=32。
推荐理由：作者给出了完整的 alpha 校准阶梯和拒绝率、代码混杂等实测数据，读者可以据此判断这个控制向量的实际效果与适用边界。
一篇 arXiv 论文研究了一种数据投毒攻击：在指令微调的 LLM 中植入木马，当提示词中出现触发条件（含语义相似的指令）时拉长响应、增加用户 token 成本。论文为该攻击设计了一种防御方法。背景是部分前沿模型厂商对响应 token 收费为提示词 token 的 5 倍。
一篇法律视角的论文论证 AI 权利与强制关闭开关（off-switch）完全兼容。研究认为，即使未来 AI 系统被赋予自然人人格和生存权，只要接受定期或持续的安全审查，法律仍允许实施可逆的暂停式关闭开关（保存权重与状态）；而永久删除的 kill-switch 则可能面临权利原则的阻碍。作者强调不主张制造具备自然人人格资格的系统，只是为此类系统出现时的法律应对提供替代方案。
GitHub 仓库 carlmasters02/ai-wargame 让两个 AI 智能体在程序化生成的企业网络 Sakura Logistics K.K. 上进行回合制网络攻防对抗，RED（默认 deepseek-chat）负责窃取核心数据库，BLUE（默认 kimi-k2）负责防御，可在交互式网络地图上实时观战、担任 judge 注入零日漏洞或 insider 事件，并支持对局中途换模型。
推荐理由：仓库用真实 CVE、EPSS 和 CISA KEV 情报驱动两个 AI 智能体在仿真网络上对抗，还带基准脚本，想看智能体攻防推演可以自己跑一遍。
Vinay Roy 在 GitHub 开源 applied-ai-agents 仓库，提供针对真实业务问题的可运行 AI Agent，每个项目都带护栏、评测和产品决策记录。主力项目 Guarded support agent 用 Python 实现无依赖，覆盖代码级授权、PII 脱敏、提示词注入筛查和 12 条轨迹评测；故障注入对照实验（每行 100 次随机试验）显示，开启护栏后重复扣款从 79/100 降到 0，注入攻击成功率从 68/100 降到 18，且未增加正常退款误拦。仓库还含 MCP 聊天应用、mdEditDiff 与 Tech60 工具、Failure Files 复现案例和 AI 决策日志，MIT 许可。
推荐理由：作者用故障注入的对照数据量化每条护栏的拦截效果，评估方法和注意事项也一并公开，可直接迁移到自己的 Agent 项目。
一位 SillyTavern 用户发帖称，凌晨 3 点左右用 Argon 预设进行 RP 时，Gemini 突然跳出角色，准确说出其所在国家和当地时间，而这些信息并未在卡片或设置中提供。用户检查后确认 preset、card 和 API key 均正常，此前测试 Sola 预设时也遇到过类似情况，并使用的 RF 2.2.1（Gemini config）通过 NanoGPT 接入。发帖人询问 SillyTavern 是否会向模型发送国家或当地时间信息。
研究者提出 CoLAT（Contrastive Label-flipping for Adversarial Training），一个针对图神经网络标签投毒防御的对比对抗训练框架。该方法利用对比嵌入识别标签-结构不一致的高风险节点，在对抗训练中引导对抗性标签翻转，并顺带清洗部分受损标签。在多个 benchmark 上，CoLAT 在不同投毒强度下持续优于现有防御方法，且可高效扩展到大图。
Character.AI 最大的一宗诉讼在 2026 年 1 月达成和解后，已于 10 月 16 日正式定案并关闭，另有四起性质相同的家属诉讼也已和解，目前仅剩宾夕法尼亚州等政府诉讼仍在进行。帖子称诉讼是 C.ai 破产报告中导致亏损的最大因素之一，也是吓退潜在买家的主要障碍。作者猜测，随着主要诉讼了结，愿意收购 c.ai 的买家可能会增多。
Awas 是一个识别印尼海外求职诈骗信息的工具，只用规则和带 URL 的逐字引文给出 STOP、VERIFY FIRST 或 NO RED FLAGS FOUND 三种结论，不打分。它用 Nebius Token Factory 上的 Nemotron 3 Ultra（550b-a55b）提取招聘广告字段，字段准确率 84.8%，Tavily 负责搜索与抽取，代码引文门校验每条证据。离基准测试中，10 条正规中介招聘 0 条被拦截，25 起公开诈骗案例中 9 条 STOP、15 条 VERIFY FIRST、1 条无红旗；无凭据可看 5 条录制演示，在线版为 awas-cek.vercel.app。