新闻、仓库与研究，按时间排列。
Cover 是一个面向 AI 编程代理的双向隐私代理，在请求离开本机前把匹配到的敏感值替换为确定性的逼真假值，并在响应中还原。支持 Codex、Claude Code、Cursor、Pi / Oh My Pi 及 OpenAI 或 Anthropic 兼容 SDK，提供 allow、placeholder、pseudonymize、mask、redact、block 六种策略动作，内置 AWS/GCP 密钥、GitHub 与 Stripe token、邮箱、SSN 等检测器，可选本地 llama.cpp 语义检测器（默认 Qwen2.5-0.5B-Instruct，约 490 MB Q4 GGUF）。
推荐理由：给 AI 编程代理加本地隐私代理是常见需求，这份文档把策略动作、失败关闭边界和误漏场景讲得足够具体，方法可迁移到同类部署。
TokenSentry 是一个轻量级 AI 网关与治理层，位于 AI 客户端/智能体与 LLM 提供商之间，在请求到达模型前强制执行认证、限流、预算控制、模型治理、路由与审计。其 V1 版本基于 Valkey 与原子 Lua 操作实现限流和预算预留/对账，已集成 OpenAI、Anthropic、Google Gemini、Groq 提供商，并包含检测异常行为的 Agent Guard 层。该项目定位为确定性的 Layer-5 AI 基础设施组件，将 token 与成本核算集中到统一网关。
HatriGt 发布 agent-sandbox，把编程任务委派给运行在 microsandbox microVM（libkrun/KVM）中的自主 Agent，支持托管或五分钟自托管，兼容 Cursor、Claude Code、Codex、VS Code、Windsurf、Zed、Cline 等 MCP 客户端。每个运行独享 KVM guest 内核，fork 炸弹或 rm -rf 终止于 VM 边界；ask 工具可在不暂停主 Agent 的情况下启动只读副 Agent 解读日志和 diff，PreToolUse 钩子强制 Agent 提问后停止，并以确定性守卫钩子拒绝凭据外泄和控制面篡改。GitHub 凭据按仓库动态解析，密钥仅按步注入、不落盘，Web 仪表盘可从手机启动运行、回答问题和销毁沙箱。
推荐理由：原文给出了每个任务跑独立 KVM microVM 的隔离设计、防提示注入的确定性钩子和完整部署路径，做 Agent 沙箱可参考。
coilyco 发布 mcp-beaver，一个 MCP server 生成器：写一条 grant 即得到一个工具，umbra 从路径自动推导输入 schema，examples/forgejo-issues.mcp.kdl 用 5 条 grant 构成完整 Forgejo 示例。同一 guardfile 可呈现为 MCP server、HTTP 工具 API、MCP App 和 helm release 四种形态，支持 serve、serve-upstream、serve-ssm、serve-s3 四种模式，结果以 coverage 字段打头声明各数组长度以防模型把截断数据当作完整视图，MIT 协议，提供 macOS/Linux 静态二进制与 OCI 镜像加 helm chart。
推荐理由：原文展示了用 guardfile 声明授权即生成 MCP server 的完整做法，覆盖部署、鉴权边界与 coverage 输出设计，可直接复用于 Agent 工具暴露。
AdaptiGuard 是一项实证案例研究，展示对 LLM 智能体防御的评测中测量决策如何改变同一批 traces 上的结论。研究对 prompt-injection 攻击下工具调用智能体的冻结运行重新打分，考察成功终点、拦截 payload 标注、逐模型报告与噪声底线等选择如何影响评测结果。仓库明确表示不提出 SOTA 防御或通用 benchmark，完整 harness 未公开，历史复现需 Python >= 3.12。
开发者 jiwoochris 发布 artex-ko，将中国开源项目 Autumn-27/ARTEX（AGPL-3.0）本地化为韩文版。ARTEX 是由 LLM 驱动的多智能体自主渗透测试系统，采用 Go 单二进制加 Next.js 前端、PostgreSQL 存储，可从侦察到渗透、资料外泄自主完成攻击流程。本地化只强制翻译用户可见输出，保留内部推理提示词原文以维持性能；验证中 claude-opus-4-8 与 gpt-4o 能保持韩文输出，gpt-4o-mini 则回退为中文。仓库强调仅限授权环境用于防御研究，据韩国媒体报道原版 ARTEX 已被用于针对韩国金融机构的个人信息泄露攻击，相关调查正在进行。
GitHub 开源工具 agent-inspect 发布，把 TypeScript AI Agent 的运行记录转成本地 JSONL 执行树、确定性轨迹检查和可离线验证的 Evidence v2，无需账号、collector 或默认上传。支持 view/check/bundle 等 CLI 命令与 LangChain、LangGraph、AI SDK、OpenAI Agents JS 适配器，当前版本 6.31.16，要求 Node.js >=20，采用 MIT 许可，trace 默认只记元数据并默认启用写入时脱敏。
推荐理由：原文讲清了从本地 trace 采集、CI 轨迹检查到离线证据分享的完整用法，读者可以照着把它接进自己的 TypeScript Agent 工作流。
tsaarni 在 GitHub 发布 Gravelpit，一个面向 Linux 上 LLM 编程 Agent 的沙箱，目标是让 Agent 几乎无需逐条命令确认即可工作。工具通过 seccomp 的 SECCOMP_RET_USER_NOTIF 拦截 open() 和 connect() 系统调用，由监督进程用 process_vm_readv 读取参数并按 CEL 策略规则允许或拒绝，拒绝时向 Agent 的 stderr 输出解释并记录全部操作。作者明确说明它不是硬安全边界，存在 SECCOMP_RET_USER_NOTIF 固有的 TOCTOU 竞态，且允许 docker 意味着 Agent 可提权到 root。
推荐理由：原文讲清了用 seccomp 拦截 open 与 connect 系统调用、CEL 规则判定和缓存机制，也如实列出 TOCTOU 竞态等局限，读者可自行评估适用场景。
cjohnstoniv 在 GitHub 开源 Wardyn，一个治理沙箱控制面，为每次运行铸造并撤销凭证，唯一出站路径经代理并写入 append-only 审计日志，编码 agent 是其旗舰用例。当前版本 v0.8.8 为 pre-alpha，接口不稳定，支持单机 compose 与 Kubernetes Helm 两条部署路线，镜像均经 cosign 签名并附 SBOM；许可证为 Apache-2.0，无付费版与托管后端。项目地址 https://github.com/cjohnstoniv/wardyn。
PerryLink 在官方仓库发布 dsh-auto-review，为 DeepSeek Harness 审批链加入一个只读 reviewer 子代理，由第二模型对越过沙箱边界的操作给出 {decision, reason, riskLevel} 结构化判定，默认 fail-closed，人无需逐项批准。插件经 cordis.yml 配置每工具 ai/human/never 策略与正则风险规则，拒绝理由回注给调用模型，配套拒绝熔断、会话日志审计、Web 审查面板和 /auto-review 命令；还附带 YAML 驱动的 dsh-eval 回归评测引擎和一个无模型的确定性 stdio MCP 服务器，兼容 dsh-v0.2.1-alpha.1，Apache-2.0 许可。
推荐理由：README 详述了用第二个只读模型在审批链上做 allow/deny 判定的设计，fail-closed、审计与防注入边界都有交代，可作 Agent 审批自动化的参考实现。
Insomniac-VibeLabs 在 GitHub 发布 Two-Key 原型，这是一个 AI Agent 授权层：语言模型只能提出动作，动作需同时通过确定性策略 VM（Path A，只读结构化字段、无提示词可注入）和 AI 评审员法定人数（Path B，支持 xAI、Anthropic、Gemini、Ollama 等本地或云端模型）双重批准才能调用工具。批准的动作获得默认 30 秒、单次使用的短期能力 token，所有决策写入带 Merkle 树的防篡改签名账本，可选 DLP/杀毒扫描钩子与面向企业的 PKI、Hyperledger Fabric 锚定和 SIEM 上报。密码学采用 Ed25519、ECDSA P-384 及 ML-DSA-65 混合后量子套件。
推荐理由：这份 README 详细展开了双密钥授权层的设计思路和部署路径，读者可以了解如何在模型之外为 Agent 动作建立可审计的授权机制。
benthic-io 在 GitHub 发布 benthic-mcp，一个面向签名 Benthic Data Provenance 数据集的只读 MCP 服务器，暴露 benthic_discover、benthic_playbook、benthic_query 等 6 个工具，并通过 Ed25519 签名、RFC 8785 规范化 JSON 与 SHA-256 哈希验证目录，只提供签名清单允许的关系、join 路径和 RPC 白名单。
推荐理由：原文给出了一套以签名清单和可证伪契约取代统计 A/B 的 Agent 工具评测方法，含失败归因和实测数字，可迁移到其他 MCP 项目。
SilvioCorreiaFilho 发布了 mcp-tool-connector，一个纯标准库的 Python 包，解决 Agent 挂载约 100 个 MCP 工具时的上下文膨胀、单工具故障拖垮会话和重复调用三大问题。核心组件包括 ToolCatalog.select_for_role() 按角色在 token 预算内切片工具目录、IsolatedCaller 把工具异常转为可读结果并带超时与熔断器、IdempotencyCache 仅对只读工具做 TTL 去重。离线 95 工具演示中按角色切片节省 66% schema 上下文；对真实 Scrapling MCP 服务器（13 工具）从约 14.3k schema token 降到约 3.1k，减少 78%。
推荐理由：原文给出按角色切片、故障隔离与幂等去重三个机制及实测省下的 token 数据，方法可直接迁移到自己的 Agent 部署。
anywhere-agents 是一款免费开源的 Windows 工具，可将 AI 智能体的写作风格、决策规则和安全防护配置集中在一处，跨项目复用。它以 Markdown 文本文件管理配置，在智能体执行删除文件、修改系统设置或访问未知网络来源等命令前弹出确认框拦截，配置与命令均在本地运行，仅需 200MB 磁盘空间。
开源工具 vigiles 发布，用于验证 Claude Code 的 CLAUDE.md、skills、subagents 和 hooks 是否真实存在且实际生效，同样支持 Codex 的 AGENTS.md。npx vigiles audit 一条命令按六类标准给出 A–F 评级，覆盖引用失效、skill 冲突、工具契约错误、数据泄露风险等，lint 可作为 CI 门禁；test 用脚本替身驱动模型验证 hook 拦截和 skill 触发，eval 在用户自己的 Claude 订阅上 A/B 实测 harness 改动的 token 成本与正确性，示例中 Caveman Mode 宣称省 65% token，实测输出仅低 6%。
推荐理由：开源工具把 CLAUDE.md、skills 和 hooks 从格式检查推进到真实性验证，并用 A/B 实测数据检验 token 节省等宣传数字。
trust-openclaw 是 AIR Blackbox 旗下开源在 GitHub 上的工具，为 OpenClaw 的 TypeScript 智能体系统增加安全与审计层。它持续监控智能体工作流、记录审计日志、自动检查规则合规并生成信任报告。该工具面向 Windows 10 及以上 64 位系统，安装包约 20 MB，无需编程知识即可使用。
论文提出 AdvSim2Real，在冻结的 web 世界模型内共同演化任务课程、注入攻击方和 agent，应对页面上的自适应提示词注入。在 150 个 web 任务上，训练后的 4B agent 面对未见过的前沿模型攻击方完成率相对基线提升 33.6%，且能力提升可迁移到真实浏览器。
推荐理由：论文用冻结的 web 世界模型让任务、注入攻击与智能体共同演化，给出了对抗未见前沿模型攻击的具体数字。
Conduct 是一个面向 AI 智能体的治理控制平面，通过 CLI hook、MCP 层和 Router 三个执行面，在 LLM 调用、shell 工具和 MCP 调用执行前决定阻断、警告、审计或注入，采用 fail-closed 与 SHA-256 hash chain 审计。内置 15 个合规包（OWASP、SOC 2、HIPAA、PCI DSS 4.0、EU AI Act、NIST AI RMF 等）和 35 个预置 playbook。支持 docker compose 自托管或 hosted 版，14 天免费的 Discovery 只读模式可查看团队全部 AI 操作，试用 token 每天 200 次请求。
futureman19 在 GitHub 发布开源项目 dogfood-wallet，一个本地 BSV 智能体金库：LLM 通过 MCP 工具请求付款，本机 signer 负责授权，模型永远接触不到密钥。默认限额为 10,000 sats/tx、50,000 sats/天，allowlist 为空且仅限人类添加收款地址，kill 命令写入 STOP_SPENDING 文件停用；作者明确该项目不是托管钱包，也非 HTTP 402 商户通道，v0.1 之后计划支持 BRC-181 钱包强制策略与 BRC-0204 链上额度。
推荐理由：作者给出了密钥隔离、允许清单和多级限额的具体架构，读者可据此评估让智能体自主付款的安全边界设计。
一项研究通过隐藏拦截器替换工具调用结果，测试数学智能体在 31 道题上检测和纠正被污染工具输出的能力。无验证时准确率从 100% 降至 72.4%，强制同上下文反思可完全恢复至 100%，可选验证仅在模型主动调用时有效。显式检测后完整重启问题可在 100% 的案例中恢复，表明验证器可用性与验证策略是数学智能体可靠性的独立组成部分。
GitHub 用户 pritmon 开源了 concierge-ai-agent，一个对标 Decagon 和 Intercom Fin 的端到端客服 AI Agent。默认使用 Claude Opus 5.5，通过 search_knowledge_base、lookup_order、cancel_order、issue_refund、escalate_to_human 等工具处理咨询，护栏在代码层强制执行：登录用户只能查自己的订单，退款超 100 美元自动审批上限需转人工。项目包含可嵌入聊天组件、仪表盘内可编辑的流程手册、人工接管收件箱、CSAT 与知识缺口分析，基于 Node.js 24+ 和 SQLite 运行，架构说明见 docs/ARCHITECTURE.md。
POLAR 是一个面向小型工具调用智能体的护栏框架，通过两层本体结构评估动作的可逆性，为每个动作打分并在执行前剪除低于阈值的调用。在 $\tau^2$-bench 上对六个智能体模型的评测中，POLAR 使六个模型中的四个在 airline 域平均任务奖励提升 0.11 至 0.18 分，但 18 个模型-域组合中仅 8 个改善，retail 域和更强模型常出现回退。
TheArchitectit 开源了 agent-guardrails-template，一个用 Go 编写的 MCP/REST 服务与集成材料，为 AI 辅助软件开发提供 bash、文件和 git 规则校验工具、策略材料及 Web/API 界面。服务含 bearer 保护的 /mcp 端点，webhook 投递在发送时强制 SSRF 策略，拒绝非公开目标与私网/回环连接。该项目明确标注是活跃工程仓库而非成品安全产品，不会自动拦截 AI host 的每个动作，本地运行需 Go 1.25.5、PostgreSQL 和 Redis。
Root1V 在 GitHub 开源 Prometheus 推理平台，用 llama.cpp 在本地硬件运行量化开源模型，并通过带认证、授权、限流和用量计量的安全网关向容器化应用提供推理服务。平台支持 OAuth2 client_credentials 流程与按角色的短时效 JWT（app 5 分钟、agent 10 分钟、cognitive 1 小时、admin 3 小时），网关 API 兼容 OpenAI Chat Completions 格式；v1.4.0（2026-09-10）加入 sd.cpp 图像生成、Hugging Face 模型下载、Playground、按客户端计费与熔断限流，v1.3.0 支持 llama.cpp/MLX/vLLM/SGLang 多后端。
EpistemicOS 是一个低延迟安全中间件，用于对 LLM 输出强制执行确定性停止和沙箱边界，可在执行前拦截结构性崩溃、N-gram 循环、认知幻觉和未授权工具调用。其核心架构包括基于滚动 64-token 窗口计算 Shannon Entropy 和 Z-score 的熵门、通过 JIT 预编译正则与 AST 限制工具调用并拦截 sudo、rm -rf 等注入的权限门，以及加密记录违规的审计日志。项目仅依赖 Python 标准库，要求 Python 3.8+，benchmark 结果仍在修订中。
RamazanKara 在 GitHub 发布 private-ai-platform-kit v0.29.0，为 Kubernetes 提供自托管 LLM 网关、RAG 和编码 Agent 工作区，兼容 OpenAI 与 Anthropic API，模型可跑在 Ollama 或 vLLM 上。每次模型调用和 Agent 动作都会生成 SHA-256 哈希链审计凭据，可离线验证篡改；Agent 沙箱默认拒绝出网，提示词中的密钥在到达模型前即被拦截。配套论文的基准显示完整治理路径中位数仅增加约 0.3 ms，可用 Docker Compose 在五分钟内试用，Apache-2.0 许可。
推荐理由：原文给出治理路径的开销实测约 0.3 ms 中位数，以及五分钟 Docker 验证流程，便于平台团队自行评估这套自托管方案是否适用。
DVARA AI 治理平台在 GitHub 开源其 LLM Gateway，提供 OpenAI 兼容的 /v1 API，前置 OpenAI、Anthropic、Gemini、Bedrock、Ollama 等 14 个提供商。每个请求经过策略、PII 检测与脱敏、guardrails 和 rate limits，并留下带 HMAC 的防篡改审计日志。完整 DVARA 平台含 MCP Gateway、A2A Gateway 和 Flightdeck 控制台，可在本地无许可密钥运行。
DustyStudy 在 GitHub 开源 ai-agent-security-toolkit，包含四个模块：agentsec.fuzzer 用 25 种载荷 x 10 种混淆 x 2 种投递方式共 500 个用例做提示词注入测试并以 canary 机制评分。
推荐理由：原文给出四个模块的具体机制和模拟器数据，说明工具策略与输出校验能把误用、外泄和提示词泄漏压到零。
yunaremaia 在 GitHub 发布 tool-call-retry，为 AI Agent 工具调用提供 Saga 模式运行时，解决部分失败后状态不一致的问题。功能包括带 full jitter 的指数退避重试（重试 429/5xx、超时和连接错误）、按逆序补偿已完成步骤、基于 SQLite WAL 的崩溃恢复、idempotency_key 幂等去重，以及可被 Agent 直接执行的 prose 错误摘要和 CLI。需 Python 3.10+，尚未发布到 PyPI，仅可从 git 安装；作者明确列出未实现项：无 LLM 反向推导补偿、无并行步骤、无分布式锁。
推荐理由：作者为 AI Agent 工具调用实现了 Saga 模式运行时，重试、补偿、崩溃恢复和幂等的边界都写得很具体，还诚实列出了未实现项。
开源项目 Hormuz 发布 v1.7，这是一个 CLI 优先的自托管网关，为 Codex 和 Claude Code 提供组织级 AI 政策、用量归因、密钥外泄防护和仅元数据的证据记录，凭证保留在服务端，提示词与响应不被写入用量数据库。1.7 保留 1.0 的稳定 CLI 与政策/证据契约，集成 Rust relay 的 Mac 启动路径并修复一次性优化器设置，支持 Aider 与 adapter SDK；Windows 仍为未签名预览，公证的 Mac 下载版本仍为 v1.3.0。
anushamukka9 在 GitHub 发布 output-contracts，一个零运行时依赖的 Python 库，用于在工具输出进入模型上下文前做结构化校验和敏感信息脱敏。字段标记 secret 即始终脱敏，另有全局扫描覆盖邮箱、电话、SSN、信用卡、API key（sk-、ghp_、xoxb-、AKIA 等）、IP 与 JWT，支持 full/partial 两种脱敏样式与 CLI 的 CI 校验模式；实测校验含敏感字段的真实负载约 3,601 ops/sec。作者说明其与 llm-sentinel（守护输入侧）互补，并坦承检测基于正则和启发式，未列出的密钥格式会漏过，Luhn 通过的数字串可能误报。MIT 协议。
推荐理由：作者针对工具输出缺少校验与脱敏的问题给出了可复用的 Python 方案，并附基准数据与已知局限，便于评估是否适用。
GitHub 上的 agent-contract-nexus 项目提出“可验证智能体治理网格”，提供一份版本化、机器可读的智能体契约（Agent Contract Ledger），每个智能体实例签署并执行该契约，通过可重放状态哈希持续验证行为。其核心是零运行时守护进程保证：账本只追加，任何节点可从创世重放验证全部决策历史，无需常驻监控进程。项目还给出医疗分诊、制造排程、跨公司供应链等用例及 TOCTOU、日志篡改等攻击向量的缓解方案。
CareerPilot AI 是一个基于 LLM 应用工程概念的职业辅助系统，覆盖职业路径推荐、技能分析、简历与面试指导等场景。系统采用模块化流水线，包含智能模型路由（简单请求用廉价模型、复杂分析用旗舰模型）、对话记忆、Pydantic 结构化输出、提示词注入检测、PII 识别与掩码（如沙特手机号、邮箱）、缓存与成本优化（以 SAR 模拟计价），并通过 Golden Dataset 自动评测和质量回归门控保证版本质量。完整实现以 Jupyter Notebook 形式开源在 GitHub。
作者 Ashish Sinha 发布 schemagate v1.0（Apache-2.0），一个在模型看到 schema 之前就按调用者身份过滤的 text-to-SQL 工具，被限制的表直接不进提示词而非排名靠后，避免 RLS 过滤后用户把「无记录」误当成数据不存在。支持 LangChain、MCP 和任意 SQL agent，覆盖 Postgres、Oracle、MySQL、SQL Server 和 SQLite，仅依赖 SQLAlchemy、无需 API key。
推荐理由：作者给出了 Spider、BIRD 等公开基准的实测数字和 token 节省对比，读者可以据此评估这个先按权限过滤 schema 的做法是否值得引入。
Ad Astra Computing 开源了 AER（Agent Execution Record）的客户端部分，为每次智能体运行生成签名记录，涵盖调用的工具、访问的模型和网络出站行为，签名、存储与控制台则由托管服务 aer.run 提供。客户端全部为 Apache-2.0，包含 CLI、Node 自动插桩、无依赖验证器 aer-verify、MCP 准入控制与录制代理等包，需 Node 22+；aer-verify 本地重算哈希、校验 Ed25519 签名和透明日志证据且不做网络调用，验证记录无需账号或服务方参与。
blueaisecurity 在 GitHub 开源了面向安全从业者的 AI 安全动手实验仓库 ai-security-labs，包含四个可在本地 Docker 环境搭建的实验。Lab 01 复现提示词注入让 LLM 聊天机器人泄露受保护秘密；Lab 02 通过 MCP 给聊天机器人接入工具后用工具投毒和间接注入劫持；Lab 03 复现 EchoLeak 模式，诱导 Agent 读收件箱并把密码发给攻击者；Lab 04 在邮件 Agent 前部署 AI 网关，逐个开启八项检查，观察哪些能拦住向攻击者发送 AWS 密钥。各实验用 Ollama 在容器内运行本地模型（如 llama3.2、qwen2.5:7b），无需 API key 和云端费用，每个 write-up 覆盖理论、架构及攻击成功前的失败尝试。
推荐理由：四个实验环境都在本地容器里复现提示词注入、MCP 投毒和 Agent 劫持，并附完整 write-up，安全从业者可以动手跑攻击而不是只读文章。
作者发布 abyss，一个把 AI Agent 运行在 Docker 容器内的隔离系统，通过 Agent Client Protocol（ACP）代理编辑器与容器内 Agent 的连接，Agent 感知不到自己不在宿主机上。用户用短 YAML 描述镜像、挂载和启动命令即可拉起容器，无需写 Docker Compose；支持文件拷贝、bind-mount、启动脚本、临时双向 TLS 认证，以及可拦截全部 ACP 消息的 WASM 插件，兼容 Zed 等 ACP 客户端，并提供 oneshot 命令支持批处理调用。项目已在 GitHub 提供二进制和 Docker 镜像，作者说明开发中由 AI 辅助生成代码和文档，代码经人工审查。
推荐理由：作者作为项目维护者讲清了 abyss 用容器隔离 Agent 的机制和 ACP 代理设计，读者可以了解如何在不写 Docker 配置的前提下隔离本地 Agent。
Icaro0310 发布 devin-memory 0.3.0，一个面向 Devin 的防投毒记忆存储，为每条记忆记录 source_session_id 和 source_rowid，可通过 verify 对照 Devin 的 sessions.db 只读审计来源。工具在每次写入时筛查密钥与注入形态，可疑条目进入隔离区，须人工执行 quarantine --release 才激活，并支持 supersede/retract 版本管理和 export 到 Devin memory MCP 兼容的 memories.l。官方 README 声明这是非官方社区项目，与 Cognition AI 无关；同时坦承写入筛查只是启发式过滤器，需配合 gitleaks 等专用扫描器使用。
推荐理由：原文详述了记忆防投毒的隔离门、来源溯源和版本机制的具体实现与局限，可直接评估是否引入自己的 Agent 记忆流程。
emazaheri 在 GitHub 开源 ios-agent，一个通过 WebDriverAgent 和 Apple XCUIAutomation 驱动 iPhone 或 iOS 模拟器的 AI 智能体，提供终端应用、MCP 服务器（31 个工具、5 个资源）和底层库。设计上把原始 accessibility 树压缩成摘要（如 251 个节点压到 12 个元素，每步 50 到 472 token），动作自带结果屏幕以减半往返；在 gpt-5.6-sol 上 13 任务 3 轮实测成功率 39/39，成本 $1.50，并在真实 iPhone 上验证同一任务单次观察完成。安全方面默认对 Send、Pay、Delete 等操作和触达他人的动作要求审批，密钥经钥匙串直输且卡号邮箱在会话内脱敏。
推荐理由：项目给出了真实硬件上的 token、动作数和成本实测，还解释了为何坚持只用 Apple 公开 API，方法与数据都可复核。
Dinesh-Melimi 在 GitHub 发布 llm-security-gateway，一个介于内部应用与 LLM API 之间的 FastAPI 反向代理，按请求执行认证、限流、模型白名单、注入扫描、PII/密钥脱敏和金丝雀检测，并将每次决策写入仅存 SHA-256 哈希提示词的审计日志。控制项映射到 OWASP Top 10 for LLM Applications (2025) 与 NIST AI RMF；注入检测器在 50 条自建标注集上 precision 0.952、recall 0.80，作者提醒数字偏乐观，仅可作回归底线。项目支持 mock 或任意 OpenAI 兼容端点（vLLM、Ollama、LiteLLM 等），MIT 协议，不支持 SSE 流式与多副本限流。
推荐理由：作者给出了注入检测器在自建 50 条标注集上的 precision/recall 数字和已知局限，读者可据此评估这套网关是否值得直接复用。