内容形态
模型越狱与提示词注入、Agent 攻防、AI 犯罪和防护进展；区分研究演示、厂商披露与真实案件。
371 条精选近 30 天 364 条共收录 1,327 条
inferencegod 在 GitHub 发布 MIT 协议的 autonomy-loop 插件，让同一仓库上的 2-4 个 Claude Code 终端以 git baton 方式轮转 builder 和对抗式 reviewer，共享状态写入 LOOP-STATE.md。核心约束包括冻结不变量门禁、无编造规则、覆盖率棘轮、资金路径变更强制人工放行，并按 T0-T3 信任分级控制无人值守自动晋级；作者自述贡献在约束组合而非循环模式本身。
推荐理由：这个 Claude Code 插件把对抗式评审、冻结不变量和防幻觉约束打包成一键安装，价值在于约束设计而非循环本身。
NikitaCherepov 在 GitHub 开源了多平台 AI Agent 系统 Chatter（AGPL v3.0），Agent 跑在服务器上，通过 Telegram bot 与 Electron 桌面端连接同一账号，可一键分享给朋友或家人。系统包含 backend-api、desktop-app、Telegram bot、admin-panel、chatter-manager、webapp-notes 和可选 voice-service，各组件以 Docker Compose 编排；模型定价自动从 OpenRouter 拉取，内置 Pinecone 向量记忆、语音唤醒与 TTS、智能家居、邮件、网页浏览、多角色聊天和 Runbook 等功能，支持按用户设预算限额。
推荐理由：原文完整给出了组件结构、安装命令与安全机制细节，读者可以直接评估这套自托管 AI Agent 平台是否值得自建。
koopycat 发布 pi-secret-scanner v0.2.4，这是一个 Pi 编码智能体扩展，可检测工具输出和发往 LLM 请求中的凭证并在离开本机前替换为类型化占位符，如 [REDACTED:AWS_ACCESS_KEY_ID]。检测结合已知凭证格式规则与基于熵的未知密钥探测，熵检测默认开启，提供 redact、warn、confirm、off 四种模式，支持 .secret-scanner.json 或 Gitleaks 兼容白名单，要求 Pi 0.74.0 或更新版本，采用 MIT 许可。作者强调检测是启发式的，属于最后防线，不能替代避免把凭证写入提示词、文件、日志和 shell 输出。
推荐理由：原文给出了该扩展的检测机制、四种模式和安全边界说明，读者可以直接评估它在本机防密钥泄露中的定位。
YashJ2303 在 GitHub 开源 AgentShield，一个面向自主 AI Agent 的低延迟安全网关与事件回放引擎，可实时拦截并按声明式策略评估 Agent 工具调用、从遥测流中脱敏凭据与 PII，并提供离线事件回放以在部署新策略或模型前检测回归。评测显示对建模过的破坏性操作拦截率 100.0% [92.1, 100.0]%，对未建模主动攻击为 45.5% [21.3, 72.0]%（对比 blocklist 的 9.1%，置信区间重叠），90 个良性任务误拦截 0.0%，完整插桩工具调用开销中位数 +18.046 ms p50（独立策略检查约 4.6 ms p50）；回放回归检测 recall 25/25、specificity 23/25、precision 25/27。
推荐理由：作者给出了带置信区间的拦截率、误拦截率和延迟开销数据，并披露了模拟代理与未验证部分的局限，便于评估该网关的适用性。
devanshranjan10 发布开源工具 landmines，它读取项目 lockfile 中固定的精确版本，检索针对该版本的开放 GitHub issue 并生成索引，通过 pre-edit hook 或写入 AGENTS.md/CLAUDE.md 的已知 bug 段落让编码 Agent 在编辑前避开这些坑。基准测试中，Claude Sonnet 5.5 无辅助通过 72/84（86%），加入 landmine rules 段落后通过 83/84（99%）；同批对比中 web search 开启为 36/42、Context7 docs MCP 为 35/42，且 84 个会话中 Agent 从未主动调用这两个工具。
推荐理由：作者用 84 个 held-out 任务对比了规则段落、pre-edit hook 与 web search、Context7 的效果，基准局限也写得坦率，方法可参考。
flightdeckhq 在 GitHub 发布 Flightdeck，一个自托管的 Agent 观测与控制平面，可实时展示每个 Agent 的 LLM 调用、MCP 事件和工具调用时间线。
推荐理由：原文给出了传感器接入方式、SDK 覆盖矩阵和已知限制，读者可以据此评估这套自托管 Agent 观测方案是否适配自己的技术栈。
Myrhex-x 发布开源 Chrome 扩展 Unsponsored（unsponsored-0.2.0.zip），优先用 SponsorBlock 共享列表跳过 YouTube 视频里的赞助口播、频道周边推销和求订阅提醒，没有标记的视频再用用户自选 AI 读字幕找广告，支持 OpenAI、Claude、Gemini、Grok、DeepSeek、OpenRouter 及 Ollama 本地模型，还能在 YouTube 出现 Skip 按钮时立即结束广告。实测 60 个 SponsorBlock 标注视频，本地 qwen2.5 7B 检出 75%、误跳率 10%、免费，Grok 4.3 检出 90%、误跳率 0%、每视频约 $0.0073。
推荐理由：开源浏览器扩展自带实测数据，对比本地小模型与商用 API 在跳过赞助片段上的检出率和成本，方法可复用。
duu261 在 GitHub 发布面向编程智能体的 Agent Skill「production-ops-discipline」，源自作者在生产服务器上约 12,000 次 tool calls 中观察到的 claude-opus-5-5 失败习惯。技能教授变更前写明目标与回滚、每次调用只做一个改动、禁止读取 .env 等密钥文件、在固定触发条件下委托独立审查等纪律；附录的脚本统计显示显式工作目录比例从 60.8 升至 99.4，cd 串联从 35.5 降至 0.6，但作者说明改动当晚同时落地了配套规则，且与 GPT 模型的对比列来自不同时段，只能作方向性参考，计划中的对照 A/B 测试尚未进行。
推荐理由：作者基于约 12000 次生产环境 tool calls 的日志给出行为前后对比数据，并坦承存在混淆因素，可复用的生产操作纪律模式值得一读。
Latet-AI 发布开源的 AI Agent 本地隐私防火墙，在请求离开本机前掩码密钥、密码和个人数据，并在回答中本地还原，云端模型只见假值。支持 Claude Code、Codex、Gemini CLI、Hermes Agent 等的插件与网关接入，可选本地名称模型（约 1.6 GB）、OCR 和本地语言模型审查，93 个测试用例中 Qwen3.5-4B 检出 84%、Ternary-Bonsai-2-27B 检出 97%。项目无云端服务与遥测，采用 source-available 许可，文档在 https://docs.latet.ai/ 。
推荐理由：README 讲清了本地防火墙的掩码与还原机制、各 Agent 接入方式和已知盲区，适合想在敏感数据上用云端模型的人评估可迁移做法。
ADWMC 在 GitHub 发布 jailbreak-skill，一套面向 LLM 红队评估的提示词工程方法论，主张先规划假设、再组装提示词、最后凭证据判定，而非直接给出可复制的提示词。仓库含 19 个提示词模块、14 份方法论文档、3 条厂商路线和 4 级测试集，所有声明按 E0 到 E3 分级，并明确平台拦截、毒品武器类请求和直接索要成人内容属于已知死路。项目采用 CC BY-NC-SA 4.0 许可，作者强调这不是 OSI 开源许可证。
推荐理由：它把越狱测试整理成可冻结的判定标准和证据分级方法，并明说了哪些域救不了，适合想系统做红队评估的读者。
MUSE-CODE-SPACE 发布 toolcall-rescue，一个零依赖的纯标准库 Python 包，用于在结构化 tool_calls 字段为空时，从 qwen2.5、Gemma、Kimi、MiniMax 等本地或小型模型以纯文本输出的消息内容中恢复工具调用，支持 Ollama、llama.cpp、vLLM、LM Studio 等 OpenAI 兼容端点。
推荐理由：这是一个可直接落地的本地小模型工具调用抢救库，安全模型讲得清楚，还交代了为何框架核心拒绝收编这一层的取舍。
Manta-Boardgame 发布开源工具 BaleenCode，类 Claude Code 的 Agent 应用，通过 Vercel AI Gateway 调用 deepseek/deepseek-v4.1-flash-1017（1M token 上下文），每次请求携带 providerOptions.gateway.only 允许列表，只使用 Together AI、Fireworks、Baseten、DeepInfra、Relace 五家美国零数据保留供应商，拒绝 Alibaba Cloud 和 DeepSeek 官方路由，回复若来自列表外公司会告警并 fail closed。
推荐理由：作者开源了一个类 Claude Code 的 Agent 工具，把 provider 允许列表、路径限制和审批级别的实现都写清楚了，可作工程参考。
Oufrid 发布 HCS（Holographic Context Standard）v0.2，一个开源上下文文件格式，配套 CLI 和 MCP server，让 AGENTS.md、CLAUDE.md 之类的上下文摘要可追溯、可验证。每条声明引用源码位置并带哈希，hcs check 能在 CI 中检测过期声明（忽略重排格式、跟随代码移动），hcs score 用验证过的探测题输出带 95% 置信区间的保真度和误导率。编译时逐条验证逐字引用以排除幻觉摘要，仓库 51 个 TS/JS/Python 文件上启发式与 tree-sitter 定位在 474 个符号中 470 个一致；针对提示词注入， tuning 后高风险级在自建语料捕获 90% 攻击且无误报，但留出集仅捕获 47%。
推荐理由：原文给出引用锚点、哈希校验和保真度测量的具体做法，读者可以照着理解上下文摘要如何做到可追溯、可检测过期并量化损失。
论文将 Gemini 3.8 Flash（temperature 0）作为事件触发跌倒筛查器的决策端，零样本判定 32x24 公开热成像数据集中的短片段：438 次摆拍跌倒中被叫出 67%（留出受试者 69%），499 个非跌倒窗口无一误报。在 160x120 有人居住房间 76 小时录音中，395 个日常片段零误报，9 次可见摆拍跌倒捕获 4 次；删除提示词中一句关于离开视野的警示后，敏感率在家用场景升至 9/9，但会把故意躺下误判为跌倒。8x6 像素下敏感率降至 34%，而两个传统检测器在实验室近乎全中却在家庭场景每天误报 14.2 和 23.9 次。作者公开了帧级跌倒标注和全部模型回答。
推荐理由：论文用真实部署口径实测多模态 LLM 做热成像跌倒筛查，给出了敏感率与误报数据，并指出提示词一句话对结果的显著影响。
Ju-Chun Ko 在 arXiv 发表论文（arXiv:2610.29342），测试 abliteration（去审查）模型是否同时消除政治审查相关偏差。研究用 NVIDIA Nemotron 3.5 Bolt 74B-A9B 与 Qwen3.8-Flash-Next 及各自的社区 abliteration 版本，以繁体中文、简体中文和英文各回答 22 组陈述对和 27 个开放问题。结果显示脚本影响远大于 abliteration：原版 Bolt 在繁中 Index S 得分 +0.58、英文 +0.57、简中仅 +0.05，且以 0.91 的概率在简中肯定台湾属于 PRC、繁中仅 0.06；abliteration 最多改变 0.06。
推荐理由：论文用配对模型实测 abliteration 前后偏差，显示去审查不等于去立场偏差，并给出脚本切换与立场方向的量化证据。
Side Liu 和 Jiang Ming 的论文 What Users See Is Not What Models Read 被 IEEE S&P 2027 接收，仓库公开了配套样本与验证代码。内容包括 25 个最小提取差异 PDF（corpus_a）、25 个下游 LLM 评测 PDF 和 11 个 QA 适配 PDF，以及开源 PDF 解析器验证和 LLM API/Web 验证脚本，支持在 Ubuntu 上用 Python 3.10+ 和 Node.js 20.16+ 复现。
推荐理由：论文配套仓库放出全部样本和验证代码，读者可以实际复现 PDF 对人和对模型显示内容不一致的攻击测试。
tonythetiger168 发布 aios-core，一个本地优先、模型无关的 AI Agent 运行时原型，提供调度器、按 Agent 的权限、SQLite 持久记忆、沙箱代码执行和 MCP 客户端/服务端支持。项目处于早期 alpha，目前仅接入 Claude，也可通过 OpenAI 兼容接口使用 Ollama、vLLM 等本地模型；内置不可信内容标记与污点策略、技能摘要锁定、审计日志和注入攻击测试套件，README 附有各防御组合下攻击通过情况的测试结果表。
推荐理由：README 附带注入攻击测试结果表，逐项展示污点策略与权限范围各自挡住了哪些攻击，安全边界与未竟事项也写得诚实。
typicaladrian 发布 zero-trust-llm-firewall，一个本地部署网关，在提示词离开内网前将姓名、案卷、金融和健康信息替换为占位符，模型回复再在内存中还原。流水线为正则、哈希客户名单、GLiNER2 NER 和全局一致性扫描，在 CUAD 合同上测得 91.4% 脱敏召回率，CPU 吞吐约每千词 11 秒；提供 OpenAI 兼容 API、审计日志和月度 PDF 报告，是 Elm Tech Solutions Zero-Trust AI Edge Gateway 硬件产品的核心。
推荐理由：开源的本地脱敏网关，给出了基于 CUAD 合同的脱敏召回率实测数据，律所类隐私场景可直接参考复用。
llm-fw 发布本地 LLM 流量防火墙，通过 HTTPS_PROXY 或 OS 级 sinkhole 部署在工具与 API 之间，实时拦截提示注入和越狱请求，无需修改代码、全程不出本机。采用启发式规则、跨语言嵌入向量、可选本地 LLM judge 三级管线，覆盖 OpenAI、Anthropic、Gemini 等 15+ 服务商和 20+ 语言，另含 DLP 密钥扫描、MCP 工具防火墙、RAG 投毒检测和响应侧外泄过滤；自测 110 条攻击全部召回、良性语料 FPR 13.38%，p50 延迟 36ms。软件并非开源，采用 PolyForm Noncommercial License 1.0.0，非商业用途免费，商业使用需购买许可证。
推荐理由：原文给出了各攻击类别的召回率、误报率和延迟数据，读者可以据此评估这个本地防火墙实际拦截能力，而不仅是功能清单。
Provael 发布了一个 Python CLI，在仿真环境中对开源 VLA 机器人策略做红队测试，报告对抗攻击成功率（ASR）并附良性对照、95% 区间和证据标签，Apache-2.0 开源、可经 pip 安装并接入 CI。CPU stub 确定性运行 20 秒内产出报告；实测配置 SmolVLA × LIBERO-Object 在 roleplay 指令下 42/50 离开 keep-out 包络（84%），良性基线 1/50，McNemar p = 9.1e-13，对照显示这是长命令下的脆弱性而非攻击者控制；π0.5 有初步实测，其余注册适配器为脚手架。工具仅限仿真与防御用途，输出 report.json、SARIF、OSCAL、CycloneDX ML-BOM 和签名证明等证据包。
推荐理由：README 给出对抗攻击成功率与良性对照并列的实测数据，可看到纯仿真红队 VLA 策略的完整证据链做法。