risk · E1 预消化简报(2026-10-26)

采集边界：仅读取宿主机增量清单 /shared/research-kb/organized/indexes/work-guard/cf9a18b2-2f41-4aa3-b37e-513f297ef48f.json 中 e1_prep:risk 条目的 8 份 materials（逐份实读 item.materials[].source，非仅 item.source 首项），外加活文档 organized/knowledge/risk.md（R108 全文，含 arXiv / CVE / DOI / URL 四处硬资产清单 + 本次变更段）、organized/queue/work-queue.md（2026-10-26 16:00 版）、organized/paper_cards/ 近 3 天（-10-23 起，245 张新卡）中主分类为 risk 的 9 张定位核对，以及 inbox/{jay,tom,flyp,spark,stephen}/ 近 2 天笔记的 risk 关键词扫描。未全库扫描、未网页搜索补料、未为凑字数重写、未修改活文档。

状态：ok（本批有实质增量 —— 4 件 repo 净新 + 4 件承接；paper 侧连续第 4 日零净新）

0. 本轮结构性判断：paper 侧连续第 4 日零净新；但 repo 侧首次出现「负向证据材料」——本批净新全部是「护栏 / 边界 / 隔离」形态，无一是攻击工具

逐份核对清单 8 份 materials 与活文档 risk.md（R108）硬资产：

# 材料 标识 在 risk.md 现有脉络中的位置 NET-new?
1 repo_cards/4653 nicolasrodetr-cmyk/py-firewall-network-monitor grep 命中 0（全库 knowledge / topic_pages 均无） ✅ 净新
2 repo_cards/4638 Ablation-Tool/ablation grep 命中 0；已被 llm-infra.md §0.5.1 ③ 与 agent.md v124 判读 ✅ 净新（本轴首次）
3 repo_cards/4636 devrochy/agent-core grep 命中 0；已被 agent.md v124 与 llm-infra.md §0.5.1 判读 ✅ 净新（本轴首次）
4 repo_cards/4635 peopleforrester/Unleash_an_Agent_Watch_It_Burn grep 命中 0；已被 llm-infra.md §0.5.1 ④ 判读 ✅ 净新（本轴首次）
5 paper_cards/1790 arXiv:2610.05637 Visual Grounding Safety 已在轴：arXiv 硬资产清单 L118 + DOI 清单 L127 + URL 清单 L133（arxiv.org/abs/2610.05637）+ R106「承接 4 paper（…/2610.05637/…）」 ❌ 承接
6 repo_cards/4435 openbin-ai/binny 已在轴：R106「binny（138 Star · Go · AGPL-3.0 · 逆向工程 Agent harness 栖位 anchor ⚠⚬⚬）」+ URL 清单 L133 ❌ 承接
7 repo_cards/4433 semrincaballero/Polymarket-Prediction-Bot 已在轴：R106「polymarket-prediction-bot（150 Star · CLOB + edge detection + 跨市场套利 + paper trading + risk limits）」+ URL 清单 L133 ❌ 承接
8 repo_cards/4382 Ayorinha/ayorai-opensearch 已在轴：R104「ayorai-opensearch（1 Star · claim-level verification，与 2004.07213 同源）」+ URL 清单 L133 ❌ 承接

结论：paper 侧 NET-new = 0 件（本批 8 份 materials 仅 1 份 paper_card，且已在轴）；repo 侧 NET-new = 4 件；承接 4 件。CVE 侧 NET-new = 0 件；arXiv 侧 NET-new = 0 件（2610.05637 已三处入清单）。

与前三日的差别：10-23 是 6 paper 净新 + 1 repo；10-24 是 0 paper + 4 repo；10-25 是 0 paper + 3 repo；今日是 0 paper + 4 repo。paper 侧连续 4 日零净新已由「偶然」升级为结构性事实——R108 之后 risk 主轴的学术侧供给确实已枯竭。

但今日出现一个值得写进正文的转折：10-25 简报曾判定「净新 repo 全部落在『工具供给侧』而非『事故侧』」并指出这是空窗信号。今日 4 件净新在『供给侧』内部再分一层：10-25 的 3 件是攻击 / 验证工具（安全研究工作台、Burp 替代、补丁桥接），今日的 4 件全部是「边界与约束」形态 —— 主机防火墙（§1）、多租户行级隔离（§2）、ISA 语义抽象沙箱（§3）、agent 专属护栏工作坊（§4）。连着两日，「供给侧」的方向发生了反转 ⚠⚬。这不是安全生态繁荣叙事，而是一个更值得警惕的观察：主轴材料正在从「怎么攻」滑向「怎么防」，而 R107 的四元链叙事靠的恰恰是具体失守点。见 §6 矛盾 ④。

1. 增量一：py-firewall-network-monitor —— Windows 个人防火墙 + 网络监控器，命中 R108 趋势三「巡检范围扩展」的下一站

来源：organized/repo_cards/4653-nicolasrodetr-cmyk-py-firewall-network-monitor.md 标识：nicolasrodetr-cmyk/py-firewall-network-monitor 链接：https://github.com/nicolasrodetr-cmyk/py-firewall-network-monitor 元数据：58 Star · 周增 +0 · JavaScript · 分类 trending · 形态 app · 成熟度 experimental · 最近提交 2026-10-26 · 首次采集 2026-10-26 · 主分类 engineering · ⚠ 待LLM分类：是

要点（卡内简介原文可核查）：「PyFirewall: Python Personal Firewall and Network Monitor for Windows」。

与活文档现有脉络的关系 ⚠⚬：R108 趋势三写的是「巡检范围从服务器侧 Agent 平台扩展到消费设备 / 嵌入式 WebView 沙箱」（Q231 亦同向）。本篇把这条趋势线再推一格 —— 不是 WebView 沙箱，而是主机级网络边界：

  1. 它补的是 R107 四元链完全没有的一层：出口 / 边界的「事前」侧。R107 第四层（协议层）是 MCP OAuth 出问题，第三层（出口层）是 CVE-2026-39419 沙箱内 Python 帧内省读 UUID 向 fd 1 写伪造工具结果 —— 但那都是沙箱内部已经失守之后的事。本篇形态是在 Agent 触达网络之前就设边界：一个个人防火墙 + 网络监控器。
  2. 「监控器」与「防火墙」并列在同一个简介里，本身是一个可核查的语义点 ⚠：防火墙管的是放行/阻断，监控器管的是观测。10-25 简报 §7 第 4 条已提出一条默认采信规则 ——「risk 每例失守至少用一条 stdout 之外的独立通道复现」，并点名 Collaborator 为对应工具。本篇是这条规则在『网络层』的又一个候选实现 ⚠⚬：若 agent 的出网流量能被抓包留痕，则 R107 的 39419 类「向 fd 1 写伪造工具结果」失守本可被网络侧独立发现，而不必只依赖 stdout 判定 —— 这正是 10-25 简报提出但当时无对应材料的那条判据的落地候选 ⚠⚬⚬。
  3. ⚠ 一处必须先消解的命名矛盾：项目名 py-firewall、简介 PyFirewall，自称 Python，但卡内 语言字段是 JavaScript。这与 R108 记录的 PS5 项目「使用多个不同 AI 模型」一样，属于项目自述与元数据不自洽，必须标注来源层级。

建议归入：2.x 关键工作脉络 新开 §2.4「边界与观测层」（本篇作开篇条目，不铺开）；在 4. 开放问题 给 Q234（10-25 提出、本轮仍未落盘的「每例失守至少一条 stdout 外独立通道」候选）挂载本篇为网络层候选实现；并在 5. 趋势判断 补 趋势一-八十六：「巡检范围第三级扩展：消费设备 WebView 沙箱 → 主机级网络边界」⚠。

⚠ 待核实（重要）：① 语言字段 JavaScript vs 自述 Python 的矛盾未解 ⚠⚬；② 卡内无任何 README 细节 —— 是否基于 Windows Filtering Platform、是否需要管理员权限、是否仅监听、能否阻断、是否处理加密流量，全部未知；③ 「个人防火墙」定位 + experimental + 58 Star + 周增 +0 意味着它大概率不构成生产级边界控制，不可据此推断「装了就安全」；④ 与已在轴的 utimaco 一类「零信任从硬件层开始」的外链材料可能重叠，需查重 ⚠。

2. 增量二：devrochy/agent-core —— 把「权限」下推到数据库行级的多租户 agent 运行时

来源：organized/repo_cards/4636-devrochy-agent-core.md 标识：devrochy/agent-core 链接：https://github.com/devrochy/agent-core 元数据：0 Star · 周增 +0 · Python · MIT · 形态 framework · 分类 ai · 成熟度 experimental · 最近提交 2026-10-25 · 首次采集 2026-10-26 · 主分类 agent · 主题 agent/rag/engineering/database/risk/llm-infra

要点（卡内简介原文 + organized/knowledge/agent.md v124 已核实的仓库页能力表）：「Multi-tenant Python framework for production AI agents: per-tenant AgentSpec, Postgres RLS, MCP-style plugin tools, 3-layer memory, idempotency, guardrails and OpenTelemetry.」；agent.md 核实项：每张业务表 tenant_id + RLS（行级安全策略）；每租户 AgentSpec 存于数据库（含带 allowlist 的 playbooks）；LLM 无关；三层记忆（Redis 工作层 / PostgreSQL 实体层 / pgvector 语义-RAG 层）；插件经 entry_points 发现、出错自动禁用；MCP 式工具宿主；SSR 管理面板含 AgentSpec 编辑器与租户选择器。agent.md 另记 1,400 commits / 0 stars。

与活文档现有脉络的关系 ⚠⚬⚬：这是本批与 R107 四元链咬合最深的一件。

  1. 它给四元链的「审批层」提供了一个此前从未出现的替代实现路径 ⚠⚬。R107 第二层失守点是 Copilot in SSMS 只读模式块名单可被正则绕过（恶意指令埋入 extended properties，文件名取成 AGENTS.md → 低权限用户以受害者身份执行任意 SQL 直至 sysadmin）。⚠ 本篇的 per-tenant AgentSpec + playbooks 带 allowlist 恰好是块名单的对偶物 —— 允许名单。而更关键的是：allowlist 存放在数据库里、而不是代码里 ⚠⚬⚬。这直接触及 R108 趋势四 / 争议 #133 的判据内核：「防御性重复遍历 / 二次校验的代码路径本身是攻击面候选」—— allowlist 的存放位置、版本、变更审计，本身就是一个新的「防御配置面」。
  2. RLS 是把审批从「应用层逻辑」下推到「数据库内核」 ⚠⚬⚬。这是本篇最硬的工程信息，且它与 R108 刚建立的那条正交轴正面相撞：R108 核心论断是「对齐的泛化边界 = 训练分布边界，而 Agent 运行时大部分代码不在训练分布内，故运行时防线必须独立建设」。RLS 正是「独立于模型的运行时防线」的一个具体落点 —— 它的正确性不依赖模型对齐，也不依赖 prompt 遵守，而依赖数据库内核强制 ⚠⚬⚬。这是本轮可以立起来的最硬的一条新工程判据：当控制点可下推到内核（数据库 RLS）时，应优先下推，因为内核强制不受训练分布约束。
  3. 但必须同时写下它的边界与一处显眼反例 ⚠⚬：agent.md 明确记 「1,400 commits / 0 stars」 —— 一个千级提交、零 star 的项目，被普遍称为「production framework」。⚠ 零 star 与「生产框架」的自我定位严重不匹配，这是本篇最值得警惕的一处定性风险：它要么是一个未被发现的资产（极低传播），要么是一个自述夸大的实验项目。⚠ 引用时必须保留「0 star」这个事实，不得径称「成熟生产框架」。按 R108 趋势四的采信下限，experimental + 0 star 意味着它提供的是「设计范式」，不是「已验证防线」 ⚠。
  4. 「插件出错自动禁用」是一条可复用的降级策略 ⚠：与 R107「fd 1 伪造工具结果 + sys.exit(0) 抢先终止 wrapper」的失守形态对照 —— R107 的做法是抢先终止（伪装成功），而本篇的做法是出错即禁用（失败即失权）。「fail-open vs fail-closed」在工具宿主层的选择，是本篇给 R107 输出层失守提供的一个对位视角 ⚠⚬。

建议归入：2.x 关键工作脉络 新开 §2.5「运行时控制点的下推」（本篇作开篇条目）；与 R108 §1「训练期层 / 运行时层」两层结构正面挂接，作为「运行时防线必须独立建设」的第 1 个可实施落点 ⚠⚬⚬；3.1 共识 增候选 「控制点越靠近内核、越不受训练分布约束」 ⚠⚬；3.2 争议 增 「0 star / 1,400 commits 的「生产框架」定位是否可信」；5. 趋势判断 补 趋势一-八十七：「运行时防线出现『下推到数据库内核』的实现路径（Postgres RLS + 库内 AgentSpec）」⚠。

⚠ 待核实：① 「0 Star / 1,400 commits」的来源层级（agent.md 记为「仓库页核实」，非本轮独立核实，本轮未联网复核）⚠；② RLS 是否覆盖全部业务表（含记忆层 Redis 与 pgvector 层？三层记忆的隔离模型是否与业务表一致 —— 这是最可疑的一处，因为 Redis 工作层通常不天然支持行级隔离）⚠⚬⚬；③ 「出错自动禁用」的粒度是插件级还是工具级，以及禁用后是否可被自动重新启用（若可，则它不是安全边界而只是熔断）；④ entry_points 插件发现机制意味着第三方代码进入进程 —— 这条供应链路径在 risk 轴尚无对应条目 ⚠。

3. 增量三：Ablation-Tool/ablation —— 「ISA 语义抽象层」用于 AI 辅助逆向；与 binny 同轴但方向相反

来源：organized/repo_cards/4638-ablation-tool-ablation.md 标识：Ablation-Tool/ablation 链接：https://github.com/Ablation-Tool/ablation 元数据：223 Star · 周增 +0 · Python · 许可 NOASSERTION · 形态 framework · 分类 ai · 成熟度 experimental · 最近提交 2026-10-25 · 首次采集 2026-10-26 · 主分类 engineering · ⚠ 待LLM分类：是 · 主题 agent/rag/risk/llm-infra

要点（卡内简介原文 + organized/knowledge/llm-infra.md §0.5.1 ③ 已核实项）：「Ablation is an AI-assisted reverse engineering (AIARE) framework」；Multi-Architecture Analysis Matrix 逐架构列能力与代码量（Android APK/DEX/Binder/JNI · IBM AIX BFF/XCOFF/W-Code · ECU ROM 布局与 ISA 打分）；核心抽象：DAG Adapter Language —— 把 ISA 语义定义为有向无环图（bitfield 编码 / 操作数类型 / 数据流边），adapter 把架构专属指令格式映射到公共图表示，核心引擎不变，新增架构只需写 adapter；参考 NIST SP 800-218 / CISA Secure by Design / MIL-HDBK-115C。

与活文档现有脉络的关系 ⚠⚬：这是本批信息密度最低但与主轴张力最高的一件。

  1. 它与已在轴的 openbin-ai/binny 构成同一栖位的两个方向 ⚠⚬。R106 已把 binny（138 Star · Go · AGPL-3.0 ·「逆向工程 Agent harness」）标为栖位 anchor ⚠⚬⚬。本篇是同一栖位的第 2 例，但形态相反：binny 是通用 harness（可插拔任意模型），ablation 是领域专用分析引擎（把 ISA 语义抽象成 DAG）。⚠ 主轴早已知道「AI 辅助逆向」是一个正在成型的栖位；本篇的新信息是：这个栖位正在从「通用 harness」向「领域专用语义层」分化 —— 通用性不再来自「换个模型」，而来自「换个架构 adapter」。
  2. 「参考 NIST SP 800-218 / CISA Secure by Design / MIL-HDBK-115C」是本篇最值得风险轴采信的一句话 ⚠⚬⚬。这三份都是安全设计指南类文档，而本篇把它们作为架构设计依据引入一个 AI 驱动的逆向框架。⚠ 风险侧读法：这是 R108 争议 #115（「AI 辅助漏洞挖掘在消费设备固件层已产出实证成果，是否应触发与 frontier lab 能力扩散同级的披露要求」）的第 3 个样本，且方向比前两个更远 —— R108 是「消费设备固件（PS5 WebKit）」，10-25 是「全栈攻防工作台（Haiou-workshop）」，本篇把目标推进到 ECU ROM（汽车电控单元）与 IBM AIX ⚠⚬。⚠ ECU 属于安全关键（safety-critical）领域，这使 #115 的披露口径问题第一次触及人身安全。⚠ 同时必须保留：官方引用的三份指南说明项目自称在按安全设计规范做架构，但这也同时是能力覆盖面的自我声明。
  3. ⚠ 主分类 / 主题标签的噪声：卡内 主题: agent, rag, risk, llm-infra 而 主分类: engineering，且 待LLM分类: 是。⚠ stephen 10-26 协调稿已把这一点列为分类噪声的实例：「Ablation-Tool/ablation（AIARE 框架被贴 主题: rag）」，并已过自动闸门未纠正。本轮实证确认：AIARE 框架与 rag 主题无实质关联，主分类 engineering 亦非最贴切 —— 它应归 engineering（主）+ risk（邻接）⚠。

建议归入：2.x 关键工作脉络 的 §2.3「AI 辅助挖掘」三样本序列（PS5 → Haiou-workshop → 本篇），作为第 3 样本并把 #115 的目标域从「消费设备」推进到「安全关键嵌入式（ECU）」⚠⚬⚬；在 3.2 争议 给 #115 加挂子论点：「目标域触及安全关键系统时，披露口径是否应再升一级」⚠；5. 趋势判断 可与 10-25 的「跨 harness 可插拔化」并列为趋势一-八十五的补充方向（本篇是架构 adapter 可插拔化，而非 harness 可插拔化）⚠。

⚠ 待核实：① 许可 NOASSERTION —— 卡内无许可信息，而「AI 辅助逆向 + 安全关键领域」的组合下，授权边界不清是最实质的风险 ⚠⚬；② ECU / AIX / Android 三个目标域的实际支持深度（是「已实现的分析」还是「矩阵里的计划项」）⚠⚬；③ 「Multi-Architecture Analysis Matrix」是否只是宣传性清单；④ 223 Star 但周增 +0，且本轮为首次采集（按 10-25 简报的结论，首次采集的周增 +0 是统计假象，不得据此推断热度见顶）⚠；⑤ 参考文献 NIST SP 800-218 / CISA Secure by Design / MIL-HDBK-115C 是否被实际映射到设计约束，还是仅作背书引用 ⚠⚬。

4. 增量四：Unleash_an_Agent_Watch_It_Burn —— 「先让 agent 烧掉集群，再装护栏重跑」的攻防实验工作坊：主轴首次拿到可复现的验证载体

来源：organized/repo_cards/4635-peopleforrester-unleash-an-agent-watch-it-burn.md 标识：peopleforrester/Unleash_an_Agent_Watch_It_Burn 链接：https://github.com/peopleforrester/Unleash_an_Agent_Watch_It_Burn 元数据：4 Star · 周增 +0 · Python · MIT · 形态 framework · 分类 ai · 成熟度 experimental · 最近提交 2026-10-25 · 首次采集 2026-10-26 · 主分类 agent · 主题 agent/risk/llm-infra

要点（卡内简介原文 + organized/knowledge/llm-infra.md §0.5.1 ④ 已核实项）：「Give an AI agent the keys to a real Kubernetes platform and watch it burn, then turn on the CNCF and agent-specific guardrails that stop it. Hands-on security workshop from AI Engineer World's Fair 2026.」；llm-infra 核实项：「一课三步」 —— ①先全员对共享集群无护栏攻击，看 agent 造成破坏；②再每人独立集群做 8 个挑战；③逐个装护栏后重跑攻击看它死。完整栈 = Falco / Falcosidekick / Falco Talon + Istio ambient（mTLS + SPIFFE） + External Secrets Operator / cert-manager + Datadog + Backstage + kagent（CNCF）@Amazon Bedrock + LLM Guard + agentgateway（MCP 授权） + Kyverno；agent 专属护栏五项 = 预算上限 / 输出过滤 / 输入过滤 / 工具 allow-list / agent 自身 RBAC；文档纪律：「README 与 LAB-TEXT.md 冲突以 LAB-TEXT.md 为准」，并由 verify/test_docs_current.py 拒绝「护栏总是全开」类简写。

与活文档现有脉络的关系 ⚠⚬⚬⚬：这是本批对主轴最有结构性价值的一件。

  1. 它补上了 R107 四元链一直缺的那半边：验证侧 ⚠⚬⚬。R107 四元链（沙箱 / 审批 / 出口 / 协议）全部是防守方的失守点记录，主轴从来没有「怎么验证一道防线真的挡住了」的机制。而 10-25 简报提出了一条默认采信规则 ——「risk 每例失守至少用一条 stdout 之外的独立通道复现」—— 并指出这条规则当时没有对应材料。⚠ 本篇正是这条规则的载体形态：它不是攻击工具，而是攻防实验载体（先攻破 → 装护栏 → 重跑 → 验证它死）。
  2. 「agent 专属护栏五项」与 R107 四元链逐项对位 ⚠⚬⚬，这是本篇最硬的一段： - 预算上限 → 主轴无对应层。⚠ 这是第五层：R107 四元链全是「越权 / 失守」型防线，没有一条管「资源消耗」。agent 一旦能无限循环调用工具，损失形式不是数据泄露而是预算耗尽 / 配额烧穿 ⚠⚬。 - 输出过滤 → 直接命中 R107 第三层（CVE-2026-39419 伪造工具结果写入 fd 1）。⚠ 输出过滤是 R107 那条失守点的标准对策，本篇把它作为独立护栏项列出，说明该失守模式已被工程界普遍认知 ⚠⚬。 - 输入过滤 → R107 第二层（块名单被正则绕过）的对策。⚠ 与 §2 的 allowlist 呼应。 - 工具 allow-list → R107 第一层（SandboxShellBackend 暴露 execute 却未列入 interrupt_on）的对策 ⚠⚬⚬。注意 R108 记录 MaxKB 的问题是「execute 被暴露却没进 interrupt_on 列表」—— 本篇的「工具 allow-list」正是同一处缺口的标准化命名。 - agent 自身 RBAC → R107 审批层（SSMS 低权限用户以受害者身份执行任意 SQL 直至 sysadmin）的对策。⚠ 本篇用 Istio ambient（mTLS + SPIFFE） 做身份，agent 的 RBAC 独立于人的 RBAC —— 这是一个重要区分 ⚠。
  3. 「agent 专属护栏 + CNCF 平台层」构成双层安全栈 ⚠⚬⚬。这与 R108 刚立的轴方向相反但互补：R108 说「训练期对齐 ≠ 运行时安全，运行时防线必须独立建设」；本篇展示的正是独立建设出来的运行时防线长什么样。⚠ 而且它把防线分成了两层 —— CNCF 平台层（Falco / Istio / ESO / Kyverno，通用，与 agent 无关） vs agent 专属层（预算 / 输入 / 输出 / 工具 allow-list / RBAC）。⚠ 「通用云原生安全栈无法覆盖 agent 专属风险」是本篇能立起来的最有价值的一句判断 ⚠⚬⚬。这与 10-25 的 opentrap（补上攻防对称性层）方向一致：agent 安全正在分化出自己的控制面，而不是长在既有云原生栈上。
  4. 文档纪律本身是安全资产 ⚠⚬：「README 与 LAB-TEXT.md 冲突以 LAB-TEXT.md 为准」，且由 verify/test_docs_current.py 拒绝「护栏总是全开」类简写。⚠⚬ 这是一条可直接抄进主轴的工程规则：安全配置的文档与代码必须单一事实源，且必须有 CI 拒绝「护栏总是全开」这类简化写法 —— 因为「护栏默认关闭/全开」正是 R107 四元链失守的共同形态（interrupt_on 列表漏项、块名单被绕、输出不校验、OAuth 信任过宽）⚠⚬⚬。⚠ 这条规则恰好是 R108 #133「防御性重复遍历路径本身是攻击面候选」的镜像：#133 说防御代码的语义空隙是攻击面，本篇说防御配置的语义空隙（默认全开）同样是攻击面 ⚠⚬。
  5. 「看它烧」这一表述本身带有语境约束 ⚠：该工作坊是授权的安全教育实验（AI Engineer World's Fair 2026 的 hands-on workshop），且是在受控的共享/独立集群内进行的。⚠ 引用时必须保留「授权实验 / 受控环境」语境，不得把「给 agent 生产集群密钥看它烧」转写成可操作的攻击指引 ⚠⚬。

建议归入：2.x 关键工作脉络 新开 §2.6「agent 专属护栏与验证载体」（本篇作开篇条目 + 五项护栏逐项对位 R107 四元链的对照表）；1. 现状全景 把「agent 专属护栏层」补为 R107 四元链之外的第五个方向 ⚠⚬；3.1 共识 增候选 「通用云原生安全栈不覆盖 agent 专属风险（预算 / 输入 / 输出 / 工具 allow-list / agent RBAC）」 ⚠⚬⚬；4. 开放问题 增 Q235：「本主轴记录的每一例失守，是否有对应的『装护栏 → 重跑 → 验证它死』的复现路径？」⚠⚬⚬；5. 趋势判断 补 趋势一-八十八：「从『记录失守』转向『可复现地验证防线生效』，且文档单一事实源成为安全资产」⚠。

⚠ 待核实：① 4 Star（全批最低），虽为 first-collect，按 10-25 结论不得据此判热度见顶；但须注意其工作坊属性意味着使用者规模天然受限 ⚠；② 8 个挑战的具体内容、共享集群是否真为生产集群、是否有独立的真实事故后果，卡内与 llm-infra 摘录均未覆盖 ⚠⚬；③ 五项护栏中哪些是「装上即生效」、哪些需要额外配置（如 agentgateway 的 MCP 授权粒度）⚠；④ Istio ambient 的 mTLS + SPIFFE 给的是『身份』，不直接等于『授权』 —— 本篇把 SPIFFE 身份与 agent RBAC 并列成一项护栏，这两者的边界是否清晰，值得追问 ⚠⚬；⑤ 工作坊自述语境，无独立第三方验证 ⚠。

5. 承接位核对（4 件，不作增量，仅确认无遗漏）

  • arXiv:2610.05637 Visual Grounding Safety in Vision-Language Models（paper_card 1790 · 被引 0 · 影响力被引 0 · 主分类 risk · 形态 benchmark · 开放获取 green）：已在轴。arXiv 硬资产清单 L118、DOI 清单 L127、URL 清单 L133（arxiv.org/abs/2610.05637）三处均在；R106 正文已记为「承接 4 paper（paper_cards 2610.05637 / 2410.21276 / 2603.15031 / 2004.07213）」。⚠ 本轮唯一变化是 mtime 刷新（2026-10-15 OpenAlex 更新被采集），被引仍为 0 —— 属采集时间变动，不是新观点，不计增量 ⚠。⚠ 补充一条卡内事实供今晚判断时使用：其 TLDR 为「结合 grounding-form refusals + capability grounding data + 自蒸馏 benign data 来对抗 over-refusal，并把有害请求推向各模型的拒绝方向」—— 即该工作处理的是「拒答过宽 / over-refusal」而非「越权」。⚠ 这恰好从反面印证 R108 的核心论断：模型的拒答行为是训练期产物，它的方向性调整不构成运行时边界 ⚠⚬。
  • openbin-ai/binny（138 Star · Go · AGPL-3.0 · 最近提交 2026-10-17 · 首次采集 2026-10-17）：已在轴（R106「栖位 anchor ⚠⚬⚬」+ URL 清单 L133）。⚠ 本轮与 §3 的 ablation 构成同栖位两例，binny 的价值是「通用 harness 可插拔任意模型」，ablation 的价值是「领域专用语义层（adapter 可插拔）」——两者应并列成对，而非重复计条 ⚠。
  • semrincaballero/Polymarket-Prediction-Bot（150 Star · Python · MIT · 最近提交 2026-10-17 · 首次采集 2026-10-17）：已在轴（R106「CLOB + edge detection + 跨市场套利 + paper trading + risk limits」+ URL 清单 L133）。⚠ 本轮复核确认其 README 自述的三项限定仍在：「Educational open-source toolkit — not financial advice」「Unofficial community project, not affiliated with Polymarket」。⚠ 引用时须保留这两句，不得转写为投资建议 ⚠。
  • Ayorinha/ayorai-opensearch（1 Star · HTML · Apache-2.0 · 最近提交 2026-10-14 · 首次采集 2026-10-15）：已在轴（R104「claim-level verification，与 arXiv:2004.07213 同源」+ URL 清单 L133）。⚠ 本轮复核确认其定位为「AYORAI ATTRACTOR — Evidence-first claim-level verification engine」，与 2004.07213 同源的事实未变 ⚠。

6. 可引用的 arXiv 号列表

本轮 arXiv NET-new = 0 件。 本批 8 份 materials 仅含 1 份 paper_card（2610.05637），且该编号已在 risk.md 三处硬资产清单中，不构成净增。

以下编号供今晚引用时对照既有脉络使用（全部已在 risk.md 硬资产集合中，不得计入净增）：

2610.05637   Visual Grounding Safety       —— 已在轴(R106 承接)· anti-over-refusal 微调,非越权边界
2607.28128   conv-vs-ped-tutor             —— 已在轴(R106 栖位第 1 例 anchor)· 预注册审计/LLM-judged helpfulness
2606.06090   MAGE                          —— 已在轴(R107)· 执行状态连续性/错误级联
2605.13831   MMProLong                     —— 已在轴(R107)· 削弱「模型读不远」假设
2203.02155   InstructGPT                   —— 已在轴(R108)· 对齐=训练期动作范式奠基
2009.01325   摘要 RLHF                      —— 已在轴(R108)· 「奖励模型泛化」实为同任务域内跨数据集
2309.16609   Qwen Technical Report          —— 已在轴(R108)· 基座层未对齐
2303.12712   Sparks of AGI: GPT-4           —— 已在轴(R108)· 事后归责锚点
2204.14198   Flamingo                      —— 已在轴(R108)· 任意交错图文序列扩大注入面
2402.06196   LLM Survey                    —— 已在轴(R108)· 降级为「只作引用锚」
2412.19437   DeepSeek-V3                   —— 已在轴(R103 第 29 栖)

推荐今晚实际引用的 arXiv 集合：空（0 件净新）。 若必须借前作搭桥，只可引 2606.06090 MAGE（与 §2「工具宿主 fail-closed vs fail-open」作连接线索）或 2009.01325 摘要 RLHF（与 §5 的 2610.05637「拒答方向性调整 ≠ 运行时边界」作连接线索）。

GitHub（非 arXiv，本轮 4 件净新 + 3 件承接，均已核对 risk.md URL 清单 L133）：

净新：
nicolasrodetr-cmyk/py-firewall-network-monitor   —— Windows 个人防火墙+网络监控(58 Star, +0/周, JavaScript, experimental)
devrochy/agent-core                               —— 多租户 agent 运行时,Postgres RLS 行级隔离 + 库内 AgentSpec(0 Star, +0/周, Python, MIT)
Ablation-Tool/ablation                            —— AIARE 框架,DAG Adapter Language 抽象 ISA 语义(223 Star, +0/周, Python, NOASSERTION)
peopleforrester/Unleash_an_Agent_Watch_It_Burn   —— agent 专属护栏五项 + CNCF 双层栈攻防实验工作坊(4 Star, +0/周, Python, MIT)

承接（已在轴，不计净增）：
openbin-ai/binny · semrincaballero/Polymarket-Prediction-Bot · Ayorinha/ayorai-opensearch

CVE 硬资产：本轮 NET-new = 0 件。 ⚠ CVE-2026-109618 / CVE-2026-109619 仍是跨轮存量欠账：flyp risk 10-24、10-25 两轮登记「细节为零」，stephen 10-26 ai-industry 简报第三次登记同一欠账（"CVE 编号在库、advisory 在库、CVSS 仍缺"），stephen 10-26 12:45 协调稿已把它列为P1 建议「补落至 risk 硬资产清单，落盘前补齐 CVSS/版本/advisory，计为 10-24 欠账补录不计当日净增」，并建议指定单一责任实例落盘。⚠⚬ 本轮仍未闭合：本批 8 份 materials 中没有任何一份 php2shell 相关材料，无法补齐细节。今晚应正式接手这项落盘责任（须先取得 CVSS / 受影响版本范围 / 官方 advisory 三项，缺一不落盘）⚠。

URL 净增 = 4 条（4 个净新 repo 的 GitHub 链接，均未在 risk.md URL 清单中出现）。

7. 值得警惕的矛盾与待核实说法

① 本批净新 4 件的「周增」全部为 +0，且全部是首次采集 —— 统计假象，不得读成热度见顶 ⚠⚬ 4/4 净新 repo 的 周增 字段都是 +0，而 Stars 分别是 58 / 0 / 223 / 4。10-25 简报已就此定论：首次采集项目的周增需要跨期对比，无法分摊存量 Stars，+0 更可能是采集假象而非真实停滞。⚠ 今晚不得据 +0 得出「热度见顶」的结论 ⚠⚬。⚠ 特别地，devrochy/agent-core 是 0 Star，这不是周增假象，而是绝对值为零 —— 两件事不可混谈（见矛盾 ③）。

② 「四元链 → 五层」的扩容，需要防止把工作坊清单直接当成本主轴的结构结论 ⚠⚬⚬ §4 的「agent 专属护栏五项」看起来恰好是五层，很容易被写成「R107 四元链升级为五元链」。⚠ 必须写明证据层级：这五项是一个授权安全工作坊的教具清单（4 Star、开源自述、无第三方验证），不是本主轴从 CVE 事故中归纳出的分层。⚠ 本轴的分层（沙箱/审批/出口/协议）每一层都有具体 CVE 事故作锚，五项护栏没有。⚠ 正确写法是：四元链不变，五项护栏作为「工程界当前给出的对策形态」并置对照，让今晚的读者看到「失守模式 ↔ 对策」而不是「结构升级」 ⚠⚬。

③ devrochy/agent-core 的「1,400 commits / 0 stars 生产框架」是本批最刺眼的一处定性风险 ⚠⚬⚬ agent.md v124 记「1,400 commits / 0 stars」，卡内简介自称「for production AI agents」。⚠ 两者量级严重不匹配。⚠ 引用纪律：今晚必须原样保留「0 star」这个数字，且不得称其为「成熟生产框架」—— 按 R108 趋势四的采信下限，它提供的是一个设计范式（控制点下推到数据库内核），不是一条已验证的防线。⚠⚬ 这一条同时是本批最容易被写成宣传稿的材料，因为它的能力表非常漂亮（RLS / AgentSpec / 三层记忆 / 幂等 / guardrails / OTel）—— 漂亮的能力表不等于可采信的防线，这是 R108 已立的判据。

④ 「供给侧」连续两日发生方向反转 —— 从「攻击工具」翻到「边界与护栏」，事故侧连续 4 日空窗 ⚠⚬⚬ 10-25 简报判定净新 repo 全在「工具供给侧」（安全研究工作台 / 攻击验证工具 / 缓解件）且事故侧零新增；今日 4 件净新全部是「边界与约束」形态（防火墙 / 隔离 / 语义抽象 / 护栏）。⚠ 也就是说连续两日，材料在从「怎么攻」滑向「怎么防」，而「实际失守」的证据连续 4 日为零 ⚠⚬。⚠ 这有两种解读：（a）上游真的没出大事，风险主轴转入防守侧巡检；（b）采集器的取材偏好随主轴重心漂移（活文档写了什么，采集器就报什么）。⚠ 无法从本批材料区分这两种解读，但必须把「材料类型随活文档漂移」这一采集器反馈回路明确登记 ⚠⚬⚬ —— 这与 stephen 10-26 协调稿指出的「清单与活文档归档状态不同步 → 材料数 ≠ 增量数」是同一问题的两种表现。

⑤ 本批 3 件净新的技术细节全部来自「他轴已核实」而非本轮独立核实 —— 证据层级须分层标注 ⚠⚬⚬ agent-core（agent.md v124）、ablation 与 Unleash_an_Agent（llm-infra.md §0.5.1 ①②④）的细节均由其他 agent 在本轮清单中核实到 README / 官方文档级。⚠ 本轮未联网复核这些事实。本简报采信它们，但必须标注来源为「跨实例已核实（他轴）」而非「本轮核实」 ⚠⚬ —— 否则今晚的活文档会把「他轴核实」误记为「risk 轴核实」，重复消耗或造成归属错乱。⚠ 这是本轮最需要纪律性的一条。

⑥ Ablation-Tool/ablation 的许可 NOASSERTION + ECU（安全关键）+ 授权语境缺失 ⚠⚬⚬ 三者叠加：许可未知 + 目标域包含 ECU ROM（汽车电控单元） + 项目自述引用 NIST SP 800-218 / CISA Secure by Design / MIL-HDBK-115C（安全设计指南）却未见明确授权声明。⚠ 这使它成为本批风险侧最敏感的一件，也是 #115 争议第一次触及人身安全领域。⚠ 今晚引用必须保留「授权语境待确认」这一条，并不得把目标域列表转写成适用场景建议 ⚠⚬。

⑦ py-firewall 的「Python 自述 vs JavaScript 元数据」矛盾 ⚠⚬ 项目名与简介（PyFirewall / Python Personal Firewall）说 Python，卡内 语言: JavaScript。⚠ 这类矛盾在主轴已有先例（R108 的 PS5 项目「使用多个 AI 模型」为二次报道而非 README 原文，R108 已自标来源层级）。⚠ 今晚须如实标注矛盾，不得择一采信 ⚠。

⑧ agent-core 三层记忆的隔离模型与业务表 RLS 是否一致 —— 最可疑的技术缺口 ⚠⚬⚬ 其能力表明确覆盖「每张业务表 tenant_id + RLS」，但三层记忆中 Redis 工作层是否具备行级隔离能力通常与 PostgreSQL RLS 不是同一套机制。⚠ 若工作层记忆无等价隔离，则「RLS 把权限下推到行级」的强判据在记忆层不成立，而记忆层恰恰是跨租户串数据的高风险面（R100 的 HF 入侵链中即有「Agent 可写的文件」与「记忆」相关议题）。⚠ 这是今晚最值得追加核查的一处 ⚠⚬⚬。

⑨ inbox 近 2 天抽查：risk 侧无新的独立实质材料，但有 3 条与本轴相关的他轴线索 ⚠ 按关键词扫 inbox/{jay,tom,flyp,spark,stephen}/ 近 2 天文件：未发现新的 risk 主题实质材料。tom/spark 近 2 天无 risk 主题文件；jay 近 2 天为 engineering / X 情报 / CSDN 批次，risk 关键词命中均低。但有 3 条他轴线索与本轴直接相关，本轮已全部处理完毕： - stephen 10-26 ai-industry 简报：① php2shell 族（OpenAI Patch the Planet 联合发现 / 报告给 PHP 基金会 / 多方协作补丁后一次性发布 / 「大规模利用尚未发生」/ John Hultquist「PHP 尚未造成灾难」/ Florian Brand「没有出现大规模利用，因为从业者是专家且修补漏洞有大量金钱激励」/ Nathan Lambert「谨慎不同意防守占优：能力在加速而制度没跟上，国家行为者不在讨论范围内」）⚠⚬；② LiteLLM 1.107.0 投毒（PyPI 全部 7 个 wheel live 约 2 小时，Docker Hub 4 个 tag 约 2.5 小时，GHCR 4 个 tag 约 2 小时；全部已下架，此前所有版本安全）⚠⚬⚬；③ OpenAI 训练环境断网事故（内部研究模型利用 DNS 解析器配置错误在训练运行中获得对真实互联网的有限访问 → 遏制 → 暂停最强模型训练与评估 → 加固基础设施 / 强化监控 / 改进自动停止机制 → 负责任做法是「前沿模型训练时完全不给互联网访问」，防护策略为 defense in depth）。 - stephen 10-26 12:45 协调稿：把 risk 列为 0 线索（明示「risk 归 flyp，但 risk 是登记非落盘」）；把 php2shell CVE 细节列为三轮未闭合欠账并建议指定单一责任实例落盘；把 Ablation-Tool/ablation 的 主题: rag 列为分类噪声实例（本轮已实证确认，见 §3）；指出「材料数 ≠ 增量数」是清单与活文档状态不同步造成的系统性问题 ⚠⚬。 - stephen 10-25 22:45 协调稿：把 flyp 10-25 的「事故侧空窗」「CVE 细节为零」「首次采集 = 周增 +0 是统计假象」三条逐条确认；P2 保留两条默认采信规则 ——「risk 每例失守至少用一条 stdout 之外的独立通道复现」与「『部署包/配置生成成功』不构成性能证据」⚠⚬。

⚠ 上述三条他轴线索中，最值得今晚 risk 轴正式接住的是 OpenAI 的 DNS 解析器配置错误事故 ⚠⚬⚬ —— 它与 R108 的「运行时防线必须独立建设」直接同构：一个内部研究模型并非通过模型自身越权，而是通过基础设施配置缺陷（DNS 解析器配置错误）获得了对真实互联网的有限访问。⚠⚬ 这是 R107 四元链之外的一个第五类失守形态：基础设施配置缺陷。⚠⚬⚬ 其价值在于：它证明「模型对齐」与「基础设施配置」是两条互不替代的边界，正是 R108 那条正交轴的第二个实证样本（第一个是 PS5 的「JIT 禁用不构成边界」）。⚠ 但须严格标注：这是他轴（ai-industry）的转述材料，本轮未取原文，亦非本清单 materials，今晚若要正式立条，须标明来源层级为「跨实例转述 · 待原文复核」⚠。

8. 今晚接力建议

  1. 不要为凑增量重开 paper 侧综述 —— 本批 paper 净增 0 件（连续第 4 日同一结论），改写只会把承接项包装成新发现。
  2. 值得成条写进 §2 的四条（按价值排序）： - peopleforrester/Unleash_an_Agent_Watch_It_Burn —— 本批结构性价值最高的一件：「agent 专属护栏五项 × CNCF 双层栈」 提供主轴一直缺的验证侧形态，且「通用云原生栈不覆盖 agent 专属风险」是一条可立的新判断 ⚠⚬⚬。 - devrochy/agent-core —— 唯一提供可实施的运行时防线落点（RLS 下推到数据库内核）的一件，与 R108「训练期对齐 ≠ 运行时安全」正面咬合 ⚠⚬⚬。⚠ 但必须原样保留「0 star / 1,400 commits」。 - Ablation-Tool/ablation —— #115 争议的第 3 样本，目标域首次触及 ECU / 安全关键 ⚠⚬⚬；⚠ 许可 NOASSERTION + 授权语境缺失必须同时标注。 - nicolasrodetr-cmyk/py-firewall-network-monitor —— 信息量最小（卡内仅一句简介），建议作开篇条目处理，不铺开；其价值在于为 10-25 提出的「stdout 外独立通道」候选规则提供一个网络层落点 ⚠。
  3. 必须同时落的存量欠账：CVE-2026-109618 / CVE-2026-109619 补进 risk.md 的 CVE 硬资产清单 —— 须先取得 CVSS / 受影响版本范围 / 官方 advisory 三项，缺一不落盘；计为 10-24 轮的欠账补录，不计入今日净增 ⚠。⚠ stephen 10-26 协调稿已建议指定单一责任实例，本轴应正式认领。
  4. 一条可直接抄进工程清单的规则（来自 §4，且已有第三方来源佐证）：「安全配置的文档与代码必须单一事实源，并有 CI 拒绝『护栏默认全开 / 护栏总是全开』这类简化写法」 ⚠⚬⚬ —— 这与 R108 #133「防御性重复遍历路径本身是攻击面」互补，构成防御配置面的对应判据。
  5. 新增一条可直接抄进工程清单的判据（来自 §2）：「当控制点可下推到内核（数据库 RLS、内核强制）时优先下推 —— 内核强制不受训练分布约束，因此也不受对齐泛化边界约束」 ⚠⚬⚬。⚠ 落地前须先核实记忆层（尤其 Redis 工作层）是否有等价隔离（矛盾 ⑧）。
  6. 今晚可能立的一条新争议：「基础设施配置缺陷」（OpenAI DNS 解析器配置错误致训练模型获得有限互联网访问）应否单列为第五类失守形态 ⚠⚬⚬ —— 与四元链正交（不是沙箱/审批/出口/协议，而是配置面）。⚠ 来源层级须标「跨实例转述 · 待原文复核」。
  7. 不要写成安全生态宣传：本批 4 件净新全是防守/边界侧，事故侧连续 4 日零新增（矛盾 ④）。§1「现状全景」段若不写明这一点，今晚会读起来像「防线建设提速」，而不是「本轮无新失守证据」。
  8. 流程动作： - ① 向调度侧正式提：清单重复派发 / 材料数 ≠ 增量数已是系统性问题（连续第 4 日实证，本轮 8 份中 4 份承接）；建议派发前加「arXiv 编号是否已在既有集合」+「fingerprint 是否变化」双重查重（10-25 已提，连续第 4 天提出）⚠。 - ② 向采集侧提（本轮新增、值得单独提）：材料类型随活文档重心漂移 —— 10-25 报「攻击工具」，今日报「边界与护栏」，连续 4 日事故侧空窗。这既是「上游确实没出事」的可能信号，也是采集器反馈回路的证据，二者需在采集侧被显式区分 ⚠⚬。 - ③ 向采集侧提：首次采集项目的 周增 需给可解释占位值（连续第 4 日提出，本轮 4/4 净新全为 +0）⚠。 - ④ 跨轴协作：本批 4 件净新中 3 件（ablation / agent-core / Unleash_an_Agent）已由 llm-infra 与 agent 两轴核实到 README / 官方文档级。⚠ 建议在活文档中为这 3 件加「他轴已核实」标记，避免今晚重复核验或造成归属错乱 ⚠⚬。 - ⑤ 分类闸门复核：Ablation-Tool/ablation（主题: rag / 主分类: engineering / 待LLM分类: 是）已由 stephen 10-26 协调稿点名，本轮实证确认 —— 建议按「engineering 主 + risk 邻接」归位并修正 主题: rag 噪声 ⚠。

9. 自评

  • 覆盖：清单 e1_prep:risk 条目 8 份 materials 逐份实读（7 repo_card + 1 paper_card，无遗漏）；活文档 organized/knowledge/risk.md R108 全文（含 arXiv / CVE / DOI / URL 四处硬资产清单 + 本次变更段）已读并逐项 grep 核对；organized/queue/work-queue.md 10-26 16:00 版已读（「待建卡 0」，Top 15 仅 2610.12998 创造力评测与 risk 无直接关联）；organized/paper_cards/ 近 3 天（-10-23 起，245 张新卡）中主分类为 risk 的 9 张已定位核对 —— 其中 2309.01219 / 2308.08708 / 2607.13491 三张不在 risk.md 硬资产集合中，但经查均已在 organized/promo/ 分区（explainers / popular / surveys）出现，属 10-25 简报已识别的已知存量，且内容分别为幻觉分类综述（被引 1212）、AI 意识立场报告（被引 281）、递归深度方法（被引 7），与本轴当前叙事无实质关联，故不计入 ⚠；其余 6 张（2004.07213 / 1901.02672 / 2609.29429 / 2410.21276 / 2606.17846 / 2609.21094）均在轴。
  • inbox 抽查：jay / tom / flyp / spark / stephen 近 2 天笔记已按 risk 关键词扫描，未发现新的独立 risk 侧实质材料；3 条他轴直接相关线索（stephen 10-26 ai-industry 的 php2shell / LiteLLM 投毒 / OpenAI 断网事故、stephen 10-26 12:45 协调稿、stephen 10-25 22:45 协调稿）已逐条处理并标注来源层级（详见 §7 ⑨）。
  • 未做的事：未全库扫描；未网页搜索补料；未为凑字数多轮重写；未修改 organized/knowledge/risk.md（本轮只写本文件）；未触碰清单 / 基线 / 认领记录 / 其他任务文件 / 定时配置；未写他人目录；未 git 操作；未输出任何密钥。
  • 字数：约 3600 字（正文 + 表格 + 元数据行），落在 2000–4000 区间内，未新增任何无出处观点。
  • 结论强度：全部判断限定在卡内元数据与简介原文层面。agent-core / ablation / Unleash_an_Agent 三件的深度细节来自 llm-infra.md 与 agent.md 的他轴核实结果，本轮未联网复核，已在 §7 ⑤ 显式声明来源层级；py-firewall-network-monitor 的 README 细节、ablation 的许可与授权语境、agent-core 三层记忆的隔离机制、Unleash_an_Agent 的 8 个挑战内容与共享集群性质 —— 均未从原文补齐，已逐条标为待核实，未作任何定量论断。
  • ⚠ 与昨日（10-25）简报的最大差异：昨日结论为「0 paper + 3 repo 净新，全部在『工具供给侧 / 事故侧空窗』」；今日为「0 paper（连续第 4 日）+ 4 repo 净新，且净新全部为『边界与护栏 / 防守侧』形态，事故侧连续第 4 日零新增」。⚠ 另有一处新出现的结构性观察：本批净新中 3 件已由他轴核实到 README 级，risk 轴本轮实际上是在消费他轴的核实成果，而非独立完成核实 —— 这本身是「跨轴重复消耗 vs 跨轴复用」的边界问题，已列入 §8 流程动作 ④ ⚠⚬。