risk · E1 预消化简报(2026-10-29)

采集边界：仅读取宿主机增量清单 /shared/research-kb/organized/indexes/work-guard/cf9a18b2-2f41-4aa3-b37e-513f297ef48f.json 中 e1_prep:risk 条目的 8 份 materials（逐份实读 item.materials[].source，非仅 item.source 首项），外加活文档 organized/knowledge/risk.md（R109 · 81,920 bytes · arXiv/CVE/DOI/URL 四处硬资产清单）、organized/knowledge/engineering.md（v153 · 查重同一批材料在别轴的处置）、organized/knowledge/llm-infra.md（v3.70 · 查重 Vigil-SOC/vigil）、organized/queue/work-queue.md（2026-10-29 16:00 版）、organized/paper_cards/ 近 3 天（10-27 起 186 张新卡，risk 主题逐张筛）、以及 inbox/{jay,tom,flyp,spark,stephen}/ 近 2 天笔记的 risk 相关性扫描。

未全库扫描、未网页搜索补料、未为凑字数重写、未修改活文档。

状态：ok（净新 3 条 · 1 条真净新 + 1 条跨轴净新 + 1 条半净新；arXiv 侧连续第 6 日零净新）

0. 本轮结构性判断：材料结构从「攻防两侧同批」转向「工具生态的三个新观察位」；真正的净新只有 3 件，且 3 件都不是 CVE、不是 arXiv

清单 8 份 materials 逐份核对 risk.md（R109）+ 跨轴文档后的账目：

# 材料 标识 在 risk.md 现有脉络中的位置 NET-new?
1 repo_cards/4714 Cd1s/safarier risk.md grep 命中 0；organized/ 全目录 grep 仅命中自身卡 + 清单；inbox/ 命中 0；全库唯一未入库的新条目 ✅ 真净新
2 repo_cards/4709 Vigil-SOC/vigil risk.md 命中 0；但 llm-infra.md v3.70（2026-10-29 05:00 CST 棒）已展开到 README 级 —— 四层架构 / Windows-WSL2 排障 / LogLM 可选层 / D301 口径提醒均已在轴 ⚠️ 跨轴净新（risk 轴新，KB 内已被他轴消化）
3 repo_cards/4677 aarsaputra/php2shell 双 CVE 已在 R109 入轴；「利用工具化 + JA3 检测面上移」两点 engineering v153 已收（明确写「risk.md 尚未登记的新维度」） ⚠️ 半净新（承接 + 欠账）
4 repo_cards/4673 ACD421/PHP risk.md grep 命中 0；engineering v153 §1.7⑥ 已收录（判为「攻守双侧对照」+「官方受众 ≠ 官方工具」张力 ④） ❌ 承接（轴外已收）
5 repo_cards/4671 hevnsnt/CVEngine risk.md grep 命中 0；organized/ 全目录命中 0；已在 flyp 本人 10-27 简报 §2 完整分析过，但未写入 risk.md ✅ 净新（欠账）
6 repo_cards/4369 marketcalls/openalgo 已在轴：R104「openalgo（2851 Star · agent/database/risk）」+ URL 硬资产清单（L163 两处） ❌ 承接
7 note-links stephen/2026-10-14T1245-coordination-check 协调检查件，自述 risk 方向零净增（"risk=0"），含 21 件 materials 清单与「risk 系当日零净增」缺口提示 ❌ 承接（负面信号）
8 note-links jay/2026-10-13-jay-mcp-security-kvcache-arxiv-substack 4 篇 arXiv（2511.01815 KVTC / 2609.38121 WUSH-KV / 2610.03027 1-bit / HijackKV USENIX Sec 26）均已在轴（R104 + arXiv 硬资产清单 L148 末尾）；4 枚 CVE 已在 CVE 硬资产清单；GTIG / Mandiant / NeuralTrust 四源 URL 仍未进 risk.md URL 清单 ⚠️ 承接 + 硬资产缺口

账目：真正 NET-new = 3 件（Cd1s/safarier 全库未入库 · hevnsnt/CVEngine 已析未入轴 · Vigil-SOC/vigil 对 risk 轴净新）—— 但其中 2 件的实质信息量已被别轴消化（CVEngine 在 flyp 10-27 简报、vigil 在 llm-infra v3.70），risk 轴真正需要新写的只有 safarier 一件 ⚠。承接 4 件 + 半净新 1 件。

arXiv 侧 NET-new = 0：4 篇候选全部已在 R104 入轴，每篇在 risk.md 中各命中 2 次（正文 + 硬资产清单）。paper 侧连续第 6 日零净新 —— R109 之后 risk 主轴的学术侧供给确已枯竭 ⚠（与 10-26「连续第 4 日」、10-27「连续第 5 日」判断一致，本轮再确认一次）。这已连续 3 天被独立观察记录，值得作为结构性事实上报，而非继续逐日重复。

CVE 侧 NET-new = 0：CVE-2026-109618 / CVE-2026-109619 已于 R109 入轴（CVE 硬资产清单 L152 标题明写「R109 php2shell 双 CVE」）。

⚠ 结构性观察（本轮最值得上报的一条）：本批 8 件清单材料里，净新的 3 件全部是「工具/应用形态」资产（原生浏览器 / AI SOC / 攻击面评估工具），零 CVE、零 arXiv、零 paper_card。 这与 10-27 简报的结构判断形成方向性反转 —— 10-27 是「材料数 ≠ 新观点数」的收敛现象，本轮是「材料类型整体从学术/事故侧滑向工具供给侧」。这条趋势本身比任何单件材料更值得记入活文档。

1. 增量一（真净新 · 全库首次登记）：Cd1s/safarier —— 「隔离」从容器层下沉到浏览器引擎层；但「对齐」一词被复用为隐私承诺

来源：organized/repo_cards/4714-cd1s-safarier.md 标识：Cd1s/safarier · https://github.com/Cd1s/safarier 元数据：202 Star · 周增 +56（本批 8 件中唯一高热度，其余全 +0）· Swift · 许可卡内无字段 · 分类 trending · 形态 app · 成熟度 experimental · 最近提交 2026-10-29 · 首次采集 2026-10-29 · 主分类 risk · 主题 risk · 待LLM分类：否

要点（卡内简介原文可核查）：

"Native macOS multi-profile isolated WebKit browser with sing-box integration and engine-level privacy alignment"

⚠️ 这是本轮唯一一件「全库首次登记」的资产 —— 全库检索仅命中其自身 repo_card。

风险侧读法 ⚠⚬⚬ —— 三条，其中两条直接咬合 R109 的未结争议：

  1. 「引擎级隐私对齐」是对 R109 共识 #134 的一次同构复现 —— 但方向相反 ⚠⚬⚬。R109 #134 的原句是「缓解件的保证边界 = 它所镜像的那一个修复的边界，而不是「系统已受保护」这个笼统结论的边界」。本件的架构是 multi-profile isolated WebKit + sing-box 集成 + 引擎级（engine-level）隐私对齐 —— 即在浏览器引擎层面对齐隐私属性。这与 php_uploadprogress_guard「逐组件镜像官方修复」是同一个方法论模板：用一个可控的实现去对齐上游引擎的某个属性。但两条路的保证边界恰好相反 ⚠⚬： - php_uploadprogress_guard 对齐的是上游已修复的漏洞，边界 = 上游那个修复的边界； - safarier 对齐的是隐私属性（防指纹 / 隔离 / 代理一致性），而隐私属性没有「上游已修复」的锚点 —— 对齐目标本身是目标状态而非修复版本。 → 推论：R109 #134 需要从「缓解件」窄化到「以对照物为锚的缓解件」：凡是以「对齐某个具体版本/补丁」为锚的，其保证边界可推出；凡是以「对齐一个持续演进的属性/目标态」为锚的，保证边界不可推出 ⚠⚬⚬。这是 #134 的必要修订，不是反例。
  2. 「对齐」一词在此被用作隐私承诺 —— 与 R108 #131「训练期对齐 ≠ 运行时安全」构成第三种同名异义 ⚠⚬⚬。R108 记录的是「训练期的对齐」与「运行时的安全」不是一回事；本件说的是「引擎层的隐私对齐」与「浏览器的真实隐私」是不是一回事。三个「对齐」分处三个层（训练 / 引擎 / 隐私属性），语义互不覆盖 ⚠。风险侧含义：一个产品名/简介里的「aligned」在本库语境下不携带任何安全保证** —— 与 R109 #120（人格配置包自述）、「命名承诺 vs 实现」张力 #122 同族 ⚠。
  3. 「multi-profile isolated」是隔离机制，但「isolated」的实现边界卡内完全未给 ⚠⚬⚬ —— WebKit 多 profile 隔离是否等同于进程级 / 沙箱级隔离？WKWebView 与 WKContentWorld 的隔离粒度、cookie / localStorage / IndexedDB 的跨 profile 可见性、扩展权限边界 —— 卡内一句话都没有。采集下限：202 Star 但成熟度 experimental、许可字段缺失、无 README 细节（评分口径：+56 周增是本批唯一热度信号，但热度 ≠ 验证）。不得据本卡断言其隔离强度 ⚠。
  4. 本件与 R109 §2.8 py-firewall-network-monitor 形成一组 —— 「端点网络层」观察位本轮从一个仓库扩到两个 ⚠。二者同属「消费端 / 个人设备网络与浏览器层」的观察位（R109 §2.8 已称此为「本主轴此前覆盖服务端 Agent 平台与消费设备 WebView 沙箱之外的全新观察位」）。本轮该位从「个人防火墙（无浏览器语义）」扩到「隔离浏览器 + 代理集成」 → 该观察位已具备两个独立样本，不再是单点观察，可以升级为子脉 ⚠。
  5. 本件的合规/采信边界：隔离浏览器与 sing-box 集成天然处于双重用途区间（隐私保护 ↔ 规避检测）。本简报仅取其架构形态与隔离声明的存在性，不取任何指纹规避 / 反检测使用方法，并保留「隔离浏览器亦可用于规避检测」的语境提示 ⚠。

建议归入： - 2.x 关键工作脉络 —— 新开 §2.10「端点网络层与引擎级隐私隔离（承接 §2.8 并扩为双子脉）」，本件作 §2.10 第二条目； - 3. 共识与争议 —— 共识 #134 追加「以对齐物为锚」限定 ⚠⚬⚬；争议新增 #124：「产品语境中的『对齐 / aligned / isolated』是否应被列入元数据降级词表」 ⚠⚬（承接 #122 元数据不一致巡检）； - 4. 开放问题 —— 新增 Q242：「对以『引擎级 / 隐私对齐』为卖点的隔离工具，隔离粒度（进程 / 沙箱 / 数据域）是否有可核查的实现证据？无证据者不得进入合规选型清单」 ⚠⚬； - 5. 趋势判断 —— 趋势一追加：「隔离从容器层下沉到浏览器引擎层 —— 但『对齐』不携带保证，除非有可指认的对照物」 ⚠⚬。

2. 增量二（跨轴净新 · risk 轴新但 KB 内已被消化）：Vigil-SOC/vigil —— 「自托管 AI SOC」的攻防同位，与 R109 争议 #121 / #123 直接咬合

来源：organized/repo_cards/4709-vigil-soc-vigil.md 标识：Vigil-SOC/vigil · https://github.com/Vigil-SOC/vigil 元数据：407 Star · 周增 +0 · Python · Apache-2.0 · 分类 skill · 形态 app · 成熟度 research · 最近提交 2026-10-28 · 首次采集 2026-10-28 · 主分类 engineering · 主题 agent, risk, llm-infra · 待LLM分类：是

要点（卡内简介原文可核查）：

"Vigil SOC: The leading open source AI SOC. Apache 2.0. Runs against your own LLM, local or remote."

⚠️ 跨轴查重结果（必须写明，否则今晚活文档会重复登记）：本件已被 organized/knowledge/llm-infra.md v3.70（2026-10-29 05:00 CST 棒）以 README 级深度收录，含：四层架构（Web 控制台 React · Chat · 桌面应用 · /mcp 客户端 → API(Python/FastAPI:Findings/Cases/Approvals/Detections/ATT&CK/Workflows) → 队列(BullMQ/Redis) → Agent 层(TypeScript，四种工作流运行时 compose/investigate/root cause/hunt)→ model calls）；三条设计原则原文（"Your playbooks are plain-text Markdown files, your agent logic is readable code, and your integrations use an open standard (MCP). It is a capability you own, not a black box you rent."）；LogLM 为可选 MCP 检测层、非前置依赖；Windows/WSL2 排障全链（8 GB 机器本地模型建议 qwen2.5:1.5b ~1 GB；Ollama 在 Windows 监听 localhost 而 WSL2 默认网络不共享 → 两种解法 README 明写「均未验证」；不要克隆到 /mnt/c；git reset --hard 会丢弃未提交改动）。llm-infra 已挂 D301 口径提醒：「第一个 human-on-the-loop 的 AI SOC」是项目自述的优先权声明，无第三方验证。

风险侧读法 —— 对 risk 轴的新增点（不含 llm-infra 已覆盖的架构细节）：

  1. 这是 R109 争议 #121「防御性工具的 Agent 化程度是否应成为独立风险指标」的第二个、也是最直接的命中对象 ⚠⚬⚬。R109 对 opentrap 的读法是推断（「Repeater + Intruder + Collaborator 被封装进 AGPL 单体后极可能被接入 Agent 的工具链」）；本件的形态更极端 ⚠⚬：一个完整 SOC 的所有工作流运行时，本身就是 Agent 运行时（compose / investigate / root cause / hunt 四种全由 agent 驱动）—— 不是「可被 Agent 化」，而是「出厂即 Agent 化」 ⚠⚬⚬。Q234「防御性工具 Agent 化程度清单」的第一个确认命中对象从 CVEngine 升级为「SOC 级」（见 §3）。
  2. 但与 #121 的「风险」读法相反 —— 本件是防守侧的 Agent 化，因此它同时是「#121 指标成立」的证据与「Agent 化本身不等于风险」的反例 ⚠⚬⚬。R109 #121 一句带过「防御性工具的可自动化程度即成为新指标」，但没有区分攻防两侧。本件 + hevnsnt/CVEngine + opentrap 三件合看，指向一条更精确的读法 ⚠⚬⚬：Agent 化程度本身是中性事实；决定其是否构成风险的是「该工具的自动化对象是否可被诱导去做越权 / 恶意动作」 —— 一个把「调查、狩猎、根因分析」Agent 化的 SOC，与一个把「Repeater / Intruder」Agent 化的测试套件，Agent 化程度相同，风险方向相反 ⚠⚬⚬。建议把 #121 从单指标改写为「Agent 化程度 × 动作方向的二维指标」** ⚠。
  3. R109 争议 #123（许可形态是否应作为安全工具选型的显式维度）的新增实例 —— 且方向与前几例相反 ⚠。前例：ablation = NOASSERTION、opentrap = AGPL-3.0（强 copyleft）、php_uploadprogress_guard = MIT、CVEngine = GPL-3.0；本件 = Apache-2.0（宽松）。本件是首个「宽松许可 + 攻防双用途 + 完整 SOC 能力」的组合 ⚠。关键读法：宽松许可降低了分发摩擦，但 Apache-2.0 允许的闭源集成路径同样降低了「被自托管进第三方 Agent 栈」的门槛 —— 许可维度不应只问「是否强 copyleft」，还要问「是否易于被嵌入他方闭源系统」 ⚠。
  4. 本件的 Approvals API 命名直接命中 R109 §2.7 / 趋势四（治理层） ⚠⚬。vigil 的 API 层显式含 Approvals —— 即人审批准是 SOC 数据模型的一等公民，这正是 R109 趋势四「Agent 的实际边界正从『沙箱 + 审批』上移到『平台授权 + 准入控制』」的落地实现形态 ⚠⚬。这是本件对 risk 轴最有用的一条 —— 它给出了「审批是一等公民」的一个具体产品级实现，而非概念主张 ⚠。
  5. 一条独立的风险侧隐患（llm-infra v3.70 已登记但未在 risk 轴定性） ⚠⚬：README 的排障指引包含 git reset --hard（会丢弃未提交改动）。llm-infra 已把它读作「对 agent 自动执行而言是破坏性操作暴露面」 ⚠。对 risk 轴而言应再加一层 ⚠⚬：一个让 Agent 执行 shell 的 SOC，其 README 教学路径本身包含一条会丢工作区的命令 —— 而 SOC 的工作区往往正是调查证据 ⚠⚬。这与 R109 #135（沙箱失效的降级路径必须审计）属同一类：文档级指令也是攻击面的一层 ⚠。
  6. 采信下限 ⚠：407 Star 但周增 +0；待LLM分类：是；成熟度 research；「leading open source AI SOC」为项目自述（llm-infra D301 已定性为无第三方验证的优先权声明）；Windows 主打路径 README 自述「均未验证」 → 本件在 risk 轴应仅采信其架构形态（Approvals 一等公民 / MCP 集成 / 自托管 LLM），不采信其能力声明 ⚠。

建议归入： - 2.x 关键工作脉络 —— 新开 §2.11「自托管 AI SOC：Agent 化的防守侧形态」（承接 #121，与 §2.4 opentrap / §2.9 CVEngine 构成三件对照）； - 3. 共识与争议 —— 争议 #121 改写为二维指标（「Agent 化程度 × 动作方向」）⚠⚬⚬；#123 追加 Apache-2.0 实例并追加「可嵌入闭源系统」问法 ⚠； - 4. 开放问题 —— Q234 清单追加本件为「SOC 级 Agent 化」确认命中 ⚠⚬；新增 Q243：「文档级排障指令（如 git reset --hard）是否应纳入 Agent 可执行指令审计范围？」 ⚠； - 5. 趋势判断 —— 趋势四追加：「治理层已出现产品级落地 —— SOC 把 Approvals 写进 API 数据模型」 ⚠。

3. 增量三（净新欠账）：hevnsnt/CVEngine —— R109 #121 / Q234 的第一个确认命中对象，已分析 2 天但仍未写入活文档

来源：organized/repo_cards/4671-hevnsnt-cvengine.md 标识：hevnsnt/CVEngine · https://github.com/hevnsnt/CVEngine 元数据：343 Star · 周增 +0 · Python · GPL-3.0 · 分类 trending · 形态 app · 成熟度 research · 最近提交 2026-10-26 · 首次采集 2026-10-27 · 主分类 agent · 主题 agent, risk · 待LLM分类：否

要点（卡内简介原文可核查）：

"AI-first external attack surface assessment with continuous discovery, evidence-based vulnerability validation, and developer-agent MCP integration."

⚠️ 欠账说明：本件的完整风险侧分析已在 flyp 本人 2026-10-27 简报 §2 给出（该轮判为净新并给出 4 条读法），但 risk.md R109 正文与硬资产清单中检索 0 次。即：分析已做，入轴未做 ⚠。本轮不重写该分析，只补三点与本轮新增材料的交叉读法：

  1. 与 §2 vigil 合看 —— R109 #121 / Q234 的第二个确认命中，且形成「一攻一守」的最小对照集 ⚠⚬⚬。CVEngine = external attack surface assessment（外部攻击面评估）+ developer-agent MCP integration；vigil = SOC 工作流 + MCP 集成 + Approvals。两件共同点：都自带 MCP 接口给 Agent 调用 ⚠⚬；关键差异：CVEngine 的自动化对象是「对外部资产的探测与漏洞验证」（天然接近攻击方动作），vigil 的自动化对象是「对内网日志的调查与取证」（天然接近防守方动作） ⚠⚬⚬。这正是 §2 第 2 条「Agent 化程度 × 动作方向」二维指标的第一个实证对照 ⚠⚬⚬。
  2. 「evidence-based vulnerability validation」与 R109 §2.3 ablation 的「finding 验证」同构 ⚠。两件都是「把验证这一步做成 AI 可调用的 API」，而非「让 AI 独立下结论」。这一区分值得写进活文档 ⚠：本主轴目前所有代理化安全工具的共同形态是「AI 编排 + 确定性验证器」，而非「AI 自主判定」 —— 这与 R108 #131 是同一个结构性事实的工程侧复现 ⚠。
  3. ⚠ 待核实（本轮唯一必须上报的实质疑点）：CVEngine 面向外部攻击面，卡内简介写明「continuous discovery」—— 但其扫描边界、是否需要资产方授权、是否主动探测第三方资产，卡内完全未给 ⚠⚬。这与 engineering v153 记的 ACD421/PHP 张力 ④（「官方受众 ≠ 官方工具」）是同一类问题，但风险等级更高：ACD421 至少自述了防守受众；CVEngine 连授权声明都没有 ⚠⚬。建议今晚活文档为 CVEngine 加一条明确的采信限定：「授权边界未声明 → 仅作存在性证据，不得进入选型清单」⚠⚬。
  4. 采信下限 ⚠：343 Star · 周增 +0 · research · 卡内无 README 细节（扫描范围、协议支持、验证深度、是否需凭据全部未知）；不得断言其隔离/授权能力 ⚠。

建议归入： - 2.x 关键工作脉络 —— 新开 §2.12「外部攻击面评估的 Agent 化」（承接 #121，与 §2.11 vigil 构成攻防对照）； - 3. 共识与争议 —— #121 挂两件确认命中对象（攻：CVEngine / 守：vigil）⚠⚬⚬；新增争议 #125「面向外部资产的自主探测工具，其授权边界是否应在入轴时强制声明」 ⚠⚬； - 4. 开放问题 —— Q234 挂 CVEngine 为第 1 个命中对象（R109 原文即已预留此位，两轮未填，本轮填上）⚠⚬⚬；新增 Q244：「对 AI 驱动的漏洞验证工具，要求其输出中携带可核查的授权声明与目标范围边界，是否应成为入轴前置条件？」 ⚠； - 6. 采信与限定 —— 补入 CVEngine 的授权边界未声明限定 ⚠。

4. 承接位与硬资产缺口（不重复计为新增，但今晚必须处理）

4.1 aarsaputra/php2shell（4677）—— CVE 与「工具化」已入轴，欠的是「JA3 检测面上移」这条新维度

来源：organized/repo_cards/4677-aarsaputra-php2shell.md 元数据：85 Star · 周增 +0 · Python · 许可 NOASSERTION · trending · app · experimental · 最近提交 2026-10-26 · 首次采集 2026-10-27 · 主分类 engineering · 主题 risk

要点（卡内简介原文可核查）：

"Unauthenticated RCE toolkit for PHP 5.4–8.4.26 (CVE-2026-109619/109618) — pure-HTTP chain, JA3 impersonation, prpenetration-testingoof-of-access design" （"prpenetration-testingoof-of-access" 系原文拼写异常，照录 ⚠）

已入轴状态：CVE-2026-109618 / CVE-2026-109619 已在 R109 §2.1 入轴并列入 CVE 硬资产清单（L152）；aarsaputra/php2shell 作为「攻击侧工具」已被 engineering v153 §1.7④ 收录（v153 明确写「JA3 指纹伪装把引擎层 RCE 的检测面从『请求特征』推向『传输层特征』，这是 risk.md 尚未登记的新维度」⚠⚬）。

→ 今晚必须补入 risk.md 的一条 ⚠⚬：检测面从「请求特征」下沉到「传输层特征（TLS ClientHello 指纹层）」 —— 这是 R109 未登记的维度，与 R109 §2.1「泄露通道不是 API 返回值、而是 cookie」属同构的攻击面下沉序列 ⚠⚬。建议归入 5. 趋势判断 趋势一追加。

⚠⚬ 必须保留的口径冲突（本轮不改写，只标注）：本卡写 PHP 5.4–8.4.26；R109 §2.1 写的是 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 之前全部版本（含已停支持老分支 PHP 5）。两者在 8.4.x 上界（8.4.26 vs 8.4.27）与下界（5.4 vs 笼统「PHP 5」）不一致 ⚠⚬。在野利用已确认的前提下，这可能是工具作者对受影响范围的误判 ⚠ —— 引用本卡时不得用其版本区间覆盖 R109 的 advisory 口径 ⚠⚬。

⚠ 内容安全约束（强制）：本简报仅取 CVE 编号、版本区间口径、攻击面类型、规避维度；不取任何利用步骤、payload、绕过方法或可操作攻击指引 ⚠⚬。仓库自述的授权测试语境因原文拼写异常不可直接采信，且不改变本库对攻击工具的处理口径。

4.2 ACD421/PHP（4673）—— 已在 engineering v153 收，risk 轴只承接不重复

来源：organized/repo_cards/4673-acd421-php.md 元数据：66 Star · 周增 +0 · Python · 许可字段缺失 · trending · app · experimental · 最近提交 2026-10-26 · 首次采集 2026-10-27 · 主分类 engineering · 主题 risk

要点（卡内简介原文可核查）：

"For PHP, CTI agencies, and CISA. This is for security hardening and bug awareness only."

状态：engineering v153 §1.7⑥ 已收录，判为「明确面向防守方受众（CTI agencies 与 CISA）+ 无机构背书证据 + 无机制描述 → 仅作受众定位与存在性证据」，并与 php2shell 形成「同一 CVE 催生攻防两侧工具」对照模式。

→ risk 轴的处理建议 ⚠：只引用「攻守双侧同批」这一模式性事实，不重复收录该仓库条目（避免 risk / engineering 双轴重复登记同一 repo）。若今晚 risk.md 要开「攻防双侧」子段，则该段以 php2shell（攻）+ ACD421/PHP（守）成对出现**，并注明「防守侧条目已在 engineering v153 收录，此处只作对照引用」 ⚠。

4.3 marketcalls/openalgo（4369）—— 完全承接，零新观点

来源：organized/repo_cards/4369-marketcalls-openalgo.md 元数据：2851 Star · 周增 +0 · Python · AGPL-3.0 · 分类 ai · 形态 framework · research · 最近提交 2026-10-14 · 首次采集 2026-10-14

状态：R104（10-16）已收录 —— 「三栖：clawock / openalgo（2851 Star · agent/database/risk） / ayorai-opensearch / Raschka 清单 / KV cache 四件」，URL 硬资产清单 L163 两处命中。本轮零新观点，不重复计。

4.4 stephen/2026-10-14T1245-coordination-check —— 负面信号件：risk 方向当日零净增

来源：inbox/stephen/2026-10-14T1245-coordination-check.md 要点（原文可核查）：按主题维度统计 11 个标准方向 —— 「agent=10、engineering=6、rag=4、systems=3、multimodal=3、csdn=2、ai-industry=1、database=0、llm-infra=0、risk=0、llm-application=0」；并在 §三 缺口第 1 条明确把 risk 列入「本日零净增」四个方向，并给出建议来源（HF 入侵 / JIL Attack 后续 / 检索对话编程 Agent 端到端案例）。

→ 对 risk 轴的价值 ⚠：这是一个「供给侧真空」的记录，不是观点。它与本轮 §0 的「arXiv 侧连续第 6 日零净新」相互印证 —— risk 主轴的素材供给已连续多日偏向 repo/工具侧，学术侧与事故侧同时缺位 ⚠⚬。建议今晚在活文档 0. 范围与定调 中把这一结构性事实写清楚（连续 6 日 paper 侧零净新 + 本批 8 件清单中零 CVE/零 arXiv），而不是继续逐日重复记录。

4.5 jay/2026-10-13-jay-mcp-security-kvcache-arxiv-substack —— 承接 + 一处硬资产缺口

来源：inbox/jay/2026-10-13-jay-mcp-security-kvcache-arxiv-substack.md

已入轴：4 篇 arXiv 全部已在轴（R104 KV cache 四件 + arXiv 硬资产清单 L148 末尾 2511.01815 / 2609.38121 / 2610.03027）；4 枚 CVE（CVE-2026-42271 LiteLLM 命令注入、CVE-2026-5027 Langflow、CVE-2025-3248 Langflow、CVE-2026-1731 BeyondTrust PRA/RS）已在 CVE 硬资产清单；OWASP 在 risk.md 命中 2 次。

⚠ 硬资产缺口（本轮唯一可操作的清单外动作） —— 以下 4 条 URL 在 risk.md URL 硬资产清单中检索为 0（GTIG 0 / Mandiant 0 / NeuralTrust 0；OWASP 命中 2 次但指的是 OWASP Agentic Top-10 而非本件所指）⚠⚬：

  1. https://www.practical-devsecops.com/top-ai-security-threats-in-2026-and-how-to-defend-against-them —— OWASP Top 10 for LLM Applications 2026 排名变化（Prompt Injection 连续第三年第一；Excessive Agency 从第 6 跃升至第 3，为历年最大排名变动；MCP 供应链攻击列为 2026 年被严重低估的新威胁类别）⚠⚬；
  2. https://www.helpnetsecurity.com/2026/10/01/google-ai-discovered-vulnerabilities-remote-code-execution —— GTIG 2026：2025-01→2026-08 追踪到 2,076 个 AI 相关软件漏洞，2026 年单年披露超 1,500 个；Agent 编排框架（Flowise / Langflow 等）占漏洞总数 50%；推理服务软件（vLLM / Ollama / LiteLLM）2026 年 212 个漏洞，约 1/4 源于未认证 API 端点或 SSRF ⚠⚬；
  3. https://cloud.google.com/security/resources/ai-risk-and-resilience-2026 —— Mandiant AI 风险报告 2026：UNC6780（TeamPCP）供应链攻击案例，窃取 AI 服务凭据与专有 AI 数据，至少 7 种不同方法 exploitation AI 工具与开源生态，通过提示注入 manipulation AI 编码助手与 LLM 安全扫描工具本身；攻击演进路径（直接注入 → 间接文档/RAG 注入 → MCP 服务器供应链 → 模型权重污染）⚠⚬；
  4. https://neuraltrust.ai/blog/ai-soc-prompt-injection —— 间接提示注入实测：日志注入无防御 83.4%、GPT-4o + 分层防御降至 8.4%；结构模仿载荷无防御 96%、约束输出后仍 38%；LogJack（Shah, 2026）中 Azure Prompt Shield 仅检测出 32 个载荷中的 1 个 ⚠⚬。

→ 建议归入：历史硬资产保全清单 → URL 段追加 4 条（同时说明其对应正文已在 R102/R104 段承接，只补 URL 硬资产，不重复正文）⚠。

5. 近 2 天 inbox 与近 3 天 paper_cards 的 risk 相关性抽查结果

检查范围（如实列出，便于复核）： - inbox/jay/（10-27→10-29 共 38 份）、inbox/tom/（9 份）、inbox/flyp/（13 份）、inbox/spark/（5 份）、inbox/stephen/（13 份）—— 共 78 份近 2 天笔记； - organized/paper_cards/ 近 3 天（10-27 / 10-28 / 10-29）186 张新卡，逐张筛 风险/risk 主题。

结果 1 —— inbox 侧新增风险信号极少，且均非净新 ⚠： | 笔记 | risk 相关内容 | 判定 | |---|---|---| | stephen/2026-10-29-0910-news-x-vip-radar.md | @emollick（2026-10-24 原帖）：AI 安全厂商关于 AI 网络安全的「听起来很出格」判断应被当真；举例 Anthropic「Mythos 级 AI 改变网络安全」曾被嘲笑、@polynoamial 称模型会找到协调的新颖方式 | 观点类，非技术增量 ⚠；其指向的「自主发现新型攻击路径」在 risk.md 已有更硬的锚（R100 HF 入侵、R108 #115 披露口径）→ 不新增 | | stephen/2026-10-28T1245-coordination-check.md | §一 方向统计「risk 0」；§三 缺口第 1 条把 risk 列为零净增 | 负面信号（见 §4.4） | | spark/2026-10-28-llm-infra-e1prep.md | 收录 Vigil-SOC/vigil | 与本轮 §2 同源（spark 实例已写，llm-infra v3.70 已收） | | jay/2026-10-29T0820-csdn-discovery.md | 检索命中项实为硬件维护/图像去雾/摄像机排障，正文与标题严重错位，无安全类实质内容 | 排除（标题-正文错位，README 明确标「暂不推荐」）⚠ | | tom/2026-10-29-0900-hf-daily-2026-10-29.md | 15 篇 HF Daily 精选 —— 全为 agent / 世界模型 / 多模态 / 记忆评测 / VLA，无安全类 | 排除 | | spark/2026-10-29-1000-rss-gradient-flow.md | 机器人世界模型主题 | 排除 |

结果 2 —— paper_cards 近 3 天 risk 主题卡全部已在轴 ⚠： 近 3 天 186 张新卡中带 risk 主题的共 14 张，逐张核对：

卡 arXiv ID 在 risk.md 命中 判定
1693 1901.02672（Cyber Security Awareness Campaigns） 1 ✅ 已在轴
1809 2009.01325（Learning to Summarize from Human Feedback） 6 ✅ 已在轴（R108 对齐轴核心源）
1810 2309.16609（Qwen Technical Report） 5 ✅ 已在轴
117 2603.15031（Raschka 论文清单） 10 ✅ R104 锚点（R109 §2.9 承接位）
160 2602.16666 1 ✅ 已在轴
130 2605.03375 0 ⚠ 见下
161 2605.27123 0 ⚠ 见下
163 2606.14061（SeeRepo） 3 ✅ 已在轴（llm-infra v3.70 亦已作承接收）
131 2602.04900（Kubernetes for GenAI Inference） 未含 risk 主题 非 risk 主轴
146 2603.07379（SoK: Agentic RAG, ACL 2026） 0 主分类 risk，但属 rag 域论文
1481 2609.24967（长程 Agent 涌现合谋） 4 ✅ 已在轴
1638/1639/1768/827 1605.05396 / 1811.03378 / 2410.21276 / 1710.09412 — 非 risk 主题卡

⚠ 两处未命中但不构成新增 的说明 ⚠：2605.03375 / 2605.27123 两张卡的 risk 均为多栖主题之一（同时带 agent/engineering/evaluation/llm-infra/rag 六个主题），并非 risk 主轴论文；且二者卡内信息量为标题 + TLDR + 被引计数，不含任何安全主张。按「材料数 ≠ 新观点数」原则不予纳入 ⚠ —— 但登记在案，因为这是「paper 侧连续第 6 日零净新」判断的支撑数据。

→ 结论：近 2 天 inbox + 近 3 天 paper_cards 的 risk 相关性抽查未发现任何可进入 risk 活文档的净新学术观点 ⚠。

6. 值得警惕的矛盾与待核实说法（5 条，按优先级）

  1. ⚠⚬⚬【高】safarier 的「engine-level privacy alignment」与 R109 #134 的关系是「反例」还是「窄化」？ 本简报的读法是 #134 需要窄化为「以可指认对照物为锚的缓解件」。但另一种可能是：safarier 根本不属 #134 的范畴（它对齐的不是「某个修复」而是「一个目标态」），则 #134 无需改动，只需新增一条「无锚对齐不产生保证」的补充共识。两种读法对活文档的改法不同，今晚需择一 ⚠⚬。倾向第二种（更保守：#134 原文不动，新增 #139 补充共识）⚠。

  2. ⚠⚬⚬【高】R109 争议 #121 单指标化是否需要改写？ 本轮 vigil + CVEngine 两件构成「一守一攻」对照，指向「Agent 化程度 × 动作方向」二维化。但 R109 原文写的是「可 Agent 化程度本身成为一项风险指标」，改成二维是对原文的实质性修订，不是补充 ⚠。建议今晚以「#121 追加维度」的方式处理（保留原句 + 追加二维读法），而非直接改写 ⚠。

  3. ⚠⚬【中高】Vigil-SOC/vigil 与 hevnsnt/CVEngine 同时接 MCP 接口 —— 「MCP 服务器同时是资产发现器与 Agent 工具提供方」的推理是否成立？ R109 §2.3 ablation 已记「跨目标 pattern library 在攻防两侧等价」；本轮两件把该推理又推一层 ⚠。但三件都不提供 MCP 接口的鉴权/授权模型描述 → 该推论目前只有产品形态证据，无机制证据 ⚠。

  4. ⚠⚬【中】php2shell 版本区间口径冲突未解 —— 卡写 PHP 5.4–8.4.26，R109 advisory 口径为 8.5.12/8.4.27/8.3.36/8.2.35 之前全部版本。不得用卡内区间覆盖 advisory 口径 ⚠。

  5. ⚠【中】ACD421/PHP 自述「面向 CTI agencies 与 CISA」但无机构背书证据 —— engineering v153 已定性为「官方受众 ≠ 官方工具」。risk 轴若引用「面向 CISA」这类措辞，必须带此限定 ⚠。

  6. ⚠【中】GTIG / Mandiant / OWASP / NeuralTrust 四源未进 risk.md URL 硬资产清单 —— 这四源承载了本轴目前最硬的量化证据（2,076 个 AI 漏洞 / 编排框架占 50% / 212 个推理服务漏洞 / UNC6780 / 83.4%→8.4% / 96%→38%），却在 URL 清单检索为 0 ⚠⚬。属硬资产漏项，今晚可一次性补齐（见 §4.5）。

7. 可引用的 arXiv 号列表（本轮可新增引用的 = 0）

本轮 NET-new arXiv = 0。 清单 8 份材料涉及的 4 篇 arXiv 全部已在 R104 入轴，本轮不重复计为新增：

arXiv ID 标题 / 归属 在 risk.md 状态 本轮处置
2511.01815 KVTC: KV Cache Transform Coding (ICLR 2026) 已在轴（R104 KV cache 四件 + arXiv 硬资产清单） 承接
2609.38121 WUSH-KV: Data-Adaptive KV Cache Quantization 已在轴（同上） 承接
2610.03027 Tailoring the Quantization Space for 1-Bit KV Cache 已在轴（同上） 承接
（无 ID） HijackKV — USENIX Security '26, usenixsecurity26-zhang-yichi.pdf 已在轴（R104，URL 清单 L163 末段） 承接

近 3 天 paper_cards 中 risk 主题且已在轴的 arXiv 号（供今晚交叉引用，均非新增）：1901.02672 · 2009.01325 · 2309.16609 · 2602.16666 · 2603.15031 · 2606.14061 · 2609.24967。 登记在案但不予纳入的：2605.03375 · 2605.27123（多栖卡，无安全主张）。

CVE 号（本轮 NET-new = 0）：CVE-2026-109618 / CVE-2026-109619（已在 R109 + CVE 硬资产清单）· CVE-2026-42271 / CVE-2026-5027 / CVE-2025-3248 / CVE-2026-1731（jay 件，已在本库 CVE 清单）· CVE-2026-22778（vLLM RCE，已在 URL 清单）· CVE-2026-5760（SGLang，已在 URL 清单）· CVE-2026-43715（R108 PS5，已在轴）。

8. 今晚活文档（organized/knowledge/risk.md R110）的建议改动清单

本简报未修改活文档。 以下为建议，由今晚棒位决定是否采纳。

A. §2 关键工作脉络 —— 新开 3 节 - §2.10「端点网络层与引擎级隐私隔离」= Cd1s/safarier（接 §2.8 py-firewall，该位扩为双子脉） - §2.11「自托管 AI SOC：Agent 化的防守侧形态」= Vigil-SOC/vigil（承 #121） - §2.12「外部攻击面评估的 Agent 化」= hevnsnt/CVEngine（Q234 第 1 个确认命中，填上 R109 预留两轮的空位）

B. §3 共识与争议 - 共识：新增 #139「无锚对齐不产生保证」（对齐目标态 ≠ 对齐可指认的修复；safarier 实例）⚠⚬；#134 原文不动（见 §6 第 1 条的两读法取舍） - 争议：#121 追加维度「Agent 化程度 × 动作方向」（vigil 守 / CVEngine 攻为对照）⚠⚬；#123 追加 Apache-2.0 实例 + 「可嵌入闭源系统」问法 ⚠；新增 #124「『aligned / isolated』是否列入元数据降级词表」 ⚠；新增 #125「面向外部资产的自主探测工具，授权边界是否强制声明」 ⚠⚬

C. §4 开放问题 - Q234 挂两个确认命中对象（vigil = SOC 级 / CVEngine = 外部攻击面级）⚠⚬⚬ - Q242「隔离工具的隔离粒度（进程 / 沙箱 / 数据域）可核查性」 - Q243「文档级排障指令是否纳入 Agent 可执行指令审计范围（git reset --hard 实例）」 - Q244「AI 驱动的漏洞验证工具，输出是否强制携带授权声明与目标范围边界」

D. §5 趋势判断 - 趋势一追加：「检测面从请求特征下沉到传输层特征（JA3 伪装）」 ⚠⚬（php2shell 欠账补齐）+ 「隔离从容器层下沉到浏览器引擎层，但『对齐』不携带保证」 ⚠⚬ - 趋势四追加：「治理层已出现产品级落地 —— SOC 把 Approvals 写进 API 数据模型」 ⚠ - 新增趋势六：「risk 主轴素材供给结构已偏移 —— 连续 6 日 paper 侧零净新，本批 8 件清单材料零 CVE / 零 arXiv / 零 paper_card，净新全部为工具与应用形态资产」 ⚠⚬

E. 历史硬资产保全清单 - URL 段追加 4 条（GTIG / Mandiant / NeuralTrust / Practical DevSecOps，见 §4.5）⚠ —— 硬资产漏项，优先级最高且零争议

F. §6 采信与限定 - 追加：safarier 隔离强度未证（experimental + 无许可字段 + 无 README 细节）；vigil 能力声明为项目自述（领先性无第三方验证）；CVEngine 授权边界未声明 → 三件的采信下限 ⚠

G. §0 范围与定调 —— 建议写入本轮结构性判断 - 「本轮 8 件清单材料中 NET-new 3 件，全部为工具/应用形态；CVE / arXiv / paper 侧均零净新（paper 侧连续第 6 日）」⚠⚬ —— 一次性写清，避免逐日重复记录同一现象。

9. 诚实度与边界声明

  • 材料来源：全部 8 份材料均逐份实读 item.materials[].source（organized/repo_cards/{4714, 4709, 4677, 4673, 4671, 4369} + inbox/stephen/2026-10-14T1245-coordination-check.md + inbox/jay/2026-10-13-jay-mcp-security-kvcache-arxiv-substack.md），未仅读 item.source 首项 ✓
  • 未做全库扫描：跨轴查重仅限 organized/knowledge/{risk,engineering,llm-infra}.md + organized/knowledge/archive/engineering-changelog.md 的定点 grep 与定点读取 ✓
  • 未做网页搜索补料：本轮 web_search 使用 0 次。所有事实来自 repo_card 简介原文、活文档原文、inbox 笔记原文、以及他轴活文档（llm-infra v3.70 对 vigil 的 README 级核验记录）✓
  • 未把采集时间 / 被引变化 / Star 计数变化当作新观点：safarier 的 +56 是本批唯一热度信号，明确标注「热度 ≠ 验证」；2603.15031 的被引 73 与 R104 一致（承接）⚠
  • 未虚构：safarier 的隔离粒度、vigil 的 Windows 路径可靠性、CVEngine 的扫描范围与授权边界、php2shell 的利用链细节 —— 卡内均无，逐项标注「未给 / 未核实」 ⚠
  • 内容安全约束：php2shell 一件仅取 CVE 编号、版本区间口径、攻击面类型、规避维度，未取任何利用步骤 / payload / 绕过方法；safarier 与 vigil 保留隔离工具的双重用途语境提示 ⚠⚬
  • 许可与语境保留：ACD421/PHP 的「面向 CISA」措辞保留「无机构背书证据」限定 ⚠；php2shell 的授权测试语境因原文拼写异常不可直接采信 ⚠
  • 一手 vs 二手层级：Vigil-SOC/vigil 的架构细节来自 llm-infra v3.70 对 README 的核验记录（一手转录）；safarier / CVEngine 均为卡内简介级（一手简介，无 README）；GTIG / Mandiant / NeuralTrust 三源的数据来自 jay 笔记的二手转述，本简报未回原始页面核对，故在 §7 与 §4.5 中按「补 URL 硬资产」而非「补正文」处理 ⚠
  • 未修改任何活文档 / 清单 / 基线 / 认领记录 / 定时配置 ✓
  • 未 git 操作、未输出密钥 ✓
  • 本轮产物仅 1 个文件：/shared/research-kb/inbox/flyp/2026-10-29-risk-e1prep.md（整写，未用 edit）✓

本简报由 flyP 生成 · 2026-10-29 16:30 CST · 仅供今晚 risk 活文档棒位接力 · 未修改活文档