本週重點
CyberQ 觀察，本週 GitHub 熱門專案的主線，從代理能不能做事轉向代理能不能自己接著做。DeepSeek 釋出的超級代理原型以 19,526 顆星登上本週榜首，主張把人類注意力的消耗壓到最低，社群端則同時出現事件驅動的自動中控台，以及刻意不做任何上下文裁切的極簡執行殼層，兩者從相反方向回答同一個問題，也就是長時間無人值守的代理該如何保持可控。
另一條主線是防守工具的工程化，包含騰訊攻防賽奪冠的自主滲透框架、Android 應用隱私稽核工具、向 970 家資料仲介商發出刪除請求的本機程式，以及為 AI 推論產生零知識證明的研究原型，分別從攻擊面盤點、資料流向與模型可驗證性切入。遊戲卡帶觸發主機端代碼執行的案例，則把攻擊面的討論延伸到消費電子裝置。
CyberQ 彙整了本週值得關注的十個重點專案如下。
把人類注意力降到最低的自主代理原型 deepseek-ai/dsh-superagent-prototype
專案連結 https://github.com/deepseek-ai/dsh-superagent-prototype
本週星數成長最猛的專案，目前累積 19,526 顆星與 2,231 個分支，採 MIT 授權，以 TypeScript 撰寫，於 10 月 31 日建立。說明頁開頭即標明這是僅供參考的研究原型，並非 DeepSeek 官方產品。它以 DeepSeek Harness 的 bundle 形式封裝，鎖定單一 GitHub 儲存庫運作。獲授權的人提出需求後，系統會開立一張工作項目，在獨立的代理工作階段與目錄中執行，完成後回到原對話回覆，例如直接開出 PR。另有一個網頁面板集中顯示需要人工處理的事項。作者把設計理念寫成「盡可能少佔用人類注意力，盡可能多產出價值」，這句話也和本週的代理工程很有緣分說。
作者同時明確聲明這不是可上線的軟體，風格與工程實踐可能不一致，導入前需自行檢視調整，文中部分設計屬於未來方向，尚未在原型中實作。對企業而言，值得留意的是這類代理需要儲存庫與通訊軟體的實質權限，權限邊界與稽核軌跡應在導入前先行定義。
以逆向理解軟體再重建的純 Rust 引擎 storytold/craft-anything
專案連結 https://github.com/storytold/craft-anything
累積 15,140 顆星與 2,623 個分支，以 Rust 撰寫，GitHub 標示 Apache-2.0 授權，說明頁則標示 MIT 或 Apache-2.0 雙授權，於 10 月 31 日建立，屬於 ArtCraft 系列工具之一。它的流程分為研究、建置、比對與完成四個階段，先用檢視工具研究目標網站、應用或遊戲的運作方式，再由程式碼開發代理建立新專案，最後與原版比對並修正差異，比對手段包含在三種螢幕寬度下檢查網頁呈現，以及讓遊戲自我測試。
作者宣稱引擎內建約 320 個工具，每個工具同時是 CLI 子命令與 MCP 工具，預設採無塵室作法，不讀取原始程式碼或檔案，深度模式才會動用 Ghidra。建置需要 Rust 1.97 以上，徽章列出 macOS、Windows、Linux、FreeBSD 與 Web。作者標示專案仍處於早期 alpha，並明言不會繞過 DRM、登入機制或反外掛。從資安治理角度看，這類工具把競品分析與相容性重建的門檻大幅降低，組織在評估時應同時檢視自家產品的可觀測介面，以及第三方相依套件在安裝階段執行程式碼所帶來的供應鏈風險。
事件驅動的代理自走中台 KKKKhazix/agent-autoloop
專案連結 https://github.com/KKKKhazix/agent-autoloop
11 月 3 日建立，短短三天累積 3,258 顆星與 602 個分支，以 TypeScript 撰寫，採 MIT 授權。它把命令列代理放到背景自行接案並跟進到底，遇到判斷不了的事才以卡片形式送到飛書、釘釘、企業微信、Slack、Discord 或桌面通知請人裁決，刻意不提供後台介面。規則寫在使用者家目錄下的 rules.json，事件來源、代理、通知通道與交付流水線都以插件形式替換，可接 Claude Code、Codex 與 ACP，也能透過通用命令接上其他命令列工具。
真正值得技術主管在意的，是它的四個核心機制，掛起期間行程直接退出而把等待狀態寫入資料庫以達成零消耗、只追加的事件溯源日誌、把外部文字一律當作資料而不拼接進提示詞的指令資料分離，以及超過八層就只記錄不再派工的跳數熔斷。
作者表示核心約 1,651 行程式碼且零執行期相依，並附上 Apple M5 Pro 上的實測數字，包含冷啟動 88.78 毫秒、一千個同時等待的長輪詢占用 170.49 MB RSS、派工 p99 為 1.82 毫秒。作者也坦承整機斷電未單獨測試，四種 Webhook 模板僅在本機模擬服務上驗證過。其中指令資料分離與跳數熔斷兩項設計，正好對應提示詞注入與代理失控迴圈這兩個常見風險。
刻意不做任何裁切的極簡代理執行殼層 Balanov/uncut
專案連結 https://github.com/Balanov/uncut
11 月 1 日建立，累積 608 顆星與 16 個分支，以 Go 撰寫，採 MIT 授權。作者把它定位成 7 MB 的無損撰碼代理執行殼層，主張不做 TUI、不做遙測、不做靜默的上下文裁切，也不提供插件系統、背景代理與自動重試。每次呼叫模型時整段對話完整送出，不截斷檔案內容或命令輸出，若供應商在輸出上限截斷回應，程式會直接以錯誤結束，並以離開碼 3 標示。工具只有四個，分別是讀檔、寫檔、必須精確匹配一次的字串替換，以及執行命令。它是單一靜態連結的 Go 二進位檔，沒有第三方 Go 相依，支援 OpenAI 相容的 Chat Completions 介面，可接本機伺服器，並以 JSONL 工作階段檔續跑。
作者在安全段落直接寫明這不是沙箱，模型能以作業系統使用者的權限執行 shell 命令，沒有核准彈窗，工作階段檔也可能包含原始碼、命令輸出與機密資訊。這段自我揭露的價值高於多數同類專案的行銷文案，對於打算把代理放進 CI 流程的團隊，權限隔離與工作階段檔的保護應列為必要前置條件。
騰訊攻防賽奪冠的自主滲透測試框架 N1nEmAn/sapper-v2
專案連結 https://github.com/N1nEmAn/sapper-v2
10 月 30 日建立，累積 1,354 顆星與 772 個分支，以 Python 撰寫，採 MIT 授權並另附免責聲明。說明頁標題開頭即寫明僅限授權的安全測試，架構採 AI 指揮官搭配工蜂群集，指揮官讀取戰況後派工，將軍與士兵平行攻擊，另設偵察與通信角色，知識存放在分層的事實意圖圖譜。模型分層配置上，指揮官與將軍使用 GLM-5.3，士兵與偵察使用 DeepSeek V4.1 Flash，指揮官規則寫在一份 426 行的技能檔中，框架本身不綁定特定 AI 或命令列工具。
作者自述成績為第三屆騰訊智能攻防線上預選賽冠軍，在 634 支隊伍中取得 80.18 分，八小時無人值守，並以 10 億 token 擊敗使用 45 億 token 的亞軍，另獲 GeekCon 2026 AI Challenge 一等獎，這些數字均為作者自述。安裝提供零相依的腳本與約 1.2 GB 的預建 Docker 映像，內含 Kali 工具鏈。說明頁另提出名為 taggant 的標記機制構想，用於標示由此框架產生的流量，但尚未實作。
為 AI 推論產生零知識證明的研究原型 anthropics/FlashProve
專案連結 https://github.com/anthropics/FlashProve
10 月 30 日建立，累積 910 顆星與 83 個分支，以 Lean 撰寫，採 Apache-2.0 授權，版本標示 0.16.0。說明頁明確寫出這是不再維護且不接受貢獻的研究產出。它要解決的問題相當具體，也就是模型供應商如何向使用者證明回覆確實由承諾過的那組權重產生。機制分為三步，供應方先發布綁定一組權重的 commitment ID 而權重本身保持機密，接著在 GPU 上為每則回覆產生證明，使用者則以 cp_verify 在一般 CPU 上於數秒內完成驗證，過程不需要取得權重。作者表示系統能在單張 NVIDIA H100 上以完整尺寸執行 Llama 4 Maverick，上下文視窗為 1,024 token，證明端預填吞吐約每秒 110 token，每批處理 24 個請求。
協議的健全性以 Lean 4 完成形式化證明，說明頁給出的健全性誤差上界，也就是作弊者在 q 次雜湊查詢後仍能通過驗證的機率，約為 q 除以 2 的 124 次方再加上 2 的負 101 次方。
不過 CyberQ 觀察，實測路線的硬體門檻差距極大，僅驗證既有證明只需 2 GB 以下記憶體，完整尺寸證明則需要 280 GB 記憶體。對於需要向客戶或監理機關說明模型未被替換的場景，這套作法指出了一條可驗證的技術路徑，惟原型已停止維護，實務導入仍需等待後續研究。
以 adb 盤點 Android 應用資料流向的隱私稽核工具 Verlintas/NOIR
專案連結 https://github.com/Verlintas/NOIR
10 月 31 日建立，累積 2,500 顆星與 230 個分支，以 Kotlin 撰寫，採 MIT 授權。它是跑在電腦上的稽核工具，透過 adb 讀取已連接 Android 裝置的應用清單與權限，並從 APK 的 dex 中抽取網路端點，作者強調裝置端只回傳數 KB 資料。功能涵蓋八個面向，包含盤點同時具備網路權限與敏感權限的應用、依套件名與網域辨識廠商並分類為遙測、廣告、定位或輸入法、把權限翻譯成可取得的資料類型後與上報網域配對、處理 android.uid.system 這類共享 UID 的權限合併、解析二進位 AndroidManifest.xml 找出未受權限保護的匯出元件與明文流量設定，以及用 jadx 反編譯單一 APK 搜尋 Runtime.exec 與 DexClassLoader 等呼叫。處置建議分為可安全自動執行、需人工確認與不建議變動三級，每條動作都產生對應的回滾命令。
作者明確聲明工具不聯網、不上傳資料、不需 root，也不會自動卸載任何東西，並坦言輸出的是靜態證據，無法證明某次具體傳輸確實發生過。支援 macOS、Windows 10 與 11 以及 Debian 與 Ubuntu，iOS 不支援。對企業的行動裝置管理而言，這類工具適合用於採購前的應用風險評估。
向 970 家資料仲介商發出刪除請求的本機工具 brightsongwrath/personal-data-deletor-osint
專案連結 https://github.com/brightsongwrath/personal-data-deletor-osint
11 月 3 日建立，累積 650 顆星與 113 個分支，以 JavaScript 撰寫，採 MIT 授權，產品名為 Unlisted。它代使用者向 970 家資料仲介商寄出刪除請求，名單來源為加州州政府登錄資料與兩份開源清單，適用法源依地區套用 GDPR、英國 GDPR、加州 CCPA 或其他美國州法。信件從使用者自己的信箱分散寄出，每封先經使用者檢視，預設只提供姓名與電子郵件。追蹤面對應 GDPR 的一個月與 CCPA 的 45 天期限，逾期可一鍵催告，每 90 天重新檢查並可產生 PDF 報告。回信解讀功能會說明對方的答覆屬於已移除、要求填表、要求身分證明或拒絕，並標示離開仲介商網站的連結以防範假冒確認信的詐騙。
外洩查詢透過 XposedOrNot 或使用者自備的 Have I Been Pwned 金鑰，作者註明這是唯一會把電子郵件送出的檢查，因此執行前會先詢問。AI 功能可選擇關閉、本機模型或自備金鑰，送往雲端前會把姓名、電話與地址替換為佔位符。作者坦承尚未對真實仲介商、真實 Gmail 帳號或真實 Windows 電腦進行實測，約 160 家仲介商只接受網頁表單，且工具無法強制任何人配合。目前僅提供 Windows 10 與 11 版本。
全程在本機完成的會議字幕與同步口譯 wquguru/cicada
專案連結 https://github.com/wquguru/cicada
11 月 1 日建立，累積 1,494 顆星與 269 個分支，以 Swift 撰寫，採 Apache-2.0 授權，中文名為知了。它為任何會議或直播提供實時字幕、同步口譯與 AI 會議紀要，說明頁標示需要 macOS 26 以上與 Apple 晶片的 Mac，介面支援中英日韓四種語言。語音辨識使用 Apple 的 SpeechAnalyzer 與 SpeechTranscriber 在本機完成，說話人識別採 WeSpeaker ResNet34-LM 模型並以 Core ML 本機執行。
同步口譯功能按住右側 Option 鍵說話，對方會聽到翻譯語音，啟用時會把系統麥克風切到一鍵安裝的 BlackHole 2ch 虛擬驅動。會議紀要可匯出 Markdown、Word 與 SRT，並在掛斷或十分鐘無人發言時自動結束。
隱私設計是本案最值得企業關注的部分，作者表示聲音採集、語言辨識、語音辨識與會議錄音全部在本機完成，離開電腦的只有辨識出的文字以及按住說話鍵時送出的語音，並明言沒有統計、沒有埋點，也沒有自家伺服器。對照多數雲端會議紀要服務把整段錄音上傳的作法，這個架構替高敏感會議留下了可行選項。作者也註明應用目前僅為本機簽章，尚未通過 Apple 公證。
由遊戲卡帶觸發主機端代碼執行的漏洞鏈 Gezine/CivSwitch
專案連結 https://github.com/Gezine/CivSwitch
11 月 1 日建立，累積 614 顆星與 123 個分支，以 JavaScript 撰寫，採 MIT 授權。它是針對 Nintendo Switch 版《文明帝國 7》的 XSS 工具鏈，說明頁指出僅支援實體卡帶的 1.0.0 版本。工具鏈由兩個元件組成，PicoSwitch 是 RP2040 與 RP2350 的 Pico 韌體，透過 USB HID 巨集把聊天室 XSS 酬載鍵入主機，預設酬載是遠端 JS 載入器的啟動程式，另附壓縮腳本把酬載經 terser、deflateRaw 與 base-25 分塊後塞進 img 標籤的 onerror 屬性。installer-creator 則把任意 JavaScript 酬載做成開機持久化安裝程式，寫入存檔觸發檔。
實際流程需先把主機系統語言改為美式英文，進入遊戲的多人連線大廳聊天室後插入 Pico，韌體會鍵入約 87 行內容耗時約 15 分鐘，之後遠端載入器在 TCP 9026 埠啟動，由電腦端送入後續酬載，安裝過程會清空單人存檔目錄。
這條攻擊鏈的技術價值在於它完整示範了遊戲內聊天室這類低度防護的文字輸入欄位，如何被串成持久化程式碼執行路徑。對企業而言，員工自用的娛樂裝置若接入辦公網路，同樣應納入網段隔離的範圍。
本週趨勢觀察
CyberQ 綜觀本週的十個專案，第一個明顯趨勢是代理執行殼層的分裂。dsh-superagent-prototype 與 agent-autoloop 把重心放在無人值守下的自行接案與跟進，Balanov/uncut 則走向極簡與完全透明，刻意移除自動重試與上下文壓縮。兩條路線的共同點在於它們都開始把失控風險寫進設計，agent-autoloop 的指令資料分離與跳數熔斷、uncut 直接宣告自己不是沙箱，都說明代理工程的討論焦點已經從功能覆蓋移向可控性與可稽核性。
對導入單位來說，評估代理工具時應優先檢視權限邊界、事件日誌與中止機制這三項，支援幾種模型反而是次要指標。
第二個跡象是隱私稽核從概念走向可執行的工具。NOIR 以 adb 盤點 Android 應用的權限與上報端點並產生可回滾的處置命令，Unlisted 把向 970 家資料仲介商發出刪除請求的流程自動化並追蹤法定期限，Cicada 則把會議語音處理全程留在本機。
三者分別處理裝置端、資料仲介端與雲端服務端的個資暴露，合起來正好對應個資治理最常被忽略的三個環節。值得注意的是，這幾個專案都把不聯網、不上傳、不需帳號寫在說明頁最前面，顯示開源社群已經把資料留在本機當成預設競爭優勢。
第三個可以探討的，是 AI 攻防兩端同時出現工程化成果。sapper-v2 把自主滲透測試框架與競賽成績一併公開，FlashProve 則嘗試為模型推論提供可在一般 CPU 上數秒完成的零知識驗證。攻擊自動化的門檻正在下降，而模型行為的可驗證性才剛起步，兩者的成熟速度並不同步。至於 CivSwitch 所示範的卡帶觸發代碼執行，則把攻擊面的討論延伸到辦公環境之外的消費電子裝置。組織在盤點資產時，若仍把遊戲主機、電視盒與智慧家電排除在外，這類低度防護的輸入路徑就會成為網段隔離的缺口。
我們下一期週五再見囉。
