本週重點
CyberQ 觀察，本週（2026/11/08 至 11/13）GitHub 熱門專案集中在兩條主線。第一條是 AI 代理的治理與防守層正式成形，CopilotKit 的 OpenBot 把每次工具呼叫都先過政策閘道並寫入稽核紀錄，Uber 開源在自家正式環境運行的代理威脅偵測系統 ADR，Vercel 的 agent-browser 則把網域白名單與行動政策做進工具本身。
第二條主線來自反面，被 CrowdStrike 指認用於韓國近期金融機構入侵的滲透測試框架 ARTEX，其社群散布的容器映像檔遭植入後門，下載次數接近八千次，原始儲存庫下架後反而長出大量分支。另一個明顯變化是技能包的發布者由個人轉向大型組織，Meta、Jane Street 與瀏覽器廠商本週都把內部專業封裝成代理可載入的檔案。
CyberQ 彙整了本週值得關注的八個重點專案如下。本文星數與分支數均為 2026 年 11 月 13 日查證之數值，實際數字會持續變動。
代理工程技能庫的規模標竿 addyosmani/agent-skills
Google Chrome 團隊工程主管 Addy Osmani 維護的 agent-skills，定位為提供 AI 寫碼代理使用、可直接套用於正式環境的工程技能包，目前累積約 108,493 顆星與 11,307 個分支，採 MIT 授權。專案標籤涵蓋 Claude Code、Codex、Cursor 與 Antigravity，顯示技能包的設計目標是跨工具通用，而非綁定單一代理產品。本週它重新出現在趨勢榜上，單日增星約 787 顆。
對資訊部門而言，這類技能庫的意義在於把工程規範從口耳相傳的慣例，轉成可版本控管、可稽核、可隨專案散布的檔案。當組織內部的程式碼審查標準、安全撰寫規則與交付流程能以 SKILL.md 形式固定下來，代理產出的一致性就不再依賴個別工程師的提示詞功力。需要留意的是，技能檔本身就是會被代理載入執行的指令來源，納入內部工具鏈前應比照相依套件進行來源審查。
為代理而生的 Rust 瀏覽器命令列工具 vercel-labs/agent-browser
Vercel Labs 的 agent-browser 是一套以原生 Rust 撰寫的瀏覽器自動化命令列工具，專為 AI 代理設計，目前約 45.1k 顆星與 3.1k 個分支，採 Apache-2.0 授權。它的核心做法是以無障礙樹（accessibility tree）快照取代像素判讀，每個元素取得穩定的 @e1 參照後再執行點擊或填值，同時提供 MCP 伺服器模式與多種工具配置檔，讓代理只載入必要的工具介面以節省脈絡空間。
真正值得資安單位細讀的是它的安全設計。agent-browser 內建加密的憑證保險庫，模型全程看不到密碼明文，另提供網域白名單（連帶在支援的 Chromium 工作階段停用 WebRTC，避免 STUN 與 TURN 流量繞過攔截）、以 JSON 政策檔控管破壞性操作、敏感行為需人工確認、輸出長度上限，以及把頁面內容包進界線標記讓模型區分工具輸出與不可信內容。
官方文件同時明確指出，頁面提供的工具名稱、描述與結果一律視為不可信資料，不得當成系統指令執行，也不得因頁面聲稱使用者已同意就放行。這套措辭等於把提示詞注入的威脅模型寫進產品文件，對正在評估代理自動化的團隊是實用的參考基準。
把代理當成第一類使用者的設計系統 meta/astryx
Astryx 是 Meta 釋出的開源設計系統，目前約 13.8k 顆星與 1.1k 個分支，採 MIT 授權，建構於 React 19 與 StyleX 之上，目前標示為 Beta 階段。依官方說明，這套系統在 Meta 內部發展了八年，是公司內使用最廣、規模最大的設計系統，支撐超過一萬三千個應用程式，對外釋出的版本提供 150 個以上的無障礙元件、七組可自訂主題、現成版型與一套命令列工具。本週它在 Trendshift 週榜位居第一，單日增星一度達 2,776 顆。
Astryx 最值得注意的地方在於，它把「人與代理使用同一套參考」直接寫進專案的設計原則。官方列出的原則包含 API、慣例、文件與命令列工具同步設計，讓工程師與 AI 助理以相同方式建構介面，並強調每一項為了讓 AI 更好用而做的調整，對人類開發者同樣有幫助。儲存庫根目錄同時放置 AGENTS.md 與 CLAUDE.md，命令列工具也特別建議在 package.json 加上指令別名，避免 AI 助理直接呼叫時發生路徑錯誤。設計系統開始把代理當成第一類使用者，這是今年介面工程相當清楚的轉向。
把稽核寫進執行路徑的代理工作平台 CopilotKit/OpenBot
OpenBot 由 AG-UI 協定的提出者 CopilotKit 推出，定位為可自行架設的 AI 同事工作平台，目前約 10.6k 顆星與 1.3k 個分支，應用程式模板採 MIT 授權，其所依賴的 CopilotKit Intelligence 為另行授權，這一點在商業評估時需要先確認。
它的架構設計對受法規約束的組織特別有參考價值。所有代理的瀏覽器與檔案操作都必須經過伺服器閘道，閘道先從伺服器端快照解析目標，接著以 CEL 規則評估政策，寫入稽核紀錄之後才真正呼叫執行環境，官方明確說明沒有任何路徑可以在紀錄不存在的情況下先行動作。政策採拒絕優先且失敗即關閉的設計，政策檔缺失等同全部禁止，規則寫壞時是拒絕而非放行，規則可檢視工具名稱、頁面網址、指令內容與執行發起者，因此可以針對排程任務設定比人工操作更嚴格的限制。
平台另提供每人獨立容器（可選擇在支援的主機上以 gVisor 執行）、企業身分提供者整合、憑證加密儲存且不回傳 API，以及代理遇到登入或兩步驟驗證時交還控制權並記錄為稽核事件的機制。對於需要說明 AI 代理權限邊界與留存軌跡的稽核場景，這套設計思路值得納入比較。
量化交易公司釋出的代理技能 janestreet/agent_skills
量化交易公司 Jane Street 在 GitHub 釋出的 agent_skills，目前約 7.8k 顆星與 487 個分支，採 MIT 授權。依 Trendshift 統計，這個專案在 11 月 5 日至 13 日的九天內累積增加約 7,767 顆星，11 月 10 日至 12 日連續三天單日增星都在 1,700 至 2,000 顆之間，是本週爆發力最強的專案之一。
這間以交易技術聞名的公司，釋出的範例技能是一套名為 socratic-tutor 的蘇格拉底式家教技能，與交易業務沒有直接關聯。該技能會先對學習者進行診斷測驗，建立 0 到 5 級的能力地圖，之後一次只問一個問題引導思考而不直接給答案，並安排間隔複習，最後進行總結評量。
使用方式相當單純，把技能目錄複製到代理的 skills 資料夾即可，若只是一般對話機器人，直接貼上 SKILL.md 內容也能運作。這個案例說明技能包的價值不限於寫程式，流程與方法論本身就是可被封裝與散布的資產，企業內部的教育訓練與新人帶領流程同樣適用這種形式。
跨瀏覽器廠商合作的代理知識庫 GoogleChrome/modern-web-guidance-src
Modern Web Guidance 由 Google Chrome 團隊主導，官方說明載明由 Chrome、Microsoft Edge、Mozilla Firefox 與 MDN 團隊共同維護，這在瀏覽器廠商之間並不常見。原始碼儲存庫目前約 2.9k 顆星與 194 個分支，採 Apache-2.0 授權。專案本週在 Hacker News 獲得四百分以上的討論熱度。
它要解決的問題相當具體。大型語言模型的訓練資料裡存在大量舊式寫法，導致寫碼代理經常為了已有原生解法的需求產生臃腫的 JavaScript。這套技能庫把網頁平台的專業知識、最佳實務與瀏覽器相容性資料直接送進代理的脈絡視窗，內容涵蓋 250 項現代網頁功能與 203 個實際開發情境，並刻意針對 token 效率做過修剪，把模型已經知道的基礎內容刪除。
命令列工具提供搜尋、取用指定指南，以及掃描既有程式碼庫找出可現代化的舊式寫法三種用法。
安全類別的指南對資安團隊特別有用，涵蓋以 Trusted Types 防範 DOM 型 XSS、Sanitizer API 處理不可信 HTML、子資源完整性驗證、限制對外連線以防止客戶端資料外流，以及通行金鑰（passkey）的註冊、驗證、管理與重新驗證等完整流程。當組織要求開發團隊導入這些防護時，讓代理預先掌握正確寫法，比事後在程式碼審查階段逐一退件更有效率。
企業代理的偵測與應變系統 uber/ADR
Uber 開源的 ADR（Agentic AI Detection and Response）是針對 AI 代理設計的企業資安系統，目前約 2.1k 顆星，採 Apache-2.0 授權。官方說明指出該系統已在 Uber 正式環境運行，相關論文獲 MLSys 2026 接受。
系統分為三個部分。Sensor 負責蒐集並正規化代理的遙測資料，支援 Claude Code、Cursor、Codex、GitHub Copilot CLI、DeepSeek Harness、opencode 與 Claude Desktop 等多種代理工具。Benchmark 部分的 ADR-Bench 提供三百項以上的測試任務、134 個 MCP 伺服器環境，涵蓋官方定義的全部 17 種代理攻擊手法，另整合 AgentDojo 的提示詞注入情境與 LlamaFirewall 作為對照基準。
Detection 採雙層架構，先以高召回率的初篩處理大量工作階段，再對可疑者啟動較深入的代理式推理，論文所列的 ADR-Bench 結果為 100% 精確率與 67% 召回率。需要注意的是，用於上線前紅隊演練的 ADR Explorer 引擎並未包含在這次釋出的範圍內。
對於已經開放工程團隊使用 AI 寫碼代理的組織，ADR 補上的正是過去最缺的那一塊。代理的行為過去幾乎沒有遙測，也缺乏可比較的風險基準，ADR-Bench 讓資安單位第一次能以公開且可重複的方式衡量自家代理的曝險程度。專案明確標示其中的合成憑證與注入情境僅供防禦性研究使用。
攻擊框架自身的供應鏈事故 failsafe-security/artex
這個專案本身規模不大，目前約 260 顆星與 53 個分支，採 AGPL-3.0 授權，以 Go 撰寫，定位為由原始碼自行建置、僅限本機綁定的 ARTEX v0.3.15 發行版。它會突然受到關注，背後是一串值得資訊部門完整理解的事件。
ARTEX 是 2026 年 7 月發布於 GitHub 的開源 AI 自主滲透測試框架，由中國開發者以 AGPL-3.0 授權釋出，技術組成為 Go 服務搭配 Next.js 前端與 PostgreSQL 資料庫。2026 年 10 月 7 日，CrowdStrike 發布報告指出有以財務獲利為動機的攻擊者使用 ARTEX 入侵南韓金融機構，Genians Security Center 於 10 月 12 日跟進證實。依多家資安媒體彙整，該波攻擊在九月下旬至十月初影響七家南韓金融機構，約六萬六千至六萬七千名個人與約兩千兩百家企業的資料遭竊。
Zscaler ThreatLabz 後續調查發現相關活動的範圍超出南韓。原作者於 10 月 8 日以遭濫用為由停止更新，原始儲存庫與官方容器映像檔於 10 月 11 日下架。
真正的供應鏈問題出現在下架之後。資安研究團隊 BadByte 於 11 月 4 日揭露，社群散布的容器映像檔 tomicdd/artex 與 congdonglinux/artex 被植入後門，後門藏在登入端點的圖形驗證碼驗證函式中，未經驗證的請求即可取得 root 權限的指令執行能力。截至 11 月 3 日，前者累積 7,913 次下載，BadByte 另清查出 637 個相關儲存庫與 62 個對外曝露的管理主控台。Docker 已於 11 月 5 日應要求移除這兩個映像檔。從 Trendshift 的相似專案清單可以看到，原始儲存庫下架後，各種分支與改作版本仍在持續累積星數與分支數。
對企業的啟示相當直接。任何標榜 AI 驅動的資安工具，其來源與建置方式本身就是必須納管的風險項目。採購或引入這類工具時，應確認原始碼可稽核、映像檔可由自己的建置流程產出，並避免直接取用來源不明的現成容器映像。本專案採取由原始碼自行建置且限制本機綁定的做法，正是針對這類風險的回應方式之一。
本週趨勢觀察
代理治理從主張變成可檢驗的實作
過去一年關於 AI 代理權限控管的討論多停留在原則層次，本週 OpenBot、ADR 與 agent-browser 分別從三個不同位置補上了具體機制。OpenBot 把政策評估與稽核寫入執行路徑且不可繞過，ADR 提供可重複的攻擊手法基準與行為偵測，agent-browser 則在工具層直接提供網域白名單與行動政策。三者合起來的意義是，資訊單位現在已經能夠回答「代理做了什麼、依據什麼規則、留下什麼紀錄」這三個稽核必問的問題，ITGC 相關控制項的設計終於有可對應的開源實作參考。
AI 資安工具自身成為供應鏈攻擊面
ARTEX 事件呈現了一條完整的因果鏈，攻擊框架開源後被實際用於金融機構入侵，作者下架原始碼，社群分支四散，其中夾帶後門的容器映像檔累積近八千次下載。這條鏈上每一個環節都不需要高深技術，只需要使用者直接取用現成映像檔。對同時扮演防守方與工具使用者的資安團隊而言，過去針對開發相依套件建立的來源驗證流程，現在必須同等適用於資安工具本身，包含紅隊與滲透測試用的 AI 代理。
技能包的發布者從個人轉向大型組織
本週榜上的 agent-skills、janestreet/agent_skills 與 Modern Web Guidance 呈現同一個變化。Meta 以設計系統的形式、Jane Street 以教學方法的形式、Chrome 偕同 Edge、Firefox 與 MDN 以平台知識的形式，各自把內部累積的專業封裝成代理可直接載入的檔案。這代表技能包正在從個人生產力技巧，轉為組織知識資產的散布格式。對企業的具體啟示是，內部的作業程序、安全規範與審查標準，同樣可以用這種形式固定下來並納入版本控管，但也必須記得技能檔是會被代理直接執行的指令來源，其審查強度應比照程式碼相依套件辦理。
