Codex 校核（2026-10-10） 原论文仓库报告的 96.7% ASR 属 context-parameter attack 的实验设置；摘要说结果“suggest”不可能性，不能写成对所有未来架构、规则与模型的形式化不可能性证明。

Codex 校核（2026-10-10） agents-best-practices是开源工程实践指南，不能直接称为正式跨平台互操作标准；可读同一 Markdown 不等于运行时 API、权限、安全策略和工具接口自动兼容。Stars、增长与“首个”描述不构成独立市场需求或优先权证据。

⚡ 多平台深度情报 — 2026-05-24

扫描窗口: 2026-05-24 | 平台: GitHub + HN + 博客 今日焦点: Agent 技能生态急速扩张，安全/内存/编排三个方向同时爆发——agents-best-practices (1k⭐/9天) 定义了跨平台技能标准，Adrian 定义了运行时安全层，budget-aware-mcp 定义了 token 预算感知的代码记忆

─────────────────────────

🚨 核心发现（3 个深度分析）

1. agents-best-practices — 跨平台 Agent 技能标准正在形成

评分: ⭐⭐⭐⭐⭐ | ⭐ 1,022 | 💬 N/A 来源: GitHub → https://github.com/DenisSergeevitch/agents-best-practices 创建: 2026-05-15（仅 9 天达 1k⭐）

项目定位（一句话）: 一个 provider-agnostic（不绑定任何模型/框架）的 Agent Skill，用于设计、审查、重构和解释 agentic harness（代理运行时），同时对 Claude Code、Codex、和任何兼容 skills 规范的 agent 可用。

证据原文:

“The model proposes actions; the harness validates, authorizes, executes, records, and returns observations.”

“It applies beyond coding agents: research, support, operations, sales, finance, data analysis, procurement, legal workflows, healthcare workflows, education, and workflow automation agents all need the same core runtime discipline.”

“A provider-neutral Agent Skill for designing, generating MVP blueprints for, auditing, refactoring, and explaining agentic harnesses.”

深度分析:

• 这个项目解决什么本质问题？ 市面上每个 agent 框架（LangChain, crewAI, Claude Code, Codex, Hermes）都有自己的技能/插件/工具规范，彼此不兼容。agents-best-practices 从运行时架构层抽象出一个跨平台规范：模型提建议 → harness 做验证、授权、执行、记录、返回。这本质上是对 agent 技能生态的”USB-C 标准化”。
• 为什么现在火？ AI coding agent 已经进入”百花齐放但互不兼容”的阶段。Claude Code 有 skills/，Codex 有自己的技能格式，Hermes 有自己的 skill 系统。社区意识到需要统一规范才能避免碎片化。这个项目踩准了时间点。
• 同类对比：与 Verce labs 的 skills CLI 兼容，但比它更深入——不只是安装技能，而是定义了运行时契约（validate → authorize → execute → record → return）。Hermes Agent 的 skill 系统和 gbrain conformance 规范是最接近的类比。
• 技术亮点：自带 MVP 蓝图生成器、审计模式、重构助手、解释器。README 的”Case 1 - Generate an MVP agent blueprint”展示了具体的工作流——从领域描述到最小的安全 agent harness。

对我们意味着什么:

• 对 Hermes Agent 的直接启发：Hermes 已有的 skill 系统（GBrain conformance）与 agents-best-practices 高度互补。如果 Hermes Agent 能兼容 agents-best-practices 的运行时契约（validate-authorize-execute-record-return cycle），就自动获得了跨平台互操作性。建议调研其 SKILL.md 规范，评估能否在 Hermes skill 系统中增加兼容层。
• 对 gbrain/knowledge brain 的启发：gbrain 的 skillpack 校验思路与此一致。agents-best-practices 的”audit mode”可以直接复用为 gbrain 的 skill 质量审计标准。
• 优先级判断：🟡 P1（本周）
• 行动建议：
  1. 克隆仓库到本地研究：git clone https://github.com/DenisSergeevitch/agents-best-practices
  2. 对比其 SKILL.md 规范与 Hermes skill frontmatter 的差异
  3. 如果兼容，考虑在 Hermes Agent 中添加 agents-best-practices 兼容模式

─────────────────────────

2. AI Agents May Always Fall for Prompt Injections — 安全范式转换的论文

评分: ⭐⭐⭐⭐⭐ | ⭐ 3 (repo 刚公开) | 论文数据集已完整公开 来源: GitHub + 学术论文 → https://github.com/compass-group-tue/prompt_injections_so_back

项目定位（一句话）: 来自 TU Eindhoven 的论文，用 Contextual Integrity（语境完整性） 这一隐私理论重新审视 prompt injection 问题，论证了当前防御范式（数据-指令分离）的根限，并提出 prompt injection defense 可能存在不可能性结果。

证据原文:

“Prompt injection is the most critical vulnerability in deployed AI agents. Despite recent progress, we show that the prevailing defense paradigm (data-instruction separation) both fails to detect attacks that operate through contextual manipulation and degrades contextually appropriate behavior.”

“This reframing suggests an impossibility result: an adversary can always construct a context under which a blocked flow appears legitimate, or a defender who tightens norms will block genuinely legitimate flows.”

实验结果：CI-grounded red-teaming 达到了 96.7% attack success rate (ASR)。

深度分析:

• 这个研究解决什么本质问题？ 当前所有 prompt injection 防御都基于一个假设：我们可以把”数据”和”指令”分开。但这个假设在 agent 场景下不成立——agent 需要自主决定何时以及如何使用来自不同来源的信息。论文用 Contextual Integrity（Nissenbaum 2010 年提出的隐私理论）来建模：每个信息流都有其语境规范，攻击者通过操控这些规范来绕过防御。
• 为什么重要？ 这不是又一篇展示”我们又攻破了一个模型”的论文。它从理论层面论证了：只要 agent 需要根据上下文做决策，在某个上下文中的合法操作就是另一个上下文中的注入攻击。这是一个不可能三角。
• 技术贡献：1) 实证评估了当前防御（PromptGuard、SecAlign）的局限；2) 开发了 CI-ground 的红队方法（96.7% ASR）；3) 提出了 norm grounding（规范基座）作为新方向——但论文也承认 norm inference 在没有足够历史背景下会退化。
• 对 Hermes Agent 的含义：Hermes Agent 当前的安全模型（tool authorization、remit 定义）本质上是基于规则的。这篇论文表明，对于需要自主操作的 agent，规则永远不够。AARM 对齐可能是正确的方向，但也需要认识到 AARM 本身不能解决 CI 层面的对抗攻击。

对我们意味着什么:

• 对 Hermes Agent 的直接启发：1) Hermes Agent 需要 CI-aware 的安全审计，不仅仅是 hook-based 检测；2) Agent 的”remit”定义需要上升到语境层面，不只是工具白名单；3) Adrian（见下文）的运行时安全监控可以作为第一道防线，但需要补充 CI-aware 的第二层。
• 对 gbrain/knowledge brain 的启发：kb 中的信任元数据（trust metadata）可以作为 norm grounding 的基础——知道 agent 知道什么、应该信任什么来源。
• 优先级判断：🔴 P0（立即 — 安全是生产环境的最高优先级）
• 行动建议：
  1. 通读论文全文（repo 中已有完整评估代码和数据集）
  2. 评估 Hermes Agent 当前安全模型在 CI 框架下的盲点
  3. 将 CI-aware 审计纳入 agent 安全路线图

─────────────────────────

3. budget-aware-mcp — Token 预算感知的代码记忆

评分: ⭐⭐⭐⭐ | ⭐ 21 | 💬 N/A 来源: GitHub → https://github.com/Doorman11991/budget-aware-mcp 创建: 2026-05-17

项目定位（一句话）: 一个 model-agnostic 的代码记忆 MCP server，使用树形行走的图搜索（hop-based graph walks with token budgeting），让 agent 说”给我 AuthService 的上下文，最多 8000 tokens”就精确拿到 8000 tokens 的结构相关代码。

证据原文:

“Every other code MCP tool dumps context at you — ‘here’s 50k tokens of everything I found.’ Your agent’s context overflows, it hallucinates, or it wastes money processing irrelevant code.”

“budget-aware-mcp is different: the agent says ‘give me context for AuthService, max 8000 tokens’ and gets exactly 8000 tokens of the most structurally-relevant code, walking outward from the anchor symbol hop by hop until the budget is hit. No waste. No overflow.”

性能数据：Graph walk depth=2 平均 0.07ms，索引 108 文件（41k LOC）仅 529ms。22 个工具覆盖索引、检索、分析影响力、调用路径追踪等。

深度分析:

• 这个项目解决什么本质问题？ Agent 的上下文窗口有限（哪怕是 200K tokens），而 Agent 在大型代码库中工作时，需要精确的、预算可预测的上下文，不是”把所有相关文件倒给你”。它把代码理解从模糊的语义搜索变成了受预算约束的图遍历。
• 技术亮点：1) 基于 CodeGraphContext（155 语言 tree-sitter 索引）；2) 用 BFS 从锚点出发逐跳扩展，每跳遇到预算就停——这是计算上下文量的确定性算法；3) 无需 embedding、无需向量 DB、无需 API key，纯本地运行；4) 自动检测并配置 12 种 agent 工具（Kiro, Claude Code, Cursor, VS Code, Windsurf, Zed, Codex CLI, Gemini CLI, Aider, OpenCode 等）。
• 对 Hermes Agent 的特别意义：Hermes Agent 在 WSL 环境中运行，面对大型代码库时同样面临上下文预算问题。这个项目展示了如何在不引入外部服务的条件下做受预算约束的代码上下文管理。

对我们意味着什么:

• 对 Hermes Agent 的直接启发：1) 可以将 budget-aware-mcp 注册为 Hermes Agent 的 MCP server，让 Hermes 在执行代码任务时精确控制上下文开销；2) token budgeting 的思路可以扩展到 Hermes 的 brain 检索——不只是代码，知识库检索也应该有 token 预算约束；3) 22 个工具中的 check_scope、“分析某个任务在当前代码库中是否可行”、analyze_impact（改某个文件会波及哪些模块）可以直接作为 Hermes skill 的基础。
• 对 gbrain/knowledge brain 的启发：brain 检索也可以引入 token budget 作为显式参数。当前 brain-ops 的检索是没有预算约束的——给出 context_limit 后，是简单截断还是智能选择？这里可以借鉴。
• 优先级判断：🟡 P1（本周）
• 行动建议：
  1. 在 Hermes 环境中试用：npm install -g budget-aware-mcp → budget-aware-mcp install
  2. 接入 Hermes Agent 的 MCP 配置（config.yaml 中注册）
  3. 评估 check_scope 工具能否自动化 Hermes 的代码任务可行性判断

─────────────────────────

📡 生态信号扫描

GitHub 生态新项目（快速一览）

高星但需警惕的项目

社区讨论趋势

技术文献/博客

论文：AI Agents May Always Fall for Prompt Injections

• 作者：Sahar Abdelnabi & Eugene Bagdasarian (TU Eindhoven)
• 核心贡献：用 Contextual Integrity 理论重新定义 prompt injection，论证当前防御范式（数据-指令分离）存在根本局限
• 实验发现：CI-grounded 红队攻击达 96.7% ASR
• 对生产环境的影响：任何依赖规则过滤的 agent 安全方案（包括当前所有主流方案）都可能被 CI 层面的操作绕过
• 完整评估代码和数据已公开：https://github.com/compass-group-tue/prompt_injections_so_back

─────────────────────────

🧭 趋势研判

本周信号强度

关注的变化

• Hermes Agent 生态正在被社区自发补充：本周发现 hermes-ecosystem（导航目录）、hermes-optimization-guide（性能优化指南）、Hermes-Wiki（技术文档）、hermes-knowledge（技能同步）等多个社区项目。虽然目前都 ⭐<5，但表明 Hermes 的周边生态正在形成。BerriAI 的 litellm-agent-platform 正式将 Hermes 列为一等支持（与 Claude Code、Codex 并列），这是重要的第三方认可。

• 安全方面：AARM-aligned 的 Adrian 和 Contextual Integrity 论文的同时出现，暗示 agent 安全正在经历从”规则防御”到”范式防御”的转变。Hermes Agent 如果在这个窗口期建立 CI-aware 的安全层，将获得长期架构优势。

─────────────────────────

📋 执行建议汇总

─────────────────────────

日报自动生成于 2026-05-24 00:00 UTC · 下次扫描 2026-05-25