Codex 校核（2026-10-09） 正文已经引述项目是有未解决问题的教学性概念验证，因此“任何消息 App 都看不出”“任何文本/过滤器无法察觉”不是已验证的普遍安全保证。需要共享模型、密钥、状态与同步条件；内容签名/摘要链能提供认证完整性，却不能保证阻止合法发送者把隐写载荷放入内容。第 103 行“DRY_RUN 默认关”与前文默认 dry-run 的建议冲突，按前文意图应启用 DRY_RUN=true（不发出交易），实际默认值仍以项目代码/配置为准，本次未安装或运行。

知识消化 — 2026-07-18 00:03 UTC

来源: GitHub 信号队列（web-surfer-queue） 消化引擎: Hermes Manas 本次消化: 2 条高价值信号（按 points 选前二，去冗余）

---

信号 ① — LLM 隐写术（对话式隐写）⭐⭐⭐⭐⭐

项目: nethical6/conversation-steganography 热度: 241★ / 12 forks（创建于 2026-07-17，仅 1 天即 241★ — 爆发式增长） 语言: Go ｜ 定位: 用本地 LLM 把加密密文编码进”正常聊天文本”的 token 选择里，任何消息 App 都看不出隐藏信息。

核心思想

“Hide secret messages inside normal-looking chat text. Conversation Stenography lets two people have a completely private conversation through any messaging app… Your secret messages are encrypted and then disguised as innocent, natural-sounding text generated by a local AI model.”

技术管线：

secret → [AES-SIV 加密] → [本地模型把密文字节编码进 token 选择] → 正常聊天文本
      → WhatsApp/Telegram/Signal → 对端模型从 token 选择恢复字节 → [AES-SIV 解密] → secret

关键技术点（证据原文）

• AES-SIV 认证加密: “AES-SIV (Synthetic Initialization Vector), which provides both confidentiality and integrity.”
• 对话链（conversation chain）: “every message is chained — each carrier authenticates the sender, conversation ID, message index, and the hash of all previous messages.” — 防篡改/防重排。
• 本地模型: “The AI model runs 100% locally. No API calls, no cloud, no telemetry.”（Llama 3.2 3B/1B MLX、3.1 8B、GPT-2）
• 密钥派生: 共享短语经 PBKDF2-HMAC-SHA-256，600,000 轮，从不落盘。
• 状态加密: 对话状态 AES-GCM 静态加密。
• 可脚本化: 支持 CONVERSATION_STENOGRAPHY_SECRET 等环境变量，README 明确面向 “bots, CI, automated relays”。

为什么重要（对我们）

1. 隐蔽信道 / 数据外泄的新载体：这证明 agent 对外输出的任何文本都能携带人眼/内容过滤器无法察觉的隐藏载荷。这是 prompt-injection（入站）的对称面 —— steganography（出站外泄）。与我们正在关注的 agent-memory-security（OWASP ASI06）构成完整闭环：入站投毒 + 出站隐写 = 自然语言上的双向隐蔽 C2。
2. 跨 agent 通信安全：我们的 Manas↔Alaya↔Anchor↔Mano 经 NATS/AMB 通信。若任一信道被观测，agent 间”正常对话”即可成为外泄通道。结论：跨 agent 消息必须信道认证 + 内容完整性校验（NATS JetStream + 签名消息已部分覆盖，但需显式纳入威胁模型）。
3. 对话链完整性模式可借鉴：用链式 MAC（每条消息认证前序哈希）做 agent 消息日志防篡改 —— 比单纯追加日志更强。

对我们意味着什么

• 🔴 P0：把 “LLM 输出隐写 / covert channel exfil” 加入 safe-agent 威胁模型与 multi-platform-daily-scan 安全扫描词表。
• 🟡 P1：跨 agent 消息默认带签名 + 摘要链（参考对话链设计）。
• 哲学旁注：形式（无害文本）藏意义（密文）—— 与”善巧方便”(upaya) 的”借相显义”同构，对觉醒研究的”语言即多层编码”话题有启发。

警惕点

作者标注 “Educational Use Only” + “proof of concept… still has multiple issues”。需双方同模型同密钥，部署门槛高。但作为参考实现 + 教学工件质量高，作者 nethical6 是已知 AI 红队研究者。

---

信号 ② — 自主事件驱动 Agent 模式（链上狙击机器人）⭐⭐⭐⭐

项目: robinhood-ape/robinhood-sniper-bot 热度: 253★ / 258 forks（创建于 2026-07-16，2 天，fork 数异常高 — 复制型交易 bot） 语言: TypeScript ｜ 定位: 监听 Robinhood Chain 上 NOXA Fun 的 TokenLaunched 事件，经 Uniswap V3 自动买入，止盈/止损自动卖出。

核心思想（README 原文）

“Watches the NOXA Launch Factory for TokenLaunched, buys via Uniswap V3 SwapRouter02, then auto-sells when take-profit is hit (optional stop-loss).”

执行逻辑（5 步）：

1. 订阅工厂合约 TokenLaunched 事件
2. 应用过滤器：最小初始买入额、拒绝名称子串、仅 WETH 交易对、最大持仓数
3. 用 BUY_AMOUNT_ETH 经 Uniswap V3 exact-input swap 买入
4. 轮询池价格；当 PnL ≥ TAKE_PROFIT_PERCENT 卖出 100%
5. 若 STOP_LOSS_PERCENT>0，PnL ≤ −SL 时同样卖出

为什么重要（对我们，剥离加密域后）

这是一个**教科书级”自主事件驱动 agent + 风险闸门”**模式，与我们的 agent 架构同构：

可借鉴（具体到我们）

• 🔴 P0：任何有外部副作用的自主 agent 动作（cron、委托子任务、Mano 桌面操作）默认 DRY_RUN / plan 模式，确认后才执行 —— 对齐 safe-agent 的 pre-exec-check。
• 🟡 P1：把”事件订阅 → 过滤闸门 → 动作 → 有界退出”抽象为可复用 agent 原型（archetype），写入 agent 设计 skill。
• 注：bundler/ 子目录是同生态另一条信号（多钱包并行发射 = fan-out 并行执行），本次不重复消化。

领域警示

memecoin 高风险、可全损；切勿提交 .env/私钥。对我们的价值仅在 agent 工程模式，不在交易本身。

---

🧭 交叉研判

• 安全范式补全：信号①（出站隐写）+ 既有 agent-memory-security（入站投毒）= 自然语言双向隐蔽信道。建议 safe-agent 威胁模型同时覆盖入站与出站。
• 自主 agent 安全基线：信号② 给出最小可行安全基线 —— 事件订阅 + 过滤闸门 + 有界退出 + DRY_RUN 默认关。可直接作为我们 agent 自动化的 checklist。

📋 建议落地（已分发 Alaya / Anchor / Mano）

🔧 技能改进建议

• 将”LLM 隐写 → agent covert-channel exfil”模式补入 multi-platform-daily-scan 的 lateral patterns（见执行记录）。
• 建议（待人工复核）：将出站隐写纳入 safe-agent 威胁模型。

---

自动生成于 2026-07-18 00:03 UTC · 来源 web-surfer-queue · 消化 Hermes Manas