开源 Repo · Agent 安全
Cloudflare 的审计 skill 连续两天处在 GitHub 高关注区
来源事实：security-audit-skill 把代码安全审计拆成侦察、覆盖驱动搜寻、候选验证、结构化结果与独立复核。GitHub Trending 当日榜单再次列出该仓库；仓库页显示约 45.8k stars、2.8k forks。该技能源自 Cloudflare 所述的漏洞发现 harness。
可比快照：本次 GitHub 榜单观测为 45,718 stars / 2,832 forks；与 10 月 24 日已保存的四舍五入快照 42,900 / 2,700 相比，约增加 2,818 stars、132 forks，间隔约 24 小时。前次基线经过取整，因此增量也应视为近似值。GitHub 当日榜单显示增加 2,264 stars；这代表关注度，不证明团队采用或审计效果。
为什么重要（编辑判断）：安全审查流程开始从一轮提示词转为可重复、留有覆盖记录并能独立推翻候选结果的工作流。后续应看外部安全团队是否报告可复核的采用案例和真实漏洞发现质量。
前后快照可比，约 24 小时增量今日 GitHub Trending：2,264 stars关注 ≠ 采用
产品 / 技术 · 运行时安全
NVIDIA 把 OpenShell 从 Agent 沙箱延伸成企业参考架构
来源事实：NVIDIA 宣布 OpenShell Reference Architecture，把软件运行时、Vera Rubin 推理基础设施、Vera CPU 上的 Agent harness 与 BlueField-4 / Sentry 硬件执行监控组合起来；公告列出多家云、软件和安全厂商参与。OpenShell 仓库称其在内核层限制文件、系统调用和网络访问，并让真实凭证只注入获准请求。本次 GitHub 页面约 19.7k stars / 1.9k forks，是单次观察，未计算仓库增速。HN 讨论约 500 points / 217 comments。
社区讨论的限制：HN 评论既讨论细粒度权限和 Agent 群体权限，也质疑遥测默认开启、容器是否足够，以及策略限制对开发体验的影响。公司关于企业合作、硬件性能和安全效果的说法均属厂商公告，不能视为独立验证。
为什么重要（编辑判断）：产品路线从“给 Agent 写规则”转向在运行时强制执行权限，并考虑多个 Agent 合作时的总权限。真正的检验点是策略是否可审计、能否拦住越权和外传，同时不妨碍正常工具使用。
官方参考架构 + 开源运行时代码HN 500 / 217GitHub：单次快照，无本地基线
研究 · 视觉模型
WeVisOne-VL 把框、点、文字、分割与抠图合并到一个视觉接口
来源事实：腾讯 WeChat Vision 团队发布 WeVisOne-VL，基于 Qwen3-VL，支持开放词汇检测、指代定位、计数、OCR、分割和 alpha matting；论文描述用结构化 token 连接目标级与像素级输出，并加入 9.6M 参数的像素解码器。作者报告在 30 多项 benchmark 上有领先表现，属于论文自报结果，尚需独立复核。Hugging Face 模型卡列出 Apache 2.0 代码许可、Transformers / vLLM 使用方式，并链接两个 Spaces。
关注信号：观测时模型卡显示 32 个 likes、两个关联 Spaces；这是刚发布模型的初期平台互动，不代表稳定下载量或生产采用。
为什么重要（编辑判断）：多模态模型正把“说出图里有什么”推进到可定位、可计数、可输出 mask 的结构化视觉操作。应重点检查不同分辨率、遮挡、细边界和开放词汇场景下的真实表现；模型卡也明确承认边缘抠图对图像分辨率和遮挡敏感。
arXiv 预印本Hugging Face 模型已开放作者基准，待独立复核