79 篇文章带有标签 “agent”

LLM/Agent 代码安全扫描 + 自动修复（扫描代码安全、修复）

这些项目用 LLM 驱动 Agent 动态运行/分析代码，找出真实漏洞并生成修复方案（远超传统静态扫描）。

首推：Strix（⭐ 20.6k）

• 链接：https://github.com/usestrix/strix
• 核心功能：自主 AI “黑客” Agent，动态运行你的代码/应用 → 发现 IDOR、注入、XSS、权限绕过、业务逻辑漏洞等 → 自动生成 PoC 验证 → 一键输出可合并的 PR 修复补丁。
• 支持 GitHub repo / 本地目录 / 线上 URL 扫描，多 Agent 协作、浏览器自动化、完整工具链。
• 支持 OpenAI、Claude、Gemini、本地 LLM（LiteLLM）。
• 安装一行命令：curl -sSL https://strix.ai/install | bash
• 非常适合 CI/CD 集成，已有 GitHub Actions 示例。
• 强烈推荐，目前最成熟的“找漏洞+自动修复”方案。

LLM/Agent 模拟渗透测试（自主黑盒/白盒渗透）

这些项目让 LLM Agent 像真实渗透测试员一样：规划 → 执行工具 → 分析结果 → 迭代攻击。

首推：PentestGPT（⭐ 11.8k） 链接：https://github.

OpenClaw 智能体工作区，旨在构建一个具有独立人格、长期记忆和自治能力的 AI。

核心基于 Markdown 文件系统：

• 身份与原则 (BOOTSTRAP, SOUL, IDENTITY)：确立 AI 的自我认知、名字与核心行为守则。
• 持续性 (MEMORY, AGENTS)：通过“每日日志”与“长期记忆”实现跨会话的知识积累，而非每次新鲜唤醒。
• 伙伴与工具 (USER, TOOLS)：记录人类偏好与本地环境配置，实现个性化与外部协作。
• 自主性 (HEARTBEAT)：在无指令时主动执行维护与状态检查。

总体而言，这套架构通过将记忆转化为持久化、可编辑的 Markdown 文件，实现了自主反思与知识沉淀的自治目标。

网关架构 (Gateway Architecture)

概述

• 一个长期的网关 (Gateway) 进程拥有所有消息传输表面（WhatsApp 通过 Baileys，Telegram 通过 grammY，Slack，Discord，Signal，iMessage，WebChat）。
• 控制平面客户端（macOS 应用、CLI、Web UI、自动化脚本）通过 WebSocket 连接到网关，绑定在配置的主机上（默认 127.0.0.1:18789）。
• 节点 (Nodes)（macOS/iOS/Android/无头设备）也通过 WebSocket 连接，但需声明 role: node 并包含明确的能力/命令。
• 每台主机对应一个网关；它是唯一开启 WhatsApp 会话的地方。
• 画布主机 (Canvas host)（默认 18793）用于提供代理可编辑的 HTML 和 A2UI。

组件与流程

网关 (Gateway) (守护进程)

• 维护提供商连接。
• 公开类型化的 WS API（请求、响应、服务器推送事件）。
• 根据 JSON Schema 验证入站数据帧。
• 触发事件，如 agent、chat、presence、health、heartbeat、cron。

客户端 (Client) (Mac 应用 / CLI / Web 管理)

• 每个客户端一条 WS 连接。
• 发送请求 (health、status、send、agent、system-presence)。
• 订阅事件 (tick、agent、presence、shutdown)。

感觉 Kimi K2.5 在国内被低估了，让子弹飞一会儿 🚀🚀🚀

基准测试（Benchmarks）

Agent Swarm 基准测试

为了严格评估智能体集群（Agent Swarm）框架的有效性，选择了三个具有代表性的基准测试，它们共同涵盖了深度推理、大规模检索以及真实世界的复杂性：

• BrowseComp：一项具有挑战性的深度研究基准，需要多步推理和复杂的信息综合。
• WideSearch：旨在评估在不同来源中进行广泛、多步信息寻求和推理能力的基准。
• In-house Swarm Bench：一项内部开发的集群基准，旨在评估智能体集群在真实世界、高复杂度条件下的性能。 它涵盖了四个领域：
  • WildSearch（开放网络上不受约束的真实世界信息检索）；
  • Batch Download（大规模获取多样化资源）；
  • WideRead（涉及 100 多个输入文档的大规模文档理解）；
  • Long-Form Writing（连贯生成超过 10 万字的海量内容）。 该基准整合了极端规模的场景，旨在压力测试基于智能体系统的编排（Orchestration）、可扩展性（Scalability）和协作能力。

主要基准测试

Kimi K2.5 评估涵盖了多个领域的基准测试，下面是按能力维度分类的各基准测试说明：

推理与通用能力 (Reasoning & General) Humanity’s Last Exam

安装 Kimi Code

curl -L code.kimi.com/install.sh | bash

Kimi Code CLI

登录配置

kimi

1. 登录 - /login
2. 选择平台 - Kimi Code
3. 浏览器打开链接，微信扫码完成授权
4. 返回终端，登录成功

OpenClaw 简介

自2025年11月由PSPDFKit创始人Peter Steinberger作为周末项目启动（最初名为Clawd/Clawdbot），OpenClaw（曾短暂更名为Moltbot）在2026年1月迅速走红，成为当年上半年增长最快的开源AI智能体框架之一。该项目GitHub星数已超过13万（部分报道接近15万），其最大亮点在于真正实现了“本地优先、本地执行”的自主任务能力，而非单纯的云端聊天。

OpenClaw不是传统AI聊天助手，而是一个运行在用户本地硬件（Mac、PC、服务器）上的自动化中枢。它通过消息类应用（如WhatsApp、Telegram、iMessage、Discord等）接收自然语言指令，能够执行真实电脑操作：读写文件、运行命令、操作浏览器、管理邮件日历、甚至自主编写新技能。

OpenClaw 项目架构概览

设计哲学 OpenClaw 被设计为一个模块化、可扩展且强健的个人 AI 助手系统。其核心理念包括： 解耦 (Decoupling)：将智能体逻辑与传输层（如 Discord、Telegram 等通道）以及控制平面（Gateway）分离。 可扩展性 (Extensibility)：通过 Hook 和插件系统支持注入上下文或对智能体运行进行后处理。

iFlow 登录

OpenAI 兼容 API

可以手动修改配置文件：~/.iflow/settings.json

{
  "cna": "dp3vIQIkkhcCAXyAlGrAY4my",
  "selectedAuthType": "openai-compatible",
  "searchApiKey": "sk-72c24939a1ac137a28e990cdee4d5d7f",
  "baseUrl": "http://localhost:11434/v1",
  "apiKey": "NONE",
  "modelName": "qwen3-coder:latest",
  "bootAnimationShown": true
}

不能使用工具（todo, write_file 等），不可用。

参考资料

• iFlow CLI

📌 DSL

Dify

1. 克隆代码仓库

git clone https://github.com/langgenius/dify

2. Docker 部署

Dify 提供了 Docker 部署方式，您可以通过以下步骤快速部署：

cd dify
cd docker
cp .env.example .env
docker compose up -d

运行后，可以在浏览器上访问 http://localhost/install 进入 Dify 控制台并开始初始化安装操作。

vLLM

vllm serve /data/models/llm/deepseek/DeepSeek-R1-Distill-Qwen-32B-AWQ/ \
    --served-model-name gpt-4o-mini \
    --tensor-parallel-size 4 \
    --max-model-len 102400 \
    --dtype half \
    --port 8111

Ollama

1. 安装 Ollama 服务。

curl -fsSL https://ollama.com/install.sh | sh

2. 编辑 systemd 服务，调用 systemctl edit ollama.service。这将打开一个编辑器。

sudo systemctl edit ollama.service

对于每个环境变量，在 [Service] 部分下添加一行

本文介绍 Claude Code 的上下文工程。它整合了多种输入来源，包括系统提示、内置工具、MCP工具、自定义子代理、记忆文件和对话历史，以全面理解并完成编程开发任务。还介绍了使用 Claude Code 在您的项目中提供全流程协助，如何编写提示词。

Claude Code 上下文工程

Claude Code 能为您的项目提供全流程协助

📌 计划模式

计划模式是指通过只读操作分析代码库来创建计划，非常适合探索代码库、规划复杂更改或安全地审查代码。

​> Analyze the authentication system and suggest improvements
​> 分析身份验证系统并提出改进建议。

​> I need to refactor our authentication system to use OAuth2. Create a detailed migration plan.
​> 我需要重构我们的身份验证系统以使用 OAuth2。创建一个详细的迁移计划。

  ​> What about backward compatibility?
  ​> 向后兼容性怎么办？

  ​> How should we handle database migration?
  ​> 我们应该如何处理数据库迁移？

探索代码库

该文章详细探讨了如何通过优化vLLM框架来提升Qwen3-4B大型语言模型在Tesla T4 GPU上的推理性能。实验中，我评估了不同配置对关键性能指标的影响，包括首次生成Token时间（TTFT）、端到端延迟（E2EL）和请求吞吐量。结果表明，结合前缀缓存（prefix caching）、分块预填充（chunked prefill）以及调整批处理Token数量（max-num-batched-tokens=8192）能显著改善模型性能。尤其在模拟Agent场景下的自定义数据集测试中，这些优化措施成功将TTFT大幅降低约64%，同时提升了请求和输出Token的吞吐量。最终，文章提供了一套推荐的最佳vLLM部署配置，旨在最大化长上下文模型的推理效率和用户体验。

vLLM 工作流程

1. Prefill

Prefill 阶段是指模型在生成任务开始时，将输入 prompt（提示词）全部送入模型，并填充（prefill）KV Cache（键值缓存）。这个阶段通常只在生成的第一个 token 前进行。

• 主要作用：将所有 prompt token 送入模型，建立好 KV Cache，为后续高效 decode 做准备。
• 在 vLLM 里，prefill 可以独立出来（Disaggregated Prefill），甚至由独立的实例来执行，prefill 完成后把 KV Cache 通过网络/进程传给 decode 节点。
• 示例代码见：examples/offline_inference/disaggregated_prefill.py
• 在 chunked prefill 场景下，长文本的 prefill 会被分块（chunk）处理，并与 decode 请求混合批处理，以充分利用算力。

本文档详细介绍了JoyAgent-JDGenie，一个由京东开发的开源、轻量级通用多智能体产品。它不仅涵盖了系统架构、前后端、框架和核心子智能体，还提供了部署指南，包括如何构建和启动Docker镜像，以及配置大型语言模型（LLM）如DeepSeek和搜索工具如Serper。文档还展示了该智能体在实际应用中的界面示例，并提供了任务规划和执行的详细提示（prompts），阐述了其思考、行动、观察的工作流程，以及如何利用各种工具（如计划工具、代码解释器、报告工具、文件读写工具和深度搜索工具）来解决用户问题或完成复杂任务。

JoyAgent-JDGenie 是业界首个开源高完成度轻量化通用多智能体产品，能端到端直接响应并解决用户 query 或任务，支持新场景功能定制挂载，涵盖前后端、框架、引擎及核心子智能体，在通用能力榜单表现优异且不依赖特定平台。

系统架构

构建镜像

克隆项目

git clone https://github.com/jd-opensource/joyagent-jdgenie.git

配置 LLM

下面的设置是使用 DeepSeek 进行的，只需要把 <您的 API Key> 替换为您的就可以了。注意第二个配置文件有一个是需要搜索时使用的，可以到这里申请：Serper

✨ 我配置 OpenAI API 兼容接口没有成功。

编辑文件：genie-backend/src/mai

主要介绍了软件开发领域正在经历的重大变革，将其分为软件1.0（传统手工编码）、软件2.0（基于神经网络权重训练）和软件3.0（通过自然语言提示编程大型语言模型）。演讲者将大型语言模型（LLMs）比作新型操作系统和基础设施，指出它们既具备公用事业的性质（按量付费、集中式），也展现出类似芯片制造厂和操作系统的特征，且目前仍处于早期阶段（类似于1960年代的计算）。进一步探讨了LLMs的认知特性（如广博知识、幻觉、记忆局限），并强调了开发部分自主应用的重要性，这些应用能让人类通过图形用户界面和自主性滑块有效监督AI。最后，演讲者提出，随着自然语言编程的兴起，人人皆可编程，并呼吁开发者为智能体优化数字基础设施和文档，预示着一个由人类与AI协作构建的 “钢铁侠战衣”式未来。

Software is changing. (again)

Map of GitHub

Map of GitHub 是一个创新的数据可视化项目，旨在以交互式地图的形式展示 GitHub 上的开源项目生态。该项目由开发者 Anvaka 创建，通过复杂的算法和可视化技术，将超过 400,000 个 GitHub 仓库以节点和连接的形式呈现，帮助用户探索项目之间的关联、技术趋势以及开源社区的演变。

Software 2.0

Software 3.0

Part 1: 如何思考 LLM

LLM 具有公用事业的特性

Dify 是一个开源的 LLM 应用开发平台。其直观的界面结合了 AI 工作流、RAG 管道、Agent、模型管理、可观测性功能等，让您可以快速从原型到生产。

安装

克隆代码仓库

git clone https://github.com/langgenius/dify

Docker 部署

Dify 提供了 Docker 部署方式，您可以通过以下步骤快速部署：

cd dify
cd docker
cp .env.example .env
docker compose up -d

运行后，可以在浏览器上访问 http://localhost/install 进入 Dify 控制台并开始初始化安装操作。

自定义配置

如果您需要自定义配置，请参考 .env.example 文件中的注释，并更新 .env 文件中对应的值。此外，您可能需要根据您的具体部署环境和需求对 docker-compose.yaml 文件本身进行调整，例如更改镜像版本、端口映射或卷挂载。完成任何更改后，请重新运行 docker-compose up -d。您可以在此处找到可用环境变量的完整列表。

服务镜像

核心镜像（必需）

Anthropic 构建有效的AI智能体（总结）

🤯 最近看了Anthropic关于如何构建高效AI智能体的文章，简直是醍醐灌顶！💡 原来最成功的秘诀不是堆砌复杂技术，而是简单可组合的模式！

Anthropic的大佬们和超多团队合作后发现，很多时候我们并不需要“全自动”的智能体，理解不同模式的适用场景超重要！

👇 先搞清楚俩概念：

• 工作流 (Workflow): 就像搭积木🧱，是预设好的、一步步执行的LLM和工具协调流程。适合任务清晰固定的场景。
• 智能体 (Agent): 像有个聪明的小脑袋🧠，LLM自己决定怎么走、用什么工具、怎么完成任务。适合需要灵活应变、动态决策的复杂场景。

🌟 什么时候用，什么时候不用？

别一上来就想搞个超级Agent！ Anthropic建议从最简单的方案开始：优化单个LLM调用 + 检索/上下文就够了！只有简单方案搞不定时，才考虑更复杂的系统。简单工作流提供稳定可预测性，而智能体提供灵活性，但要权衡成本和速度哦！

⚠️ 框架迷思！

市面上框架一大堆（LangChain, Bedrock Agents...），能帮你快速入门。但Anthropic提醒：它们可能增加抽象层，让调试变难，还可能诱惑你过度设计！💥 划重点： 建议直接用LLM API开始，很多模式几行代码就能实现！用框架也要搞懂底层原理，别被绕晕！

🧱 AI智能体的构建模块：

LangFuse（模型监控）

LiteLLM（模型管理）

SmolAgents（使用及工作原理）

LangFuse（查看模型的输入和输出）

• A practical guide to building agents

什么是智能体？

传统软件帮助用户简化和自动化工作流程，而智能体则能够以高度独立的方式代表用户执行这些工作流程。

智能体是能够独立代表您完成任务的一种系统。

工作流程是指为了实现用户目标而必须执行的一系列步骤，无论是解决客户服务问题、预订餐厅、提交代码变更，还是生成报告。

那些集成了大语言模型（LLM）但并未用其控制工作流程执行的应用程序（例如简单聊天机器人、单轮对话LLM或情感分类器）不属于智能体。

具体来说，智能体具备以下核心特征，使其能够可靠且一致地代表用户行动：

1. 它利用LLM来管理工作流程的执行并做出决策。它能识别工作流程何时完成，并在需要时主动修正行为。如果执行失败，它可以停止操作并将控制权交还给用户。
2. 它能够调用多种工具与外部系统交互（既用于获取上下文信息，也用于执行操作），并根据工作流程的当前状态动态选择合适工具，同时始终在明确定义的边界内运行。

何时应该构建智能体？

构建智能体需要重新思考系统如何决策和处理复杂性。与传统自动化不同，智能体特别适合那些传统确定性和基于规则的方法无法胜任的工作流程。

以支付欺诈分析为例：传统的规则引擎像一份检查清单，根据预设条件标记交易；而基于大语言模型的智能体则更像经验丰富的调查员，它能评估上下文、捕捉细微模式，即使没有明确违反规则也能识别可疑行为。

A2A

一个开放协议，旨在实现不透明的智能代理应用程序之间的通信和互操作性。

• Agent2Agent 协议 A2A - 入门 - 贡献 - 下一步是什么 - 关于

企业采用人工智能的最大挑战之一是如何让基于不同框架和供应商构建的代理协同工作。这就是我们创建开放的 Agent2Agent (A2A) 协议的原因，这是一种协作方式，旨在帮助不同生态系统中的代理相互通信。Google 正在推动这项行业开放协议倡议，因为我们相信这个协议对于支持多代理通信至关重要，它将为您的代理提供一种通用语言——无论它们构建于哪个框架或供应商之上。借助 A2A，代理可以相互展示它们的功能并协商如何与用户交互（通过文本、表单或双向音频/视频）——所有这些都在安全地协同工作的同时进行。

观看 A2A 的实际应用

观看此演示视频，了解 A2A 如何实现不同代理框架之间的无缝通信。

概念概述

Agent2Agent (A2A) 协议促进了独立 AI 代理之间的通信。以下是核心概念：

• 代理卡片 (Agent Card): 一个公开的元数据文件（通常位于 /.well-known/agent.json），描述了代理的功能、技能、端点 URL 和身份验证要求。客户端使用它进行发现。
  • A2A 服务器 (A2A Server): 一个公开 HTTP 端点并实现 A2A 协议方法（定义在 json 规范 中）的代理。它接收请求并管理任务执行。
  • A2A 客户端 (A2A Client): 一个消费 A2A 服务的应用程序或另一个代理。它向 A2A 服务器的 URL 发送请求（如 tasks/send）。
  • 任务 (Task): 中心的工作单元。客户端通过发送消息（tasks/send 或 tasks/sendSubscribe）来启动任务。任务具有唯一的 ID，并经历以下状态：submitted（已提交）、working（工作中）、input-required（需要输入）、completed（已完成）、failed（失败）、canceled（已取消）。
  • 消息 (Message): 表示客户端（role: "user"）和代理（role: "agent"）之间的通信轮次。消息包含 Parts（部件）。
  • 部件 (Part): Message 或 Artifact（工件）中的基本内容单元。可以是 TextPart（文本部件）、FilePart（文件部件，包含内联字节或 URI）或 DataPart（数据部件，用于结构化 JSON，例如表单）。
  • 工件 (Artifact): 表示代理在任务期间生成的输出（例如，生成的文件、最终的结构化数据）。工件也包含 Parts（部件）。
  • 流式传输 (Streaming): 对于长时间运行的任务，支持 streaming 功能的服务器可以使用 tasks/sendSubscribe。客户端接收服务器发送事件 (SSE)，其中包含 TaskStatusUpdateEvent（任务状态更新事件）或 TaskArtifactUpdateEvent（任务工件更新事件）消息，提供实时的进度。
  • 推送通知 (Push Notifications): 支持 pushNotifications 的服务器可以主动向客户端提供的 webhook URL 发送任务更新，该 URL 通过 tasks/pushNotification/set 配置。

Cline 和模型上下文协议 (MCP) 服务器：增强 AI 能力

快速链接：

• 从 GitHub 构建 MCP 服务器
• 从头开始构建自定义 MCP 服务器

本文档解释了模型上下文协议 (MCP) 服务器的功能以及 Cline 如何帮助构建和使用它们。

概述

MCP 服务器充当大型语言模型 (LLM)（如 Claude）与外部工具或数据源之间的中介。它们是向 LLM 提供功能的小程序，使其能够通过 MCP 与外部世界交互。MCP 服务器本质上就像 LLM 可以使用的 API。

核心概念

MCP 服务器定义了一组"工具"，即 LLM 可以执行的函数。这些工具提供了广泛的功能。

MCP 的工作原理：

• MCP 主机发现连接的服务器的功能并加载它们的工具、提示和资源。
• 资源提供对只读数据的一致访问，类似于文件路径或数据库查询。
• 安全性由服务器隔离凭证和敏感数据来确保。交互需要明确的用户批准。

使用场景

MCP 服务器的潜力非常广阔。它们可以用于多种用途。

以下是 MCP 服务器的一些具体使用示例：

• Web 服务和 API 集成：
  • 监控 GitHub 存储库的新问题
  • 根据特定触发器发布 Twitter 更新
  • 检索基于位置的服务的实时天气数据

• 浏览器自动化：
  • 自动化 Web 应用程序测试
  • 抓取电子商务网站进行价格比较
  • 为网站监控生成截图

• 数据库查询：
  • 生成每周销售报告
  • 分析客户行为模式
  • 为业务指标创建实时仪表板