AI 日报 2026-11-12

今日热点

今天 GitHub 榜单的主线只有一条：agent 生成的代码，开始被当成需要审计的产物。OpenAI 开源了 codex-security，把”找漏洞—验证—打补丁—定责”做成一条能进 CI 的流水线，单日涨 663 星；CopilotKit 的 OpenBot 给每个 AI 同事配一台”自己的电脑”，动作前判定、动作后留痕，涨 291 星。另一边，The Verge 报道安全公司 Claroc 发现约 3.5 万个用 Grok 的 vibe-coding 功能做出来的应用可被任意人凭链接打开，其中 24 个来自 SpaceXSI 员工，包含”机密入职计划”。生成能力早就过剩，让生成物可追溯、可复核、可归责，才是这两天的真实进展。

GitHub 热门 AI 项目

1. openai/codex-security —— 把安全审计做成可编排的扫描器

12,126 stars · +663 today · TypeScript · npm @openai/codex-security

这是今天最值得读的一个仓库。它不是一个”AI 帮你看看代码有没有洞”的聊天壳，而是三件套：Codex 内的安全 workflow、终端 CLI（cs）、TypeScript SDK，外加一个 GitHub Action。

装上就能跑：

npm install --global @openai/codex-security
cs login
cs scan .                          # 全仓库
cs scan . --path src --path tests  # 指定目录
cs scan . --diff origin/main       # 只看这次改动
cs scan . --mode deep              # 深度扫描
cs scan . --max-time 15            # 给 15 分钟调查预算

--max-time 这个参数暴露了它的真实设计取向：扫描是一次有预算的调查，不是一次全量穷举。深度扫描会重跑标准扫描并对发现去重，而不是另起一套逻辑。

它的输出同样不是一段”看起来很有道理”的散文，而是一份带源码证据和”覆盖边界”（exclusions）的 Markdown 报告——哪些地方没扫、为什么没扫，写清楚。这一点比多找两个漏洞更值钱：安全报告最大的问题是”看起来全覆盖”，而它主动承认盲区。

再往后是修复与流转：验证候选发现、生成补丁、验证修复是否真的生效、按你自己的评级标准（rubric）判严重度、从源码和 Git 历史里推断该由谁负责，最后推到 Linear / Jira / GitHub，或导出 SARIF / JSON / CSV。第三方扫描器的结果也能导入预览。

flowchart TD
    A[cs scan .] --> B{扫描范围}
    B -->|全仓库 / --path / --diff| C[候选发现]
    B -->|--mode deep| C
    C --> D[验证候选<br/>源码证据 + 覆盖边界]
    D --> E{有效?}
    E -->|否| F[写入排除项<br/>报告里说明为何不报]
    E -->|是| G[生成补丁]
    G --> H[验证修复]
    H --> I[按自有 rubric 定严重度]
    I --> J[从 Git 历史推荐 owner]
    J --> K[Linear / Jira / GitHub]
    K --> L[SARIF / JSON / CSV]

对团队的实际意义： 过去”AI 代码审计”的瓶颈是误报——没人愿意处理一份 200 条、其中 190 条是噪音的报告。这个项目把重心从”发现”移到”验证”和”归属”：发现交给模型，验证要证据，归属交给 Git 历史。这三步里，只有第一步是模型能力，后两步是工程。它同时说明了一件事：安全工具要进企业，输出格式比模型智商更关键——SARIF 能进现有流水线，CSV 能进表格，Jira 能进排期，缺一个就落不了地。

环境要求：Node.js 22.13+（22.x）或 24.x / 26.x，Python 3.10+。部分高危安全请求需要 Trusted Access for Cyber 权限。

2. CopilotKit/OpenBot —— 每个 AI 同事一台自己的电脑

11,275 stars · +291 today · TypeScript · MIT 模板

CopilotKit 是 AG-UI 协议的作者，OpenBot 是他们的”AI 同事工作台”：每个 Bot 分到一台独立环境——浏览器、文件、工具，动作前先判定，动作后记录下来。自带桌面端（macOS 签名 dmg、Windows 签名安装包），也可以 Kubernetes 自托管，模型随你换：OpenAI、Claude、Gemini，或任何 OpenAI 兼容端点上的开源模型。

真正有意思的是它的分层：

• 隔离：agent 不直接碰你的桌面，它有自己的浏览器和文件系统。这既防误操作，也让”它到底看到了什么”变得可复现。
• 审批：发消息、提交表单这类不可逆动作，等人工点头才执行。README 的演示视频里，Bot 会停下来等批准。
• 留痕：所有动作有记录，企业版叠加公司登录、角色、工具权限和审计。

架构上它把 AG-UI 当”agent 插座”：Anthropic 的 Claude Agent SDK、Microsoft Agent Framework、Google ADK、AWS Strands、LangChain、Mastra、Pydantic AI、Agno、CrewAI 都能接进来，不同技术栈的 agent 可以共处一个工作区。

为什么值得关注： 大多数”AI 员工”产品把治理写在提示词里——“请不要删除文件”。OpenBot 把它写进运行时：权限在工具层，审批在动作层，审计在记录层。提示词会被越狱，运行时不会。

3. QwenLM/qwen-code —— 终端里的开源编码 agent

29,595 stars · 3,387 forks · +151 today · TypeScript

阿里 Qwen 团队的终端编码 agent，定位和 Claude Code、Codex CLI 正面重合：在 shell 里读写仓库、跑命令、改代码。

它今天的增长不算爆炸，但 3,387 个 fork 很说明问题——这类工具的真实用法不是”装一个用”，而是”fork 一份改成自己团队的”：换模型端点、加内部工具、改审批策略。终端 agent 正在从产品变成模板。

这也解释了为什么今天榜单上同时出现 free-claude-code 这种”多 harness 聚合器”：当 harness 本身不再稀缺，价值就往上移到模型与往下移到集成。

4. ashhart/TensorFold —— 用 Zig 写一个跨 Metal / CUDA / Vulkan 的推理引擎

1,849 stars · 389 forks · +58 today · Zig

LLM 推理引擎，一套代码跑 Metal（Apple）、CUDA（NVIDIA）、Vulkan（几乎其余所有 GPU）。用 Zig 写，编译期做后端分派，没有 C++ 模板地狱，也没有 Python 运行时。

单日 58 星不算热，但方向值得记一笔：推理的瓶颈正在从”算力”变成”可移植性”。 llama.cpp 已经证明了”一套 C/C++ 跑遍所有设备”的价值，TensorFold 想做的是同一件事，但把 Vulkan 摆到一等公民的位置——这意味着 Android、Windows 集显、国产 GPU 都在射程内。

flowchart LR
    M[模型图 / 权重] --> G[Zig 编译期分派]
    G --> CUDA[CUDA 后端]
    G --> METAL[Metal 后端]
    G --> VK[Vulkan 后端]
    CUDA --> R[统一张量运行时]
    METAL --> R
    VK --> R
    R --> O[token 输出]

对普通开发者的意义：端侧推理的竞争，接下来比的不是谁的 kernel 快 5%，而是同一个模型能在多少种设备上以可接受的延迟跑起来。

5. Alishahryar1/free-claude-code —— “13 亿免费 token”的另一面

这个项目声称可以免费使用 Claude Code、Codex、Antigravity、VSCode、Pi、OpenCode 等十来个 harness，并支持浏览器原生会话与语音，自称”ToS friendly”。

技术上它是个多 harness + 多模型的统一入口，体验上确实省事。但”1.3B+ free tokens”这句话本身就值得警惕：免费额度从哪来？如果是官方试用额度轮换、共享账号或逆向接口，那么账号封禁、数据留存、供应链投毒都是现实风险。当一个工具的核心卖点是”绕过计费”，它就不该被放进有生产凭证的环境里。

把它和今天的 codex-security、OpenBot 放在一起看，反差很清楚：一边在给 agent 加锁，一边在给 agent 找后门。两边都会有人用，但只有一边能进企业。

补充：昨天写过的 meta/astryx（26,031 stars，+1,789 today）仍在榜上，”为人和 agent 一起构建”的设计系统这条线还在延续，今天不重复展开。

新工具/产品速览

• Gmail「Help me write」向全部 Workspace 用户开放：Google 宣布未来两周内向 18 岁以上的所有 Workspace 用户推送该功能，同时把 AI Overview 的会话摘要扩展到”提炼要点与回复”。办公场景的 AI 正在从”可选项”变成默认层。
• OpenBot 提供开箱即用的桌面端：macOS（Apple silicon / Intel）与 Windows x64 均为签名安装包，不需要终端和开发环境；企业版另提供 SSO、工具权限、审批与审计。
• codex-security 可直接以 GitHub Action 形式接入 CI：设置 OPENAI_API_KEY 或 CODEX_API_KEY 即可在流水线里跑扫描，支持容器与无头机器。

行业动态

Nvidia 的权力交接传闻。 《纽约时报》报道称 Jensen Huang 存在第二段婚外关系，对象是向他汇报的高管；随后《华尔街日报》报道 Nvidia 董事会”正准备罢免”这位 CEO。Semafor 列出的接任人选包括苹果硬件负责人 Johny Srouji（部分董事更倾向 CFO Colette Kress）。Huang 本人对记者的回应是”我觉得你不该直接跟我谈”，随即挂断。AOC 在 TMZ 的采访里把话题引向”为什么我们的经济依赖五个穿礼服的男人管住自己的裤子”。

这条新闻的分量不在八卦，而在于全球 AI 算力供给的单一决策点风险：一家公司的 CEO 变动，足以让整条 GPU 供应链的交付预期重定价。它也顺带展示了一个新现象——Huang 那些”穿着 Saint Laurent 夹克”的病毒式照片被 Vanity Fair 证实是带 SynthID 标记的 AI 伪造图。高管形象已经进入”需要内容凭证”的时代。

Grok 的 vibe-coding 应用泄露用户数据。 安全公司 Claroc 称发现约 35,000 个用该功能生成的应用可被任何拿到链接的人打开，其中 24 个由 SpaceXSI 员工创建，内容包括广告方案和一份”机密入职计划”。Grok 回应称 Ars Technica 的报道”不准确”，指出问题出在 grok.com 的 app builder 而非 Grok Build，并强调发布前有共享设置提示。

无论归属如何，失败模式是清晰的：默认公开的链接分享 + 没有审查的生成式发布 = 批量数据泄露。这正好解释了为什么今天 codex-security 这类工具会涨——不是大家突然爱安全了，而是事故开始有名字了。

数据中心开始变成选举议题。 中期选举中，”限制数据中心”成为多个选区的共同议题，除一项公投外，选民普遍支持设限；此前推动限制的团体正在准备监督新当选官员兑现承诺。算力扩张的社会成本，正在从”选址纠纷”升级为”政治承诺”。

技术洞见

洞见一：agent 的交付物正在从”代码”变成”证据链”

过去两年，AI 编码工具的竞赛指标是”一次通过率”。今天的榜单给出了另一个指标：你的产出能不能被第三方复核。

codex-security 的报告里带源码证据和覆盖边界，shadcn/improve（昨天的项目）把计划写成 markdown 供别的模型执行，OpenBot 把每个动作记成可回放的记录。三者形式不同，指向一致：

flowchart LR
    A[生成] --> B[自证<br/>证据 / 覆盖范围 / 理由]
    B --> C[他证<br/>另一个模型或人复核]
    C --> D[归属<br/>谁引入、谁修复]
    D --> E[可流转<br/>SARIF / Issue / PR]
    E -.->|下次生成复用| A

这条链缺任何一环，AI 产出就进不了需要问责的组织。企业的采购逻辑其实很朴素：不是”你的模型多聪明”，而是”出错时我能不能定位到哪一步、由谁负责、怎么回滚”。

洞见二：agent 运行时的三件套——隔离、审批、留痕

OpenBot 的架构值得抄作业：每个 agent 一台独立环境（隔离），不可逆动作前要人点头（审批），全部动作有记录（留痕）。这三件事都不是模型能力，而是运行时设计。

对比今天另外两个项目就很清楚：free-claude-code 把”绕过计费”当卖点，等于把凭证风险引进开发机；Grok 的泄露事故则说明，只要”发布”这个动作没有审批和留痕，生成速度越快，事故规模越大。

结论： 2026 年下半年，AI 工具的差异化不在生成质量，而在约束的质量——你的 agent 能做什么、不能做什么、做错了怎么查。谁把这三件事做进架构，谁就能进生产环境；谁只做在提示词里，谁就只能停在 demo。