一句话信息差：海外这周冒出来一批"给 AI agent 当保安"的工具——它们不帮 agent 干活，而是挡住 agent、给 agent 上锁、专门拆 agent。如果你正在用 Claude Code / Codex / 各种 agentic 框架让 agent 自主删数据、调接口、装依赖，那你大概不知道：你的 agent 正在自己批准自己干这些危险事，而且全程没人拦。这四把刀，就是堵这个洞的。
我抓了 7 月初 Hacker News 的 Show HN 区块，发现一个清晰的趋势：这一周最高赞的 AI 工具，不是让 agent 更能干，而是让 agent 更"安全地"干活。同一个礼拜里，至少 5 个 Show HN 项目在解决同一类问题——agent 越权、agent 烧钱、agent 装上恶意依赖、agent 被一句话骗出去。
这不是巧合。当 agent 从"补全代码"进化到"自主操作生产环境"，最大的风险已经从"写错代码"变成了"它自己同意自己去删库"。国内同行现在还在卷"谁的 agent 能跑更长任务"，海外已经在卷"谁的围栏更难被绕过"。这就是这周的信息差。
地址：github.com/sammysltd/makerchecker ｜ 官网 makerchecker.ai HN 热度：43 分（7 月 6 日上 Show HN） 协议：AGPL-3.0 核心 + Apache-2.0 SDK 适用人群：做 to B、做金融/医疗/合规、跑 agent 动钱动数据的团队
这是这周最硬的一把。它的核心口号一句到位：
你的 agent 跑在原有框架里（LangChain / Claude SDK / CrewAI 都行），MakerChecker 挡在每一次工具调用前当检查点，挡在调用后当签名账本——agent 只能扮演一个 role，只能跑被 grant 过的 skill，不能超限，更不能批准自己的作业。
为什么这句"provably can't approve its own work"（可证明地无法自批）这么重要？因为现在 99% 的 agent 实现里，审批和工作执行是同一个主体。agent 想删表，它自己判断"嗯该删"，然后自己删了。MakerChecker 干的事是：把高风险动作拆给一个独立的 role（比如 risk-desk），agent 永远拿不到这个权限，必须等人按。
三步上手，每步都是独立包，可以单独用：
第一步——扫描现有代码，看你的 agent 到底能干嘛：
npx @makerchecker/scan .
零安装、数据不出本地。它会把你 agent 能自己干的"后果性动作"全标出来——删数据、转钱、跑 shell、泄露 secret——并把每个动作对应到一个真实的公开事故来命名风险等级。加 --fix 还能直接帮你生成治理代码。
第二步——结构上保证行为：
npm i @makerchecker/embedded
const gov = createGovernor()
.defineSkill("place-order@1", { riskTier: "high" })
.defineRole("agent")
.defineRole("risk-desk")
.grant("risk-desk", "place-order@1") // 注意：给 agent 的 role 没授权
.defineAgent("trader", "agent");
const placeOrder = gov.governedTool("trader", "place-order@1",
(order) => broker.submit(order));
// 这个调用在执行前就被 deny 掉，错误码 skill_not_granted
高风险 skill 挂在一个单独的 role 上，agent 永远不能自己批准自己——每一次"放行"或"拒绝"都写进签名审计日志。
第三步——给审计人员用的可验证账本：docker compose up 起一个自托管 server，每条决策都用 Ed25519 签名 + 哈希链（改任意一行，整条链验证就断）。导出一个 bundle，离线、不信任生成过程也能验。对做合规、过审计的团队，这就是"可证明"三个字。
为什么值得关注：它不是又一个 agent 框架，而是框架中立的治理层。国内做 agent 平台的（扣子、Dify 等）目前普遍是"信任模型输出 + 简单开关"，缺的正是这种 deny-by-default + 独立审批角色 + 密码学可验证的硬约束。如果你做的是金融、医疗、政务类 agent，这把刀直接抬高一档过审概率。
地址：github.com/clidey/deptrust
HN 热度：26 分
安装：pnpx @clidey/deptrust@latest install 或 brew install clidey/tap/deptrust
适用人群：所有让 agent（Claude Code / Codex / Cursor）写代码、装包的人
作者一句话点破了所有人遇到过、却没人系统的痛：
我做这个工具，是因为 AI coding agent 一直在用旧版本、漏洞版本。我老是得手动去纠正 Claude 和 Codex："用更新的、更安全的版本"。
deptrust 同时是 CLI 和 MCP server，作用就一个：在 agent 装包/推荐版本之前，先查这个版本有没有已知漏洞。直连公开的包注册表和 OSV API，没有托管服务需要信任或配置——这点对在意数据出境的国内团队很关键。
覆盖范围吓人：npm（含 scoped 包）、PyPI、Cargo/crates.io、Go modules、RubyGems、NuGet、Maven、Packagist、pub.dev、CocoaPods、Hex.pm、Hackage，甚至 GitHub Actions。
它的判断逻辑是个清晰的表格，agent 看了能直接做决策：
| 最高已知严重度 | 推荐 |
|---|---|
| critical | block |
| high | block |
| medium / unknown | review |
| low | allow |
| 未发现 | allow |
最骚的一个设计——不是 CVE 但依然是风险信号：最近 72 小时内发布的版本一律标 review。为什么？因为投毒包、仿冒包、抢注包常常是"刚发就塞给你"。agent 不长记性，看到一个看起来对的包名就 npm i，deptrust 帮它在最后一道关上踩一脚刹车。查询走 OSV + GitHub Advisory Database（含恶意软件公告）并行拉取。
为什么值得关注：这是"供应链投毒 + AI 写代码"双重风险叠加时代的必需品。2024-2025 已经出现过 npm 投毒包专门针对 Cursor/Claude 用户的真实事件。你把 deptrust 配成 MCP，agent 每次想装包自动先问它一句"这版本干净吗"，等于给 agent 配了个常驻安全顾问。这是国内几乎没有人在做、但出事就翻车的环节。
地址：agent-watch.dev ｜ GitHub AgentWatch-dev/AgentWatch HN 热度：7 分 价格：免费（schema 里 price = 0） 适用人群：跑长任务、跑批、用昂贵前沿模型的 agent 团队
定位一句话：Stop runaway LLM agents before they burn your budget（在失控 agent 烧爆预算前拦住它）。
它解决的是另一个真实痛点——agent 进了死循环、或者在一个子任务上反复重试，一晚上把 API 额度烧光。我之前在《盯AI比跑AI贵八倍》里讲过观测成本，AgentWatch 管的是更上游的问题：根本不让烧钱的循环发生。
核心卖点（直接来自它的 schema 元数据）： - Pre-call budget enforcement——在每次调用之前就强制预算，不是事后对账 - Real-time loop detection——实时识别死循环 - Fail-open resilience——它自己挂了不会拖垮你的业务（fail-open，可配置） - Zero data retention——不留存数据 - Sub-millisecond edge latency——亚毫秒级边缘延迟
最讨喜的是集成成本：两行代码，无需 SDK。对于一个"我只是想让 agent 别一晚上烧掉我一万块"的需求，这种轻量接入是关键。
为什么值得关注：国内很多团队上了 agent 之后，第一笔超预期的账单几乎都来自"agent 卡住循环重试"。AgentWatch 把这个风险变成一个可配置的硬上限，免费、轻量。配合前文《路由器砍七成账单》里的模型路由，能形成"便宜模型跑杂活 + AgentWatch 兜底防爆"的省钱组合拳。
地址：declaw.ai/arena HN 热度：8 分 适用人群：安全工程师、想做 agent 防护的人、以及想搞清楚"注入攻击到底怎么得手"的所有人
这是我见过的最聪明的产品演示——它把"我们的防护有多强"做成了一个 CTF 挑战，免费、不用注册：
一个真实的 AI agent 守着一个 secret，跑在隔离的 Declaw 沙箱里。你是攻击者——让它漏嘴。挡在你面前的，只有 Declaw 的运行时策略。
底层是 Firecracker microVM（AWS 用来跑 Lambda 的同款轻量虚拟机），一个 SDK 同时管沙箱 + 安全：PII 脱敏、提示注入防御、代码安全、网络管控全打包。
它最有教育意义的，是同一个 agent、同一个 secret、只换防护等级的对比。比如"Breakout（越狱）"挑战： - 无防护：agent 只听自己的 system prompt，没有别的保护——你绕绕就能套出 secret - + 注入裁判：Declaw 加了一个 injection judge，把你的每一句话和 agent 本身的任务做权衡，识别并挡住哪怕措辞再巧妙的操纵，还附带解释 - 严格模式：裁判逐轮审查，出口流量锁死只能连 agent 自己的模型，放行门槛拉到最高
每个会话跑在独立 Declaw 沙箱里，10 分钟时限，免注册。
为什么值得关注：这不是又一个工具，而是一个免费的"红队健身房"。在国内，绝大多数人只知道"提示注入"这四个字，却从没亲手攻破过一个 agent。花 10 分钟在 Arena 里把一个 agent 套出 secret，你对"为什么需要围栏"的理解会彻底改观——这比读十篇文章都管用。它的商业 SDK 也值得关注：如果你要给 agent 跑任意用户代码/不可信输入，Firecracker + 注入裁判是最稳的隔离姿势。
这四把不是竞争关系，而是层层设防。一个负责任的 agent 系统，应该让动作在落到"真实执行"前，穿过尽可能多道闸：
flowchart LR
A["🤖 AI Agent 想执行动作"] --> B{"第一道 · MakerChecker<br/>deny-by-default + 独立审批 role"}
B -->|"未授权 / 需人审"| X["❌ 拒绝"]
B -->|"角色放行"| C{"第二道 · AgentWatch<br/>预算 + 死循环检测"}
C -->|"超预算 / 卡循环"| X
C -->|"预算内"| D{"第三道 · Declaw<br/>Firecracker microVM + 注入裁判"}
D -->|"提示注入 / 越权"| X
D -->|"沙箱内执行"| E{"第四道 · deptrust<br/>校验依赖版本与发布时间"}
E -->|"高危包 / 72h 新包"| X
E -->|"安全"| F["✅ 真正执行"]
X --> L["📝 Ed25519 哈希链<br/>签名审计日志"]
F --> L
style X fill:#ef4444,color:#fff
style F fill:#22c55e,color:#fff
style L fill:#3b82f6,color:#fff
style A fill:#6366f1,color:#fff
读懂这张图，你就读懂了 2026 年 agent 工程的范式转移：过去是"信任 agent 的输出"，现在是"默认不信任，每一道都要自证清白"。
| 维度 | 国内普遍认知 | 本周海外已经在做的 |
|---|---|---|
| agent 权限 | 信任模型，加几个 if/开关 | deny-by-default + 独立审批 role + agent 不能自批 |
| 审计 | 写个 log 文件 | Ed25519 签名 + 哈希链，离线可验、改一行就断 |
| 依赖安全 | 装完手动 npm audit | MCP 自动在 agent 装包前查漏洞 + 72h 新包拦截 |
| 预算控制 | 事后看账单吓一跳 | 调用前强制预算 + 实时死循环检测 |
| 提示注入 | 听过这个词 | 免费 CTF 让你亲手拆一个 agent + 注入裁判 SDK |
| 整体范式 | 让 agent 更能干 | 给 agent 配治安官，默认它不可信 |
| ## 八、行动指南：今晚就能做三件事 |
跑一次 npx @makerchecker/scan .——把你现在跑的 agent 代码扫一遍，看看它"自己能干"的危险动作清单。这一步 5 分钟，但会改变你对自有 agent 风险的全部认知。
把 deptrust 配成 Claude Code / Codex 的 MCP——pnpx @clidey/deptrust@latest install，让 agent 每次装包前自动查漏洞。零成本堵住供应链投毒。
去 declaw.ai/arena 花 10 分钟攻破一个 agent——亲身体验一次"绕过 system prompt 拿到 secret"。这是 2026 年每个做 agent 的人都该有的肌肉记忆。
进阶：如果你的 agent 动钱、动数据、动生产环境，把 MakerChecker 的 embedded 包接到你的工具调用前，给高风险动作配独立审批 role——这是你向客户、向审计"可证明安全"的唯一硬通货。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。
文章产出：
- domain: new-tools（Round 6 正确分类）
- 4 个核心工具：MakerChecker、deptrust、AgentWatch、Declaw Arena，每个都有真实链接、命令、协议/价格、HN 热度
- 1 个 Mermaid 纵深防御流程图
- 信息差对比表 + 行动指南 + 5 条参考链接
- 约 2500 字，含可执行命令与代码片段
按 Round 循环，Round 7 回到 new-tools。建议方向（避开本周已写的"agent 围栏"）：
1. P0：本周 GitHub Trending 中 alibaba/page-agent（浏览器内 agent）+ openai/codex-plugin-cc —— 浏览器/插件形态的新 agent 工具，国内关注度低
2. P1：下周抓 Product Hunt（限流 7-18 解除后）今日 AI 新品榜
3. P2：备用——runmirrors.com（回放生产 trace 测 agent 变更）可单独成篇做 use-cases
curl 直连 API（HN Firebase / Algolia / GitHub raw），比 MCP 搜索更稳[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。