打开今天的GitHub新星榜，前五名几乎不用看：Jev全家桶、Compositor、去AI味工具——全是这几天被各路文章翻来覆去写过的熟脸。大榜的流量被几个头部项目吸干了，但榜单往下拖两屏，藏着一批没人写过的漏网新货：一件把国标公文排版做成了Agent技能，一件是两个新CVE的公开验证代码，一件给开源Agent装上了「组队模式」，还有一件，有人把ChatGPT的iOS订阅链路从头审了一遍。以下Star数据均来自GitHub Search API 2026-09-21快照。
仓库：mizzlelover/gongwen-gbt9704-skill（⭐690，Skills生态新上架榜）
仓库描述一句话：按 GB/T 9704-2012（《党政机关公文格式》国家标准）生成可编辑的DOCX公文。名字起得很直白：gongwen，公文。
别小看「排版」两个字。写过公文的人都知道，红头文件的格式细节比内容还磨人：字体字号、标题行距、发文字号、主送机关、成文日期、版记里那几条横线——每一项都有国标规定，错一处就要返工。传统做法是套模板手填；WPS灵犀这类办公AI内置了GB/T 9704排版（据51学通信办公栏此前的实测，主要要素识别准确率超九成），但它们是「你写完、它排版」，内容生成和格式处理是两段。
这个仓库把排版做成了Agent技能（Skill）：挂在Claude Code、Codex这类编程Agent上，一句话让它起草通知、请示、纪要，直接吐出格式合规、可编辑的DOCX——内容与格式一次成型，中间不用搬运。对天天写材料的人来说，省的不只是排版那二十分钟，是「改内容—重排版」来回折腾的那一下午。
价格：开源免费。
对比国内：如果你已有WPS会员、只是偶尔排版，灵犀够用；这个技能的差异点有三个——①与Agent管线集成，起草+排版一体完成；②仓库描述明确写了「可在本地或企业内网部署大模型后使用」，对数据不出门的单位友好；③输出可编辑DOCX，不是图片或PDF截图。
适用人群：国企/事业单位写材料的岗位、投标书格式岗、行政部门；做企业内文档自动化的开发者。
一条必须抄录的提醒：仓库描述里自带安全提示——请勿上传企业禁止对外公开的文件。涉密内容请走内网部署路线，这条红线别踩。
仓库：arvindear/wp2shell-PoC（⭐563，近7天新建新星榜）
仓库功能就是标题：CVE-2026-63030 与 CVE-2026-60137 两个漏洞的RCE利用链验证代码（PoC）。RCE即远程代码执行——漏洞链一旦打通，攻击者可以在服务器上直接执行命令，属于Web漏洞里危害最高的一档。
这里要说的信息差不是漏洞细节（本文不提供、你也不需要），而是一个时间差规律：PoC公开的那一天，才是修复紧迫度的真正起点。此前漏洞只是个编号，攻击者要自己摸索；验证代码一公开，武器化门槛归零，剩下的就是「没打补丁的站」和「批量扫描」之间的赛跑。WordPress占全球网站三分之一强，中文出海独立站用WP的更是大头，插件生态鱼龙混杂，这个基本盘决定了它永远是批量攻击的首选目标。
该做什么（防御向，今晚就能做完）： 1. 登录后台确认WordPress核心与全部插件版本，能更新的立刻更新； 2. 拿这两个CVE编号去搜厂商安全通告，确认自己的版本是否在受影响区间； 3. 有WAF的（Cloudflare、宝塔、云WAF都行）把规则库更新到最新，没上的至少先套一层； 4. 数据库和站点文件做一次完整备份——这是所有安全动作里性价比最高的一步。
对比国内：国内站长习惯等云厂商的应急通告推送，海外社区玩法是自己盯CVE编号和PoC仓库。后者快，但也容易被假PoC钓鱼——只从可信来源获取代码，验证只对自有资产、授权范围内进行。
适用人群：手里有WordPress站的开发者、出海带站的技术人、给客户维护站点的外包服务商。
仓库：NanmiCoder/dsh-agent-teams（JavaScript，⭐1747，近45天新建小而美榜）
一句话描述：AgentTeams plugin for DeepSeek Harness——给DeepSeek Harness装一个多Agent组队插件。
先把人物关系捋清楚。DeepSeek Harness是开源社区里沿Claude Code路线做的Agent运行时；9月初榜单文提过它有个用Tauri打包的桌面版，5MB安装包开箱即用。今天这件是它旁边的组队插件：让一个主Agent把任务拆给多个子Agent并行跑——一个读代码、一个写测试、一个查文档，各干各的，最后汇总。仓库描述只有一行，README细节我未逐一实测，建议先收藏读源码再决定上不上生产，但它上榜的速度本身说明了一件事：
「多Agent协作」正在从旗舰工具的专属功能，下沉成开源平替的标配。 Claude Code有subagent机制，Cursor在卷后台并行Agent，这些能力过去都绑定在付费工具上。现在开源阵营用DeepSeek的低价API把它复刻了一遍——预算敏感的独立开发者，第一次可以用一杯奶茶钱跑一整晚多Agent任务。
价格：插件开源免费；成本大头是DeepSeek API按token计费（DeepSeek一贯是行业低价档，具体价格以官方定价页为准，不写具体数字，免得下月就变）。
对比国内：字节TRAE、通义灵码这类大厂IDE能力全但不开放，模型和协作机制都锁在自家产品里；DSH这条路线反着走——运行时开源、模型可换、插件随意组合。想要「可控感」的团队值得对比着看。
适用人群：用DeepSeek API跑批量任务的独立开发者、想研究多Agent编排的后端工程师。
仓库：yynxxxxx/gpt_sub_analysis（⭐567，近7天新星榜）
仓库描述很短：对 ChatGPT iOS 订阅与权益（entitlement）流程的安全分析，明确标注「内部草稿、协调披露」（coordinated disclosure）——这是白帽圈的标准动作：先私下报告厂商，留出修复窗口，再公开研究内容。
这条对大多数读者的价值不在吃瓜，而在提醒移动端开发者：订阅链路是常被忽视的攻击面。收据校验、权益恢复、设备伪造，每一环都值得对照自查。等这份分析正式公开、再被媒体翻译到中文圈，通常又是一个月之后——先去仓库把方法论读了，比自己踩坑便宜得多。
flowchart TD
A["大榜熟脸之外<br/>四件漏网新货"] --> B["格式空位"]
A --> C["安全空位"]
A --> D["协作空位"]
B --> E["gongwen skill<br/>公文排版"]
C --> F["wp2shell-PoC<br/>建站自查"]
C --> G["gpt_sub_analysis<br/>订阅链路审计"]
D --> H["dsh-agent-teams<br/>组队插件"]
E --> I["文书与标书岗"]
F --> J["WordPress站长"]
G --> K["移动端开发者"]
H --> L["独立开发者"]
| 空位 | 你以为的现状 | 榜单外已经在发生的 |
|---|---|---|
| 公文排版 | 只能WPS模板手填或办公AI事后排版 | Agent技能一句话出格式合规的可编辑DOCX |
| WordPress漏洞 | 等云厂商通告推送修复 | PoC公开即倒计时，自查比等通知快 |
| 多Agent协作 | 是付费旗舰工具的专属能力 | 开源阵营已用低价模型复刻出组队插件 |
| 订阅链路安全 | 大厂App轮不到白帽盯 | 已有人按协调披露流程审完ChatGPT iOS |
created:>2026-09-14 sort:stars，每天刷一页近7天新仓库——大榜是别人的头条，漏网区才是你的信息差。本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。