最新笔记/版本发布/
Galvanize 3 已在 zn API 上线
Galvanize 3 是我们第三代提示注入检测器，现已检查每一次 zn API 调用。在公开基准上，AUROC 为十款检测器中最高，对长文档的误报更少，可免费试用。
阅读笔记 4 分钟阅读 · John Silver
智能体时代的安全笔记。
以证据为先的文章，涵盖提示注入防御、智能体安全基准和本地优先的安全工程。数据重于叙事，每个结论都附有方法。
归档
已发布 18 篇全部笔记
版本发布9 分钟
zn-gate 1.13.0 新功能：zn-gate connect、zn-gate report 和一个 GitHub Action 修复
zn-gate 1.13.0 新增 zn-gate connect，使用仅限分析的密钥开启可选的云端检查；新增 zn-gate report，提供本地每周摘要；hook 现在会检查输入的 skill，并修复了 GitHub Action 的默认版本。如何更新。
John Silver阅读
指南11 分钟
编程智能体会把你的 API 密钥留在对话记录里吗？
Claude Code、Codex CLI、Cursor 和 OpenCode 都会在你的电脑上保存对话历史，经过工具的密钥可能因此留在其中。各工具把历史存在哪里、厂商文档怎么说，以及一份清理清单。
John Silver阅读
指南9 分钟
AI 编程智能体会泄露更多密钥吗？GitGuardian 2026 年的数据与 10 分钟检查清单
GitGuardian 的 State of Secrets Sprawl 2026 对 Claude Code 提交和 MCP 配置文件有哪些报告，这些数字说明了什么、没有说明什么，以及 10 分钟内可以做什么。
John Silver阅读
指南16 分钟
API 密钥被盗与蒸馏攻击：如何保护你的 AI 工具密钥
什么是蒸馏攻击，攻击者为什么想要 AI 提供商的 API 密钥，如何发现密钥被滥用，以及面向用户和工具开发者的检查清单。
John Silver阅读
工程11 分钟
编程智能体曾如何间接读取你的 .env 文件，zn-gate 1.12.0 又如何关闭这些路径？
在 zn-gate 1.5.0 至 1.11.0 中，shell 命令可以通过 hook 不检查的方式接触受保护的 .env 文件。这些路径的类别、1.12.0 修复（GHSA-rccq-h3xc-j9qj）的设计，以及为编程智能体编写防护机制时应记住的经验。
John Silver阅读
版本发布7 分钟
zn-gate 1.12.0 新功能：zn-gate reach、签名发布和一个安全修复
zn-gate 1.12.0 新增 zn-gate reach，一份只读报告，列出你的编程智能体能接触到什么；发布版本达到 SLSA Build Level 3，标签用 gitsign 签名，并修复了智能体 hook 中的 GHSA-rccq-h3xc-j9qj。如何更新。
John Silver阅读
指南11 分钟
用 Claude Code、Codex CLI 或 Cursor 打开克隆的仓库安全吗？如何先做审计
仓库里可能带有配置文件：编程智能体一打开，它们就会执行命令、启动 MCP 服务器，或把你的 API 密钥转发到别处。先对克隆下来的仓库运行 npx -y zn-gate audit。它检查什么，以及如何读懂结果。
John Silver阅读
指南13 分钟
如何用一条命令阻止 Claude Code、Codex CLI、Cursor 和 OpenCode 读取你的 .env
运行 npx -y zn-gate init，让 Claude Code、Codex CLI、Cursor 和 OpenCode 无法读取 .env 文件和密钥。它改了什么、如何验证、如何撤销。
John Silver阅读
版本发布6 分钟
推出 Galvanize 2：拦截更多攻击，误报大幅减少
Galvanize 2 是我们新的提示注入检测器，基于 Horizon Labs 开源的小型模型微调而来。在我们预留的测试集上，它以 0.81% 的误报率拦截了 83.4% 的攻击，并且不再错误标记长篇合法文档。本文给出数据、薄弱环节以及我们的测量方法。
John Silver阅读
版本发布4 分钟
zn-gate 1.4.1 与离开你机器的数据
设置了 API 密钥时，1.4.0 会把工具输出未经脱敏地发送到我们的 API。1.4.1 移除了这条路径，使云端检测变为可选且经过脱敏，我们也删除了 API 已存储的文本。以下是事情的完整经过以及你需要做什么。
John Silver阅读
版本发布12 分钟
推出 Galvanize-60M：面向自主智能体的开放权重与确定性护栏
我们在 Hugging Face 上开源 Galvanize-60M：一个可在 CPU 上运行的小型提示注入分类器，专为 AI 智能体的工具调用循环而设计。在依赖本文中的数字之前，请先阅读 2026 年 10 月的更新说明。
John Silver阅读
工程9 分钟
从两个 API 到一个 Smart API Router：规则、神经门控与 Deep Analyze 共用一个端点
我们把 /analyze 和 /v30/analyze 合并为一个端点，让每个请求依次经过 <50 µs 的确定性规则层、~15 ms 的 int8 神经门和 mmBERT Deep Analyze 层。本文给出背后的工程、新的订阅额度与实测数字。
John Silver阅读
工程15 分钟
我们如何在一个早期内部模型中将提示词注入误报率降低 85% 并将上下文扩大 4 倍（2026 年 9 月）
2026 年 9 月一个早期内部模型背后的工程演进：为什么 64 tokens 会遭遇瓶颈，我们如何构建 1,176 个孪生难负样本，在 NVIDIA H100 上用 7.5 分钟训练 MLP 分类头，并在我们自己的测试集上将开发者提示误报率从 4.49% 压降至 0.64%。
John Silver阅读
工程6 分钟
zn-gate 如何在匹配规则前规范化被混淆的输入
攻击者会用注释、零宽字符和外形相近的字母拆开关键词。本文说明 zn-gate 在匹配前执行的规范化步骤、规则引擎的速度，以及它没有覆盖的内容。
John Silver阅读
研究10 分钟
六个前沿模型直面经典提示注入：有网关和无网关的对比
在六个前沿模型上运行 12 个预注册提示，分别测试直连和经网关两种路径。模型拒绝了什么，网关拦截了什么，以及复现所需的全部数据。
John Silver阅读
工程6 分钟
在我们的提示注入数据集悄悄误导了我们之后，我们如何重建它
我们的融合门控在自有基准上击败了一个 Meta 模型，随后我们发现自家分类器中真实的良性文本得分竟高于攻击样本。本文是 早期检查点失败的事后复盘，以及完整语料重建的记录：包括按家族设计的蓝图、确定性改写、按组划分的数据切分，以及我们有意保留的缺口。
John Silver阅读
工程13 分钟
十七次失败的运行与一条平坦的 sigmoid：我们如何构建我们的首个神经门控
我们的注入检测器对所有输入的评分都在 0.498 至 0.509 之间。根本原因是训练目标从未见过标签，而修复方法却平淡得令人尴尬：端到端的监督训练。这里是完整的调试过程、训练配方、各项数字，以及新门控仍然做不到的事情。
John Silver阅读