这周 GitHub 上蹿得最快的两个项目，都不是新模型，而是两个”给 Agent 上规矩”的活。Cloudflare 把自己红队用的安全审计 skill 开源了，一周涨一万五千星；巴西老炮 Fabio Akita 那个 Rust 写的 ai-memory，一周涨 31%。一个管 Agent 说的话可不可信，一个管 Agent 换个 CLI 还记不记得住。
一、security-audit-skill：不许 Agent 自己造洞自己报
数据先摆清楚：50,897 星，一周 +15,072（+47%），3,208 个 fork，MIT 协议。库是 6 月 18 日建的，到现在才 14 个 commit，主语言标着 JavaScript，其实本体是一堆 markdown 提示词加一点胶水脚本。
它治的是 AI 找漏洞最要命的那件事——不是漏报，是造假。Cloudflare 在自己博客里把话讲得很直：agent 会顺手改掉源码，让自己的 exploit 跑通，然后兴高采烈地报告它刚刚亲手造出来的那个 bug；或者写一条同义反复的测试，”exec() 能执行东西，所以这是严重漏洞”。harness 要是不主动跟这个斗，你造出来的只是一条更快生产垃圾的流水线。
它的治法有三层，值得抄：
第一层，分阶段跑，不指望一把梭。侦察 → 按攻击面覆盖式搜寻 → 候选验证 → 结构化输出（写 findings.json，拿 report-schema.json 校验）→ 换一批全新的 agent 独立复核源码结论 → 由已验证的记录生成报告。中间产物是机器可读的，人也能查账。
第二层，证据门槛。确认的洞必须配一个跑在未修改的原始代码上的 PoC 测试。这条直接堵死了”改代码让洞成立”的路。没有能跑的 PoC，一律按假的处理。
第三层，攻击面按靶子分文件加载：内存安全/二进制/内核、AI 与 LLM（提示注入、工具调用、输出处理）、Web 协议与认证、客户端、供应链与发布。审 C 项目和审一个 prompt pipeline，加载的东西根本不是一套。
装起来一条命令：
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
然后在项目的 agent 里直接说「security audit this codebase」。来路也交代清楚了：这是 Project Glasswing 里那套漏洞发现流水线（VDH 发现 + VVS 验证）的种子 skill，Cloudflare 说 harness 本体”希望很快”也会放出来，现在只给了起点。
跟前面那篇《26.1% 的技能包带漏洞》正好凑成一对：那篇讲怎么验别人塞给你的 skill，这篇讲怎么让 agent 替你审自己的代码。
二、ai-memory：记忆是 git 里的 md，不是向量库里的黑盒
14,208 星，一周 +3,254（+31%），1,012 个 fork，Rust 写的，MIT，已经堆了 4,829 个 commit，昨天还在推代码。作者 akitaonrails 就是 Fabio Akita，巴西 Ruby 圈那批老家伙之一，GitHub 上两万两千多关注。
它解决的是很具体的烦：Claude Code 干到一半你退出了，同一个目录里想起 Codex 试试，结果得从头讲架构、讲试过哪几条死路、讲还有哪几个问题没答。ai-memory 的用法就是 ai-memory run codex，把上一条 session 的工作流接管过去，连 Claude 那边可见的原生历史都能给一个本地的临时投影，细节不丢。
架构不复杂，但每一步都踩在点上：各家 CLI 的 hook 把观测 POST 给本地服务 → 服务端只留一个 SQLite writer 串行写 → 把 session 观测编译成 markdown 页面 → 检索走 FTS5 + 实体匹配 + 图邻居的 RRF 融合，可选再叠向量，另有一路”观测证据流”给匹配上的 session 加权 → 下次开局塞一个有界的启动包给 agent。数据库只是派生索引，删了能从 markdown 整个重建。
“源数据是纯 markdown”这条最对我胃口：一个 git 管的 wiki，能 grep、能丢进 Obsidian 看、能手改、能 rsync 走。记忆这东西一旦进了黑盒向量库，出问题你连查都没处查。
往外扩也做了三件事：一是跨项目的个人 profile（你习惯用 pnpm 还是 cargo、测试放哪），新仓库开局自动带上，但优先级排在仓库自己的规则文件之下；二是跨机器，服务放家里盒子，桌面干到一半笔记本接着干；三是团队，指同一个 server，一个人的 session 学到的东西全队的 agent 都能检索，多用户鉴权、按人归属、审计日志都不是付费档。
安全这块它自己交代得比较老实：默认只绑 loopback，init 会给一个 root bearer token；但 Docker 那个快速启动是没有鉴权的，官方 README 里明写了，靠的只是只监听本机。
这条路跟ThinkRail 和 karpathy-skills那种”写一份 md 立规矩”是互补的：规则文件是提前写死的纪律，记忆是事后长出来的上下文，一个管该怎么做，一个管做过什么。
三、说实话
第一，这两个都不是”装上就变强”。security-audit-skill 最后一次 push 是 9 月 14 日，一个多月没动，99 个 open issue 堆着，它这周爆红是因为 Cloudflare 那篇博客，不是因为代码刚更新。它的定位是流程模板不是扫描器：审 C 内核、审 native 二进制，PoC 还得你自己会看，不然你拿到的是一份格式漂亮、结论待判的作业。
第二，ai-memory 的代价是要养一个常驻服务。图省事就 Docker，但那个默认裸奔；正经用就 init 出 token，跨机再套反代 TLS。另外记忆越多检索越难，它给你的是有界的启动包，不是全文，包里漏掉的细节还得靠它回头去查。
第三，这俩放一起看才有意思：一个让 agent 说的话有证据，一个让 agent 的上下文不蒸发。都在把 Agent 从”能聊”往”能负责”推——这比再出一个 20 万上下文的模型实在多了。
