AI 资源库 · 已整理 8 项
查看与权限控制相关的 AI 资讯、工具、Skill、工作流和开源项目。
seankerman/vaelius · Self-hosted knowledge and memory for people and AI agents. PostgreSQL, MCP, explicit access controls.
Vaelius 是一个自托管的私有知识服务，用于为人与 AI Agent 提供共享记忆和知识检索。它会记录显式登记的 Agent 活动、对可识别机密进行脱敏、保留原始文档，并通过带认证的 MCP 服务检索相关证据。PostgreSQL 承担知识、索引、权限与处理任务的统一权威存储，支持全文搜索与 pgvector/HNSW 向量检索，并提供可检查的来源元数据、访问控制、撤销与删除等生命周期能力。项目处于早期阶段，仅在本地以合成场景测试，生产云部署与真实团队验收尚未完成。
facebookincubator/bpfjailer · eBPF LSM based Mandatory Access Control and jailer
BpfJailer 是 Facebook Incubator 开源的 Linux 强制访问控制（MAC）项目，使用 eBPF LSM 程序将进程放入称为 pod 的隔离单元，每个 pod 绑定 TOML 策略中定义的角色，并在 fork 与 exec 时继承。策略可覆盖签名二进制校验（fs-verity 与证书）、kill/ptrace、bpf 对象访问、keyring、文件系统路径读写、可执行代码、内核模块与 kexec 加载、IPC（System V/POSIX 消息队列与共享内存）、Unix socket 与挂载点等控制面。项目提供 bpfjctl、bpfjcmd、bpfjsrv、bpfjclient、bpfjlog 等组件，支持运行时策略热替换（replace）与拒绝/生命周期事件日志。该实现是内部闭源 BpfJailer 的完整重写，官方标注为完全实验性。
Snyk 是一家做代码和云安全扫描的公司，它把原本只给自己客服团队用的一个 AI 助手，升级成了所有付费客户都能用的功能，叫 Snyk Assist。以前客户想问漏洞、账号或产品问题，得自己翻文档、文章和发布说明，或者提工单等回复，信息散落各处。这个助手用 LangChain、LangGraph 和 LangSmith 搭建，能用大白话回答并帮忙查漏洞、开工单、提需求，而且只会看到当前用户本来就有权查看的内容。它先内部试用了约一年，2026 年 4 月进入支持门户，9 月 1 日才放进核心产品，所以目前是已经可用的状态。对读者来说，问问题不用再等人工，也能在对话里直接完成一些操作。
作者把自己的 Azure 登录凭证直接交给一个 AI 编程智能体，然后测量它实际能碰到什么。结果发现：数据库只看到作者的名字、机器和工具，无法分辨是人还是智能体在执行，其中一个环境能删掉安全数据库里的数据，却偏偏没有审计记录。问题不在配置错误，而是整套身份设计默认“握着凭证的是人”，智能体借用人的身份后就继承了人的全部权限。这意味着你无法单独限制或吊销智能体的权限，也无法在事后证明某条查询是人还是机器跑的。
这篇文章讲的是 AI 代理（就是自动帮你干活的程序）在云上创建资源后没人管的问题。环境里有 34 个资源，比如网络、数据库和负载均衡器，有些已经几周没流量了，但标签上的“负责人”写的是 deploy-agent，根本查不到真人。以前员工离职至少有交接记录和上级接手，代理干完活后上下文一关，留下的东西就没人认领了。解决办法是用查询找出哪些资源的“负责人”其实是服务账号而不是真人，再用一条审批策略拦住新部署——除非每个资源都填了真人的邮箱，否则不允许通过。这样运维和财务就不会被遗忘的资源持续烧钱。
GitHub 的漏洞赏金团队为了庆祝网络安全意识月，专门介绍了他们赏金计划里的一位顶尖安全研究员 @vaib25vicky。他平时的工作，就是像普通用户一样去使用 GitHub 的各种功能，然后琢磨这些功能哪里可能被坏人利用。他特别擅长找和“权限控制”有关的漏洞，这次分享了他挑目标功能、验证漏洞的方法，也提到会用 AI 当助手，但强调 AI 给出的结果必须自己亲自验证过才能提交。对读者来说，这让人了解白帽黑客是怎么帮平台提前发现并修好漏洞、让大家的代码更安全的，也顺便知道了 GitHub 调整赏金规则、设了只邀请顶尖研究员的 VIP 计划，最高奖金能到三万美元甚至更多。
ipromise2021/dsh-omc-tui · DeepSeek Harness (DSH) 原生全功能终端交互界面 · Claude Code-styled Terminal TUI & CLI for DeepSeek Harness
dsh-omc-tui 是面向 DeepSeek Harness (DSH) 的 ANSI 终端界面插件，以备用屏幕与视口差分渲染提供全屏 TUI 体验，参考 Claude Code 的交互习惯。插件本身不提供 Agent 运行时与模型服务，Agent、模型选择、会话、权限、Jobs 服务与持久化均由 Harness 提供，插件负责键盘/鼠标输入、面板、ANSI 渲染与会话投影。功能包括图片粘贴与旁路视觉子代理、Thinking 折叠与 Markdown/代码高亮、任务与 Plan 面板、后台 Jobs、行内审批与 Danger Guard 危险命令看门狗、4 行自适应状态栏，以及 /btw、/compact、/recap、/export、/resume 等命令。
openclaw/openclaw-enterprise · The Enterprise-grade Control Plane for modern agentic workloads
OpenClaw Enterprise（OCE）是一个开源、厂商中立的智能体管理平台，被描述为“智能体领域的 Kubernetes”。它包含 OpenClaw Control Plane（OCC），用于部署和管理 Agent 及其修订版本，支持本地环境与已有 Kubernetes 集群两种安装方式，提供 CLI、HTTP API、浏览器控制台、IAM 权限、审计事件等能力，并附带 Agent Presets 等配置复用机制。