FireAI 由 HisnLabs 开发，所以请把这篇比较当作其中一方写的文章来读。关于 LuLu 的每一条信息都来自 Objective-See 的产品页面和 LuLu 的源代码仓库，链接列在参考来源中，并已于 2026 年 10 月 3 日核对；在 LuLu 是更好选择的地方，我们会直接说明。两者都是 macOS 上的出站防火墙：决定每个应用可以建立哪些连接。Apple 内置的防火墙只过滤入站连接，做不到这一点。
简短的回答
LuLu 免费、开源，可以在非常多的 Mac 上运行，包括 Intel 机型以及最早到 Catalina 的 macOS 版本。如果你想要一款简单、可审计的出站防火墙，并且不介意自己回应它的提醒，那么很难挑出它的毛病。FireAI 是一款付费应用，增加了在本机运行的 AI 审核、日常语言指令、安全模式、在你的 Mac 上检查的威胁列表以及家长控制。问题不在于谁拦截得更好，因为两者都会拦截你要求拦截的内容，而在于你想亲自做多少决定，以及愿意为帮助付多少钱。
2026 年的 LuLu
LuLu 由 Objective-See 开发，这是一家非营利基金会，推出了一系列面向 macOS 的免费安全工具。源代码以 GPL-3.0 许可证发布在 GitHub 上，4.5.1 版于 2026 年 8 月 5 日发布。我们下载的应用是通用二进制文件，因此在 Intel Mac 和 Apple silicon 上都能原生运行，项目列出的系统要求是 macOS 10.15 或更高版本。它完全免费，项目由 GitHub Sponsors 和基金会的支持者资助。
当一个它不认识的应用尝试向外连接时，LuLu 会发出提醒，显示该应用是否已签名以及签名者是谁，并可在你需要时把文件送到 VirusTotal 查询。一条规则可以覆盖整个进程或单个目标地址，也可以设置到期时间。被动模式会在不提醒的情况下放行新的流量；它提供主机名和 IP 地址的允许列表与阻止列表；配置文件可以保存不同的规则集。文档坦率说明了一项限制：按主机名拦截只适用于使用 Apple Network.framework 或 NSURLSession 的应用，因此像 Chrome 这样的浏览器只能按 IP 地址拦截，无法按名称拦截。LuLu 没有 AI 功能。
2026 年的 FireAI
HisnLabs 的 FireAI 为每个应用提供规则，可以按主机、域名、IP 地址或端口允许或拦截，并跟随应用的代码签名；在陌生应用连接之前，它会先询问你。对于自行解析域名的应用，比如许多浏览器，它会读取 DNS 应答，让主机名始终与连接对应。一个可选的本机模型（一次性下载约 1.5 GB，保存在 Mac 上）会审核你尚未做出决定的应用连接，在询问中解释理由，并把每个决定变成一条可见、可撤销的规则。FireAI Pilot 会针对每个 Wi-Fi 网络和每种安全模式分别学习，询问 FireAI 可以用它支持的 16 种语言中的任何一种接受“拦截 Microsoft Teams”之类的指令。你的流量不会发送给 HisnLabs。
此外还有四种安全模式（家庭、咖啡馆、偏执和遭受攻击）、切断互联网但保留本地网络的一键断网、六份在 Mac 上检查的免费公开威胁列表、针对整类网站的家长控制防护、显示哪个应用正在使用摄像头或麦克风的提示条、向某个国家异常上传数据时的提醒，以及 Agent profile：它会学习 Claude Code、Cursor 等 19 个 AI 代理通常连接的地址，并在出现从未见过的目标时提醒你。FireAI 需要 macOS 14 或更高版本，支持 Apple silicon 和 Intel；在 Intel Mac 上，它的 AI 通过免费的 Ollama 应用运行。个人使用一次性付费 49 €、49 $ 或 49 £，企业为每台 Mac 每月 6 €、按年付费，所有功能可免费试用 17 天，无需银行卡。
| LuLu 4.5.1 | FireAI 1.0.5 | |
|---|---|---|
| 价格 | 免费 | 一次性 49 €；企业每台 Mac 每月 6 € |
| 源代码 | 开源，GPL-3.0 | 不开源 |
| 出站连接 | 提醒和规则 | 询问和规则 |
| 规则范围 | 整个进程或单个目标；规则可到期 | 主机、域名、IP 地址或端口；限时规则 |
| 浏览器中的主机名规则 | 仅限使用 Network.framework 或 NSURLSession 的应用；Chrome 只能按 IP | 许多浏览器的主机名取自 DNS 应答 |
| 按代码签名识别身份 | 是 | 是 |
| 信誉检查 | 按需查询 VirusTotal | 六份公开威胁列表，在本地检查 |
| 安静模式 | 被动模式放行新流量 | FireAI Pilot 和可选的 AI 做决定，过程可见 |
| AI 审核 | 无 | 可选本机模型，约 1.5 GB |
| 配置文件 | 有 | 安全模式和按网络学习 |
| 家长控制 | 无 | 六类防护 |
| Intel Mac | 支持，通用应用 | 支持，通用应用（AI 通过免费的 Ollama 应用运行） |
| 最低 macOS | 10.15 | 14 |
| 试用方式 | 永久免费 | 17 天，全部功能，无需银行卡 |
LuLu 更合适的情况
- 你不想付费。LuLu 免费，而且把出站防火墙的核心工作做得很好。
- 你想阅读或审计代码。LuLu 开源，FireAI 不开源。
- 你用的是运行 macOS 10.15 到 13 的旧款 Mac。LuLu 能运行，FireAI 需要 macOS 14。
- 你不想下载 1.5 GB 的模型，或者你就是更愿意每个决定都自己做。
- 你已经在用 Objective-See 的其他免费工具，喜欢从同一个非营利来源获取它们。
FireAI 的不同之处
- 本机审核会处理你从未做过决定的应用的首次连接，说明原因，并且你随时可以推翻它。
- 主机名始终与浏览器连接对应，所以在自行解析 DNS 的浏览器里也能按名称拦截网站。
- 威胁列表在你的 Mac 上持续检查，而不是按需查询单个应用。
- 安全模式、一键断网和家长控制防护，一次点击即可应对常见情况。
- 你可以用 16 种语言以日常语言下达指令，Agent profile 会留意编程用 AI 代理连接的新目标。
可以同时使用两者吗？
我们不建议这样做。两者都会安装一个能看到所有连接的网络过滤器，当两个防火墙针对同一个应用发出询问时，很难判断是哪条规则起了作用。请依次试用。保留 LuLu 以便日后比较不需要任何费用，而 FireAI 可以把规则导出到文件，所以如果你换回去，试用期间建立的规则也不会丢失。
如何选择
如果你想要免费、开源的出站防火墙，如果你使用较旧的 macOS，或者如果你愿意自己回应每一条提醒，请选择 LuLu。如果你希望在做决定时得到帮助，请选择 FireAI：一个在你自己的 Mac 上、用你的语言进行审核的 AI，每个决定都可见、可撤销，再加上安全模式、威胁列表和家庭工具。两者都远远好过不加过滤的出站流量。无论选哪一个，都请保持 Apple 内置防火墙开启，用于过滤入站连接。
FireAI 和 HisnLabs 在其中扮演的角色
如果 LuLu 已经够用，就继续用它，它是一款不错的免费防火墙；如果你想要一个在本机分担决策的 AI，FireAI 可免费使用 17 天。
FireAI 是 HisnLabs 自己的产品：一款直接在 Mac 上运行的 AI 防火墙。它用通俗易懂的语言显示你的应用建立的每一个连接，并让你决定哪些数据可以离开你的 Mac——它的 AI 在本地运行，因此你的流量永远不会发送给我们或任何其他人。HisnLabs 的安全研究团队负责让这些判断保持准确：归类哪些域名只是普通的遥测、哪些属于真正的服务，追踪连接背后的国家和网络，并用真实的流量模式训练设备端模型（FireAI Pilot 功能）——这一切都不会离开你的 Mac。
你可以阅读它背后的技术决策，或试用 FireAI 17 天：HisnLabs 出品的 FireAI。