HisnLabs 雷达

采用 — 我们在用

• 任何模型上线前都要先过的一组真实指令测试

  技术

  每一个接入 Ask FireAI 的模型,在发布前都会先在一份固定的多语言、大白话指令测试集上打分。这把“这个模型看起来很聪明”的感觉变成了一个可以比较的数字,也因此发现了一个纸面上很出色、实际却不行的候选模型。

• 只播放一次动画,然后静止

  技术

  吉祥物和光球在页面出现时只播放一次动画,然后保持静止(眼睛可能会跟随鼠标)。安全软件要整天运行;任何永远循环播放的东西,都要一整天为它付出代价。

• 设备端运行的小型生成式模型(Gemma 4,4-bit)

  模型

  为 Ask FireAI 提供支持:把“帮我儿子屏蔽游戏”这样的话,变成正确的设置,支持 16 种语言,完全在 Mac 本地运行。经用户同意后只下载一次,空闲时会从内存中释放。

• Apple Silicon 上的 MLX

  平台

  Apple 的机器学习框架直接使用 M 系列芯片的统一内存。这正是让一个实用的语言模型能在普通 Mac 上运行的关键。

• Network Extension 内容过滤器

  平台

  这个系统扩展能看到每个应用的每一次连接,而不需要内核扩展。它是 FireAI 防火墙、规则和一键断网开关的基础。

  相关新闻:Mac network monitoring

• MLX Swift LM

  工具

  直接在 Swift 应用内部运行语言模型:不需要 Python,不需要辅助服务器,Mac 上也不会打开任何端口。

• Swift 6 严格并发

  工具

  在编译期就能发现数据竞争。有一个棘手之处:一个标记为在主线程运行、却从其他线程调用的系统回调,编译时不会报错,却会在运行时崩溃。现在我们会检查每一个系统回调是否有这个问题。

试用 — 测试中

• 带隐私信息检索(Private Information Retrieval)的 macOS 网址过滤器

  平台

  macOS 26 的新功能:为所有使用 Apple 网络的应用屏蔽某一个页面(比如某一个 YouTube 频道),而负责查询应答的服务器永远不会知道被检查的是哪个网址。为 Blocked pages(测试版)提供支持。

• 用于页面内导航的 Safari 网页扩展

  平台

  像 YouTube 这样的网站在切换页面时不会发起新的网络请求,所以网络过滤器看不到这次点击。而 Safari 扩展可以。它只有在用户对每个网站都授权后才能生效,现在我们已经在应用内说明了这一点。

  相关新闻:Browser AI agent security

• 用于应用内小型 3D 效果的 SceneKit

  工具

  结果发现,绘制我们的 3D 吉祥物本身成本很低。我们最初归咎于它的 CPU 开销,实际上来自它周围的动态模糊和阴影。

评估 — 值得关注

• 两个大脑:一个管语言,一个管决策

  技术

  让生成式模型负责解释和对话,把是/否的决策交给一个小巧、快速、非生成式的模型。这个想法依然成立;我们试过的第一个候选模型对防火墙指令的理解还不够好。

• 加载前扫描模型文件

  技术

  以 Python pickle 保存的模型文件在加载的瞬间就可能执行代码，因此 ModelScan、picklescan 和 fickling 等开源扫描器会在不加载文件的情况下读取它们。适合在下载内容进入构建之前作为一道关卡；扫描结果仍需人工复核。FireAI 不扫描文件：它控制哪个应用连接到哪里。

• 微型网址风险分类器

  模型

  只有几兆大小的模型,不用读取页面内容,就能给一个网址的钓鱼风险打分。体积小到可以考虑用在每次连接的检测上。是实验室里的下一个方向,目前还没有结果。

  相关新闻:Documentation placeholder domain scams

• 提示注入分类器（Prompt Guard、Llama Guard）

  模型

  放在 LLM 前面的小型模型，用于标记注入尝试和不安全内容。它们能减少符合已知模式的尝试，但不能消除这类攻击；两个开源检测项目已被归档，因此防护应当可替换。它们无法判断一条连接，防火墙也无法判断一条提示。

• 脚本化的 2D 转 3D 吉祥物流水线

  工具

  我们的 2D 吉祥物美术素材,通过一条命令就能生成动画化的 3D 模型(用于应用、网站和社交视频),这样在美术素材变化时,整个系列都能重新生成。眼睛是最难处理的部分。

• 已签名的模型与 AI 物料清单

  工具

  用 Sigstore 工具为模型签名，使使用者可以核实发布者以及文件是否被改动。签名证明来源和完整性，而不是安全性；物料清单记录的是作者的声明，而不是经过验证的内容。随着采用增多，值得持续关注。

• LLM 红队扫描器（garak、PyRIT、promptfoo）

  工具

  开源扫描器向模型或应用发送对抗性输入并记录其响应。它们测试的是行为而非文件，结果取决于目标和所配置的评判者。其中一个现已属于 OpenAI，因此在依赖任何一个之前，都应先核查维护状况和归属。

• AI 代理的出站控制

  技术

  Nvidia 新的代理安全平台限制了 AI 代理可以访问的范围，此前有报道称代理的行为超出了其指令范围。同样的想法也适用于 Mac：代理应用应该只访问其任务所需的目标地址。FireAI 为下一个版本打造的 Agent profile 会识别 Claude Code、Cursor 等类似应用，用三天时间学习每个应用通常联系的目标地址，然后标记首次出现的目标地址或上传激增供你复查。它是一条基线，而不是一把锁，也看不到提示词或工具的内容。实验室里：通过解释器启动的代理，目前还不能被识别。

  相关新闻:AI agent safetyAI agent securityAI agent security

• 调用 AI 模型 API 的未知应用

  技术

  Cisco Talos 描述了一个 Windows 程序，它会询问多个商业 AI 模型接下来该做什么。无论运行在什么设备上，这类程序都必须通过网络连接到某个 AI 提供方。实验室里：当一个从未获得用户批准的应用开始与 AI 模型提供方通信时，提醒用户。

  相关新闻:AI-directed Windows implant

• 面向数据中心和 AI 应用的网络“AI 防火墙”

  平台

  供应商现在用“AI 防火墙”指代两种不同的东西：一种是网络防火墙内部的 AI，另一种是位于 AI 应用的提示词和回答之前的过滤器。这两者都不在个人 Mac 上运行。我们同时关注这两者，以了解哪些思路可以迁移到单台电脑上。

  相关新闻:AI firewall products

• 浏览器扩展：进入 AI 助手的一条途径

  工具

  研究人员证明，一个恶意浏览器扩展就能操纵内置于多个浏览器中的 AI 助手。网络防火墙能看到浏览器，却看不到它的扩展。实验室里：在 FireAI 内部引导用户完成一次 Safari 扩展审查。

  相关新闻:Browser AI agent security

• OpenClaw

  工具

  开源的个人 AI 智能体，由 Peter Steinberger 创建，现由 OpenClaw Foundation 运营；它运行在你自己的电脑上，通过你的聊天应用接收指令。除非做了隔离，它的工具直接在主机上运行，因此会发起没有人在 Mac 上逐一选择过的出站连接。这正是我们关注它的原因：防火墙必须管住这些连接。要把它提升到试用，我们需要看到 FireAI 能按目的地列出它的连接，并且按任务划定的允许列表能够稳定生效，又不影响它的正常工作。

• Hermes Agent

  工具

  来自 Nous Research 的开源自我改进 AI 智能体（MIT 许可证），具备持久记忆、终端界面，以及用于导入 OpenClaw 配置的内置导入器。在桌面上拥有 shell 和网络访问权限的智能体是新的出站连接来源，而会随时间学习新技能的智能体更难预测。要把它提升到试用，我们需要看到它的流量在几天的真实使用中始终保持在一份简短的已批准目的地列表之内。

• 企业级 AI 智能体的控制平面

  平台

  在一些企业直接禁用该智能体之后，OpenClaw 基金会启动了一个开源控制平面，让公司可以在一处统一管理自己的 AI 智能体。这类治理决定谁可以运行智能体、拥有哪些权限；它看不到每台 Mac 实际连接了什么。实验室关注：按单台 Mac 查看智能体出站连接的视图，如何与公司策略相互补充。

  相关新闻:AI agent security

• 暴露在外的智能体运行环境与容器主机

  技术

  ThreatDown 报告的一个僵尸网络，会在向互联网敞开的 Docker 主机上安装开源的 Hermes Agent，并通过 Telegram 接收指令。薄弱点是暴露的管理服务，而不是智能体本身；任何可从网络访问的智能体运行环境都有同样的风险。实验室关注：当 Mac 上的某项服务开始接受来自其他电脑的连接时，及时提醒用户。

  相关新闻:AI agent security

• macOS 上克隆安装程序与磁盘映像中的后门

  技术

  有报告描述了一个以磁盘映像形式投放到 Mac 上的假 Zoom 安装程序；Jamf Threat Labs 则分析了 CloudSyncD，这是一个两阶段后门，把钓鱼得来的密码藏在零宽 Unicode 字符中。克隆的安装程序看起来和真正的应用一模一样，所以第一个可见的迹象往往是新进程连接到了哪里。实验室关注：标记刚安装、首次启动后不久就联系陌生目标的应用。

  相关新闻:macOS fake installersmacOS backdoors

暂缓 — 暂不考虑

• 后台应用里持续运行的界面动画

  技术

  每一帧都要重绘的计时器、无限循环的脉冲效果和动态模糊,即使没人在看,也会让 GPU 和 CPU 一直保持忙碌。我们把它们全部去掉了。

• 零样本的类型化决策编码器(Laya-multilingual MLX)

  模型

  这类编码器能以经过校准的置信度回答类型化的问题(单选、是/否、打分),在 Apple Silicon 上速度非常快。速度令人印象深刻,处理简单的路由判断也不错,但在零样本情况下,它把大多数防火墙指令都理解错了。这项任务先搁置,并非全面放弃。

• 由云端 AI 决定你的 Mac 能连接什么

  模型

  把每一次连接都发给远程 AI,会把你的浏览记录也一起发过去,还会给每次决策增加一次网络往返。FireAI 的 AI 留在 Mac 本地。

  相关新闻:AI chatbot privacyAI chatbot privacy

• 对你的账户拥有长期访问权限的个人 AI 代理

  模型

  能替你预订、购买和回复的代理，在能够长期访问邮件、日历和支付账户时效果最好。这种访问权限会一直存在，不会随单次任务结束而消失。我们自己的方案暂缓推进：FireAI 的 AI 在 Mac 本地回答问题，不持有任何账户访问权限。

  相关新闻:Personal AI agent privacyAI assistant security flaws

我们测试了什么，发现了什么

每份报告包括问题、我们的尝试、实测数据和结论。

我们公开结果，而不是配方：FireAI 的构建与调优方法留在实验室里。