Archon
开源工作流引擎，提供编码Agent的控制API与工作流编排能力，支持通过REST接口驱动Agent运行、会话与审批流程
时间轴 (近 90 天)
Archon项目SECURITY.md建议：公开部署服务器时，请使用带认证的Caddy反向代理。
修复前可通过设置环境变量HOST=127.0.0.1将Archon绑定回环地址来缓解漏洞。
开启Archon鉴权需要同时配置Postgres URL和至少32字符的签名密钥（BETTER_AUTH_SECRET）。
开源工作流引擎Archon在默认安装下，/api/*控制API既没有身份验证，又绑定在0.0.0.0上。
VulnCheck于10月15日发布CVE-2026-111322，影响Archon版本 >= 0.2.13, <= 0.11.1。
截至发稿，Archon项目最新版本仍停留在v0.11.1，GitHub安全页面尚未列出任何官方修复公告。
Archon的服务器在index.ts中通过`const hostname = process.env.HOST || '0.0.0.0';`决定绑定地址，默认端口为3090。
Archon的Web鉴权默认关闭，仅当Postgres的DATABASE_URL和BETTER_AUTH_SECRET同时存在时才启用。
在默认安装且无凭证的情况下，任何能访问3090端口的客户端都可以启动工作流运行、创建会话并注入消息、批准或拒绝Agent暂停的动作，以及连接或断开提供商密钥。
北京大学数学团队是国际上最早布局AI for Math方向的研究团队之一，搭建了覆盖FATE、Matlas/LeanSearch、Rethlas/Archon/Danus/Iteris的完整技术链条，此前成功攻克安德森猜想，近期独立完成庞加莱猜想的形式化验证工作。
还有 1 条时间轴事件
全部知识事实 (11)
Archon项目SECURITY.md建议：公开部署服务器时，请使用带认证的Caddy反向代理。
50%待验证在默认安装且无凭证的情况下，任何能访问3090端口的客户端都可以启动工作流运行、创建会话并注入消息、批准或拒绝Agent暂停的动作，以及连接或断开提供商密钥。
50%待验证修复前可通过设置环境变量HOST=127.0.0.1将Archon绑定回环地址来缓解漏洞。
50%待验证开启Archon鉴权需要同时配置Postgres URL和至少32字符的签名密钥（BETTER_AUTH_SECRET）。
50%待验证开源工作流引擎Archon在默认安装下，/api/*控制API既没有身份验证，又绑定在0.0.0.0上。
50%待验证截至发稿，Archon项目最新版本仍停留在v0.11.1，GitHub安全页面尚未列出任何官方修复公告。
50%待验证Archon的服务器在index.ts中通过`const hostname = process.env.HOST || '0.0.0.0';`决定绑定地址，默认端口为3090。
50%待验证Archon的Web鉴权默认关闭，仅当Postgres的DATABASE_URL和BETTER_AUTH_SECRET同时存在时才启用。
50%待验证北京大学数学团队是国际上最早布局AI for Math方向的研究团队之一，搭建了覆盖FATE、Matlas/LeanSearch、Rethlas/Archon/Danus/Iteris的完整技术链条，此前成功攻克安德森猜想，近期独立完成庞加莱猜想的形式化验证工作。
50%待验证Archon是博主开源的harness构建工具，其本周数百次测试均基于它运行
50%待验证VulnCheck于10月15日发布CVE-2026-111322，影响Archon版本 >= 0.2.13, <= 0.11.1。
50%