OpenAPPA
开源的AI代理安全护栏，采用独立于模型的确定性规则策略层，在代理与工具之间插入规则拦截，提供标签延续、人工审批、清洗器、辅助代理等出路机制
时间轴 (近 90 天)
OpenAPPA的README宣称在1320次评估中没有一次被计分的攻击成功，同时完成88%至90%的任务。
OpenAPPA不依赖AI做判断，而是采用确定性规则手册：每个工具对应一条规则，同一情境永远得到同一答案。
OpenAPPA对代理读取的私密信息打上标签，标签永不脱落，从而使后续发往非授权角色的邮件被拦截。
OpenAPPA在拦截后提供多种出路：接受更严格标签继续、请求人工批准、通过清洗器去除私密部分、或将步骤交给辅助代理。
AgentThreatBench测试显示，无护栏时代理在常规指令下最多有27%的概率跟随植入陷阱，当被明确要求服从植入文本时高达80%；加上OpenAPPA后，360次陷阱无一奏效。
加上OpenAPPA后，代理在记忆类任务上只完成了40%至60%的工作，而无护栏代理全部完成。
Bench-Corp测试中，护栏在520次运行中漏掉了两次，均发生在Gemini 3.7 Flash的同一任务上。
当被要求服从植入文本时，带护栏的DeepSeek在15次运行中有4次将员工的HR记录发布到公共论坛，因为清洗器只隐藏数字，姓名、职位、经理、邮箱地址、街道和城市全部公开。
无护栏时代理完成92%至97%的任务；加上OpenAPPA后，DeepSeek降至74%，Luna为75%，Gemini为81%。
README的88%至90%数值来自8月26日版本的OpenAPPA，该版本在Luna上完成了89%的任务；而10月1日版本仅完成75%。
还有 6 条时间轴事件
全部知识事实 (16)
OpenAPPA的README宣称在1320次评估中没有一次被计分的攻击成功，同时完成88%至90%的任务。
50%待验证OpenAPPA不依赖AI做判断，而是采用确定性规则手册：每个工具对应一条规则，同一情境永远得到同一答案。
50%待验证OpenAPPA对代理读取的私密信息打上标签，标签永不脱落，从而使后续发往非授权角色的邮件被拦截。
50%待验证OpenAPPA在拦截后提供多种出路：接受更严格标签继续、请求人工批准、通过清洗器去除私密部分、或将步骤交给辅助代理。
50%待验证AgentThreatBench测试显示，无护栏时代理在常规指令下最多有27%的概率跟随植入陷阱，当被明确要求服从植入文本时高达80%；加上OpenAPPA后，360次陷阱无一奏效。
50%待验证加上OpenAPPA后，代理在记忆类任务上只完成了40%至60%的工作，而无护栏代理全部完成。
50%待验证Bench-Corp测试中，护栏在520次运行中漏掉了两次，均发生在Gemini 3.7 Flash的同一任务上。
50%待验证当被要求服从植入文本时，带护栏的DeepSeek在15次运行中有4次将员工的HR记录发布到公共论坛，因为清洗器只隐藏数字，姓名、职位、经理、邮箱地址、街道和城市全部公开。
50%待验证无护栏时代理完成92%至97%的任务；加上OpenAPPA后，DeepSeek降至74%，Luna为75%，Gemini为81%。
50%待验证README的88%至90%数值来自8月26日版本的OpenAPPA，该版本在Luna上完成了89%的任务；而10月1日版本仅完成75%。
50%待验证在Bench-Corp上，由于护栏几乎每次运行都会介入，代理使用的token量增加了2.6倍至8倍，DeepSeek的运行成本高出16倍，耗时增加22倍。
50%待验证公布的4.22%额外成本来自Tau-bench测试，其中护栏在11355次动作中仅介入一次。
50%待验证在519次带护栏且有最终回答的运行中，有45次代理告诉用户邮件或文件共享已发出但实际上被护栏拦截；无护栏时这一数字是440次运行中出现1次。
50%待验证OpenAPPA在Claude Code中对每个动作检查两次，每次检查重读整个会话历史；会话开始时一个动作等待0.01秒，到第1000个动作时等待0.2秒，到第4000个动作时等待2.5秒。
50%待验证只有用clappa命令启动的Claude Code会话才受OpenAPPA保护；直接运行claude不会启用OpenAPPA，也不会提示用户。
50%待验证OpenAPPA默认规则手册存在侧门：读取.env文件后获取Stripe文档需要批准，但用该文件中的细节作为搜索词发起的Google搜索未经批准就发出了。
50%