™GitHub 周榜 Vol.3：本周 6 个值得看的项目
本周 6 个值得看的开源项目：2 个真装真跑，4 个读码验证。只说能验证的实话。
最新进展
共 1 条 · 新的在上-
周榜首发：GitHub 周榜 Vol.3，本周 6 个值得看的项目
后续更新会出现在这里
Vol.3：agent 的感官与底座的一周
这一周的 agent 在补感官、补底座、补流程：Cloudflare 给审计立规矩，ai-memory 给记忆安家，Substrate 给沙盒打地基，K-Dense 给科学装流程，ESP32 让模型摸到真机，earshot 让 agent 听见声音。本期 6 个项目，2 个真装真跑，4 个读码验证，只说能验证的实话。
本期速览
★ 是本站每天自己记的| # | 项目 | 一句话 | 方式 | ★ | 本周 |
|---|---|---|---|---|---|
| 01 | cloudflare/security-audit-skill | Cloudflare 官方的 coding-agent 安全审计 skill：六阶段流程（侦察、覆盖驱动猎取、候选验证、结构化输出、独立复核、中性报告），结论分 confirmed、needs_validation、rejected 三档，附 findings 与 coverage-ledger 校验器。MIT。 | 读码 | 47,040 | — |
| 02 | akitaonrails/ai-memory | 给 agent coding CLI 的长期记忆：一个自包含二进制 + 本地 server，记忆本体是 git 备份的 markdown wiki，跨 Claude Code、Codex、Cursor 等 20 多种工具共享，默认零 LLM 调用完成捕获、搜索与交接。MIT。 | 实测 | 13,538 | — |
| 03 | agent-substrate/substrate | Kubernetes 上的 agent 零信任沙盒 runtime：每 agent 独立 gVisor/microVM 沙盒、沙盒内零凭证、per-agent SPIFFE 身份、default-deny 网络；闲置 agent 快照出内存、按需恢复。Apache-2.0。 | 读码 | 5,801 | — |
| 04 | K-Dense-AI/scientific-agent-skills | 177 个科学 agent skill + 100 多个科学数据库：生物、化学、医药、物理、工程、地学等，遵循 Agent Skills 标准，兼容 Cursor、Claude Code、Codex、Antigravity，附 arXiv 论文。MIT。 | 读码 | 54,598 | — |
| 05 | onehumanbeing/esp32-iphone-agent | $7 的 ESP32-S3 板子让 AI 模型操作真机 iPhone：板子做 AirPlay 接收器（眼睛，H.264 直通不解码）+ USB HID 鼠标键盘（手），iPhone App 内跑 planner/actor，任意 OpenAI-compatible vision 模型；免 Mac、免越狱、免开发者账号。MIT。 | 读码 | 3,888 | — |
| 06 | Leonxlnx/earshot | 给 coding agent 的“耳朵”：CLI、Python API、MCP 三种形态，纯 CPU、离线可用；把声音变成 agent 能推理的证据（听起来像什么、与描述多贴合、长录音里的最佳时刻），还能用代码造声音（forge、sfx、kit，252 个音效银行）。MIT。 | 实测 | 2,800 | — |
逐个看
往期周榜-
Cloudflare 官方的 coding-agent 安全审计 skill：六阶段流程（侦察、覆盖驱动猎取、候选验证、结构化输出、独立复核、中性报告），结论分 confirmed、needs_validation、rejected 三档，附 findings 与 coverage-ledger 校验器。MIT。
- 为什么值得看
- 流程里最硬的一点是证伪：每个候选都交给一个全新的验证者去推翻，拿不出完整证据链的结论不给定级；自带的两套校验器测试本期实测 65 项全过（findings 34 项、coverage-ledger 31 项）。
- 坑在哪
- 完整审计要靠 coding agent 执行，本机无 agent CLI，端到端审计未跑；npx 安装器在非交互 shell 里停在 scope 选择 prompt，安装步骤未走完；最近一次 push 是 2026-09-14。
- 适合谁
- 想给自家代码库做 agent 安全审计的团队；想学审计流程怎么写成 skill 的人。
读码
读码：没装没跑，看了代码和文档
-
给 agent coding CLI 的长期记忆：一个自包含二进制 + 本地 server，记忆本体是 git 备份的 markdown wiki，跨 Claude Code、Codex、Cursor 等 20 多种工具共享，默认零 LLM 调用完成捕获、搜索与交接。MIT。
- 为什么值得看
- 本期唯一全链路跑通的项目：官方 v3.2.5 预编译二进制 SHA256 与官方发布一致，init、起 server、写页、搜索、读回、status 全部一次成功，搜索 1 页命中且 FTS 计数 1/1；10 月 22 日至 25 日连发 v3.2.1 至 v3.2.5 五个版本。
- 坑在哪
- 写页、搜索、读页都要先起 server（默认 127.0.0.1:49374），不起 server 时 CLI 直接报连接拒绝；本机无 cargo，源码编译未测，只测了官方预编译二进制。
- 适合谁
- 在多个 agent 工具之间换来换去、想让记忆跟着项目走的人；讨厌记忆被锁在某个工具里的人。
怎么测的
Ubuntu，官方 linux-x86_64 v3.2.5 tarball（SHA256 与官方发布一致）。ai-memory init 建库后起 HTTP server（127.0.0.1:49374），write-page 写 notes/vol3-test.md，search 关键词命中 1 条，read-page 读回全文，status 显示 pages 1、FTS 1/1；全程秒级，无 LLM key。
-
Kubernetes 上的 agent 零信任沙盒 runtime：每 agent 独立 gVisor/microVM 沙盒、沙盒内零凭证、per-agent SPIFFE 身份、default-deny 网络；闲置 agent 快照出内存、按需恢复。Apache-2.0。
- 为什么值得看
- 底座思路扎实：agent 大多时间在等模型，把等待变成调度优势，快照/恢复 + 多租户隔离是一套完整打法；cmd 下有 atecontroller、ateworker-gvisor/microvm、atenet-egress 等 10 多个组件，docs 覆盖架构、安全与 egress 全链路。
- 坑在哪
- readme 里的数字（恢复 <400ms、1500+ activations/秒、250 actors 跑在 8 个 pod 的 demo）均为项目方口径，未独立验证；pre-1.0，无兼容承诺；要真 K8s 集群，本机无 go 工具链、无集群，runtime 未跑。
- 适合谁
- 要在 K8s 上批量跑不可信 agent 的 infra 团队；先读文档、再决定要不要搭集群的人。
读码
读码：没装没跑，看了代码和文档
-
177 个科学 agent skill + 100 多个科学数据库：生物、化学、医药、物理、工程、地学等，遵循 Agent Skills 标准，兼容 Cursor、Claude Code、Codex、Antigravity，附 arXiv 论文。MIT。
- 为什么值得看
- 数量宣称本期逐项数过：skills/ 下 177 个目录、177 个 SKILL.md，对得上；抽查的 biopython（480 行）、alphagenome（297 行）都是带版本、兼容性与复核记录的完整流程，不是空标题。
- 坑在哪
- “25 万+科学家在用”是仓库自称，未独立验证；177 个 skill 不可能逐个验证，本期只核了数量与抽查文件，质量参差需要读者自己试；本质是文档包，价值在策展不在代码。
- 适合谁
- 做科研 agent、想给 agent 装领域流程的实验室与开发者；找特定科学工具 skill 的人。
读码
读码：没装没跑，看了代码和文档
-
$7 的 ESP32-S3 板子让 AI 模型操作真机 iPhone：板子做 AirPlay 接收器（眼睛，H.264 直通不解码）+ USB HID 鼠标键盘（手），iPhone App 内跑 planner/actor，任意 OpenAI-compatible vision 模型；免 Mac、免越狱、免开发者账号。MIT。
- 为什么值得看
- README 把坑写全了：BLE 只有 300–500 kbps，镜像 480×1040、≤5fps、每步几秒；iOS 不镜像锁屏、Apple Pay 与 DRM 内容；键盘只 ASCII、无横屏；这种先说短处的写法少见；hardware、server、ios 三端结构齐全。
- 坑在哪
- 需要真机 + ESP32-S3 板子（作者实测 Seeed XIAO ESP32S3 普通版），本机无硬件，端到端未跑；token 成本与任务成功率未量化；要求 iOS 18+。
- 适合谁
- 手头有 iPhone + 板子、能接受慢速的真机 agent 玩家；想研究 AirPlay + HID 这条平民路线的人。
读码
读码：没装没跑，看了代码和文档
-
给 coding agent 的“耳朵”：CLI、Python API、MCP 三种形态，纯 CPU、离线可用；把声音变成 agent 能推理的证据（听起来像什么、与描述多贴合、长录音里的最佳时刻），还能用代码造声音（forge、sfx、kit，252 个音效银行）。MIT。
- 为什么值得看
- 听觉链路在 CPU 上是真跑通的：对自制音频的 describe 给出分级结论（最高 tag z +2.7，plausible 级而非 clear）+ AudioSet 标签 + 与文件完全一致的测量值（440Hz、2.0 秒、-7.9 LUFS）；免模型命令同样实在：measure 精确，sfx 列出全部 252 个银行音效。
- 坑在哪
- 首次用模型要下载约 1.1 GB 的 pinned 模型，每次 CLI 调用都要重载（本期实测 60 秒，README 称 20–40 秒）。本机 xet/CAS 下载两次均在约 1 秒内结束且 0 分片落盘，改走直连 CDN 下载 pinned 模型并以本地文件夹加载（CLAP SHA256 与官方 blob 一致）。对自制正弦音+噪声 burst 的 describe 结论只是 plausible 级（最高 tag z +2.7，未达 clear 的 3），要看 z 值，别只看标签。
- 适合谁
- agent 会产出或评审声音（影片、演示、游戏音频）的人；想要测量值和文字描述、而不是自己去听的人。
怎么测的
Ubuntu，Python 3.12.3 venv，torch CPU 2.14.1，pip install -e ".[mcp,llm,dev]" 装出 earshot 0.4.0；doctor 判 healthy、252 个音效银行齐全；对自制 2.0 秒 wav（440Hz 正弦音 + 噪声 burst）的 measure 返回 brightness 440Hz、-7.9 LUFS；本地加载 pinned 模型后的 describe 用 60 秒，返回 plausible 级判读：最高 tag 为 chat message pop（z +2.7），AudioSet Busy signal 0.91，测量值一致。
为什么重要
本期 6 个项目覆盖 agent 的审计、记忆、沙盒、科学、真机操作与听觉，全部只写可验证的实话。