OpenAPPA

OpenAPPA 是一套給 LLM 代理用的資訊流政策引擎，以 MIT 授權開源，背後有一篇被 NeurIPS 接受的論文，目前處於 Preview 與 RFC 階段。它要解決的問題很尖銳：現在主流的「自動模式」是用第二個模型去判斷每個工具呼叫安不安全，但這個判斷模型本身也可能被提示注入，而且看不到跨工具呼叫的資料流；黑名單又擋不住，封了 rm -rf，模型就改寫一行 Python。

OpenAPPA 的做法是追蹤資料流。設定檔不寫「允許哪些工具」，而是描述資料來源、受眾、信任等級與授權者。每一段代理執行軌跡都帶著「受眾 × 信任」的安全標籤：讀了私有 repo，受眾就縮小；讀了未經審核的網頁，信任就下降。標籤只會越來越嚴，決策由代數推導而來，所以注入的提示無從說服它。引擎跑在代理的提示與執行迴圈之外，模型看不到也無法跟它討價還價。

功能特色與適用場景：嚴格防護通常會讓代理一直卡關，OpenAPPA 被擋時會回傳機器可讀的替代路徑，例如先遮蔽機密或個資再放行、針對單一動作請人工核准、把不受信任的讀取隔離到可丟棄的分支。官網公布的基準是任務完成率 89%、攻擊成功率 0%。已可整合 Claude Code、Archestra、kAgent，設定檔可在 CI/CD 驗證整個工具圖是否都被涵蓋。對台灣金融、醫療等導入編碼代理又擔心機密外洩的資安團隊，值得放進評估清單。