← 返回日报索引

2026-09-15 GitHub 趋势研究简报

证据边界： 项目名称、星标、tags、description 来自 2026-09-15 GitHub Search API 公开元数据（created_at / pushed_at / stargazers_count / forks_count / language / description / topics / license）+ 各项目 README 公开摘录（API readme 字段 base64 解码）。"X 天 Y⭐"基于 created_at→2026-09-15 总星数除以经过天数（粗略下限估计），stargazers REST endpoint 需要认证故未做精确单日增量统计。今日观察窗为 2026-09-14 创建且截至 2026-09-15 仍在快速增长的 5 个非游戏类高质量工程型项目；09-15 当日新创仓库 API 在本轮抓取中暂返回有限命中（部分受 GitHub API 未鉴权速率限制影响），本批重点放在 09-14 创建且仍持续增长的项目。本批 5 个项目的共同特征是「单点工程痛点 + 强可复现证据 + 严肃许可或明确 NOASSERTION 声明」——ToolReplay 解决「AI Coding Agent 会话是否可信可审计」、FlashREINFORCE 解决「agentic LLM 异步 RL 训练」、airlift 解决「iOS 27.0 AirTraffic 沙箱逃逸 PoC」、XiaoAi-LLM-Router 解决「老旧智能音箱升级本地 LLM」、claude-code-routing 解决「Claude Code token 成本削减」。agentscope-java/agentscope-java（32⭐ / 0 forks / 33 MB / Java NOASSERTION / 09-14 创建）经核验为 Alibaba 官方 agentscope-ai/agentscope-java（5,600⭐ / 1,359 forks / 2025-09-23 创建）的同名镜像/重定位账号，README 与 News 区段完全一致，本简报不列入核心趋势但作脚注——这是「库方在 GitHub 重新注册账号」一类组织性事件的信号，非新工程；它反映 AgentScope Java 2.0 GA（2026-07）+ AgentScope Service（2026-08）仍在推进企业 Java Agent 框架演进。nilbuild/page-mascot（209⭐ / 8 forks / Python MIT / 176 MB / 「a mascot that watches the cursor and blinks when you poke it」）为可执行 demo 类项目而非工程系统，本简报不列入核心趋势。yifanzhang-pro/FlashREINFORCE 虽 README 注明 NVIDIA 作者团队 + 项目代码仓为 NVIDIA-NeMo/labs-molt，本仓库作为论文参考实现 + 训练 launcher 仍是独立可运行工程，与官方 Molt 主仓形成「论文参考实现 + 生产训练栈」分工。callbacked/kinesis（51⭐ / 1 fork / Swift NOASSERTION）虽 fork/star 较高，但需要 Meta Neural Band 硬件 + 仅 macOS 14+ 且 demo 视频缺失，本批优先选入可独立验证的工程类项目。"趋势"是基于公开元数据的观察，不等同于生产成熟度或长期价值。

今日重点趋势（按排名）

1. Coding Agent 工具调用会话审计确立「session 层可观测」第七件套（趋势分 92）

2. NVIDIA Asynchronous RL for Agentic LLM 工程化开源（趋势分 86）

3. iOS 27.0 AirTraffic 沙箱逃逸 PoC 公开（趋势分 84）

4. 老旧小米小爱同学升级本地 LLM 智能管家网关（趋势分 78）

5. Spotify Portal 90% Claude Code token 削减公开博客的 plain Claude Code 复现（趋势分 80）

最值得关注的方向

  1. AI Coding 工具链从「6 件套」扩张到「7 件套」——ToolReplay 把「session 层审计」维度补齐，与 tracecrate（时序）+ birdview（架构）+ ccompactor（session 互操作）+ maskit（出网）+ routeVSCODE（路由）+ Baize（agent loop）形成 「7 件套 AI Coding 工具链」；session 层审计是企业 SDLC 合规的硬需求——SOC2 / ISO 27001 都需要「Coding Agent 是否做了它声称做的事」「是否调用了它声称没调用的工具」「是否在声明权限范围内」的可审计证据；ToolReplay 是这一维度的最小可用工具。
  2. agentic LLM RL 训练范式从 critic-based 转向 critic-free 异步——FlashREINFORCE 的「critic-free + 单 rollout + 异步 + trust region」四件套是 REINFORCE 类方法在 agentic LLM 上的回归——不依赖 critic 模型意味着少一份算力预算 + 少一个失败点；这是 NVIDIA 在 2026-09 给出的工业级 RL 训练替代方案；与 Molt 异步训练栈整合意味着可扩展到生产规模。
  3. iOS 27.0 沙箱逃逸公开化是 Apple 安全研究通道仍在工作——airlift 是 2026 Q3 公开的最具体 iOS 27 沙箱绕过案例；漏洞根因清晰到 -[ATAirlock processCompletedAsset:] 字符串前缀校验 + ancestor symlink 跟随；Apple Security 团队可以直接对应修复；对 iOS 安全研究者：这是「paired Mac + Books sync」默认场景下的具体漏洞模式；对企业：iOS 27.0 设备 + Mac 配对 + Books 同步启用 = 暴露面（应暂时关闭 Books 同步直到补丁）。
  4. 「不拆硬件 + LiteLLM 中间层」是智能音箱升级的可行模式——XiaoAi-LLM-Router 的「收音 MiService + 思考 LiteLLM + 嘴 MiTTS」三段拆分 + 唤醒词路由是「不破坏小米生态让老音箱变 LLM 智能管家」的中间层路径；Ollama 模式链路不出局域网是隐私敏感家庭用户的关键卖点；对中国家庭普遍持有小米 / 天猫精灵 / 小度等老音箱的市场，这是「配置驱动多供应商」+「Docker 一键部署」的具体路径。
  5. 「cheap model 当 worker + Claude 当 orchestrator」是 AI Coding 成本优化的标准模式——claude-code-routing 把「读 / 写 boilerplate」路由给 Haiku，Claude 专注「思考 + 决策」；plain Claude Code 不需 Portal 是 Spotify Portal 博客的 plain 复现；4 个公开 benchmark + 主动标注 S2 反例（with 比 without 略贵）是诚实信号的工程化；对 Claude Code 重度用户：直接克隆 + install.sh + 跑 4 个 benchmark 验证成本节省比。
  6. 「本地 + 反 SaaS + 自带 key」范式扩张到智能音箱领域——XiaoAi-LLM-Router 与昨日 tracecrate / maskit / mural 同构「本地 + 自带 key + 不绑账号」反 SaaS 范式，但推到 「硬件受限设备的 LLM 升级」 这一新场景——不拆硬件、不刷固件、不改原音色，仅通过中间层加 LLM 思考回路。
  7. 「单点工程痛点 + 强可复现证据 + 严肃许可」三个项目同日出现——ToolReplay（Python MIT 零三方依赖 单一六行样本覆盖三类 finding）+ FlashREINFORCE（NVIDIA Apache-2.0 论文参考实现 + Molt 集成 + docs/training.md 明示复现局限）+ airlift（Objective-C NOASSERTION 明示 PoC 意图 + 不 burn for clout）三个项目 「解决一个具体工程问题 + 证据可独立复现 + 许可明确或明确 NOASSERTION」 是 2026-09 趋势的延续特征。

重点项目深度分析（top 3）

🏆 Matthew0822/ToolReplay（Score 92）

定位判断： Coding Agent 工具调用会话审计 CLI。它不是又一个日志查看器或 trace 可视化工具，而是 「对一份 agent 会话转录做静态审计」——核心问题是「这份 JSONL 本身是否自洽」。它是 AI Coding 工具链从 6 件套扩张到 7 件套的「session 层审计」补齐。它不记录 agent 行为（那是 tracecrate），不画架构图（那是 birdview），不跨 agent 交接（那是 ccompactor），而是 「hash-chain 封存 + 确定性 replay + 冗余检测 + 权限越权检测」 四件套。

关键技术亮点： 1. 三个 finding 维度——non-determinism（同一工具同一 canonical JSON 编码参数两次调用返回不同响应则首个分歧索引即 divergence point）/ redundant-call（仅当两次相同调用之间没有 mutator 或不同调用时算冗余）/ permission-overreach（外部声明权限文件比对的越权调用）；三类 finding 完全独立可计算 2. canonical JSON 编码——比较同一调用时用 canonical JSON 编码（而非字符串），避免「同一字符串不同空格导致误判为不同调用」；这是审计语义的关键 3. state-change mutator 识别——区分 read_file（无副作用）与 write_file（有副作用）等工具类型；「两次相同 read_file 中间无 write_file」才算 redundant，「中间有 write_file」不算 4. hash-chain 封存——seal <transcript> 输出 hash-chain sealed JSONL，每条记录链到上一条的 hash；verify <sealed> 重算 chain 并报告第一个断链位置——实现「篡改可见」 5. 外部 scope 文件——scope <transcript> <scope> 把权限声明与 transcript 解耦，便于「同一 agent 不同权限」场景；scope 文件可声明每个 agent 允许的工具列表 6. strict 解析 + byte-identical 输出——输入严格解析（calls: 6 意味着 6 个良构行，索引 0 到 5 无畸形）；finding 排序固定（按 index 再按 kind）保证同一输入永远输出 byte-identical——这是审计工具的硬要求 7. 存在 finding 时 exit code 1——便于 CI / pre-commit hook 集成 8. Python 3.11+ / 零三方运行时依赖 / 无网络访问——pip install . 仅装 console script；适合作为合规管线中的一个步骤 9. samples/session-dirty.jsonl 单一六行样本——index 2 read_file 在 docs/intro.md 上与 index 1 重复且中间无状态变化判 redundant，index 5 search for install 返回 7 hits 与 index 3 的 3 hits 不同判 non-determinism 且 index 5 是 divergence point，index 4 write_file 不在 docs-reader agent 声明 scope 中判 permission-overreach——单一六行样本同时覆盖三类 finding 10. MIT 许可 + 464 KB repo + Python 3.11+——可独立部署的最小审计内核形态

架构师速览：

决策问题 研究判断 证据边界
系统边界 Coding Agent 工具调用会话审计 CLI；输入 transcript (JSONL) + 可选 scope 文件；输出 finding 列表 + hash-chain sealed JSONL；零三方依赖零网络访问；五命令独立可组合 来自 README 关于「seal/replay/verify/scope/version 五命令」「Python 3.11+」「dependency-free」「no network access」「canonical JSON 编码」「state-change mutator 识别」「external scope file」的明示；具体 canonical JSON 编码细节、mutator 工具列表（哪些工具算 mutator）、scope 文件 schema 在 README 中未完全展开
主路径 输入 transcript → strict 解析 → canonical JSON 编码构建调用指纹 → replay 命令：第一次见到调用记录响应，重复见到不同响应判 non-determinism 且首个分歧索引即 divergence point；同指纹 + 中间无 mutator 判 redundant；scope 命令：外部 scope 文件比对每次调用的 tool name 是否在声明范围 主路径来自 README 描述的三个 finding 维度 + samples/session-dirty.jsonl 六行样本；三类 finding 的具体边界（canonical JSON 字段范围、mutator 判定规则、scope 文件 JSON schema）待核验
关键权衡 静态审计 vs 运行时插桩（零运行时开销 vs 漏掉未记录的调用）/ canonical JSON 编码 vs 原始字符串（精度 vs 鲁棒性）/ strict 解析 vs 容错（清晰 vs 易用）/ 外部 scope 文件 vs 内嵌声明（解耦 vs 紧耦合）/ 零三方依赖 vs 功能丰富（轻 vs 重） 权衡五因素均从 README + repo 元数据推导；具体 canonical JSON 实现细节、scope 文件 schema 严格度、与其他 Coding Agent transcript 格式的兼容性待核验
最小 PoC Python 3.11+ + samples/session-dirty.jsonl + samples/scope.json（已随仓库提供）；运行 python -m toolreplay replay samples/session-dirty.jsonl 观察三类 finding + divergence + exit code 1；再运行 python -m toolreplay scope samples/session-dirty.jsonl samples/scope.json 观察 permission-overreach；最后 python -m toolreplay seal 输出 hash-chain sealed JSONL + python -m toolreplay verify 重算 chain PoC 由「五命令 + samples/session-dirty.jsonl 六行样本 + samples/scope.json 配套」路径推导；具体 scope 文件 JSON schema、canonical JSON 编码细节待核验

架构图（MMD）：

证据边界：此图只采用本档案已有可核验描述；"待核验"节点不应视为项目实现事实。

flowchart LR
  Input[agent transcript JSONL
well-formed lines] --> Parse[strict 解析
index 0-N 无畸形]
  Parse --> Calls[调用列表
tool name + args + response]
  Calls --> Replay[replay 命令
三个 finding 维度]
  Calls --> Seal[seal 命令
hash-chain 封存]
  Replay --> Nondet[non-determinism
canonical JSON 编码比较
首分歧索引 = divergence]
  Replay --> Redun[redundant-call
state-change mutator 识别
中间无 mutator 才算冗余]
  Replay --> Verify1[verify 命令
重算 hash-chain
报告首个断链]
  Scope[外部 scope JSON
声明 agent 允许的工具] --> ScopeChk[scope 命令]
  Calls --> ScopeChk
  ScopeChk --> Over[permission-overreach
tool 不在 scope 中]
  Replay --> Report[byte-identical finding 列表
按 index + kind 排序]
  ScopeChk --> Report
  Seal --> Sealed[sealed JSONL
每条链到上一条 hash]
  Sealed --> Verify1
  Report --> Exit[exit code 1
有 finding]
  Report --> Exit0[exit code 0
无 finding]
  CI[CI / pre-commit hook
SDLC 集成点] -.调用.-> Replay
  CI -.调用.-> ScopeChk
  CI -.调用.-> Verify1

🥈 yifanzhang-pro/FlashREINFORCE（Score 86）

定位判断： NVIDIA 2026-09 论文《FlashREINFORCE》的开源参考实现 + 训练 launcher。它不是又一个 RL 算法库（那是 Hugging Face TRL / Stable Baselines3），而是 「论文作者团队直接把论文公式写成可读 PyTorch 代码 + 整合 Molt 异步训练栈 + 提供 reasoning / Python tools / MoE / ALFWorld 四类实验设置 + 主动标注复现局限」 的工程化形式。它是「critic-free + 单 rollout + 异步 + trust region」四件套对 critic-based 多 rollout 同步训练范式的实质性简化。

关键技术亮点： 1. 三个核心机制——「单 rollout per prompt」（避免多 rollout 算力开销）+ token importance sampling（修正陈旧行为）+ Sequence Trust Region（控制累积 policy drift） 2. Sample-Mean Optimization——防止长失败轨迹主导优化（用 sample mean 而非 sum 避免长失败序列拉低均值） 3. 可选 entropy-based failure-token filter——基于熵的失败 token 过滤，进一步降低失败样本对优化的影响 4. flashreinforce/loss.py 是核心——batch centering（批中心化降低方差）+ token IS（重要性采样修正分布漂移）+ sequence trust（序列级 trust region 控制累积更新幅度）+ sample mean（样本均值而非 sum）+ 可选 entropy-based failure-token filter 5. scripts/train_molt.py --dry-run 是工程化亮点——上线前预览所有训练 flags 避免「跑起来才发现参数不对」 6. pinned Molt launchers——R1 与 Qwen2.5-Math 模型 launcher，固定版本避免「今天跑得通明天跑不通」 7. examples/ 四类实验设置——reasoning（数学推理）+ Python tools（代码工具调用）+ MoE（混合专家）+ ALFWorld（具身家务） 8. docs/training.md 明示复现局限——「CPU example 不复现论文基准」「Tool/ALFWorld 设置需兼容 agent 与环境」——作者主动标注避免读者误读为「一键复现论文」 9. pip install -e '.[test]' + python -m pytest -q——可测试的工程化形式 10. Apache-2.0 + NVIDIA 团队 + 701 KB repo——工业级严肃度的论文参考实现

架构师速览：

决策问题 研究判断 证据边界
系统边界 论文参考实现 + Molt 异步训练 launcher；输入 prompt + 工具调用环境；输出 policy 更新；与官方 NVIDIA-NeMo/labs-molt 主仓形成「论文参考实现 + 生产训练栈」分工 来自 README 关于「standalone PyTorch reference loss + CPU update example + pinned Molt launchers + R1/Qwen2.5-Math + reasoning/Python tools/MoE/ALFWorld 实验设置」「docs/training.md 含 GPU setup + paper-to-code 映射 + 复现局限」的明示；具体 token IS 数学公式、sequence trust region 边界值、entropy filter 阈值在 loss.py 中可能给出，本档案未读源码
主路径 输入 prompt → 单 rollout（生成一次轨迹）→ token IS 修正（重要性采样）→ sequence trust region（序列级 trust region 控制累积 policy drift）→ sample mean 优化（用样本均值避免长失败轨迹主导）→ 可选 entropy-based failure-token filter（基于熵过滤失败 token）→ policy 更新 主路径来自 README 描述的三个核心机制 + loss.py 五个组件；每个组件的具体公式（trust region 阈值、sample mean 实现、entropy filter 计算方式）待核验
关键权衡 critic-free（少一份算力 + 少一个失败点 vs 单 rollout 估计方差大）/ 单 rollout（算力省 vs 多 rollout 估计基线更稳）/ 异步（Molt 解耦吞吐 vs 同步训练更易调试）/ trust region（控制 drift vs 限制更新速度）/ sample mean（避免失败主导 vs 对长成功轨迹不公平） 权衡五因素均从 README 推导；具体 trust region 数学形式、IS 重要性采样分布定义、sample mean vs weighted sum 的实际差距在论文中给出，本档案未读论文
最小 PoC Python 3.11+ + PyTorch + Molt（NVIDIA-NeMo/labs-molt）→ pip install -e '.[test]' → python examples/toy_update.py（CPU 验证优化器更新 step）+ python -m pytest -q（单元测试）；再 GPU 跑 python scripts/train_molt.py --dry-run 预览 flags；最后用 R1 或 Qwen2.5-Math launcher 跑 reasoning 实验 PoC 由「pip install + CPU example + pytest + Molt launcher + 4 实验设置」路径推导；具体 GPU 显存需求、CUDA 版本、Molt 集成细节待核验

架构图（MMD）：

证据边界：此图只采用本档案已有可核验描述；"待核验"节点不应视为项目实现事实。

flowchart LR
  Prompt[prompt batch] --> Rollout[单 rollout 生成
一次轨迹 per prompt]
  Rollout --> Token[token 级 IS
重要性采样]
  Token --> Trust[Sequence Trust Region
累积 policy drift 控制]
  Trust --> Sample[Sample-Mean Optimization
避免长失败轨迹主导]
  Sample --> Filter{可选 entropy-based
failure-token filter?}
  Filter -->|启用| Drop[过滤高熵失败 token]
  Filter -->|禁用| Update[policy 更新]
  Drop --> Update
  Update --> Policy[更新后的 policy]
  Molt[scripts/train_molt.py
Molt 异步训练 launcher] --> Rollout
  Molt --> Update
  Molt -.异步解耦.-> TrainStep[TrainStep worker]
  TrainStep --> Update
  Launcher[pinned launcher
R1 / Qwen2.5-Math] --> Molt
  Reasoning[reasoning 实验设置] --> Molt
  Tools[Python tools 实验设置] --> Molt
  MoE[MoE 实验设置] --> Molt
  ALFWorld[ALFWorld 实验设置] --> Molt
  Loss[flashreinforce/loss.py
参考实现] --> Update
  Docs[docs/training.md
GPU setup + paper-to-code
复现局限] -.指导.-> Molt
  Test[pytest 单元测试] -.验证.-> Loss

🥉 0xjohnnydev/airlift（Score 84）

定位判断： iOS 27.0 AirTraffic 沙箱逃逸 PoC。它不是 0-day 武器化，而是 「开发者与安全研究者了解 AirTraffic / ATAirlock / Books 同步链路边界设计缺陷」的最小可复现 PoC。它是 2026 Q3 公开的最具体 iOS 27 沙箱绕过案例——漏洞根因清晰到 -[ATAirlock processCompletedAsset:] 字符串前缀校验 + ancestor symlink 跟随；Apple Security 团队可直接对应修复。

关键技术亮点： 1. 完整系统栈——macOS 侧 MobileDevice.framework → AirTrafficHost.framework；iOS 侧 com.apple.streaming_zip_conduit → com.apple.afc → com.apple.atc / AirTrafficDevice → Books sync client → ATLegacyAssetLink → ATAirlock → NSFileManager 2. 触发条件简洁——「paired Mac over Wi-Fi or USB, no iOS app required」；普通用户的默认 Books 同步场景 3. 漏洞根因清晰——-[ATAirlock processCompletedAsset:] 仅校验 destination 字符串前缀（[destination hasPrefix:@"/var/mobile/Media/"]）未校验 source；destination 跟随 ancestor symlink；Books 「Persistent ID」作为 asset.identifier 直接拼接路径无校验 4. 12 个目录 fresh-file 写权限已验证——/var/mobile, /var/mobile/Documents, /var/mobile/Library, /var/mobile/Library/Preferences, /var/mobile/Library/Caches, /var/mobile/Library/SpringBoard, /var/mobile/Library/SMS, /var/mobile/Library/Safari, /var/mobile/Containers, /var/mobile/Containers/Data/Application, /var/mobile/Containers/Shared/AppGroup, /var/tmp 5. reads 是 indirect——先移动已知文件到 Media → 通过 AFC 读 → 移回；这种「不直接 read」的设计是为了规避直接 read 路径上的额外校验 6. MobileGestalt plist 当前不工作——明确标注局限（无法直接绕过 Activation Lock 或篡改设备激活状态） 7. 测试环境明示——iOS 27.0 RC (24A435) + iOS 27.0 final (24A437) 8. PoC 意图明示——「there are always more bugs 🔥🪲4⃣☃️」的反 burn-for-clout 立场；明确「simple proof-of-concept for developers and security researchers」 9. Objective-C + NOASSERTION + 33⭐ / fork 2 / 123 KB——「安全研究 PoC」典型形态（小、专、目标明确）

架构师速览：

决策问题 研究判断 证据边界
系统边界 iOS 27.0 RC + paired Mac + Books sync 启用场景；macOS 侧 MobileDevice.framework + AirTrafficHost.framework；iOS 侧 streaming_zip_conduit → afc → atc → AirTrafficDevice → Books sync client → ATLegacyAssetLink → ATAirlock → NSFileManager；沙箱逃逸 12 个目录写权限已验证；reads indirect（移动已知文件到 Media → AFC 读 → 移回） 来自 README 关于「12 个目录」「- [ATAirlock processCompletedAsset:] 字符串前缀校验」「ancestor symlink 跟随」「iOS 27.0 RC 24A435 + final 24A437」「no iOS app required」的明示；具体漏洞利用代码（移动 symlink + 触发 Books sync 的 Objective-C 源码）、NSFileManager 默认行为细节、MobileDevice.framework 在 paired Mac 侧的具体调用在 README 中未完整给出
主路径 paired Mac + Books sync enabled → 构造 symlink + Books 「Persistent ID」→ 触发 AirTraffic sync → ATAirlock -[processCompletedAsset:] 取 asset.identifier 无校验直接拼接到 source 路径 → 取 asset.path（FileComplete.AssetPath 控制）拼接到 destination 路径 → 仅校验 destination 字符串前缀未校验 source → [NSFileManager moveItemAtPath:source toPath:destination] 跟随 ancestor symlink → 写入 12 个目录之一 主路径来自 README 关于漏洞利用流程的明示；具体 Objective-C PoC 代码（移动 symlink + 触发 Books sync 的实现细节）在本档案未读取；每个步骤的具体函数调用待核验
关键权衡 公开 PoC（教育 + 推动修复 vs 给攻击者武器化）/ 仅 Books 同步场景（聚焦 vs 攻击面窄）/ 不工作于 MobileGestalt plist（数据读写可 vs 设备控制不可）/ iOS 27.0 RC + final（早期补丁窗口 vs 已公开补丁窗口）/ Objective-C 实现（Apple 栈原生 vs 复杂 PoC 工程） 权衡五因素均从 README 推导；具体 Apple Security 是否已收到报告、ETA 修复时间、patched iOS 版本号、其他 Books 同步路径变种待核验
最小 PoC macOS + Xcode + paired iPhone（iOS 27.0 RC 24A435 或 final 24A437）+ 启用 Books sync + Objective-C 编译 PoC；触发条件：构造 symlink + 触发 AirTraffic sync；验证：写入 /var/mobile/Library/Preferences（最敏感目录之一）+ 读取 indirect（移动已知文件到 Media → AFC 读 → 移回）；不应尝试 MobileGestalt plist（README 明示当前不工作） PoC 由「12 个目录验证 + paired Mac + Books sync + Objective-C 漏洞利用代码」路径推导；具体 PoC 编译步骤、symlink 构造细节、AFC 命令行调用待核验

架构图（MMD）：

证据边界：此图只采用本档案已有可核验描述；"待核验"节点不应视为项目实现事实。

flowchart LR
  Mac[paired Mac
Wi-Fi or USB] --> MobileDev[MobileDevice.framework
macOS 侧]
  MobileDev --> AirTrafficHost[AirTrafficHost.framework
macOS 侧]
  AirTrafficHost --> Conduit[com.apple.streaming_zip_conduit
iOS 侧]
  Conduit --> Afc[com.apple.afc
Apple File Connection]
  Afc --> Atc[com.apple.atc
AirTrafficDevice]
  Atc --> Books[Books sync client]
  Books --> AssetLink[ATLegacyAssetLink]
  AssetLink --> Airlock[ATAirlock
- processCompletedAsset]
  Airlock --> Fm[NSFileManager
moveItemAtPath:toPath:]
  Fm --> Varify{destination
hasPrefix /var/mobile/Media?}
  Varify -->|是| SymlinkCheck{ancestor symlink
跟随?}
  SymlinkCheck -->|是| Escape[沙箱逃逸
12 个目录写权限]
  SymlinkCheck -->|否| Block[阻断]
  Varify -->|否| Block
  Escape --> Dir1[/var/mobile]
  Escape --> Dir2[/var/mobile/Documents]
  Escape --> Dir3[/var/mobile/Library]
  Escape --> Dir4[/var/mobile/Library/Preferences]
  Escape --> Dir5[/var/mobile/Library/Caches]
  Escape --> Dir6[/var/mobile/Library/SpringBoard]
  Escape --> Dir7[/var/mobile/Library/SMS]
  Escape --> Dir8[/var/mobile/Library/Safari]
  Escape --> Dir9[/var/mobile/Containers]
  Escape --> Dir10[/var/mobile/Containers/Data/Application]
  Escape --> Dir11[/var/mobile/Containers/Shared/AppGroup]
  Escape --> Dir12[/var/tmp]
  Books -. Persistent ID 无路径校验 .-> Airlock
  Fm -.间接 read .-> Afc

风险与机遇

风险（项目级）

机遇（赛道级）

风险与机遇（叙事级）

风险

机遇

重点项目档案

数据来源: GitHub Search API (2026-09-15) + 各项目 README API readme 字段 base64 解码 | License: MIT / Apache-2.0 / NOASSERTION | Stars: 171/39/33/20/19 | Forks: 18/3/2/0/3 | Created: 2026-09-14