本期共收录 8 个热门开源项目，合计新增 ⭐ 6,174 stars，热门语言：Python、JavaScript。
数据来源：GitHub Trending | 统计周期：日榜 | 更新日期：2026-10-24
📝 本期综述
涨星最高的两个项目都在管 AI 代理的安全：cloudflare/security-audit-skill 把安全审计拆成六阶段、产出机器可读的发现结果，新增 2,716 星；NVIDIA/OpenShell 用内核级沙箱管住代理对文件、系统调用和网络的操作，凭据只附加到获准端点，新增 1,119 星。
PHP 官方解释器的源码仓库 php/php-src 也上榜，新增 716 星，源码构建、测试套件和 RFC 流程都在里面。发布前想给整库做一遍可追溯的漏洞审计，装 security-audit-skill；要让代理装包、调第三方 API 又不交出真实凭据，就用 OpenShell。
📋 本期概览
| 排名 | 项目 | 语言 | ⭐ 总星数 | 本期新增 |
|---|---|---|---|---|
| 1 | security-audit-skill | JavaScript | 42,155 | +2,716 |
| 2 | php-src | C | 41,564 | +716 |
| 3 | knowledge-work-plugins | Python | 32,219 | +635 |
| 4 | OpenShell | Rust | 18,805 | +1,119 |
| 5 | ziwei-doushu | TypeScript | 6,863 | +546 |
| 6 | Claude-Red | Python | 8,492 | +226 |
| 7 | VoxCPM | Python | 40,258 | +150 |
| 8 | node | JavaScript | 122,867 | +66 |
🔍 项目详情
1. cloudflare/security-audit-skill
用于多阶段安全审计的编码代理技能，产出经独立验证、机器可读的发现结果
该仓库提供面向编码代理的六阶段安全审计技能：侦察、覆盖引导式狩猎、候选验证、结构化输出、独立记录核验和目标中立的报告生成。它把结论分为 confirmed、needs_validation、rejected，并用零依赖校验器验证 findings.json 与 coverage-ledger.json。主要适合希望让 AI 代理系统化发现漏洞并形成可追溯、机器可读结果的安全审计或漏洞发现场景。
语言 ：JavaScript · Stars ：42,155 · Forks ：2,633 · 本期新增：+2,716
2. php/php-src
PHP 解释器
这是 PHP 官方解释器的源码仓库，维护 PHP 这一广泛用于 Web 开发的通用脚本语言。README 主要介绍从源码构建、安装预编译包、运行测试套件和获取文档的方式，并说明新功能需要经过 RFC 流程。主要面向需要研究、构建、测试或贡献 PHP 核心的开发者，许可证为 BSD-3-Clause。
语言 ：C · Stars ：41,564 · Forks ：8,361 · 本期新增：+716
3. anthropics/knowledge-work-plugins
主要面向知识工作者、用于 Claude Cowork 的开源插件仓库
该项目提供一组面向知识工作场景的 Claude 插件，覆盖生产力、销售、客户支持、产品管理、营销、法律、财务、数据、企业搜索和生物研究等职能。每个插件由技能、命令、连接器和子代理组成，通过 MCP 服务器连接外部工具；组件基于 Markdown 和 JSON，可按企业工具、术语和流程定制。适合希望在 Claude Cowork 或 Claude Code 中获得角色化工作流支持的个人或团队。
语言 ：Python · Stars ：32,219 · Forks ：3,574 · 本期新增：+635
4. NVIDIA/OpenShell
OpenShell 是面向自主 AI 代理的安全、私密运行时
OpenShell 为自主 AI 代理提供受控运行环境，通过内核级沙箱对文件、系统调用和网络连接执行策略，并只向获准端点附加凭据，避免代理直接接触真实凭据；数据访问则由策略限制在允许的文件与网络范围内。策略变更还会经形式化验证提示新增风险，待人工复核。项目提供 CLI、网关、SDK、Kubernetes 部署和代理技能，适用于需要让代理读写文件、安装包、调用 API，同时限制其访问范围的团队。
语言 ：Rust · Stars ：18,805 · Forks ：1,886 · 本期新增：+1,119
5. Renhuai123/ziwei-doushu
紫微斗数开源排盘引擎 --- 基于倪海厦《天纪》体系，含完整排盘算法、四化系统、格局知识库、古籍原文数据
该项目是紫微斗数开源排盘引擎，基于倪海厦《天纪》体系，提供真太阳时校正、中国夏令时、闰月口径、晚子时换日、星曜亮度流派切换、四化飞星、十二神煞和格局判定等能力，并附古籍原文数据。仓库还发布 67.5 万张命盘、877 万段解读的 v4.0 数据集及 51.8 万样本数据。界面是用于演示的最小示例，断语库与后端 API 未开源。适合研究紫微斗数算法、数据或基于引擎开发产品的人。
语言 ：TypeScript · Stars ：6,863 · Forks ：1,409 · 本期新增：+546
6. SnailSploit/Claude-Red
claude-red 是一个面向 Claude 技能系统的精选进攻性安全技能库。每个技能是结构化的 SKILL.md 文件，让 Claude 获得针对特定攻击面的专家方法------从 SQL 注入到 shellcode、EDR 规避到漏洞利用开发。
该仓库收集面向 Claude 技能系统的进攻性安全 SKILL.md 文件，覆盖 Web 应用、认证、Active Directory、无线、云、移动、IoT、基础设施红队、漏洞利用开发、模糊测试、权限提升、AI 安全等领域。技能按对话触发按需加载，可让 Claude 充当特定攻击面的领域专家。README 列出的适用场景包括授权红队、漏洞赏金分诊、安全研究、CTF 准备、操作培训等。
语言 ：Python · Stars ：8,492 · Forks ：1,100 · 本期新增：+226
7. OpenBMB/VoxCPM
VoxCPM2：无分词器的 TTS，用于多语言语音生成、创意声音设计和逼真克隆
VoxCPM 是端到端无分词器文本转语音系统，采用扩散自回归架构，直接在连续语音表示上生成音频。VoxCPM2 是最新 2B 版本，支持 30 种语言、自然语言描述生成新声音、可控声音克隆和 48kHz 输出。README 还提到通过 Nano-vLLM、vLLM-Omni 和 llama.cpp-omni 支持低延迟生产服务与端侧推理，并提供 SFT 与 LoRA 微调。模型权重和代码以 Apache-2.0 开放，适合多语言语音合成、配音和声音设计等应用。
语言 ：Python · Stars ：40,258 · Forks ：4,579 · 本期新增：+150
8. nodejs/node
Node.js JavaScript 运行时 ✨🐢🚀✨
Node.js 是一个开源、跨平台 JavaScript 运行时环境，也是 Node.js 项目的核心源码仓库。README 主要说明其采用语义化版本，发布分为 Alpha、Current、LTS 和 Nightly；每年 4 月发布新主版本，每年 10 月转为 LTS。项目由 OpenJS Foundation 支持，采用开放治理模型，并包含贡献、发布与安全流程。主要面向需要运行 JavaScript 或参与 Node.js 核心开发和维护的开发者。
语言 ：JavaScript · Stars ：122,867 · Forks ：39,832 · 本期新增：+66
本文由 AI225 GitHub 热榜 自动聚合整理，共收录 8 个热门开源项目。内容基于 GitHub Trending 公开数据，中文翻译与解读由 AI 生成，可能存在疏漏或偏差，仅供参考。完整榜单及各项目的原始描述请访问：