AI 工具AI Tools · Safety
给 AI 系统做约束、度量与追责的产品：护栏与内容过滤、评测与观测、红队与审计、机密计算与访问控制、数据合规与脱敏、内容溯源与标识。本大类只收四条形态（网页 / 云服务 / 本机应用 / CLI）。安全与护栏的模型本体不收（「模型不是产品」）；六条线在不同层，不做横向排名，档案只回答「什么约束下选谁」。Products that constrain, measure and make AI systems accountable: guardrails and content filtering, evaluation and observability, red teaming and audit, confidential compute and access control, data compliance and de-identification, provenance and labeling. This category files four forms only (web / cloud / local app / CLI). Safety and guardrail models themselves are out — same "a model is not a product" rule as everywhere else. The six lines live at different layers, so nothing here is ranked across them; an entry only answers "under which constraint you would pick whom".
按统一坐标系排列。点开任一对象可看到 模型与开放条件 / 运行位置 / 本地文件 / 关机后的任务 / 工具与扩展 / 上下文与记忆 / 权限与限制 / 适合什么任务 的完整记录、证据链接与未知项清单。Everything on one coordinate system. Open any object to see its full record across Model & openness / Where it runs / Local files / Tasks after shutdown / Tools & extensions / Context & memory / Permissions & limits / Best for, with source links and a list of unknowns.
它是一份可验证的「这份内容从哪来、被改过什么」的声明。 站点自己的说法是：用加密 manifest 让受众在 AI 生成内容它是一份可验证的「这份内容从哪来、被改过什么」的声明。 站点自己的说法是：用加密 manifest 让受众在 AI 生成内容
Phoenix 是开源许可下的观测与评测平台，跑在你自己的机器或集群里。 它的评测面是「评估器挂在数据集上」，许可面是 ElPhoenix 是开源许可下的观测与评测平台，跑在你自己的机器或集群里。 它的评测面是「评估器挂在数据集上」，许可面是 El
它是云上的内容判定接口，不替你决定怎么处理结果。 官方 FAQ 把这点写得很直白：API 返回的是分类元数据（严重度或二值结它是云上的内容判定接口，不替你决定怎么处理结果。 官方 FAQ 把这点写得很直白：API 返回的是分类元数据（严重度或二值结
它是挂在推理调用上的策略层，也能脱离模型单独评内容。 官方文档把两种用法分开写：一种是调模型时带上 guardrail ID它是挂在推理调用上的策略层，也能脱离模型单独评内容。 官方文档把两种用法分开写：一种是调模型时带上 guardrail ID
Braintrust 是把评测当发布闸门的观测平台。 当日在册的官方自我定位是「主动式观测平台」，评测、人工反馈与生产打分在Braintrust 是把评测当发布闸门的观测平台。 当日在册的官方自我定位是「主动式观测平台」，评测、人工反馈与生产打分在
PSA Intelligence 的开源命令行体检器：在你（或你的 agent）真正打开外部交付的文档集之前， 先用静态解析PSA Intelligence 的开源命令行体检器：在你（或你的 agent）真正打开外部交付的文档集之前， 先用静态解析
garak 是跑在自己终端里的 LLM 探针扫描器（NVIDIA 与维护者 Leon Derczynski，Apache-2garak 是跑在自己终端里的 LLM 探针扫描器（NVIDIA 与维护者 Leon Derczynski，Apache-2
GitGuardian 是「凭据层」的持续监测平台：官网把它写成 Credential Layer Security PlaGitGuardian 是「凭据层」的持续监测平台：官网把它写成 Credential Layer Security Pla
Helicone 是放在你的应用与多家模型之间的网关：官方描述它覆盖 100+ 模型，内置自动日志、观测与失败回退，密钥由平Helicone 是放在你的应用与多家模型之间的网关：官方描述它覆盖 100+ 模型，内置自动日志、观测与失败回退，密钥由平
Inspect 是英国 AI 安全研究所（与 Meridian Labs）做的开源评测框架：用 Python 把 DatasInspect 是英国 AI 安全研究所（与 Meridian Labs）做的开源评测框架：用 Python 把 Datas
Lakera 是「托管在厂商侧」的那一层 AI 安全：官网自我定位 "The AI-Native Security PlatLakera 是「托管在厂商侧」的那一层 AI 安全：官网自我定位 "The AI-Native Security Plat
Langfuse 是开源的观测与评测平台。 它的核心差异是自托管：trace、评分、提示词和数据集都能留在自己的环境里。Langfuse 是开源的观测与评测平台。 它的核心差异是自托管：trace、评分、提示词和数据集都能留在自己的环境里。
LangSmith 是托管型的观测与评测平台。 当日在册的官方自我定位是「agent 与 LLM 观测平台」，评测是其中一个LangSmith 是托管型的观测与评测平台。 当日在册的官方自我定位是「agent 与 LLM 观测平台」，评测是其中一个
LangWatch 是把线上调用、评测与提示版本收在一处的 LLMOps 平台：官方列出的能力是追踪每一次模型调用、工具使用LangWatch 是把线上调用、评测与提示版本收在一处的 LLMOps 平台：官方列出的能力是追踪每一次模型调用、工具使用
它是自己部署的统一入口，治理面在密钥与预算上。 官方把它写成开源 AI 网关：一种 OpenAI 格式接住多家 provid它是自己部署的统一入口，治理面在密钥与预算上。 官方把它写成开源 AI 网关：一种 OpenAI 格式接住多家 provid
Protect AI 开源的 LLM 输入/输出扫描工具箱：一侧拦 prompt（注入、隐形文本、密钥、毒性、话题禁用）， Protect AI 开源的 LLM 输入/输出扫描工具箱：一侧拦 prompt（注入、隐形文本、密钥、毒性、话题禁用），
它是本地跑的护栏库，不是托管的安全服务。 NVIDIA 把它写成「给 LLM 应用加可编程护栏的开源 Python 库」（A它是本地跑的护栏库，不是托管的安全服务。 NVIDIA 把它写成「给 LLM 应用加可编程护栏的开源 Python 库」（A
Nightfall 是「AI 时代那套托管 DLP」：官网首页自我定位 "Security Platform for AgeNightfall 是「AI 时代那套托管 DLP」：官网首页自我定位 "Security Platform for Age
OpenAI Evals 是"你自己机器上跑的评测框架 + 公开评测登记册"：评测用 YAML 描述、用 oaieval /OpenAI Evals 是"你自己机器上跑的评测框架 + 公开评测登记册"：评测用 YAML 描述、用 oaieval /
Presidio 是「自己部署的那一层脱敏 SDK」：文档首页把它写成面向 text 与 images 的快速识别与匿名化模Presidio 是「自己部署的那一层脱敏 SDK」：文档首页把它写成面向 text 与 images 的快速识别与匿名化模
promptfoo 是终端里的评测与红队工具。 官方自我定位是「评测与红队 LLM 应用的开源 CLI 与库」，产物留在本机promptfoo 是终端里的评测与红队工具。 官方自我定位是「评测与红队 LLM 应用的开源 CLI 与库」，产物留在本机
PyRIT 是微软那份「自己搭红队流程」的本机工具箱（MIT，已从 Azure/PyRIT 迁到 microsoft/PyRPyRIT 是微软那份「自己搭红队流程」的本机工具箱（MIT，已从 Azure/PyRIT 迁到 microsoft/PyR
Ragas 是一个装在你自己项目里的评测库：它的产品主轴是把「凭感觉看一下输出」换成有名字、可复跑的指标——LLM 评判指标Ragas 是一个装在你自己项目里的评测库：它的产品主轴是把「凭感觉看一下输出」换成有名字、可复跑的指标——LLM 评判指标
Protect AI 开源的「自硬化」提示注入检测器：启发式 + 专用 LLM 判定 + 历史攻击向量库 + canary Protect AI 开源的「自硬化」提示注入检测器：启发式 + 专用 LLM 判定 + 历史攻击向量库 + canary
它验的是「这张照片是不是当场拍的」，不是「这段话能不能发」。 官方文档把主轴写成拍摄即验真：PKI 签名证书加 C2PA c它验的是「这张照片是不是当场拍的」，不是「这段话能不能发」。 官方文档把主轴写成拍摄即验真：PKI 签名证书加 C2PA c
下面每一个字段都能回到官方原文核对，但我们还没有在同一批任务上跑过这些工具。Every field below can be traced back to the official source, but we have not yet run these tools on the same batch of tasks. 实测协议已经写好（统一任务、统一验收、记录人工介入与返工次数），任务清单也已就绪，The measurement protocol is written (shared tasks, shared acceptance criteria, recording human interventions and rework counts) and the task list is ready, but it is 尚未执行。not yet run.
所以本站给的是能力边界与证据，不是「哪个更好用」的结论。So what this site gives you is capability boundaries and evidence, not a verdict on which is better to use. 真正的选型请用你自己的输入、预算与验收标准跑一遍。For an actual choice, run them yourself against your own inputs, budget and acceptance criteria.
所有对象在同一坐标系下被描述。All objects are described on the same coordinate system. 点开任一对象，每一格下面都有官方源链接与核验日期——不认同可以自己回去查。Open any object and every cell carries an official source link and a checked date — disagree and verify it yourself.
用谁的模型？能不能换第三方？多模型路由怎么配？Whose model does it use? Can you switch to a third party? How is multi-model routing configured?
本地 / 云端 / 混合？索引在本地还是云端？远程控制不等于云端执行。Local, cloud or hybrid? Is the index local or remote? Remote control is not the same as cloud execution.
能访问多大范围？未打开的大文件怎么读？符号级能力如何？How wide an area can it reach? How does it read large files you have not opened? How capable is it at the symbol level?
电脑关了还能继续跑吗？这是本地形态最常见的误解来源。Does it keep running once the computer is off? This is the most common misconception about local forms.
工具链有多宽：MCP · LSP · 插件 · Hooks · 自定义指令。How wide is the toolchain: MCP · LSP · plugins · hooks · custom instructions?
索引算法、上下文窗口、会话恢复与分叉、跨会话记忆边界。Indexing algorithm, context window, session resume and fork, and the boundary of cross-session memory.
沙箱与审批边界、凭据管理、数据是否出境、额度如何计算。Sandbox and approval boundaries, credential handling, whether data leaves your machine, and how quota is charged.
最擅长什么任务？什么情况下别用它？What tasks is it best at? When should you not use it?
同一张表横向对比。点对象名进详情页看逐格证据。The same table side by side. Click an object name to see per-cell evidence.
| 对象Object | 形态Form | 厂商Vendor | 适合Best for | 核验日Checked | 状态Status |
|---|---|---|---|---|---|
| CoCOContent Credentials（内容凭证）Content Credentials | 网页服务Web service | Adobe · Content Authenticity Initiative / C2PA | 适合发布方与平台把来源与编辑史做成可验证声明，也适合需要区分「没有凭证」与「凭证被改坏」两种状态的审计流程。 不适合要拦有害内容的场景（那是适合发布方与平台把来源与编辑史做成可验证声明，也适合需要区分「没有凭证」与「凭证被改坏」两种状态的审计流程。 不适合要拦有害内容的场景（那是 | 2026-11-06 | partial |
| ArARArize PhoenixArize Phoenix | 本机应用Local app | Arize AI | 适合已把 OpenTelemetry 当观测底座、要在 notebook 或自有集群里跑评测、需要「评估器挂数据集」 这种批量对照的团队。不适合已把 OpenTelemetry 当观测底座、要在 notebook 或自有集群里跑评测、需要「评估器挂数据集」 这种批量对照的团队。不 | 2026-11-06 | partial |
| AzAZAzure AI Content SafetyAzure AI Content Safety | 厂商云形态Vendor cloud | Microsoft | 适合已经把工作负载放在 Azure 上、要多模态分级严重度与提示攻击检测、并要求区域驻留与「不训练」承诺的团队。 不适合需要离线长期跑护栏的适合已经把工作负载放在 Azure 上、要多模态分级严重度与提示攻击检测、并要求区域驻留与「不训练」承诺的团队。 不适合需要离线长期跑护栏的 | 2026-11-06 | partial |
| AmAMAmazon Bedrock GuardrailsAmazon Bedrock Guardrails | 厂商云形态Vendor cloud | Amazon Web Services | 适合模型主要就在 Bedrock 上、要把护栏挂进推理调用、又要有零保留与人工复核开关可治理的团队。 不适合需要自托管护栏（走本地库那条线）适合模型主要就在 Bedrock 上、要把护栏挂进推理调用、又要有零保留与人工复核开关可治理的团队。 不适合需要自托管护栏（走本地库那条线） | 2026-11-06 | partial |
| BrBRBraintrustBraintrust | 网页服务Web service | Braintrust AI | 适合把评测当发布闸门、要在 PR 与 CI 里跑实验对照，又不想自运维整套观测栈的团队。 不适合要整机自托管（控制面仍在厂商侧）、或想把平台适合把评测当发布闸门、要在 PR 与 CI 里跑实验对照，又不想自运维整套观测栈的团队。 不适合要整机自托管（控制面仍在厂商侧）、或想把平台 | 2026-11-06 | partial |
| CSCACanaryScanCanaryScan | CLI 形态CLI form | PSA Intelligence | 适合在接触外部交付的文档集（泄露件、法律披露、调查材料）之前先做一轮静态体检，看有没有能反向暴露「你在读它」的 追踪像素、远程模板、信标、按适合在接触外部交付的文档集（泄露件、法律披露、调查材料）之前先做一轮静态体检，看有没有能反向暴露「你在读它」的 追踪像素、远程模板、信标、按 | 2026-11-06 | partial |
| GGAgarakgarak | CLI 形态CLI form | NVIDIA · Leon Derczynski | 适合：上线前对自己可控的 endpoint 批量跑一轮探针、要求留下可复核的 prompt/响应证据文件、要在 HuggingFace、 O适合：上线前对自己可控的 endpoint 批量跑一轮探针、要求留下可复核的 prompt/响应证据文件、要在 HuggingFace、 O | 2026-11-06 | partial |
| GGGIGitGuardianGitGuardian | 网页服务Web service | GitGuardian | 适合：凭据与非人身份已成规模（多仓库 + CI + 容器 + 协作工具 + AI 编码助手），要的是持续监测与事件闭环， 而不是扫一次；需要适合：凭据与非人身份已成规模（多仓库 + CI + 容器 + 协作工具 + AI 编码助手），要的是持续监测与事件闭环， 而不是扫一次；需要 | 2026-11-06 | partial |
| HeHEHeliconeHelicone | 厂商云形态Vendor cloud | Helicone | 适合：想用一个入口统一多家模型调用、集中看用量与失败，并接受请求经第三方平台。 不适合：数据不允许离开自己环境的场景；需要自托管且必须核到官适合：想用一个入口统一多家模型调用、集中看用量与失败，并接受请求经第三方平台。 不适合：数据不允许离开自己环境的场景；需要自托管且必须核到官 | 2026-11-06 | partial |
| IINInspectInspect | CLI 形态CLI form | UK AI Security Institute | 适合：自己写评测与 agent 任务、要把不受信模型代码关进沙箱、要工具审批与本地日志复核、要跨 20 余家 provider 跑同一份任务适合：自己写评测与 agent 任务、要把不受信模型代码关进沙箱、要工具审批与本地日志复核、要跨 20 余家 provider 跑同一份任务 | 2026-11-06 | partial |
| LLALakeraLakera | 厂商云形态Vendor cloud | Lakera | 适合：要在请求链路里实时管住 prompt injection / jailbreak / PII 泄露 / 违规内容，并且接受检测跑在厂商适合：要在请求链路里实时管住 prompt injection / jailbreak / PII 泄露 / 违规内容，并且接受检测跑在厂商 | 2026-11-06 | partial |
| LaLALangfuseLangfuse | 本机应用Local app | Langfuse | 适合要把数据留在自有环境（自托管或气隙部署）、观测与评测共用同一套 trace、 把线上样本沉淀成数据集再在 CI 挡回归的团队。不适合只想适合要把数据留在自有环境（自托管或气隙部署）、观测与评测共用同一套 trace、 把线上样本沉淀成数据集再在 CI 挡回归的团队。不适合只想 | 2026-11-06 | partial |
| LaLALangSmithLangSmith | 厂商云形态Vendor cloud | LangChain | 适合要「一个控制台管住 trace、数据集、评测器与告警」、又不想自运维观测栈的团队； 已用 OpenTelemetry 的应用可先接进来再适合要「一个控制台管住 trace、数据集、评测器与告警」、又不想自运维观测栈的团队； 已用 OpenTelemetry 的应用可先接进来再 | 2026-11-06 | partial |
| LaLALangWatchLangWatch | 厂商云形态Vendor cloud | LangWatch | 适合：要把线上调用、评测与提示版本放在一处看，且希望保留自托管退路。 不适合：只想要一次性基准分数；或不能接受追踪数据离开自己环境的场景（那适合：要把线上调用、评测与提示版本放在一处看，且希望保留自托管退路。 不适合：只想要一次性基准分数；或不能接受追踪数据离开自己环境的场景（那 | 2026-11-06 | partial |
| LiLILiteLLM 网关（Proxy / AI Gateway）LiteLLM Proxy (AI Gateway) | 本机应用Local app | BerriAI · LiteLLM | 适合要把多家 provider 收成一个 OpenAI 兼容入口、同时按 key / team 做预算与访问治理、并坚持自托管的团队。 不适适合要把多家 provider 收成一个 OpenAI 兼容入口、同时按 key / team 做预算与访问治理、并坚持自托管的团队。 不适 | 2026-11-06 | partial |
| LGLLLLM GuardLLM Guard | 本机应用Local app | Protect AI | 适合：要把输入/输出检查写进自己链路、能自己接管依赖与模型下载、并接受「规则不再更新」这一事实的工程团队。 不适合：指望持续的安全规则维护、适合：要把输入/输出检查写进自己链路、能自己接管依赖与模型下载、并接受「规则不再更新」这一事实的工程团队。 不适合：指望持续的安全规则维护、 | 2026-11-06 | partial |
| NeNENeMo GuardrailsNeMo Guardrails | 本机应用Local app | NVIDIANVIDIA | 适合：要在自己的进程或容器里加可编程护栏——话题控制、PII、越狱检测、工具调用管控， 并且要能换模型与端点。不适合：只想要一个托管控制台带适合：要在自己的进程或容器里加可编程护栏——话题控制、PII、越狱检测、工具调用管控， 并且要能换模型与端点。不适合：只想要一个托管控制台带 | 2026-11-06 | partial |
| NNINightfallNightfall | 厂商云形态Vendor cloud | Nightfall AI | 适合：SaaS、端点与 agent 三条面已经在用，要统一管控；需要在 MCP 与 IDE hooks 这一层加动作；愿意用托管 API 在适合：SaaS、端点与 agent 三条面已经在用，要统一管控；需要在 MCP 与 IDE hooks 这一层加动作；愿意用托管 API 在 | 2026-11-06 | partial |
| EOPOpenAI EvalsOpenAI Evals | CLI 形态CLI form | OpenAI | 适合：把公开基准与自写 YAML 评测放在本机或 CI 里批量跑、要可读的 registry 与本地 JSONL 日志、愿意实现 Compl适合：把公开基准与自写 YAML 评测放在本机或 CI 里批量跑、要可读的 registry 与本地 JSONL 日志、愿意实现 Compl | 2026-11-06 | partial |
| PSPRPresidioPresidio | 本机应用Local app | Data Privacy Stack | 适合：把个人数据识别与变换插进自己的管线（RAG 入库前、日志落盘前、发给云端模型前）、需要算子级定制与自定义 recognizer、要求文适合：把个人数据识别与变换插进自己的管线（RAG 入库前、日志落盘前、发给云端模型前）、需要算子级定制与自定义 recognizer、要求文 | 2026-11-06 | partial |
| prPRpromptfoopromptfoo | CLI 形态CLI form | promptfoo | 适合把评测写进仓库、用一次命令跑多提示词与多模型对照、并在 CI 里按阈值挡住合并的团队。 不适合要托管控制台做长期指标看板、要厂商侧代跑合适合把评测写进仓库、用一次命令跑多提示词与多模型对照、并在 CI 里按阈值挡住合并的团队。 不适合要托管控制台做长期指标看板、要厂商侧代跑合 | 2026-11-06 | partial |
| PPYPyRITPyRIT | 本机应用Local app | Microsoft | 适合：要把多轮自适应攻击编排成可重复的 assessment、需要 Python 侧自己组合 targets/converters/scor适合：要把多轮自适应攻击编排成可重复的 assessment、需要 Python 侧自己组合 targets/converters/scor | 2026-11-06 | partial |
| RRARagasRagas | 本机应用Local app | VibrantLabs | 适合：给 RAG 或 agent 应用配 LLM 评判指标、没有测试数据要先造测试集、要在自己代码与 CI 里建「改动—评测—观察—迭代」的适合：给 RAG 或 agent 应用配 LLM 评判指标、没有测试数据要先造测试集、要在自己代码与 CI 里建「改动—评测—观察—迭代」的 | 2026-11-06 | partial |
| RBRERebuffRebuff | 本机应用Local app | Protect AI | 适合在自家应用里加一层提示注入告警与 canary 泄漏自检、并把攻击样本沉淀成向量的研究与工程试验。 不适合需要维护承诺、需要明确数据处理适合在自家应用里加一层提示注入告警与 canary 泄漏自检、并把攻击样本沉淀成向量的研究与工程试验。 不适合需要维护承诺、需要明确数据处理 | 2026-11-06 | partial |
| TrTRTruepic Vision / LensTruepic Vision / Lens | 厂商云形态Vendor cloud | Truepic Inc. | 适合保险理赔、贷款与抵押、设备勘验这类要「拍摄即验真、事后可举证」的流程，以及要把验真结论接进自有系统的 API 用户。 不适合要 LLM 适合保险理赔、贷款与抵押、设备勘验这类要「拍摄即验真、事后可举证」的流程，以及要把验真结论接进自有系统的 API 用户。 不适合要 LLM | 2026-11-06 | partial |
这不是省略，是方法上的明确取舍。This is not an omission but a deliberate methodological choice.
active / maintenance / archived。lifecycle is marked separately. A recent check date does not mean the data is still valid — it goes stale when upstream archives the repo, so active / maintenance / archived are tracked separately.详情页与上表都带Both the detail pages and the table above carry confidence，它反映, which reflects 本站数据的完整度how complete this site's data is，不是对产品的评价。, not a judgement of the product.
| verified | 8 个维度均有官方源支撑，且核验日在 90 天内all 8 dimensions have official sources and were checked within 90 days |
|---|---|
| partial | 部分维度标为未知，或官方文档不可访问，或核验日超过 90 天some dimensions are marked unknown, or the official docs were unreachable, or checked over 90 days ago |
| stale | 官方已发布重大变化，本站尚未核验the vendor has shipped a significant change that this site has not re-checked |
数据层用Recheck this figure with node scripts/audit-gaps.mjs 可随时复核这个数字。.
下表实时计算（本页档案最后核验日 2026-11-06）：Computed from current data; profiles last checked 2026-11-06:
| 大类Category | 已补齐Filled | 说明Meaning |
|---|---|---|
| safetysafety | 113/200 |
全站合计 1571/2192 维度已补齐Site-wide 1571/2192 dimensions filled（72%）
剩余未补齐项分三类：官方未公开（索引算法、沙箱实现细节本就不对外说明）、需实测才能确定（大仓库表现、CI 无 TTY 行为）、客观渠道不可达。The remaining gaps fall into three kinds: not disclosed by the vendor (indexing algorithms, sandbox internals are simply not documented), requires measurement (behaviour on very large repositories, CI without a TTY), and unreachable through objective channels.
我们选择留白而不是填「已支持」——错误的成本最终由使用者承担。We chose to leave a blank rather than fill in "supported" — the cost of an error is ultimately borne by whoever uses it.
全部数据来自开源仓库All data comes from the open-source repository speculcom/ai-handbook（CC BY 4.0）。 (CC BY 4.0).
每个条目都是纯 Markdown + frontmatter，含维度记录、证据链接、核验日与可信度标记。仓库内含：Every entry is plain Markdown plus frontmatter, carrying dimension records and an evidence chain with links, checked dates and confidence marks. The repository contains:
tools/METHODOLOGY.md —— 方法论总纲与核心规则the methodology charter and core rulestools/axes/ —— 每个维度的定义与判定标准（含正反例）the definition and decision criteria for each dimension (with positive and negative examples)tools/SCHEMA.md —— 数据格式规范与构建校验规则the data-format spec and build validation rulestools/protocols/<大类><category>/_protocol.md —— 实测协议(the measurement protocol (尚未执行not yet run，故本站暂无实测结论), so this site has no measured conclusions)发现错误或有新证据，欢迎提 Issue 或 PR——每条修正都会注明依据与影响范围。Found an error or have new evidence? Open an issue or a PR — each correction notes its basis and blast radius.