周六的榜单挺有意思：一边是让 AI 替你攻击自己的网站，一边是让 AI 替你发冷邮件跑销售。中间夹着几个更日常的，Agent 的记忆、给爬虫用的轻量浏览器、本地语音输入，还有一个把你电脑上一整天都录下来的工具。
六个都点开看过 README，挑的是我觉得值得花十分钟的。
1. KeygraphHQ/shannon：先让 AI 黑你一遍
现在用 Claude Code、Cursor 写代码，一周能上好几版，可渗透测试往往一年才做一次。Shannon 想补的就是中间这 364 天。
它会先读你的源码找可能的攻击路径，然后真的开浏览器、跑命令去打你正在运行的应用。打不进去的不写进报告，README 里那句话说得很直白：没有能复现的漏洞，就不出报告。5 万星，AGPL-3.0，模型用你自己的 Key，Anthropic、OpenAI、xAI 都行。
适合自己写 Web 应用、又没钱请安全团队的小团队，放进 CI 里每次发版前跑一遍。
几个它自己写明的提醒：它不是被动扫描，会真的建用户、提交表单、改数据，所以只能对着测试环境跑，别碰生产；完整跑一次大概一到一个半小时，模型费用另算；报告仍然要人工复核。另外 Anthropic 和 OpenAI 对安全类请求有实时拦截，第一次用前要先按它文档完成提供方的安全测试认证，不然可能跑到一半被掐断。
2. thedotmack/claude-mem：Agent 的记忆，现在连 Grok Bot 都接了
10 万星的老熟人，今天又冲到日榜第一。10 月 31 日凌晨刚发了 v15.7。
它做的事很简单：把你和 Agent 每次会话里的操作记下来，用 AI 压缩成摘要，下次开新会话时把相关的部分塞回去。原来只服务 Claude Code，现在 OpenCode、OpenClaw、Gemini 都能装，Codex 要通过 T3 Code 接入，README 里还专门写了 Grok Bot 的接法：因为没有钩子，它是去盯聊天日志文件。协议是 Apache-2.0。
我之前没写它，主要是有顾虑，现在也还在。安装器默认会让你登录它家的托管服务，送 30 天试用，到期后记忆的整理会改用你的 Anthropic 套餐额度。不想登录，安装时可以明确指定用本地或自己的 Key。另外 README 末尾写着作者官方背书了一个第三方发的代币 CMEM，这个你自己判断。
3. lightpanda-io/browser：不是 Chromium 改的，是重新写了一个浏览器
做爬虫、做浏览器自动化的人都被无头 Chrome 的内存吃过亏。Lightpanda 用 Zig 从头写了一个只为机器准备的浏览器，官方基准里跑 100 个页面，内存峰值 123MB 对 Chrome 的 2GB，速度快 9 倍左右。
好处是你原来的 Puppeteer、Playwright 脚本基本不用改，连它的 CDP 端口就行。新加的 agent 模式可以用大白话指挥它点页面、填表单，最后导出一份不需要模型的脚本，以后重复跑不花 token。3.8 万星，AGPL-3.0。
要知道的几件事：没有原生 Windows 版，要装在 WSL 里；Linux 版依赖 glibc，Alpine 这类镜像跑不起来；默认会发遥测，设置环境变量能关。
4. ethanplusai/harvey：拿你的 Claude 订阅去跑销售
Harvey 是个在你电脑上循环跑的销售 Agent：找潜在客户，读对方网站，写带具体细节的冷邮件，发出去，读回复，一路推到约会议。卖点是不走 API 计费，直接用你已经付费的 Claude Pro/Max 或 ChatGPT 订阅，还会读剩余额度，给你自己的日常使用留余量。3485 星，MIT。
默认每封邮件都要你在面板里批准才发，发之前还有一道不靠模型的检查，挡掉没替换的变量、太长的邮件这些低级错误。
它的 README 自己把风险写得很清楚：发件人是你，美国 CAN-SPAM 罚款每封最高五万多美元，第一次跑之前必须把实际邮寄地址填进配置。用订阅跑自动化之前，也最好看看对应提供方的使用条款。适合卖给小商家的一人公司或小团队，别拿来群发。
5. anomalyco/hex：按住一个键说话，文字直接出现
今天最小的一个，1249 星，但我很想推荐。Hex 是本地语音输入：按住 Option 说话，松手就转成文字贴到你正在用的任何应用里。识别模型下载到本机跑，平时听写不用联网，也不存录音。
现在是 Rust 写的原生应用。Mac 版要 Apple 芯片和 macOS 15 以上，Windows 和 Linux 是测试版。MIT 协议。
两个细节：从旧的 Swift 版升级过来，设置和历史不会迁移；本地诊断日志里会有你说过的原文，分享日志给别人前先自己删一下。
6. screenpipe/screenpipe：把你电脑上的一整天都录下来
2.2 万星，YC 今年的项目。它在屏幕有变化时截图，同时录音、记录你切了哪些应用，存在本地，然后让你用自然语言问「刚才五分钟我看了什么」，或者让 Claude 直接查你的工作记录。现在主打的方向是帮公司找出哪些重复工作值得自动化。
可以理解成开源可审计版的 Rewind 或微软 Recall。
但要看清它的协议：不是传统开源，是源码公开的商业许可。个人非商业、教育和研究免费用，公司里用只有 7 天评估期，之后要买授权。官方说占用大约 5% 到 20% 的 CPU、0.5 到 3GB 内存，硬盘占用看你的使用量，建议先跑一天看看。
