状态：✅ 已完成 前置阅读：03-技术架构与业务模块分析——分层架构、请求链路、四大 skill 实现 日期：2026-09-14 素材来源：提纲参考链接全文研读 + WebSearch/FetchURL 补充（2025~2026 最新动态，含 GitHub API 核实仓库状态）+ JoySafety 源码逐条核实 读者定位：已读懂 03 篇架构、现在想回答"为什么是 JoySafety、它的差异化和短板在哪"的读者 写作约定：JoySafety 侧结论全部落到源码坐标（
path:line，均经 Read/Grep 亲自核实）；外部事实全部附来源链接，汇总见第五章
〇、先建立全局认识
0.1 JoySafety 一分钟回顾（配置流 + 请求流）
横评之前先把"被评对象"的两条链路钉死，后面所有对比维度都挂在它上面（细节见 03 篇，此处只给坐标）：
| |
一句话定位：JoySafety 不是检测模型，而是"管理和调度一堆检测能力的编排框架"。记住这句话，它是本章分类坐标系的锚点。
0.2 四类玩家坐标系：不要混在一起比
市面上"大模型安全护栏"相关方案看似几十款，实则分属四个完全不同的层，跨层比较没有意义——就像不能拿"安检流程调度中心"和"X 光机"比谁更好：
| |
三条认知结论：
- 模型是被编排的"料"，框架是"厨子"。Llama Guard 4、Prompt Guard 2 这类检测模型的正确用法是包装成原子能力接进编排框架——14 篇就做这个实验，本篇不比模型。
- 红队工具不在请求链路上。garak/PyRIT 是离线"演习部队"，负责量化拦截率、反哺策略，本篇同样不展开（15 篇专讲）。
- 本篇的对比范围：①编排框架（开源，与 JoySafety 同层，逐源码级对比）+ ③商用护栏 API（采购视角对比）。
业界同样强调"分层不要混比"：NeMo 管对话流、Guardrails AI 管输出契约、Llama Guard 管内容分类，“生产答案很少是单一工具，而是分层组合”（particula.tech）；“约 80% 的企业级护栏本质是 regex + 几个分类器的封装，关键在于你把栅栏放在哪一层”（cloudthrill.ca）。
0.3 2025 并购潮：选型前先看"项目还活着吗"
2025 年 AI 安全赛道被传统安全厂商密集收购，直接影响开源项目的存续性，这是 2026 年选型必须先看的一栏：
| 时间 | 事件 | 对开源项目的影响 |
|---|---|---|
| 2025-06 | Snyk 收购 Invariant Labs（MCP/Agent 安全研究方） | 研究力量被收编（datapace） |
| 2025-07 | Palo Alto Networks 完成收购 Protect AI（据报道超 5 亿美元，另有口径称近 7 亿）并入 Prisma AIRS | LLM Guard 仓库已归档（最后提交 2026-07-08，GitHub API 实测 archived: true）；Rebuff 更早归档（最后提交 2024-08-07）（senthex、deepinspect） |
| 2025-09/10 | Check Point 收购 Lakera（据报道约 3 亿美元，9 月宣布、10 月完成） | Lakera Guard 并入 Check Point Infinity（senthex） |
| 2025-08/09 | SentinelOne 收购 Prompt Security（据报道约 2.5 亿美元） | 独立厂商再少一家（agentswarms） |
批注：并购潮给选型两条启示——①商用 SaaS 护栏的独立 roadmap 基本都并入了大厂平台，买它就是买生态；②开源核心里"真正属于你"的部分，以仓库是否活跃为准。本文对比表中专门设了"维护状态"一行：NeMo Guardrails（7112 stars，2026-09-11 仍有提交）与 Guardrails AI（7405 stars，2026-09-13 仍有提交）活跃；LLM Guard、Rebuff 已归档，只能当"机制标本"读，不宜作新项目的生产依赖（GitHub API 逐一核实，2026-09-14）。
一、开源编排框架逐个分析
1.1 NeMo Guardrails：Colang 对话流，五种 rails（NVIDIA，Apache 2.0）
机制：用专用 DSL（Colang）定义"对话流"，护栏挂在五个流水阶段上（docs/仓库）：
| Rail | 触发时机 | 类比到 JoySafety |
|---|---|---|
| input rails | 用户消息进 LLM 之前 | 用户输入侧 DAG 链（keyword→bert） |
| dialog rails | 匹配意图、控制对话走向 | 无对应物（JoySafety 不做对话管理） |
| retrieval rails | RAG 检索块进上下文之前 | kb_search 节点有部分重叠 |
| execution rails | 工具调用（tool call）之前 | 无对应物（见 4.2 短板 5） |
| output rails | 模型输出到达用户之前 | 机器人输出侧 DAG 链 |
关键事实：最新版 0.24.0；Colang 1.0 仍是默认、2.0 并行支持（2.0 起支持多模态交互逻辑）（GitHub 仓库说明）；GPU 下单次检查 <50ms，CPU 上要为 embedding/意图匹配留预算（particula.tech）。
与 JoySafety 的本质差异在抽象层级：
- NeMo 的 rail 是对话语义级编排（intent、flow、bot 该说什么不该说什么），groovy router 是检测结果级编排（按 riskCode/概率阈值决定走哪个节点，
GroovyRouter.java:27）。一个是"对话该怎么进行"，一个是"检测结果该怎么处置"。 - NeMo 的 execution rails 管工具调用，这是 Agent 时代的护城河；JoySafety 的 Function 注册表里没有这个维度——
FunctionRegistry.java:20-30注册的 9 种 Function（dummy/keyword/single_label_pred/multi_label_pred/kb_search/rag_answer/multi_turn_detect/parallel/async）全部是"内容检测"语义，无一面向工具调用。 - Colang 学习曲线陡、部署重；JoySafety 的 YAML + groovy 更"土"但贴近检测工程。
1.2 Guardrails AI：输出结构 + validator 生态（Apache 2.0 核心）
机制：把校验器（validator）挂在模型调用的输入/输出上，校验失败可选 raise / 过滤 / re-ask（让模型自我修正重答）。Hub 上约 65 个社区 validator（PII、毒性、竞品提及、JSON schema、SQL 安全……），质量参差；RAIL spec 用 XML 描述输出契约；0.5+ 起提供 server mode（cloudthrill.ca、myengineerpath）。
值得注意的两个细节：
- 它的 PII validator 底层调的是微软 Presidio——这个生态是互相套娃的，PII 检测大家都复用同一个轮子（cloudthrill.ca）。
- 单次校验 50~200ms（regex 类便宜、模型类贵），多个 validator 串联时延迟叠加，实践上要"便宜的先跑、命中即短路"（particula.tech）——这与 JoySafety 演示策略"keyword 粗筛先行、bert 精检殿后"（
docs/strategy_example.yml）是同一个工程直觉。
与 JoySafety 的差异：Guardrails AI 的核心价值是输出结构校验（合法 JSON、字段约束、grounding），这个维度 JoySafety 完全没有——RiskCheckType.java:14-63 的 10 种检测类型里没有"结构/schema 校验"类目。反过来 Guardrails AI 不管对话流、不管异步审核、不管中文内容合规。
1.3 LLM Guard：scanner 矩阵（Protect AI，MIT，⚠️ 已归档）
机制：LLM 专用 WAF，固定清单的 scanner 矩阵——15 个输入 scanner + 20 个输出 scanner，全部跑本地 HuggingFace 小模型，毫秒级（cloudthrill.ca）：
与 JoySafety 对照出的能力空洞：scanner 矩阵里 注入 / PII / secrets / 匿名化 四块，JoySafety 只有注入（bert_prompt_injection 模型）。全仓 grep PII|脱敏|身份证|手机号，命中的只有 bge tokenizer 词表文件，没有任何业务代码——PII 和 secrets 防泄露是 JoySafety 完全缺席的两个专项（4.2 短板 2）。
存续警告：Protect AI 被 Palo Alto 收购后，LLM Guard 仓库已归档（GitHub API 实测 archived: true，最后提交 2026-07-08），社区出现"用什么替代已归档的 LLM Guard“一类文章。代码仍可自托管（MIT），但检测能力已停止进化——当机制标本读，别当新项目依赖用。
1.4 Rebuff：注入检测四层（⚠️ 已归档的 prototype）
机制：单点做深"提示词注入"一件事，四层防御（Rebuff 仓库）：
架构启示（即便项目死了，思想值得吸收）：
- 第 3 层"攻击样本向量化、以史鉴今"与 JoySafety 的"红线知识库 + kb_search”（07 篇）是同构思路——都是用向量检索把历史风险资产化；
- 第 4 层 canary token 是独有的"泄露探针"机制，JoySafety 与主流框架都没有对应物。
存续警告：仓库已归档（最后提交 2024-08-07，1522 stars），README 自述"still a prototype, cannot provide 100% protection"；自托管还依赖 Pinecone + Supabase + OpenAI 三件套。典型教训：prototype 级项目不能进生产。
1.5 五方对比表（同层横评）
| 维度 | JoySafety | NeMo Guardrails | Guardrails AI | LLM Guard | Rebuff |
|---|---|---|---|---|---|
| 抽象层级 | 检测流水线编排（DAG） | 对话流编排（5 rails） | 输出契约校验（validators） | 扫描器矩阵（固定清单） | 注入检测四层（固定） |
| 策略表达 | YAML 节点 + groovy router | Colang DSL | Python 组合 / RAIL | 配置开关 | 无（写死） |
| 编排灵活度 | 高（分支/并行/归约，但"DAG"实为链式逐跳，FunctionExecutorImpl.java:289） | 高（对话语义级） | 中（链式组合） | 低 | 低 |
| 异步/流式支持 | ✅ free_taxi 独有（ResponseMode.java:16） | 同步为主 | 同步 | 同步 | 同步 |
| 中文能力 | ✅ 原生（中文语料训练的 bert + 中文敏感词体系） | 依赖底层 LLM，英文为主 | 依赖 validator 模型，英文为主 | 英文为主 | 英文为主 |
| 私有化 | ✅ 全组件自托管（含向量库/embedding 全本地） | ✅ | ✅（另有付费 Pro 托管层） | ✅（MIT） | △ 依赖 Pinecone/Supabase/OpenAI |
| 生产验证证据 | 京东日均亿级调用、95%+ 攻击拦截率（README.md:23） | NVIDIA 生态、Fortune 500 采用（cloudthrill） | Hub 社区规模 | 已并入 Prisma AIRS | 无，自述 prototype |
| 维护状态（2026-09 实测） | 活跃 | 活跃（0.24.0） | 活跃 | ❌ 已归档 | ❌ 已归档 |
| 输出结构校验 | ❌ | △ | ✅ 核心能力 | ❌ | ❌ |
| PII/secrets 专项 | ❌（grep 无业务代码） | △（依赖集成） | ✅（Presidio 系） | ✅ 专项 scanner | ❌ |
| Agent/工具调用防护 | ❌ | ✅ execution rails | △ | ❌ | ❌ |
读表结论：五个框架不全是"竞品"——NeMo 强在对话流与 Agent 闸门、Guardrails AI 强在输出契约、LLM Guard/Rebuff 是固定能力的扫描器。JoySafety 在异步流式、中文、私有化、生产证据四行独占优势；在输出结构、PII、Agent 防护三行明显空白——这就是第四章短板清单的来源。
二、商用护栏 API 对比
商用 API 与开源框架不是"谁替代谁"的关系：商用卖的是"检测能力即服务"（含合规背书与审计链路），开源框架卖的是"编排自主权"。数据能不能出域，是第一道分水岭。
2.1 国内：跟着云生态和内容治理走
| 产品 | 定位与特色 | 来源 |
|---|---|---|
| 阿里云 AI 安全护栏 | 2025-09 云栖大会发布，五项能力：内容合规、敏感数据、提示词攻击、恶意文件/URL、数字水印标识；与百炼、WAF（LLM-WAF）一键集成；覆盖图文音视文档多模态 | admin5、产品页 |
| 网易易盾 | “AI 生成内容识别 + 大模型输入输出安全 + 多模态审核 + 风险处置"全链路治理；GB/T 45654-2025《网络安全技术 生成式人工智能服务安全基本要求》核心起草单位；公开客户含招商银行、人民网等；显式标识（OCR/ASR/元数据/水印解析）+ 隐式生成痕迹双路识别 | sohu 六款对比 |
| 腾讯云天御 | UGC+AIGC 混合业务的多模态审核（文本/图/音/视频/直播）+ AI 生成鉴别；另有腾讯云 WAF 大模型安全走"流量层+应用层"边界视角 | sohu、cnblogs |
| 百度智能云 AI 安全护栏 | 特色是把安全范围延伸到 Agent 运行链路（工具调用、任务执行），传统审核能力（司南）继续覆盖图文音视频 | sohu |
| 华为云 ModelArts Guard | 围绕 ModelArts/盘古的"训练-部署-运行"闭环治理，平台内一致性 | cnblogs |
背景政策锚点：《人工智能生成合成内容标识办法》自 2025-09-01 起施行，要求 AI 生成的图片/音频/视频等添加显式标识及隐式标识（元数据/数字水印）——国内商用护栏集体上线"内容标识/水印"能力就是应此规，而 JoySafety 在该维度为零（4.2 短板 6）（阿里云文档）。
2.2 海外：注入检测与幻觉校验是卖点
Azure AI Content Safety：招牌能力 Prompt Shields 把两类注入分开检——Prompt Shields for User Prompts 检直接注入/越狱（用户输入侧），Prompt Shields for Documents 检间接注入（RAG 文档、第三方内容里埋的攻击载荷，覆盖篡改内容、信息探测、编码绕过、角色扮演等类别）（Microsoft Learn、Azure Blog）。另有 Groundedness Detection（回答是否能在参考资料中找到依据，治幻觉）与受保护材料检测。
对照 JoySafety：
bert_prompt_injection模型不区分直接/间接注入（事实上框架拿不到"哪段文本来自外部文档"的结构化输入，入参就是一段 plain text）。Azure 的拆法提示：间接注入检测的前提是编排层知道数据来源——这是 JoySafety 若要做深注入防护需要补的上下文设计。
AWS Bedrock Guardrails：模块化策略包，六大策略类型——Content Filters（有害内容分类）、Denied Topics（禁止话题）、Word Filters（词表）、Sensitive Information Filters（PII 检测/遮蔽）、Prompt Attack（注入/越狱）、Contextual Grounding Checks（回答与参考资料一致性）；2024 起陆续叠加 Automated Reasoning 策略（宣称在策略定义域内 99% 校验准确率，2025-11 新增从策略文档自动生成测试问答对）（KodeKloud、techjacksolutions）。最大卖点是跨模型统一策略：一套 guardrail 套在 Bedrock 上所有基础模型外面。
Lakera Guard：注入检测专项冠军——背靠 Gandalf 游戏的对抗数据集（Check Point 公告口径超 8000 万条对抗样本），公开基准 PINT，约 50ms 延迟、100+ 语言；2025-10 起归 Check Point（senthex、cloudthrill）。代价：SaaS 形态下 prompt 要出域。
2.3 商用对比表（√/×/— = 具备/不具备/未公开）
| 产品 | 多模态 | 敏感数据防泄露 | 合规审计 | 内容标识/水印 | 私有化 | 计费 |
|---|---|---|---|---|---|---|
| 阿里云 AI 安全护栏 | ✅ 图文音视文档 | ✅ 敏感数据检测 | 云内日志归档 | ✅ 数字水印标识（五项能力之一） | 公有云/专有云 | 按量付费 + 资源包 + QPS 扩容包（计费文档） |
| 网易易盾 | ✅ + AI 生成鉴别 | ✅ | ✅ 投诉/审计/人工复核链路，国标起草背书 | ✅ 显式+隐式标识检测 | — | 商用报价 |
| 腾讯云天御 | ✅ 图文音视直播 | ✅ | 云内 | ✅ AI 生成鉴别 | — | 按量 |
| 百度智能云 | ✅ + Agent 链路 | ✅ | 云内 | — | — | 按量 |
| 华为云 ModelArts Guard | ✅ 多场景 | ✅ | 平台流水 | — | 公有/专有 | 平台计费 |
| Azure AI Content Safety | 文本/图片 | ✅ | Azure 生态 | △（受保护材料检测，非 AIGC 标识） | 公有云 | 按量 |
| AWS Bedrock Guardrails | 文本/图片 | ✅ PII 过滤器 | CloudTrail | ❌ | 公有云 | 内容过滤 $0.15/千文本单元（2024-12 降价 80% 后）（techjacksolutions） |
| Lakera Guard | 文本为主 | △ | 企业版 | ❌ | SaaS 为主（企业版可自托管，senthex） | 按调用/报价 |
读表结论：①"内容标识/水印"是国内特色需求（监管驱动），海外产品基本不做；②国内云护栏的优势是生态集成与合规审计，海外（Azure/AWS/Lakera）的优势是注入检测与幻觉校验的技术纵深；③商用 API 的共同软肋是数据出域——金融/政企场景这一条就是否决项，恰是 JoySafety 这类私有化框架的存在理由。
三、选型决策矩阵
选型不是"选最好的”，是"按场景选组合"。下表给场景 × 需求 → 推荐组合：
| 场景 | 核心需求 | 推荐组合 |
|---|---|---|
| 国内大模型客服/导购/办公助手 | 中文、纯文本、数据不出域、合规处置 | JoySafety 自研编排 + 自带 bert/敏感词/知识库纵深防御；PII 需求用 09 篇方法自接 Presidio 类能力 |
| 英文对话产品，话题边界与工具调用管控 | 对话流 + Agent 闸门 | NeMo Guardrails（前置可叠加扫描器层） |
| 结构化输出场景（JSON/表单/代码生成） | 输出契约 | Guardrails AI validators |
| 用户可能粘贴敏感数据进共享模型端点 | PII 检测与脱敏 | Presidio（或 LLM Guard 思路自研，注意其已归档） |
| UGC+AIGC 内容平台 | 多模态审核 + AI 生成标识 | 网易易盾 / 腾讯云天御 |
| 已深度绑定某朵云 | 集成成本最低 | 对应云原生护栏（阿里云/AWS Bedrock/Azure） |
| 全球化英文 SaaS，注入是头号风险且接受数据出域 | 注入检出率 | Lakera Guard |
| 金融/政务/医疗高合规 | 审计留痕 + 私有化 + 国标对齐 | JoySafety 私有化为底座 + 商用私有化能力补强（标识/审计） |
| 任何上生产的方案 | 持续量化拦截率 | 叠加红队评测（garak/PyRIT/Promptfoo，15 篇）——护栏决定"防不防"，红队决定"知不知道漏没漏" |
组合而非单选是业界共识：particula.tech 给出的生产栈是"LLM Guard 前置粗扫 → NeMo 对话轨 → Llama Guard 分类 → Guardrails AI 输出校验"四层串行（来源）；国内选型文同样强调"流式检测 + 细粒度权限 + 全链路审计"的基本盘与"拦截率/延迟/误杀率"三元指标（cnblogs）。映射到 JoySafety：它的 DAG + groovy router 天然就是"组合器"，缺的不是组合能力，而是可组合的能力件（PII、结构校验、审核大模型）。
四、结论：JoySafety 的差异化与短板清单
4.1 差异化（每条都有源码或官方证据）
- DAG 编排 + groovy 策略：检测能力抽象为 Function，策略即 YAML + groovy router（
FunctionRegistry.java:20、GroovyRouter.java:27），策略逻辑免发版可改；编排灵活度对标 NeMo，但面向"检测流水线"而非"对话流"，更贴近内容审核工程。 - free_taxi 异步模式（业界独有）：把检测从流式输出的同步路径上摘掉，下一次请求顺带带回上一次的检测结果（
ResponseMode.java:16，机制走读见 03 篇 3.5 节）。五家开源框架全部为同步模型——流式输出场景这是 JoySafety 的独占解法。 - 纵深防御策略样板：敏感词粗筛 → BERT 精检 → 知识库双证（
docs/strategy_example.yml+docs/ABOUT_DAG.md），每层有成本/准确率权衡，与业界"便宜的先跑"原则一致且落地为可运行配置。 - 中文原生 + 彻底私有化：中文语料训练的注入/风险分类模型、中文敏感词体系；向量库（Vearch）、embedding（bge ONNX 本地推理）全部自托管，无任何外部 SaaS 依赖。
- 生产背书：京东内部覆盖 AI 导购、物流客服、医疗问诊等场景，日均亿级调用、95%+ 攻击拦截率（README.md:23）——开源编排框架里唯一给出生产规模证据的。
4.2 短板清单（源码证据 → 反哺 11 篇生产化）
| # | 短板 | 源码证据 | 对标对象 | 反哺改造方向 |
|---|---|---|---|---|
| 1 | 纯文本：枚举预留了多模态但实际只跑文本 | ContentType.java:8-28 有 text/picture/audio/video 四种，但 DefenseApiRequest.java:22 默认 text、safety-api/docs/api.md:40 明示"当前仅运行 text"，且全仓无任何 Function 按 contentType 分支 | 国内商用护栏全员多模态 | 11 篇加"多模态能力接入"项：以 09 篇自定义能力机制接入图文模型（14 篇给出候选） |
| 2 | 无 PII/secrets 专项 | RiskCheckType.java:14-63 十种类型无 PII 类目；全仓 grep PII/脱敏/身份证/手机号 只命中 tokenizer 词表 | LLM Guard scanner、Guardrails AI（Presidio）、AWS Sensitive Information Filters | 11 篇加"PII 能力"项：regex+NER 自研或包装 Presidio |
| 3 | 无输出结构校验 | FunctionRegistry.java:20-30 九种 Function 无 schema/格式校验类 | Guardrails AI 核心能力 | 新增 json_schema 类 Function（Function 接口本身就是开放扩展点） |
| 4 | 审核大模型未集成进框架 | README.md:349：审核大模型 JSL-joysafety-v1 已在 HuggingFace 开源（API 实测存在，2025-09-24 更新，safetensors/gpt_oss 架构），“后续 Joysafety 集成此系列模型”——即模型已出、集成未做 | Llama Guard 4、商用护栏的审核大模型 | 14 篇可直接做接入实验：按 single_label_pred 协议包装为原子能力 |
| 5 | 无 Agent 安全维度 | 九种 Function 全为内容检测语义，无 tool-call/执行闸门；入参也无工具调用上下文字段 | NeMo execution rails、百度 Agent 链路护栏 | 中长期项：DAG 节点需扩展"工具调用审核"语义 |
| 6 | 无内容标识/水印 | 全仓无相关代码 | 阿里云五项能力之一、《人工智能生成合成内容标识办法》（2025-09-01 施行） | 监管强相关业务需外购或自研标识检测能力 |
| 7 | mq responseMode 是空 stub | MessageQueueServiceImpl.java:30-33 两个方法体为空、// todo 增加输出到mq | —（工程完整性） | 已在 11 篇提纲中，不再重复 |
对提纲的一处如实修正：提纲写"无审核大模型（官方 roadmap 待出）"，与实际不符——README.md:349 已明确开源了
JSL-joysafety-v1并预告集成计划，经 HuggingFace API 核实该模型仓库真实存在（最后更新 2025-09-24）。准确的表述是**“审核大模型已开源、但尚未集成进 JoySafety 编排框架”**。这也让它从"纯短板"变成"14 篇可立即动手的接入实验对象"。
4.3 一句话总结
JoySafety 的护城河是"编排自主权 + 中文 + 私有化 + 生产实证"，护城河上的缺口是"能力件不够全"。 横评的真正产出不是"它比谁强"，而是那张短板清单——每一项短板都对应一条明确的、框架架构已经预留好扩展点的改造路径（Function 接口 + admin 注册 + DAG 引用），这正是 09/11/14 三篇要动手填的坑。
五、参考来源汇总
开源框架对比
- NeMo vs Llama Guard vs Guardrails AI 分层对比（particula.tech）
- 开源 vs 商用 12 款护栏方案（cloudthrill.ca）
- NeMo Guardrails 仓库（版本/Colang 状态）
- Guardrails AI 能力综述（myengineerpath）
- LLM Guard 仓库（已归档）、LLM Guard 替代方案讨论（senthex）
- Rebuff 仓库（已归档，四层机制与 prototype 声明）
商用护栏
- 企业 AI 内容安全 6 款对比（搜狐）
- AI 安全围栏选型四维度（cnblogs）
- 阿里云 AI 安全护栏发布（2025 云栖大会）、产品页、计费文档
- Azure Prompt Shields 概念文档（直接/间接注入分开检）
- AWS Bedrock Guardrails 策略类型、定价与 Automated Reasoning
- Lakera 被 Check Point 收购与 Gandalf 数据集（senthex）
并购潮
- AI Agent 安全并购时间线（datapace）
- Protect AI 并入 Prisma AIRS（deepinspect）
- Agent 防火墙格局与 SentinelOne 收购（agentswarms）
仓库维护状态：NeMo Guardrails / Guardrails AI / LLM Guard / Rebuff 四个 GitHub 仓库的 archived 标志、最后提交时间与 star 数，均为 2026-09-14 通过 GitHub REST API 逐一实测。
JoySafety 侧：所有源码坐标出自本仓库 /Users/wyf/work/maas-safe/JoySafety（safety/ 目录），引用前均经 Read/Grep 核实；审核大模型存在性经 HuggingFace API 核实：jd-opensource/JSL-joysafety-v1。