01精选
graphify
Graphify-Labs/graphifyGraphify 是一个将整个项目（代码、文档、PDF、图片、视频）映射为知识图谱的 CLI 工具，可在 AI 编程助手中通过 /graphify 命令构建图谱，之后直接查询图谱而无需逐个检索文件。代码解析通过 tree-sitter AST 在本地完成，不使用 LLM；文档、PDF、图片、视频等多媒体内容则通过助手模型或配置的 API key 进行语义处理。
为什么关注Graphify 用 tree-sitter AST 在本地确定性解析代码，不依赖 LLM、不使用向量嵌入，生成的知识图谱可交互、可查询，每条边带 EXTRACTED/INFERRED 置信标签，可追溯推断来源。README 给出的基准结果（LOCOMO recall@10 0.497、LongMemEval-S QA 准确率 76%、图谱构建 0 LLM credits，且评测由双盲评分员校验，一致性 90.6%、Cohen's kappa 0.81）显示其在记忆检索任务上相较 mem0、supermemory 有优势（以上为项目自述数据，非实测）。安装简单、支持 20 多种主流 AI 编程助手和三大操作系统，并有详细的官方文档和多语言 README。需要注意官方 PyPI 包名为 graphifyy（双 y），其他 graphify* 包与其无关。
适合：使用 AI 编程助手（如 Claude Code、Cursor、Codex、Gemini CLI、GitHub Copilot 等）的开发者；需要在大型代码库、monorepo 或多仓库环境中理解代码结构与依赖关系的工程师；关注降低 agent token 消耗、进行代码审查和团队协作的研发团队。
02精选
ai-memory
akitaonrails/ai-memoryai-memory 是一个为 AI 编码代理提供长期记忆的开源工具（MIT 许可，Rust 编写），通过生命周期钩子自动捕获会话过程，整合为 git 管理的 markdown wiki，供不同代理、不同项目、不同机器乃至团队共享检索，并支持跨代理的显式交接。
为什么关注推荐理由在于它针对真实痛点：AI 编码工具各自的记忆互不通用、困于单机。ai-memory 以 git 管理的 markdown 为事实来源（用户拥有并可自由编辑文件），单一自包含二进制分发，默认零 LLM 调用即可完成捕获、搜索和交接，记忆老化可逆且不硬删除，同时内置多用户认证与审计日志而不作为付费层级。README 还宣称对写入上限（约 700/秒）等指标持诚实态度并以审计日志记录每次变更。
适合：频繁使用多种 AI 编码代理和工具的开发者、在多台机器间切换工作的个人用户，以及希望团队共享项目知识的工程团队；也适合偏好本地自托管、不依赖云 API、希望记忆以可读可编辑的 markdown 文件形式保存的用户。
03精选
security-audit-skill
cloudflare/security-audit-skillCloudflare 开源的编码代理技能（skill），可将编码代理转变为安全审计员，通过隔离的多个子代理执行侦察、覆盖引导的漏洞挖掘、候选验证、结构化输出、独立记录核验与目标中立报告的六阶段安全审计流程。
为什么关注由 Cloudflare 开源并背书，是其漏洞发现系统演化而来的起点，方法论成熟；采用对抗性验证（发现者与验证者分离）和只确认已确立的边界失败等严谨原则，减少误报；三种明确裁决与结构化 findings.json 加上零依赖校验器，使结果可机器校验、可复现；多次运行增量累加的设计可持续提升覆盖率；攻击类别文档覆盖从内存安全到 AI/LLM 的广泛目标类型；MIT 许可便于自由使用与二次开发。注意：仓库未提供独立的性能基准或第三方评测数据，README 中仅提及其内部测试运行中单次运行约发现多次运行总漏洞数的一半。
适合：使用支持工具调用和并行子代理的编码代理的开发者与安全工程师；构建 AI 驱动安全工具或漏洞挖掘系统的研究人员与团队；希望对自有代码库进行多轮、可复现、结构化安全审计的开源项目维护者。