第 5 期：回测统计检验、AI 可操控的开源图表与交易机器人供应链扫描（三个新仓库）
1. TokIO：Claude Code 插件，检验回测是“真的”还是运气、大盘漂移或前视偏差
⚠️ 新仓库，未经社区检验，只读代码勿直接安装（已核实：0 star、MIT 许可证）
一句话总结：给 Claude Code 用的回测统计检验插件：把你试过的每个变体都记账，用 Deflated Sharpe、PBO 和前视检查判断回测结果是否只是运气。
怎么用
- 先阅读仓库代码和 README，确认其行为后再决定是否安装
- 需要 uv（提供 uvx）；README 的安装命令：claude plugin install tokio-ai --marketplace Kuzi-DEV/tokio-plugin
- 首次启动会下载 tokio-ai 0.7.0 及约 40 个依赖；若提示服务启动失败，等一分钟后用 /mcp 重连
- 示例提问：“用 TokIO 测试 QQQ 的 5、20、50 日动量，并与持有 QQQ 对比”
- README 称：本地运行，只从 Yahoo Finance 和 Cboe 获取公开行情，输出写到 ~/.tokio_ai/cache，无账户、无 API Key、无遥测
注意：仓库刚建立，0 star，未经社区检验；“无遥测”等说法是作者自述，本站未验证。作者也注明这是研究软件，不是投资建议。
- 检查让回测“说谎”的三件事：运气（试了很多点子只留最好的）、市场漂移（只做多因大盘上涨而“有效”）、前视（信号偷看未来）
- 会记录本次会话里试过的每个策略变体，结论按全部尝试次数做校正
- 工具包括 Deflated Sharpe、HAC p 值、Romano-Wolf 网格校正、回测过拟合概率（PBO）、前视检查
- 与 Rust 的 tokio 异步库无关
2. Kandle：免费开源的加密/股票/外汇图表，内置 MCP 让 AI 代理画图、加指标、设警报
⚠️ 新仓库，未经社区检验，只读代码勿直接安装（已核实：0 star、MIT 许可证）
一句话总结：一个可以让 AI 代理直接“看图、画线、加指标”的开源图表工具，用 MCP 接 Claude Code 等。
怎么用
- 先阅读仓库代码和 README；也可先只打开作者的网页版 https://kernel-hunter.github.io/kandle/ 试用，不连接代理
- README 的连接命令：claude mcp add kandle -- npx -y --package=（作者 GitHub Release 中的 kandle-mcp-0.2.1.tgz） kandle-mcp
- 在 Kandle 中点 Agent，粘贴代理给出的配对码并开启 Agent bridge
- 示例提问：“在 BTC 上标出最近的波段高低点并画斐波那契回撤”
- 其他代理的设置方式见 README
注意：仓库刚建立，0 star，未经社区检验；npx 会直接下载并执行远程包，安装前务必先审代码。图表回测结果不代表实盘。
- 在浏览器运行，无账户、无付费墙，数据保存在本机
- 加密货币行情来自 Binance、Coinbase、Bybit、OKX、Kraken 公开数据（无需 Key）；股票/外汇需自备 Twelve Data、Alpaca 或 Polygon 免费 Key
- 34 种指标、画线工具、自定义脚本与策略回测、警报、K 线回放、最多 4 图同屏
- MCP 服务器支持 Claude Code、Codex、Cursor、Gemini CLI 读图、画图、设警报、截图
3. BotGuard：扫描交易机器人仓库、npm/PyPI 包和 Solidity 合约里的钱包窃取与仿冒
⚠️ 新仓库，未经社区检验，只读代码勿直接安装（已核实：0 star、MIT 许可证）
一句话总结：在安装别人的交易机器人或包之前先扫一遍有没有盗币、偷 Key 的东西；还能作为 Claude Code 钩子，在 AI 执行安装命令前拦截。
怎么用
- 先阅读仓库代码和 README
- 作者的网页版：https://botguard-scanner.vercel.app，可粘贴 GitHub 链接、npm:包名、pypi:包名或 Solidity 源码
- CLI 尚未发布到 npm，需从源码构建（Node 20+）：git clone 后 npm install && npm run build，再运行 node packages/cli/dist/cli.mjs scan <目标>
- 安装前检查命令：botguard check "<命令>"
- 接入 Claude Code：botguard init claude（可加 --dry-run 先预览改动）
注意：仓库刚建立，0 star，未经社区检验——安全工具本身也可能有问题，先读代码。扫描“无红旗”不等于安全，不能替代自己审查。
- 检测已知恶意软件、仿冒包名（typosquat）、品牌冒充、偷私钥代码、安装时陷阱、刷星仓库、“在 Remix 部署 MEV 机器人”类的盗币合约
- Solidity 合约会在沙盒 EVM 中编译执行，显示资金流向
- 三种形式：网页扫描器、CLI、Claude Code 的 PreToolUse 钩子（拦截 npm/pip/git clone/curl|sh 等安装命令中的已知恶意包）
- README 引用了 TRM Labs、StepSecurity、OSV、Panther 关于假 AI 交易机器人和恶意包的报告