MangShe3-0/dsh-plugin-guard

README 摘要

DSH Plugin Guard DeepSeek Harness 插件的安装前安全检查插件。默认离线、只读，不执行被扫描代码，不跟随符号链接，也不会把插件内容发送给大模型或第三方服务。 重要：静态扫描只能发现已知风险信号，不能证明插件安全。 REVIEWABLE 的含义是“可以继续人工审查”，不是“绝对安全”。 能检查什么 - 提示词注入：覆盖系统/用户指令、隐藏行为、工具描述投毒、中英文隐蔽指令 - 文件勒索与破坏：递归删除、磁盘格式化、权限破坏、批量加密、赎金文本 - 凭据与数据外传：环境变量枚举、SSH/云凭据、浏览器数据、secret → network 组合链 - 供应链：安装生命周期脚本、下载即执行、未锁定依赖、编码载荷 - 动态执行与越权： eval 、shell/subprocess、持久化、自修改、关闭 TLS 校验 - DSH 元数据： package.json 可解析性和 dsh.bundle.patch 激活声明 - Unicode 欺骗：零宽字符与双向控制字符 评分按“唯一规则 + 同规则递减贡献”计算，避免大型插件仅因重复匹配就轻易满分。只要出现关键级问题，或多类高危问题组合，结论会直接变为 DO NOT INSTALL 。 安装到 DeepSeek Harness 在本目录生成 tarball，再安装到 实际启动 Web UI 的同一个 profile 。官方默认 Web UI 通常使用 web profile： 配置中应出现 id: plugin-guard 。然后停止并重新运行 dsh web ，再新建对话；新会话会获得 plugin guard scan 工具。自定义 profile 用户必须把上述 web 替换成自己实际运行的 profile。DSH profile 彼此隔离，把插件装进 security 不会自动让 web profile 使用它。 Harness 仍处于 developer preview；本项目按 2026-08-18 可见的 @deepseek-ai/dsh RC 插件格式实现。升级 Harness 后应重新运行测试并核对 dsh.bundle.patch 、Loader 和 defineTool 接口。 在 Harness 中使用 把待审插件先下载或解压到当前工作区，然后要求 Harness： 工具默认只允许扫描当前 DSH 会话中经过验证的 session.header.cwd ，不会使用 DSH 服务进程的启动目录。相对路径从该会话 workspace 解析；没有有效 workspace 时工具会拒绝扫描。需要增加额外的只读扫描根目录时，由用户在启动 Harness 前显式设置： 这些目录只会扩展当前会话 workspace，不会启用 process.cwd() 兜底。这个限制用于防止模型…

分类